Tegevjuhi petuskeem – mis see on ja mida teha?

Autor: Sille Laks, CERT-EE infoturbe ekspert

Tegevjuhi pettus ehk CEO pettus seisneb näiliselt tegevjuhi nime alt, vahel isegi “tema” meiliaadressilt, kirjade saatmises kas ettevõtte finantsjuhile või raamatupidajale (või töötajale, kes kodulehe andmetel võib olla seotud maksete teostamisega). Kirjade sisu on lühike ja konkreetne “Kas oled laua taga?” “Kas on võimalik teha kiiresti makse?” või “Kas saate teha rahvusvahelise pangaülekande täna?”.

Kirjale vastamise korral saadetakse makse tegemiseks juba uus info, mis üldjuhul on sarnane alloleva kirjaga:

Petukirja näidis

Miks just tegevjuhilt raamatupidajale/finantsjuhile?

Finantsjuht on just see inimene ettevõttes, kes kontrollib raha liikumist ning teeb makseid. Tegevjuht aga on enamasti kõige kõrgem juht, kelle korraldusi tuleb kuulata. Tihti on mõlemal töötajal ka väga tihe graafik ning pole ajaliselt võimalik või ununeb kontrollida kirja saatjainfot.

Tegevjuht võib vahel avastada mõne kirja, mis on kiire elutempo tõttu kohe edastamata jäänud. Kui veel ilmneb, et maksetähtaeg on juba täna, saab kiri viimasel hetkel raamatupidajale maksmiseks edastatud. Enamasti on sellises kirjas ka makseinfo, täpsemad selgitused ja vabandus unustamise pärast. Raamatupidaja omalt poolt tahab oma tööd võimalikult hästi teha. Ja kui varem on juhtunud, et tegevjuht lubab makse kohta täpsemat infot anda tagasi töölaua taga olles ja tookord oli kõik korras, siis tehakse ka petukirja makse vähemate küsimustega.

Siiski tuleks tähele panna tüüpilisi pettusele viitavaid väljendeid “Kiire!” ja “Makse” e-kirja teemareal ning napisõnalisi grammatiliste pisivigadega e-kirju.

Ennetavad meetmed

1. Koolita kasutajaid

Hoolimata kuvatavast saatja nimest tuleb alati pöörata tähelepanu saatja nimele ja meiliaadressile. Juhul kui kirja sisu on saatja tavapärasest kirjaviisist erinev, vaata lähemalt reply-to (vasta) rida ning vajadusel ka päiseid, mis aitavad kirja ehtsust tuvastada.

Pahatahtlikke kirju eristavad tavapärasest näiteks:

  • saatja nimi ja meiliaadress ei ühti, vastamisaadress on erinev,
  • ebatavaline saatmisaeg, tihti väljaspool tööaega,
  • soov teha ebatavaliselt suur makse ning pole lisatud arusaadavat makseselgitust või maksekorraldust,
  • (tihti märkamata jäävad) grammatilised pisivead.

2. Vaata üle oma Sender Policy Framework ehk SPF konfiguratsioon

SPF võimaldab teistel meiliserveritel kontrollida, kas asutuse nime alt saadetud kiri saabus selle asutuse poolt volitatud serverist.

SPF on domeenipõhine. Veendu, et SPF kirje oleks seadistatud nii, et asutuse nime alt tohib kirju saata vaid asutuse enda meiliserver. Selleks peab SPF kirje olema “v=spf1 a mx –all”

SPF konfiguratsiooni saad kontrollida, kui sisestad käsureale käsud:

  • Nslookup
  • Set type=TXT
  • Omadomeeninimi.ee

Iga käsk tuleb sisestada eri reale ning iga käsu järel tuleb vajutada klahvi Enter. Käskude sisestamiseks saad kasutada nii Terminali (Linux ja MacOS) kui Command Prompti (Windows).

SPF konfiguratsiooni kohta saab täpsemalt lugeda OpenSPF näidete ja tüüpvigade lehtedelt.

3. Kaitse kodulehel kuvatavaid meiliaadresse spämmirobotite eest

Mida teha, kui said sellise kirja?

