15 syys Liikkeellä jälleen huijausyrityksiä ja tunnusten kalastelua

Microsoftin nimissä on viime aikoina lähestytty käyttäjiä suomenkielisillä tukipuheluilla. Näissä puheluissa Microsoftin asiakastukena esiintyvä henkilö väittää käyttäjän laitteen tietoturvan vaarantuneen ja pyrkii tämän väittämän avulla asentamaan käyttäjän laitteelle etähallintaohjelman. Tällaisia suomenkielisiä puheluita on kohdistettu viime aikoina etenkin yritysten johtotehtävissä työskenteleville. 

Tällä hetkellä myös käyttäjätunnuksia ja salasanoja kalastellaan eri tahojen nimissä. Etenkin Apple-ID -tunnuksiin kohdistettu kalastelu on ollut aktiivista. Lisäksi käyttäjiä on lähestytty mm. ulkomaisten pankkien, Netflixin, Postin ja Keskon nimissä, niin sähköpostiviesteillä kuin tekstiviesteillä. 

Kirjoitimme aikaisemmin blogissa henkilökunnan kannalta tärkeistä keinoista ja huomioista tietojenkalastelua ja haittaohjelmia vastaan. Tässä nuo asiat vielä tiivistettynä: 

• Käyttäjien tulee olla  tietoisia erilaisista tietojenkalastelu- ja huijausyritystavoista, jotta he osaavat olla varuillaan ja epäillä viestien ja puheluiden sisältöjen luotettavuutta ja aitoutta.  
• Käyttäjien tulee  olla  varmoja lähettäjien, soittajien ja sisältöjen luotettavuudesta. Epäilyksiä tulee herätä etenkin, jos sisältöihin liittyy toimintapyyntöjä tai -yrityksiä (esimerkiksi “avaa linkki”, “lataa tiedosto, “kirjaudu tästä”, “kirjoita salasana”, tms.). Käyttäjien ei tule koskaan tehdä mitään toimia, ellei ole täysin varma yhteydenottajasta ja tiedon luotettavuudesta.  
• Käyttäjien tulee varmistaa epäselvissä tai epävarmoissa tilanteissa kysymällä eri kanavia pitkin, onko yhteydenottaja oikeasti lähettänyt viestin tai soittanut, jotta he voivat varmistua yhteydenottajan ja sisällön luotettavuudesta. 
• Käyttäjien tulee ottaa yhteyttä, mahdollisimman matalalla kynnyksellä, oman yrityksen tai organisaation IT-toiminnoista vastaavaan tahoon ja varmistaa heidän avullansa viestien ja puheluiden aitous ja luotettavuus. 
• Käyttäjien ei tule koskaan kysyttäessä kertoa tai kirjoittaa omia käyttäjätunnuksia ja salasanoja mihinkään, ellei ole täysin varma siitä, mitä on tekemässä. Esimerkiksi kirjautuminen pilvipalveluihin (Microsoft Office 365 ja Google G Suite) tapahtuu aina virallisilta ja tutuilta kirjautumissivuilta. Näihin palveluihin ei tule koskaan kirjautua sähköpostissa tai tekstiviestissä lähetetyn linkin tai puhelimessa kerrotun nettiosoitteen kautta. 
• Käyttäjätunnusten tai salasanojen joutuessa vääriin käsiin tai käyttäjän sitä epäillessä tulee käyttäjän välittömästi ottaa yhteyttä oman yrityksen tai organisaation IT-toiminnoista vastaavaan tahoon.