Tag Archives: võltskirjad

ELGO-õngitsuse teine laine

Esmaspäeva, 12. jaanuari õhtul hakkasid taas levima kohalikele omavalitsustele suunatud ELGO-kirjad. RIA infoturbe ekspert Anto Veldre selgitab, millega on tegemist.

Juunis 2014 hakkasid kohalike omavalitsuste töötajad saama e-kirju “asutuselt” nimega ELGO ehk European Local Government Officers (Database). Kirja sees oli kasutajanimi ja parool, millega paluti end sisse logida “andmebaasi” ning ühtlasi anda oma täpsemad isikuandmed.

CERT-EE väljastas teemakohase hoiatuse, mis ilmus ka KOV-portaalis: http://kov.riik.ee/cert-ee-hoiatusteade-omavalitsustele/.

Eile õhtul (12. jaanuaril 2015) hakkasid säärased kirjad taas levima, mistõttu selgitan ELGO tausta põhjalikumalt.

Saabunud e-kiri palub kasutajal minna domeenile elgo.eu. See domeen on registreeritud Inglismaal ning pole teada, et see oleks kuidagi seotud mõne ametliku EU organisatsiooniga. Veebisait kasutab EU lipule eksitavalt sarnast logo. Lehe allservas paiknev registreerimisinfo osutab, et tegemist on hoopis eraettevõttega (Elgo Ltd). Teave firma kohta on kättesaadav aadressil http://www.endole.co.uk/company/08325123/elgo-limited, tegevusalaks on märgitud kirjastustegevus. Tegemist EI OLE Euroopa Liidu ametliku organisatsiooni ega allasutusega, vaid eraõigusliku firmaga, mis üritab endast jätta vale muljet.

Tegutsemismuster on koostatud sedasi, et juriidiliselt oleks kõik korrektne ja kinni võtta ei saaks kuskilt (kasutaja sisestas oma andmed vabatahtlikult), kuid tegu on etteplaneeritud eksitamisega. Kirja saajale jäetakse soliidsem mulje sellega, et saadetakse talle kasutajanimi ja parool ning palutakse need sisenedes kohe ära vahetada. Kahjuks ei piirdu asi paroolivahetusega, vaid ühtlasi palutakse sisestada ka mõningad isikuandmed.

Probleem seisneb asjaolus, et veebisaidil pole selgitatud, milleks õngitsemise teel saadud andmeid edaspidi kasutatakse või mis on nende kasutamise tingimused. Võimalik, et äriidee sisu on väikese tünga ja masside lollitamise abil koguda Euroopast kokku kohalike omavalitsuste kõigi ametnike andmed, et nendega edaspidi mingil moel raha teenida.

Ühtlasi kasutab ELGO võrkturunduse meetodit, suunates pahaaimamatuid ametnikke “üles andma” ka oma töökaaslasi. Kasutaja, kes ei saa aru, et tegu on andmeõngitsusega, ohustab seega ka oma kaasametnikke.

Kokkuvõttes: selle õngitsuse puhul seisneb oht asjaolus, et kasumit taotlev erafirma jätab oma olemusest täiesti vale mulje – esineb justkui asutusena – ning selle varjus korjab kokku isikuandmeid, mille kasutustingimuste kohta puudub lähem info. Võimalik, et nende andmetega teenitakse raha, võimalik, et soodustatakse mingeid taunitavaid tegevusi (rämpspost vms).

12. jaanuaril 2015 levima hakanud kirjad

Eilsete kirjade teemareale on märgitud “Oma aktsiate noteerimist ELGO”, mis on eesti keeles selge mõttetus. On näha, et keegi eestlane on kunagi ELGO õngitsusteksti kvaliteetsesse eesti keelde tõlkinud, kuid pisiparanduste tegemiseks kasutab firma Google’i tõlkurit, mis nii erilise keele puhul, kui eesti keel teeb olulisi vigu.