  • Kui Sinu ettevõtte/asutuse töötaja postkasti on jõudnud ülalkirjeldatud kiri, kus tegevjuht soovib kiiret makset, võib kirja edastada IT-osakonda ning seejärel postkastist jäädavalt kustutada.
  • Kui Sa ei ole kirja päritolus kindel, helista kirja saatjale endale teadaoleval (mitte mõnikord e-kirjas toodud) telefoninumbril.
  • IT-osakond saab kirja koos päistega edastada intsidentide käsitlemise osakonnale CERT-EE aadressile cert at cert dot ee analüüsimaks kirja päritolu.
  • Kui õnnetu juhuse korral on pangaülekanne juba toimunud, pöördu makse tagasikutsumiseks kohe oma panga poole ning esita toimunu kohta avaldus ka Politsei- ja Piirivalveameti küberkuritegevuse büroole, kellega saad kontakti aadressil cybercrime@politsei.ee.

Lisalugemist

Meelelahutuslikku lisalugemist leiab zone.ee blogist: “Kas saaksid kiiresti ühe maksekorralduse teha?”

RIA juht Taimar Peterkop: küberturvalisuse seadus on vajalik meie tänapäevase eluviisi kaitseks

Riigikogu menetleb küberturvalisuse seaduse eelnõu. Riigi Infosüsteemi Ameti peadirektor Taimar Peterkop selgitab, miks sellist seadust on vaja ning kuidas see aitab tagada küberturvalisust. Tekst avaldati 15. märtsil 2018 Delfi arvamusrubriigis.

Taimar Peterkop

Küberturvalisuse seadus aitab ettevõtetel ja riigil paremini koos turvalisust tagada ning kaitsta Eesti digiriiki. Kuna ühiskonna toimimine sõltub üha enam infosüsteemidest, nõuab küberruumi kaitse selgemaid regulatsioone, kiiret reageerimist ja riigi panust vastutuse võtmisel.

Tänane Eesti õigusruum ei toeta meie ühise digitaalse riigi ja inimestele eluks vajalike (energia, telefoniside, meditsiini jms) teenuste kaitset piisavalt. Riikliku julgeoleku ja kaitse tagamise kohustus on asutuste õlul, kellel ei pruugi olla head ja terviklikku olukorra ülevaadet küberruumis toimuvast. Teenuse pakkujalt eeldatakse küberintsidendi lahendamist ja otsuste tegemist, mis aga mõjutavad suuremal või vähemal määral meid kõiki – seda, kas ja kuidas toimib meie e-riik. Nende otsuste tegemise juures saab riik olla vaid soovitavas rollis, mis tähendab, et riigil pole meid kõiki puudutavas küberturvalisuse valdkonnas ei korralduste andmise ega nende eest vastutuse võtmise õigust.

Riigi Infosüsteemi Ameti juhtimisel on enam kui aasta töötatud seaduse kallal, mis lisaks Euroopa Liidu võrguturbe direktiivi rakendamisele likvideerib need puudujäägid õigusruumis – seab riigile suurema kohustuse ning annab ka õigused. Meie kohustus on digiriigina teha enam ja olla teerajajaks küberturvalisuse valdkonnas laiemalt, mistõttu peame pingutama, et ka meie õigusruum järgiks meie pidevaltareneva digitaalse eluviisi tagamise vajadusi. Nagu ID-kaardi päästmine näitas, siis riik ei saa jätta ühiskonna kaitse kohustust ettevõtetele ega küberruumis tekkivaid ohuolukordi kuidagi eirata. Selliselt toimides kaoks usaldus, mis on aga digiriigi toimimise alus.

Küberturvalisuse seadus on sama oluline ja vajalik kui mistahes füüsilises maailmas toiminguid reguleeriv seadus, kas või näiteks pääste- ja korrakaitseseadused. Suure tõenäosusega ei tule lennufirmad pommikahtluse korral lennujaamas kahjusid sisse nõudma, sest lennujaam järgis politsei korraldust ning võimaldas neil inimeste elusid päästa. Samas, kui on kahtlus, et aeronavigatsiooni süsteemides on mingi keeruline pahavara, mis võib protsesse iga kell juhtida ja peatada, siis puudub lennujaamal täna alus riigi soovituste alusel oma teenuseid peatada, kuni probleem on likvideeritud. Kehtiva õiguse järgi ei ole selge, kas riik saab anda sellise korralduse, ning lennujaamal endalgi pole kindlust, kuidas sellises olukorras riigi soovituste järgi tegutseda. Sarnaseid näiteid võib tuua ka muudest valdkondadest.

