Tag Archives: gmail

Alanud on e-arvete kaaperdamine

574px-Willamsburgh_Savings_Bank_facade_burglar

Rene Chambellan burglar inset, Williamsburgh Savings Bank, Brooklyn, 1928. Wikimedia commons. Autor: wetman.

Anto Veldre, Riigi Infosüsteemi Ameti analüütik

Tänases Äripäevas on kirjutis sellest, et küberkratid on välja mõelnud uue triki, kuidas võõrale rahale küüned taha saada. Leht pole kõigile kättesaadav, mistõttu annan oma peamised mõtted edasi ka siin.

Nimelt, kui firmad järgivad infoturbenõudeid, pruugivad oma arvutites viirustõrjet ja piisavalt keerukaid paroole, kui raamatupidaja on ettevaatlik ja teab, et iga sissetulnud PDF-fail võib kanda nakkust, siis… et mis siis ikkagi juhtub?

Juhtub aga see, et kurjategija jääb ilma oma harjumuspärasest sissetulekust. Irooniliselt öeldes, ka kurjategija on kõigest inimene, tal on arved maksta, lapsed koolitada ja sel hetkel, kui meie teiega metsas jaanituld peame, tahaks tema puhata hoopis kaugel lõunamere saarel… Ühesõnaga, kui me tõstame turvataseme üle teatava lati, siis on küberkurjam sunnitud kas ausaks hakkama või uued trikid välja mõtlema. Pakkuge, kumma valiku ta teeb?

Täiesti ootamatu turvaauk on kõige tavalisem postkast – seesama plekist postkast teie firma välisukse küljes. Raha kättesaamiseks kõlbab lihtne nipp. Öösel kougitakse postkastist välja teie firmale tulnud arved, kurjam töötab paar tundi Photoshopiga ning hommikuks on postkasti pistetud tuttuus arve.

Muidu on kõik eelmise arvega sarnane, kuid konto number, kuhu raha kanda, on nüüd hoopis teine. Näiteks mõnes välismaa pangas kusagil Neitsisaartel. Suurema saagilootuse korral võidakse arve avada firmale, mille nimi on äravahetamiseni sarnane.

See fantastiline petuskeem on tegelikkuses realiseerunud ning pättidel õnnestus ühes Euroopa riigis selle petuskeemiga pihta panna päris mitu miljonit eurot.

Värskelt on aga selgunud, et ülalkirjeldatud petuskeemi saab toime panna ka firma e-postkastis. Kehva parooli või pahavarakirja abil võtavad kurjamid kontrolli firma e-postkasti üle ning selgub, et elektooniliselt esitatud arveid muuta on sama mugav või isegi mugavam, selleks ei pea isegi printeritahma raiskama.

Kui pätt on saavutanud kontrolli firma e-postkasti(de) üle, võib ta minna veelgi kaugemale, näiteks veenda äripartnerit selgitustega, miks ikkagi oli vaja konto Neitsisaartele viia. Kõige kurvem, et kui ohver üritab kelleltki e-kirja teel abi küsida, siis ka need kirjad koos vastustega satuvad kurjategijate kätte.

Lugu, mis Eesti ajakirjandusest läbi käis, muutus eriti põnevaks pärast seda, kui kurjam sekkus kahe äripartneri vahelisse dialoogi, registreeris endale äravahetamiseni sarnase nimega internetidomeenid ning asus sealt identiteedipettust sooritama. Valik on rikkalik: eestifirma.com, eestifirma.org, eestifirma.me, eestifirma.to jms.

Sel korral pättidel ei vedanud. Neitsisaarte värk tundus äripartnerile kahtlasena ning ta otsustas asjaolud telefonitsi üle küsida. Telefonisuhtluse käigus selguski, et miskit on väga valesti.

Moraal: kui kahtled, küsi üle, ning mitte sama sidekanalit kaudu, kus kahtlused algselt tekkisid.

Nõuandeid:

1. Kindlasti tuleb politseisse teha avaldus.

Sõltumata avastamisprotsentidest on vaja avaldus ikkagi teha ning seda mitmel olulisel kaalutlusel:

  • et igasugune küberkuritegevus saaks registreeritud, mitte ei jääks latentseks.
  • küberpettuste jäljed viivad sageli välismaale. Üksnes politseil on õigus välisriikidesse päringuid teha.
  • kui küberpätid kunagi hiljem vahele jäävad, seoses mõne teise teoga ja neilt arvutid konfiskeeritakse, siis väga sageli leitakse sealt materjale ka varasemate kuritegude kohta.

2. Kui häda on juhtunud ning vajate esmast nõuannet, võtke ühendust CERT-EEga.
CERT-EE küberjuhtumite esmase kontaktpunktina annab esimesed kiired soovitused, kuidas käituda ning kuidas taastada turvaline olukord. CERT-EE on kursis ka muude parasjagu käimasolevate juhtumitega, mis annab võimaluse teha üldistusi ja märgata suundumusi.