Kirja sees on esitatud link, mis viib küll lõpuks elgo.ee lehele, kuid teeb seda variorganisatsiooni kaudu (wrcis*.com). Oht seisneb selles, et säärase ümbersuunamise käigus saab kasutaja brauseris käivitada erinevat koodi, mõõta ja seostada kasutaja identiteeti (näiteks CANVAS tracking meetodiga http://www.propublica.org/article/meet-the-online-tracking-device-that-is-virtually-impossible-to-block) mõnel teisel moel (FB, Google) eelnevalt kogutud andmetega. Tavakasutaja jaoks on säärased ümbersuunamised üliohtlikud, rääkimata sellest, et ei-tea-kust saadud e-kirja linke ei tohiks kunagi klikkida.

Täiendav oht on see, et kui inimene valib endale uue parooli, mis langeb kokku tema mõne olemasoleva parooliga, kergendab ta oma identiteedi ülevõtmist teistes saitides (Facebookis, tööl, mujal).

Soovitused:

  • Soovitame tungivalt: jäta elgo.eu veebisait külastamata ja isikuandmed sinna sisestamata.
  • Ole õngitsus- ja viiruskirjade suhtes jätkuvalt üliettevaatlik. Neid saabub pidevalt.
  • Ära kunagi ava e-kirja manuseid, kui pole eelnevat kokkulepet, et keegi need saadab.
  • Arvesta, et isegi viirustõrje ei suuda Sind 100% kaitsta.
  • Enne klikkimist mõtle!
  • Ära sisesta isikuandmeid ega ametialast infot mingitesse võõrastesse veebivormidesse.
  • Alati kui kahtled, kutsu IT-spetsialist, keerulisemate juhtumite puhul teavita CERT-EEd või Andmekaitse Inspektsiooni.

Ära mine õnge

“We just sent you a message with important information”, “You have 3 missed emails” või lihtsalt “Tere” – sellise teemaga kirju on viimase kuu aja jooksul saanud paljud Gmaili kasutajad. Kirjas sisaldunud lingil klikkides avati pealtnäha Google’i sisselogimisleht.

Screen Shot 2015-01-12 at 14.36.34

Screen Shot 2015-01-12 at 14.38.18

Screen Shot 2015-01-12 at 14.34.21

Stopp! Neid kirju ei saatnud Google ega Gmail ning neile ei tohiks reageerida, rääkimata ohtlikul lingil klikkimisest või klikkides avanenud Google login-aknaga äravahetamiseni sarnasel veebilehel andmete sisestamisest. Tegemist on õngitsuskirjadega, mida saadavad laiali kurjategijad Google kontode hõivamiseks, et rämpsposti saata, pahavara levitada, raha välja petta või juba järgmiste ohvrite andmeid õngitseda.

Kirja võltsimisest arusaamiseks piisab tihti vaid kirja saatja meiliaadressile pilgu heitmisest. Kahtluse korral tuleks avada kirja paremas nurgas olevast rippmenüüst Näita algset, IPhone’is või IPad’is klikkida kirja saatja nime taga oleval noolekesel, Android seadmes saatja nime all Kuva üksikasjad vms ning uurida seal kuvatavat infot. Google’i saadetud kiri peaks saabuma aadressilt, mis lõppeb google.com-iga (näiteks noreply@google.com).

Kirjas sisalduvad lingid on tavaliselt peidetud “aktiivsete” sõnade taha (sinised, allajoonitud vms). Paremat hiirenuppu aktiivsete sõnade kohal klõpsides avaneb menüü, mille abil saab linkide kohta lähemat infot. Seejuures tuleks olla väga ettevaatlik, et kahtlast linki veebilehitsejas kogemata ei avataks. Lingi kopeerimine (mitte veebilehitsejasse!) ajutiselt kasvõi mõnda tekstifaili on üks turvalistest valikutest.

Vahel tuleb ju ikkagi Google’sse sisse logida. Mida siis tähele panna? Google’isse sisselogimisel tuleb kontrollida infot, mida kuvatakse veebilehitseja aadressreal – seal peaks olema kirjas accounts.google.com ning aadressi ees tabalukk ja https. Siis on suure tõenäosusega tegemist õige kohaga.