Eestis registreeritud küberturbejuhtumite hulk lööb tänavu rekordeid: eelmise aasta juhtumite arv oli ligi kolmandiku võrra suurem kui mullu, küündides 11 000-ni. Põhjused registreeritud juhtumite taga on väga erinevad, alates seadmeriketest ja inimlikest eksimustest kuni pahatahtliku tegevuseni. Jälgides maailmas toimuvat näeme üha enam, et suurenenud on välisriikide ründav tegevus küberruumis. Eesti riigiasutuste andmesidevõrke skannitakse ja kaardistatakse pidevalt, kontrollitakse meie kommunikatsioonivahendite võimekust ja üritatakse lisaks riigiasutustele tungida ka elutähtsaid teenuseid pakkuvate ettevõtete arvutivõrkudesse.

Igapäevast turvalisust ohustavad aga veelgi enam küberkurjategijate ründed: lunavara levitamisega kasumit teenida lootev organiseeritud kuritegevus seab oma tegevusega ohtu inimeste elu ja tervise. Sagedased rünnakud haiglatele põhjustavad halvemal juhul arstiabi andmise katkemise. Selliste rünnakute vastu ei piisa parimatest infotehnoloogiavahenditest ega kõige pädevamast küberturvalisust tagavast meeskonnast, kui kasutaja pole riskidest teadlik või on hooletu. Oskus küberruumis turvaliselt toimetada ja riske õigesti hinnata võimaldab tagada turvalisuse kogu riigis.

Ühiskonna suureneva IT-sõltuvuse taustal areneb tehnoloogia ülikiiresti. Võrgu- ja infosüsteemide suurenev keerukus, internetti ühendatud väga erinevate seadmete kasvav arv ning küberruumis tegutsevate erineva motivatsiooni ja oskustega toimetajate kasvav hulk muudab küberturvalisuse üha suuremaks väljakutseks. Eesti senine edukas küberkaitse mudel põhineb kogukondlikul lähenemisel – riigi, ettevõtete ja haridusasutuste koostööl. Turvalisust ei saa võtta kergekäeliselt ja riik või ettevõtted üksi üksi ei suuda tagada turvalisust küberruumis. Küberturvalisuse seadus on üks oluline osa, mille pinnalt jätkuvalt ehitada seda kogukondliku küberkaitse mudelit.

RIA krüptouuring – ID-kaart ja plokiahelad

Kaur Virunurm, RIA arendus- ja uurimistegevuse osakonna juhataja

Allikas: pixabay.com

Moodne maailm seisab paaril nähtamatul tehnoloogilisel vaalal. Need kannavad meid nii vaikselt ja rahulikult, et me ei taju nende olemasolu. Aga kui neid poleks, ei töötaks mitte miski. Ükski arvuti ei leiaks teist omasugust üles; üksi tviit ega kassipilt ei jõuaks ühest ilma otsast teise; muusikat saaks kuulata vaid kontserdisaalis ja filmi näeks vaid kinos.

Mõnikord jääb mõni “vaal” tõbiseks. Osad haigused on aeglased ja kroonilised. IPv4 surma on ennustatud pikki aastaid, aga vanake võtab vapralt tablette ja jätkab teenistust. Mõni tõbi tabab aga järsult. Siis lükatakse terve suurriik internetist välja (Jaapan 2017) või peab terve maailm kiirkorras oma arvuteid lappima ja süsteeme taastama.

Üks selline „vaal“ on krüptograafia. Krüptograafia on andmete turvaomaduste tagamine matemaatika kaudu. Krüptograafia võimaldab arvutisüsteemides öelda, kes on kes ja mis on mis; millisest allikast on andmed pärit; kes võib neid andmeid näha, kes muuta ja kes kustutada. Krüptograafia loob süsteemide ja nende kasutajate vahele tugeva, matemaatilise usalduse.

Interneti algusaegadel polnud sel usaldusel suuremat tähtsust. Internet ei olnud äri, andmetel polnud veel majanduslikku väärtust, keegi ei tahtnud neid varastada ega valeks muuta või “pantvangi võtta”. Enam nii ei saa – ükski ettevõte ega teenus ei saa leppida sellega, et nende andmed on „lahti“ või et nende kliendid autendivad end ausõna abil. Krüptograafia kasutamisest on sisuliselt saanud hea äritava. Lisaks on hulk valdkondi, kus krüptograafiat nõuab seadus või valdkondlik regulatsioon. Terviseandmeid või krediitkaartide numbreid üle krüpteerimata kanali vahetada enam lihtsalt ei tohi.