3. Ei tohi hakata ise kurjategijatega suhtlema, dialoogi või läbirääkimisi pidama. Jätkem see töö proffidele!

4. Endise olukorra taastamiseks arvutisüsteemis tuleks kaasata IT-ekspert ning tegutseda nii, et tõendid ei häviks.

5. Kui tähtsaid meilikontosid peetakse Gmailis, siis tuleb varakult hoolitseda, et pätid ei saaks kontot üle võtta või vähemalt, et pärast õnnetust saaksite selle kiiresti tagasi. Nõuandeid on kaks:

  • Parool võiks ikka olla keerulisem kui klaviatuurilt järjest leitud tähed.
  • Kasutage kahefaktorilist autentimist – tavaliselt on teiseks kanaliks telefoninumber – pätil puudub kontroll teie telefoni üle, sestap jääb tal plaanitu tegemata. (Puuduseks on asjaolu, et Google saab teie telefoninumbri … kuid kuulge, ta teab teie kohta nii seda kui mõndagi muud juba).

Võltskirjade laviin

RIA infoturbe ekspert Anto Veldre kirjutab ohtlikest e-kirjadest.

Viimase mõne kuu, nädala ja päeva päeva jooksul on pidevalt sagenenud võltsitud e-mailide saatmine kasutajatele – sõltumata kas nad on eraisikud, mõne firma või riigiasutuse töötajad. Ei saa öelda, et petukirjade hulk oleks OLULISELT tõusnud, kuid kampaaniate vahelisi tavapäraseid vaheaegu pole enam – üks kampaania järgneb teisele katkematu voona. CERT-EE saab teateid nii reaalselt äratoimunud nakatumistest kui ka juhtumitest, kus ohver on õigeaegselt taibanud: see oli nakatamiskatse.

“Rechnung’ite” laine sai vaevalt meelest minna, kui arvutikasutajaid tabasid faksikirjad ning kohe seejärel gruusiakeelsed arved. Uudishimulikult ZIP-faili avades käivitas kasutaja CTB-Lockeri, mis on sisuliselt väljapressimisvara: see suudab asutuse failiserveris failid kokku krüptida ja siis väljapressimisnõude esitada. Sel hetkel, kui levitamine algas, tundis värsket viirust 57st viirustõrjest vaid neli, kuid päeva jooksul paranes olukord umbes 25ni. Lähemalt saab ohtliku lunavara kohta lugeda https://blog.ria.ee/krupteeriv-lunavara/.
Moraal: viirusetõrje enamasti päästab, kuigi garanteerida seda ei saa – pead ka ise valvsust üles näitama! Heal lapsel mitu nime: CTB Locker = Dalexis = Critoni.

On saabunud mitmeid ja mitmeid teateid inimeste Google’i kontode ülevõtmistest. Kasutaja ei saa õigeaegselt aru, et talle on saadetud võltsitud kiri, sisestab oma Gmaili kasutajanime ja parooli õngitsuslehel või mõnel teisel puhul klikib kirja lõppu lisatud lingil ja voilaa – identiteet ongi ära pätsatud. Gmail kustutatakse kirjadest tühjaks, aadressraamat varastatakse, keel keeratakse mõnda araabia või india dialekti. Mõned ohvrid on asunud pättidega läbi rääkima, kuid seda ei peaks kunagi tegema, jäetagu see ikka politsei hooleks. Mõnel õnnelikul on õnnestunud Google’i käest oma kirjad tagasi nõuelda, kuid tagasisaamist garanteerida ei saa. Mõistlik oleks oma tähtsatele erakontodele peale keerata kahetasemeline autentimine (parooli ja telefoniga), nii et saaksite oma konto teenusepakkujalt alati tagasi küsida.

Sel nädalal saime teate juhtumist, kus sõber ootas sõbralt kirja, kell oli hiline ja saaja klikkis lisatud Google Docsi lingil… loomulikult polnud see Google Docs, salasõnad võeti üle ning aadressraamat läks jalutama. Aadressraamatu põhjal asuti saatma kirju juba järgmistele ohvritele.

Kokkuvõtteks – pole andmeid, et toimuks midagi Eesti-spetsiifilist. Sarnased kampaaniad (sh väljapressimisvara levitamine) on värskelt toimunud ka naaberriikides. Ei ole võimalik kindlalt väita, et tegemist oleks mingi suunatud kampaaniaga, sest ei eelistata ei riigi- ega erasektorit. Peame oma internetikasutuses olema senisest kolm korda ettevaatlikumad.

Millega seoses soovitame inimestel lähiajal ilmutada ERILIST ETTEVAATUST e-kirjade töötlemisel, seda nii töö juures kui oma erakontodel.