Kui siiski juhtus, et sisestasid oma Google’i kasutajanime ja parooli sinna, kuhu poleks pidanud – vaheta parool ja rakenda kaheastmeline kinnitamine sisselogimisel. Kui su Google’i konto on kurjategijate poolt üle võetud, loe juhiseid eelmisest blogipostitusest.

Eesti keel meid enam ei kaitse

Viimastel nädalatel on sagenenud teated e-kirjadest, milles reisil viibiv sõber, sugulane või lihtsalt tuttav kurdab, et tema pass ja krediitkaart on varastatud ning palub saata raha lennupiletite ja hotelli eest tasumiseks. Asja uurimisel on selgunud, et kirja saatnud inimesega on kõik korras ning sellist kirja tema läkitanud pole: pahaaimamatult rahamangujaks sattunud inimese meilikonto on kaaperdatud.

Praegu levivate petukirjade tunnused võivad olla järgmised:

  • kiri on saadetud Gmaili aadressilt,
  • sõnum on kirjutatud küllaltki soravas eesti keeles,
  • kirjale vastamiseks (reply-to) on ülevõetud konto omaniku meiliaadressi järgi loodud Yahoo või Outlook vm võlts-aadress, seda ilmselt juhuks, kui omanik peaks oma konto operatsiooni käigus “tagasi võtma”,
  • sündmuse asukoht, küsitav summa ja rahaedastamisteenuse nimi varieeruvad.
Näidiskirja kuvatõmmis

Näidiskirja kuvatõmmis

Mida peaks tegema ülevõetud Google’i konto omanik?

Näpunäited konto taastamiseks leiab https://support.google.com/mail/answer/185710?hl=et. Kindlasti tuleks juhtumist informeerida politseid, sest ei või iial teada, millised pahategusid ülevõetud meilikonto abil toime pannakse. Samuti on iga infokild abiks uurimisel. Politseid saab teavitada ka elektrooniliselt, vt https://www.politsei.ee/et/teenused/politseile-avalduse-esitamine.dot.

Isegi kui said oma meilikonto tagasi, võib see olla seadistatud nii, et sinu Gmaili kirjadele saadetud vastused jõuavad endiselt hoopis Yahoo või mõnes muus meiliteenuses loodud liba-aadressile. Peale selle võib postkast olla seadistatud nii, et kõik postkasti saabuvad kirjad edastatakse samuti kurjategijale.

Kuidas seda muuta:

  • Leia Gmaili aknas paremal nurgast kirjade kohalt hammasratta moodi nupp. Sellele klikkides avaneb rippmenüü, kus klõpsa lahti Seaded.
  • Vali leht Kontod ja importimine.
  • Leia rida: Saada kiri kui (sinu meiliaadress). Selle rea all on tõenäoliselt kirjas: Vastuse aadress: (sinunimi)@yahoo.ee või muu tundmatu aadress.
  • Rea lõpus kliki Muuda andmeid. Avaneb uus aken. Kustuta ära soovimatu aadress ning salvesta muudatused.
  • Vali leht Edastamine ja POP/IMAP
  • Valige jaotises „Edastamine” käsk Keela edastamine.
  • Klõpsake käsu „Edasta sissetuleva meili koopia aadressile” järel oleval esimesel rippmenüül ja vaadake, kas mõni aadress on märkega „(filtri kasutuses)”. Edastusfiltri keelamiseks valige käsk Eemalda.
  • Salvesta muudatused.

Võib juhtuda, et tagasisaadud e-postkast suhtleb kasutajaga hoopis mingis võõras keeles. Senine kogemus näitab, et keeleprobleemist lõplikuks vabanemiseks võib osutuda vajalikuks kontrollida ja uuesti seadistada keelevalikud nii Google konto, Gmaili kui ka veebilehitseja (kui see on Google Chrome) seadetes. Tundmatus keeles kuvatud menüüdes ekslemine muutub märkimisväärselt lihtsamaks, kui appi tuleb sõber, kes oma seadmes paralleelselt sama rada käib. Võõrast menüüst aru saada aitab ka Google’i tõlge. NB! Võõrkeelne menüü võib olla peegelpildis.

Kui pärast konto üle kontrolli taastamist selgub, et postkastist on kirjad kustutatud, tasub igal juhul pöörduda Google’i poole palvega uurida, kas kirju on võimalik taastada. Vorm asub aadressil https://support.google.com/mail/contact/bugs?hl=et. Mitme kasutaja kogemus on positiivne – postkasti sisu taastati kiiresti.

Kui sinu postkasti jõudis sarnane kiri

Ülimalt suure tõenäosusega on tegemist pettusega. Ära vasta kirjale. Igaks juhuks võid kirja saatnud inimesega võtta ühendust telefoni teel, võib-olla pole ta veel kuulnud, et tema kontosse on sisse murtud. Võid vaadata ka kirja saatja suhtlusvõrgustiku kontot – mõned inimesed on oma konto kaaperdamisest seal teada andnud.

Kui oled väidetavale varguse ohvrile siiski raha saatnud, pöördu politseisse. Uurimise tarbeks hoia alles kirjad, mida vahetasid kurjategija(te)ga.

Kuidas ennast selliste juhtumite eest kaitsta?

Kindlasti peaks Google’i konto seadetes https://myaccount.google.com/ olema kirjas taastamise e-posti-aadress, telefoninumber ning salaküsimus. Sealtsamast saab tutvuda ka hiljutiste toimingutega oma kontol.

Google pakub konto ülevõtmise kaitseks kaheastmelist kinnitamist sisselogimisel – nii parooli kui ka telefoniga. Täpsemalt saab Google kaheastmelise kinnitamise kohta eesti keeles lugeda aadressilt https://www.google.com/intl/et/landing/2step/.

Kui oled oma meilikonto pärast mures, saad Gmaili teenuses kiiresti infot viimase tegevuse kohta, kui klõpsad ekraani paremas allnurgas oleval lingil “Üksikasjad”.

Seal on võimalik tutvuda juurdepääsuks kasutatud rakenduste, asukohtade (IP-aadresside), kuupäevade ja kellaaegadega. Kui näed selles nimekirjas kahtlasi juurdepääse, näiteks välismaalt, oleks soovitatav Google’i parool ära vahetada. Veendu, et sisselülitatud märguande eelistus on “Ebahariliku tegevuse korral hoiatuse kuvamine”.

Google teavitusi ja hoiatusi turvalisusega seotud sündmuste kohta (nt parooli vahetamine või taastamisvõimaluste lisamine) viimase 28 päeva jooksul saab vaadata https://security.google.com/settings/security/notifications.

Mõistliku internetikasutamise põhimõtted:

  • operatsioonisüsteemi ja veebilehitseja tarkvara uuendamine toimugu automaatselt;
  • ära tarvita arvutit ilma ajakohase viirusetõrjeta;
  • salasõnast on kasu, kui see on pikk, mitmekesine ja kordumatu;
  • hästi jääb meelde mõnest fraasist tuletatud parool;
  • salasõnade ristkasutus on kurjast, vähemalt oluliste teenuste paroolid peaksid olema unikaalsed;
  • keela hüpikaknad;
  • tarkvara laadi alla vaid usaldusväärsest allikast;
  • ära ava kahtlaste e-kirjade manuseid;
  • kui imeliku e-kirja saatja on tuttav, helista ja kontrolli, kas kiri tuli tõesti temalt;
  • ole klikkimisel säästlik;
  • turvalise ühenduse eeldamisel jälgi tabaluku olemasolu, kahtluse korral kontrolli saidi sertifikaati.

Varunda regulaarselt oma andmeid. Võib juhtuda, et isegi kui (meili)konto õnnestub tagasi saada, ei pruugi andmete taastamine õnnestuda. See on aga raha väljapetmise kõrval suurim ja võimalik, et korvamatu kahju.

andmete allalaadimise leht

Kuvatõmmis andmete allalaadimise lehest