Tietojenkalastelun sesonki on alkanut

Eräs yritys, jonka kanssa olen aiemmin työskennellyt, oppi tietojenkalastelusta kantapään kautta. Hallituksen puheenjohtaja sai tavallisen näköisen sähköpostin: joku oli jakanut hänen kanssaan asiakirjan. Hän napsautti linkkiä, kirjoitti sähköpostinsa salasanan Microsoft 365 -kirjautumissivulta näyttäneelle sivulle ja jatkoi päiväänsä. Hyökkääjät pääsivät näillä tunnuksilla hänen postilaatikkoonsa. Kukaan ei huomannut mitään, ennen kuin toimitusjohtaja alkoi saada hänen tililtään sähköposteja, joissa pyydettiin maksamaan laskuja, joita ei ollut olemassa.

Kukaan tässä tarinassa ei ollut huolimaton. Puheenjohtaja on kokenut ihminen, joka käsittelee paljon sähköpostia. Tietojenkalastelu toimii parhaiten kiireisiin ihmisiin, ja hallituksen jäsenet ja toimitusjohtajat ovat yrityksen kiireisimpiä.

Syksy tekee kaikista entistä kiireisempiä.

Miksi loppuvuosi on erilainen

Lokakuusta joulukuuhun tavallisen yrityksen sähköposti täyttyy viesteistä, jotka näyttävät täsmälleen tietojenkalastelulta: laskuja ennen tilikauden päättymistä, paketti-ilmoituksia, pikkujoulujen varauksia, lahjakorttitilauksia ja allekirjoitettavia vuodenvaihteen asiakirjoja. Kun puolet aidoista sähköposteistasi sanovat "maksa tämä" tai "kirjaudu sisään", väärennös sulautuu joukkoon helposti.

Väärennökset ovat myös parantuneet. Ennen neuvottiin etsimään kielioppivirheitä ja kummallista suomea. Se neuvo on vanhentunut. Tekoäly kirjoittaa nykyään sujuvaa suomea, ja oikean toimittajan laskupohjan kopioiminen vie muutaman minuutin.

Siksi ihmisten kouluttaminen "tunnistamaan väärennös" auttaa joka vuosi vähemmän. Koulutusta tarvitaan edelleen, mutta tietoturvaa ei voi rakentaa sen toivon varaan, ettei kukaan koskaan napsauta.

Mikä oikeasti pysäyttää sen

1. Ota monivaiheinen tunnistautuminen käyttöön jokaisella sähköpostitilillä, myös hallituksella. Yllä olevassa tarinassa pelkkä salasana riitti. Monivaiheisen tunnistautumisen (MFA) kanssa hyökkääjillä olisi ollut salasana eikä mitään muuta. Kun kyse on ihmisistä, joilla on laajimmat oikeudet, mene askel pidemmälle ja käytä pääsyavaimia (passkeys) tai fyysistä turva-avainta – niitä ei voi kalastella väärennetyn kirjautumissivun kautta lainkaan. Tarkista hallitus ensin. Hallituksen jäsenet ovat usein yrityksen tavallisen IT-ympäristön ulkopuolella, omine kannettavineen ja joskus omine sähköposteineenkin.
2. Tee maksusääntö, joka ei riipu sähköpostista. Jokainen tilinumeron muutos tai "kiireellinen" maksupyyntö varmistetaan puhelimella numerosta, joka teillä oli jo ennestään – ei koskaan sähköpostissa annetusta numerosta. Kirjoita sääntö ylös ja kerro taloushallinnon ihmisille, ettei kukaan koskaan suutu heille siitä, että he soittavat tarkistaakseen. Tämä ei maksa mitään.
3. Ota hälytykset käyttöön hyökkäyksen hiljaisesta vaiheesta. Kun hyökkääjät ovat päässeet postilaatikkoon, he tekevät harvoin mitään näkyvää. He luovat edelleenlähetyssäännön tai säännön, joka piilottaa tietyt vastaukset, ja odottavat laskukeskustelua, jonka voivat kaapata. Sekä Microsoft 365 että Google Workspace voivat hälyttää, kun joku luo edelleenlähetyssäännön tai kirjautuu sisään epätavallisesta maasta. Useimmissa näkemissäni pienyrityksissä nämä hälytykset ovat joko pois päältä tai menevät postilaatikkoon, jota kukaan ei lue.

Mikään tästä ei ole jännittävää. Kyse on lähinnä asetuksista ja yhdestä puhelutottumuksesta.

Tässä kysymys, joka kannattaa esittää ennen joulua: kuka yrityksessänne pystyy yhä kirjautumaan sähköpostiin pelkällä salasanalla? Jos et tiedä vastausta, hyökkääjät selvittävät sen puolestasi.

Tietojenkalastelun sesonkia ei voi perua. Mutta voit varmistaa, ettei yksi kirjoitettu salasana riitä.

---

Etkö ole varma, miten yrityksesi sähköposti on määritetty? BandIT tekee maksuttoman sähköpostin tietoturvatarkistuksen: katsomme, kuka pystyy yhä kirjautumaan pelkällä salasanalla ja huomaisiko kukaan postilaatikossa majailevaa hyökkääjää. Ota yhteyttä ja varaa tarkistus.