  1. Oma meilide lugemisel nutiseadmes arvesta, et seal pole näha postiaadressi, on näha vaid isiku nimi (igaüks võib panna endale suvalises meilisüsteemis suvalise nime).
  2. Ole paranoiline: kui tegu on lingiga, jäta see parem klikkimata. Mõtle enda jaoks selgeks uudishimu ja vastutuse vahekord.
  3. Kui saabub link, mida Sa ootad ja mille juures olev tekst tundub Sulle adekvaatne, aseta hiirekursor lingile ning veendu, et brauseri allaäärde tekkiv tegelik link on asjalik. Kui Sa asjalikku linki petukast eristada ei oska, ära kliki, vaid toimeta kiri IT-spetsialistidele kontrolli! NB! Ohtliku lingi äratundmist ei ole paraku võimalik ammendavalt kirjeldada.
  4. Kui saabub manus, mida Sa otseselt ei oota, jäta see avamata ja saada itimeestele kontrolli.
  5. Kui saabub kiri, mille manuses on faks, pista see viiruskontrolli. Väheste eranditega Eestis fakse sedamoodi ei saadeta.
  6. Kui Sinu erakonto võetakse üle, anna sellest kohe teada ka töö juures.
  7. Kui leiad oma koduarvutist pahavara, anna sellest kindlasti teada ka töökoha itimeestele.
  8. Kui Sinuga midagi juhtus, palun säilita tõendid. Jäta kirjad, failid ja muu säärane itimeestele uurimiseks – see võib hiljem aidata kurjategijateni väljajõudmisel.
  9. Kui manus või kirja lõpus asuv link suunab Sind GoogleDocsi, GoogleDrive’i või DropBoxi ja selle käigus küsitakse Sinult kasutajanime ja parooli – ole üliettevaatlik! See on tõenäolisim stsenaarium Sinu konto ülevõtmiseks.
  10. Mõtle uuesti läbi oma Gmaili, GoogleDocsi ja muude asutuseväliste kontode kasutus. Kui Sa sunnid oma kaastöötajaid dokumendi vaatamiseks nimega sisse logima, siis paned Sa nad olukorda, kus nad on sunnitud oma parooli sisestama veebisaiti, mille autentsust nad ei suuda kontrollida. Mille tulemusel varastatakse ära kaastöötaja konto, mille tulemusel saad Sa justkui oma kaastöötajalt usaldusväärsena näiva kirja ning pihta saab Sinu enda arvuti.
  11. Ära reageeri edevust utsitavatele kirjadele, kus antakse teada pärandusest, loteriivõidust, Sinu isiku valimisest aasta tippspetsialistiks ja muust säärasest.
  12. Varusta ohuinfoga oma töökoha IT-inimesi ja CERT-EEd. Vaid kümned vabatahtlikud kirjasaatjad võimaldavad meil toimuvast näha täispilti ning saada aru, kui hull asi tegelikult on (või ei ole).

Lingid lugemiseks:

Varasemad postitused samal teemal:

Ära mine õnge

“We just sent you a message with important information”, “You have 3 missed emails” või lihtsalt “Tere” – sellise teemaga kirju on viimase kuu aja jooksul saanud paljud Gmaili kasutajad. Kirjas sisaldunud lingil klikkides avati pealtnäha Google’i sisselogimisleht.

Screen Shot 2015-01-12 at 14.36.34

Screen Shot 2015-01-12 at 14.38.18

Screen Shot 2015-01-12 at 14.34.21

Stopp! Neid kirju ei saatnud Google ega Gmail ning neile ei tohiks reageerida, rääkimata ohtlikul lingil klikkimisest või klikkides avanenud Google login-aknaga äravahetamiseni sarnasel veebilehel andmete sisestamisest. Tegemist on õngitsuskirjadega, mida saadavad laiali kurjategijad Google kontode hõivamiseks, et rämpsposti saata, pahavara levitada, raha välja petta või juba järgmiste ohvrite andmeid õngitseda.

Kirja võltsimisest arusaamiseks piisab tihti vaid kirja saatja meiliaadressile pilgu heitmisest. Kahtluse korral tuleks avada kirja paremas nurgas olevast rippmenüüst Näita algset, IPhone’is või IPad’is klikkida kirja saatja nime taga oleval noolekesel, Android seadmes saatja nime all Kuva üksikasjad vms ning uurida seal kuvatavat infot. Google’i saadetud kiri peaks saabuma aadressilt, mis lõppeb google.com-iga (näiteks noreply@google.com).

Kirjas sisalduvad lingid on tavaliselt peidetud “aktiivsete” sõnade taha (sinised, allajoonitud vms). Paremat hiirenuppu aktiivsete sõnade kohal klõpsides avaneb menüü, mille abil saab linkide kohta lähemat infot. Seejuures tuleks olla väga ettevaatlik, et kahtlast linki veebilehitsejas kogemata ei avataks. Lingi kopeerimine (mitte veebilehitsejasse!) ajutiselt kasvõi mõnda tekstifaili on üks turvalistest valikutest.

Vahel tuleb ju ikkagi Google’sse sisse logida. Mida siis tähele panna? Google’isse sisselogimisel tuleb kontrollida infot, mida kuvatakse veebilehitseja aadressreal – seal peaks olema kirjas accounts.google.com ning aadressi ees tabalukk ja https. Siis on suure tõenäosusega tegemist õige kohaga.

Kui siiski juhtus, et sisestasid oma Google’i kasutajanime ja parooli sinna, kuhu poleks pidanud – vaheta parool ja rakenda kaheastmeline kinnitamine sisselogimisel. Kui su Google’i konto on kurjategijate poolt üle võetud, loe juhiseid eelmisest blogipostitusest.