Viimasel paari aastal on “krüpto” sõna jõudnud igapäevasesse kasutusse, ajalehtede esikaantele. Kõigepealt tulid krüptoviirused. Need tõid arusaama, et “krüpto” on ohtlik; eile olid sul perepildid, täna mitte, ja süüdi on “krüpto”. Siis tuli “krüptoraha”. Sel oli kõigepealt kiire rikastumise meelitav hõng, siis sai see külge lihtsameelsete lõksu sildi. Ja 2017 sügisel sai kogu Eesti teada, et “ID kaardi krüpto” on mingil viisil katki ja meie vabariik on ohus.

Kui meil on või tehnoloogia, mis riiki nii oluliselt mõjutab, tuleb seda tunda.
RIA on selle jaoks alates 2011. aastast tellinud regulaarset krüptouuringut.

Krüptouuringu eesmärgid on:

  • saada ja anda ülevaade valdkonna hetkeseisust,
  • käsitleda mõnda hetkel maailmas olulist krüptograafia teemat,
  • analüüsida või kirjeldada mõnda Eesti jaoks eriti olulist või aktuaalset krüptograafiaga seotud probleemi.

Õnneks ei ole meil vaja igal aastal kogu krüptograafia valdkonda uuesti üle analüüsida, sest suured muutused on üldiselt aeglased. Kuid diagnostilist ülevaatust on siiski vaja. Peame teadma, kas meie “vaal” vajab tablette või pensioni.

Värske krüptouuring

Sel aastal tellime ja avaldame krüptouuringut osade kaupa. Krüptouuringu esimene osa on nüüd teie ees.

Esimene ja kõige tähtsam peatükk annab ülevaate krüptograafiliste algoritmide hetkeseisust.
Kõik krüptograafilised algoritmid ja protokollid “vananevad” – nende vastu leitakse uusi ründeid, arvutustehnika ja meetodid arenevad. Seega muutuvad olemasolevad krüptosüsteemid “nõrgaks”. Uute infosüsteemide disainimisel peab seda teadma ja sellega arvestama. Ja seda teadmist vajame pikalt ette. Mõni täna krüpteeritud fail peab püsima saladuses ka 10 aasta pärast, täna lepingule antud allkiri peab kehtima ka aastal 2030.

Esimene peatükk vaatabki kõige olulisemaid, kõige rohkem kasutatavaid krüptoalgoritme ja kirjeldab nende tugevust nii lühikeses kui pikas perspektiivis. Eraldi tähelepanu all on kvantarvutus, sest krüptograafia tulevik sõltub kõige rohkem just sellest.

Teine peatükk kirjeldab eelmise sügise ID-kaardi kriisi krüptograafilist poolt.
Meie ID-kaardi probleem oli ühe ülemaailmse krüptovea järsk väljatulek. Uuring kirjeldab, mis juhtus, mida tehti ning kuidas ID-kaartide uue lahenduse (elliptkõverad) krüptograafiline pool töötab.

Kolmas peatükk annab ülevaate plokiahelate (blockchain) tehnoloogiast.
See on hetkel krüptograafia kõige kurikuulsam rakendus. Avalikkuse jaoks on see eelkõige “bitcoin”, kuid IT-kogukonna sees tahetakse kõik süsteemid alates muusika jagamisest kuni rakettide tootmiseni plokiahelatele “üle viia”. Sellest loodetakse järgmist “vaala”, mis kogu maailma kandma hakkab.

Krüptouuring kirjeldab eri plokiahelate erinevaid omadusi ja pakub välja skeemi, mille abil otsustada, milline tehnoloogia mis ülesande jaoks sobib. Lisaks on uuringu käigus välja töötatud plokiahelate eestikeelne terminoloogia.

Krüptouuringu kirjutasid RIA tellimusel Cybernetica teadurid Ahto Buldas, Jan Willemson ja Arne Ansper.

Loodame, et meie krüptouuringud on Eesti IT-kogukonna jaoks hea õppematerjal.

Head lugemist!

***

Lisainfo: