Mikä on toimitusjohtajahuijaus?

Toimitusjohtajahuijauksessa – tai pomohuijauksessa – rikollinen esiintyy yrityksessä johtavassa asemassa olevana henkilönä ja pyytää työntekijää tekemään jonkin toimenpiteen hänen puolestaan. Pyyntö voi liittyä esimerkiksi laskun maksamiseen tai tilisiirron tekemiseen.

Rikollisen tarkoituksena on saada rahaa liikkeelle. Verkkorikollinen luottaa siihen, että alainen tottelee pomon pyyntöjä, etenkin jos pyyntö tulee toimitusjohtajalta, talousjohtajalta tms. korkeassa asemassa olevalta henkilöltä.

Toimitusjohtajahuijauksiin liittyy usein seuraavia asioita:

  • Pomo edellyttää sinulta nopeaa rahansiirtoa tai laskun maksua.
  • Pyyntö saapuu sähköpostilla, pomon nimissä.
  • Pomo vaatii, että asiaa käsitellään luottamuksellisena.
  • Pomo ei voi antaa lisätietoja, hän vetoaa omaan kiireeseen.

Tiedän tapauksen, jossa yksi firman ”talousjohtaja” pyysi yhtäkkiä työntekijää tekemään 73000e ulkomaan tilisiirron. Saman firman ”toimitusjohtajalle” olisi onneksi riittänyt ihan vain 50e lahjakortti Steam-pelipalveluun. Kohtuus kaikessa! 😉

Esimerkki toimitusjohtajahuijauksesta

Ohessa on todelliseen tapaukseen perustuva esimerkki toimitusjohtajahuijauksesta.

esimerkki toimitusjohtajahuijauksesta

Kuvan huijauksessa rikollinen yrittää olla tuttavallinen ja herättää luottamusta. Lähettäjän nimi vaikuttaa tutulta ja viestissä puhutellaan juuri sinua. Rikollinen aloittaa viestinnän helpolla kysymyksellä ja yrittää näin muodostaa keskusteluyhteyttä kanssasi. Jos vastaat tähän jotain, niin todennäköisesti seuraavissa viesteissä rikollinen kertoo, paljonko euroja tarvitaan.

Sähköpostiosoitetta ei ole väärennetty, se paljastaa huijarin. Viestissä oleva linkki saattaa myös viedä haitalliselle sivustolle.

Näin suojaudut toimitusjohtajahuijauksilta

Huomioi alla olevat asiat, etenkin loma-aikoina:

  • Suhtaudu tilisiirtoihin ja laskuihin liittyviin pyyntöihin erityisellä huolellisuudella.
  • Odotatko laskua? Kerro tämä etukäteen varahenkilöllesi.
  • Unohda kiire, vaikka laskun väitetään olevan myöhässä.
  • Keskustele tiimin kesken, mitä asioita toimitusjohtaja tai muu esihenkilö ei pyydä sähköpostilla.
  • Muista arjen tietoturva: ole tarkkana liitteiden ja linkkien kanssa.
  • Soita työkaverille varmistuspuhelu, jos jokin hänen pyyntönsä epäilyttää.
  • Noudata organisaatiossa sovittua tapaa laskujen vastaanottamisesta ja maksamisesta.
  • Ota yhteyttä organisaatiosi IT-asiantuntijaan, jos saat epäilyttäviä viestejä.

Muista: Kiireeseen vetoaminen ja yksittäisen henkilön painostus ovat merkittäviä tekijöitä toimitusjohtajahuijausten onnistumisessa!

Muutto on mahdollisuus – sössiä tietoturva

Paikallisella firmalla on muutto kesken – ollut jo muutaman kuukauden. Ohessa havaintoja (case 1). Perässä myös pari muuta tapausta tosielämästä.

Case 1: Muutto kesken

Osa asiakastiedoista säilytetään perinteisesti mapeissa ja mapit on nimetty asiakkaittain. Mapit on sijoitettu siististi muuttolaatikoihin. Laatikko on sen verran lähellä ikkunaa, että asiakkaat on helposti tunnistettavissa.

Työpöytä on myös ikkunapaikalla, tottakai. Siinä on (helposti varastettava) läppäri ja työstettävät paperit siistissä järjestyksessä. Näyttöä voi katsella kadulta.

Vaikka papereista ja asiakastiedoista ei mitään luottamuksellista löytyisikään, niin ei tämä toimintamalli ainakaan luotettavuutta lisää. Entäs varmuuskopiot, jos paperit ja läppäri lähtee? Laittaisi nyt vaikka jonkun näkösuojan papereiden ja laatikon päälle. Ja läppärin piiloon.

Muista puhtaan pöydän periaate.

Case 2: Paperiton toimisto

Muutto on hyvä mahdollisuus digitalisoida toimintaa. Kaikki turhat paperit kiertoon. Itsekin olen pari kertaa istunut silppurin vieressä ja pohtinut, mahtuisiko vielä viideskin paperi samalla kerralla silppuriin.

Aina paperishow ei mene yhtä putkeen. Joskus papereita saa jahdata pihalla tuulessa ja sateessa. Tietoturvaa edistävää taukoliikuntaa!

Case 3: Tarkista mihin muutat

Kerran erään yrityksen IT-asiantuntija pohti, missä mahtaa olla toimistotilan datakaappi. Se, mihin perinteiset nettijohdot kytketään. Ilmeni, että kaappi oli toimistotilan ulkopuolella olevalla käytävällä. Samassa kaapissa oli myös toisen toimiston verkkopistokkeet. Käytännössä kuka tahansa rakennuksessa vieraileva henkilö olisi voinut kytkeä itsensä näiden toimistojen tietoverkkoon.

Toimitilojen tietoturvaohjeesta (VAHTI 2/2013) saa hyviä vinkkejä toimiston fyysiseen tietoturvallisuuteen

Muutto on erikoistilanne, joka mittaa yrityksen tietoturvakulttuuria.

Miksi Log4shell-tietoturvaongelma on niin vaarallinen?

Log4j-järjestelmästä löydettiin vaarallinen tietoturvaongelma eli haavoittuvuus joulukuussa 2021. Mikä tekee tästä Log4shell-haavoittuvuudesta niin vaarallisen? Alla on kuvattu ongelmaa eri näkökulmista. Kirjoitin myös aikaisemmin, mistä Log4j-tietoturvaongelmassa on kyse.

Tilanteen ymmärtämisen vaikeus

”Vaikuttaako Log4shell-tietoturvaongelma meihin?” taisi olla yleisimpiä kysymyksiä organisaatioissa, kun tieto haavoittuvuudesta julkaistiin. Ei muuta kuin kyselemään IT-asiantuntijoilta ja palveluntarjoajilta.

Vastauksen löytäminen ei kuitenkaan ole ihan yksinkertaisin asia. Log4j on yksittäinen taustajärjestelmän osa, komponentti, jonka olemassaolosta ei välttämättä ole edes tietoa. Vaikka Log4j ei olisikaan otettu suoraan käyttöön ”asenna Log4j” -tyyppisesti, niin se saattaa silti asentua jonkin toisen ohjelman kylkiäisenä. Kannattaa tutustua Googlen mielenkiintoiseen selvitykseen aiheesta.

Laaja levinneisyys

Log4j on yleisesti ja laajasti käytössä ympäri maailmaa. Laajaa levinneisyyttä kuvaa hyvin se, että netissä on julkaistu erilaisia listoja, joista löytyy tietoja, onko jokin tietty sovellus altis tietoturvaongelmalle. Pari listaa on saatavilla esim. tästä Kyberturvallisuuskeskuksen haavoittuvuustiedotteesta.

Asennuksia löytyy myös muualta, kuin perinteisistä nettipalveluista. Esimerkiksi Trendmicro on tutkinut Log4shell-haavoittuvuuden vaikutuksia autoihin asennetuissa järjestelmissä ja latausasemissa.

Helppo löydettävyys

Kuka tahansa voi etsiä haavoittuvia Log4j-asennuksia internetistä. Haavoittuvuuden etsiminen ei edellytä esim. käyttäjätunnuksia palveluun. Esimerkiksi Microsoft on havainnut, että rikolliset hyödyntävät mm. olemassa olevia botnet-verkkojaan löytääkseen haavoittuvia Log4j-asennuksia internetistä.

Toiminnan automatisointi

Haavoittuvien palveluiden etsiminen ja niihin hyökkääminen voidaan automatisoida. Tämän takia esimerkiksi pienemmät firmat eivät voi ajatella, että he eivät ole rikollisten kiinnostuksen kohde. Automaattista hyökkäystyökalua ei kiinnosta, onko uhrina iso vai pieni organisaatio.

Vaadittava nopeus

Tietoturvaongelma ja todiste toimivasta hyökkäyskoodista tuotiin julkisuuteen yhtä aikaa (lähde Lunasec). Kyseessä on siis niin sanottu nollapäivähaavoittuvuus. Kun tämä yhdistetään helppoon löydettävyyteen ja automatisointiin, on kaaoksen ainekset kasassa. Suojaukset ja korjaukset on kehitettävä ja otettava käyttöön nopeammin, kuin rikolliset ehtivät tilaisuutta hyödyntämään.

Monipuoliset haittavaikutukset

Log4shell-haavoittuvuuden avulla hyökkääjä voi ajaa itse valitsemiaan hyökkäyskomentoja kohteessa. Näin hyökkääjä voi esim. ohittaa suojauksia ja saada pääsyn muihin järjestelmiin. Hyvä yleiskuvaus vaikutuksista löytyy Kyberturvallisuuskeskuksen haavoittuvuustiedotteesta.

Haastavat jälkiselvitykset

Jos organisaatiosta löytyy järjestelmiä, jotka ovat alttiita Log4shell-ongelmalle, tulisi näille järjestelmille tehdä tietomurtotutkinta. Tutkinnan tarkoituksena on selvittää, onko haavoittuvuutta ehditty käyttää hyväksi. Ja jos on, niin miten? Tietomurtotutkinta on vaativaa asiantuntijatyötä. Lisäksi pitää arvioida riskit henkilötiedoille.

Log4shell-haavoittuvuudessa yhdistyy monta eri tekijää, jotka muodostavat yhdessä vaarallisen kokonaisuuden.

Log4j-tietoturvaongelma – tästä on kyse

Log4j-järjestelmään liittyvä tietoturva-aukko on poikkeuksellisen vaarallinen. Ongelman korjaaminen on aiheuttanut valtavaa liikehdintää eri organisaatioissa ympäri maailmaa. Lue alta, mistä tässä ongelmassa on kyse.

Mikä on Log4j?

Log4j on nettipalvelun taustajärjestelmän osa, joka vastaa nettipalvelun lokitietojen käsittelystä. Lokitietoa muodostuu aina, kun käytät nettipalvelua. Lokitieto kertoo palvelun ylläpitäjälle, miten palvelu toimii ja miten palvelua on käytetty. Esim. mitä sivuja on avattu (kts. kuvio alta). Lokeihin kirjautuu myös palveluun liittyvät virhetilanteet yms. tekniset asiat.

Miksi tämä tietoturva-aukko on vaarallinen?

Tietoturva-aukon sisältävä lokijärjestelmä on laajasti käytössä ympäri maailmaa. Tietoturva-aukkoon on mahdollista hyökätä yksinkertaisella keinolla, mistä päin internetiä tahansa. Valitettavasti keinot ja esimerkki hyökkäyksen toteuttamisesta on myös julkaistu internetissä. Jos rikollinen onnistuu hyökkäyksessään, hänellä on laaja pääsy kohdejärjestelmään.

Pitääkö nyt tehdä jotain?

Yksittäinen kansalainen ei voi tehdä Log4j-ongelmalle mitään. Sen sijaan suurin vastuu on nyt IT-järjestelmien tekijöillä ja IT-palveluiden ylläpitäjillä. Järjestelmiin on tehtävä korjauksia. Kun järjestelmien tietoturvapäivitykset tulevat saataville, on kaikkien asennettava ne viipymättä.

On arvioitu, että Log4j-ongelman ongelman selvittely ja korjaaminen tulee jatkumaan pitkään maailmalla. Ongelman todelliset vaikutukset tulee näkymään vasta myöhemmin.

Miten Log4j tietoturva-aukkoon hyökätään?

Oheisessa kuviossa on esitetty esimerkinomaisesti, miten Log4j tietoturva-aukkoon hyökätään.

Log4 esimerkki

Verkkopalvelun vierailijat käyttävät palvelua normaalisti, ja siitä tallentuu merkintöjä lokijärjestelmään. Järjestelmässä oleva tietoturva-aukko mahdollistaa kuitenkin sen, että tietyllä tavalla muotoillut haittakoodit latautuvat lokijärjestelmään virheellisesti. Rikollinen syöttää haittakoodin mukana tiedon siitä, missä rikollisen hyökkäyspalvelin sijaitsee. Lokijärjestelmä käsittelee tiedon virheellisesti, ja merkinnän sijaan avaakin yhteyden rikollisen hyökkäyspalvelimelle. Sitä kautta rikollinen saa etäyhteyden verkkopalvelun taustajärjestelmään ja voi näin asentaa esimerkiksi haittaohjelmia verkkopalveluun.

Lisätietoja esim. Kyberturvallisuuskeskuksen nettisivuilta.

Vasara avuksi riskienhallintaan

Nurkissa pyöri muutama vanha kiintolevy, joille piti löytää uusi osoite. Eikun DBAN-sovellus pyörimään ja levyt täyteen random-dataa.

Kiintolevyn tiedostot tulee poistaa kunnolla, kun levy on lähdössä uudelle omistajalle tai kierrätykseen. Pelkkä käyttöjärjestelmän Poista-komento ei riitä.

Tiedoston poistaminen ei siis poista tiedostoa!

Ylen loistavassa Team Whack -hakkerisarjassa näytetään, mitä tietoa levyiltä on palautettavissa. Tavallisesti poistettujen tiedostojen palauttaminen on myös kotioloissa melko yksinkertaista.

Palautustoimenpiteitä vastaan voidaan suojautua usealla tavalla. Yritysmaailmaan vinkkejä voi ottaa esimerkiksi Kyberturvallisuuskeskuksen ohjeesta ”Kiintolevyjen elinkaaren hallinta – Ylikirjoitus ja uusiokäyttö

Yksi kiintolevyistäni oli sen verran huonossa kunnossa, että ylikirjoitus ei onnistunut luotettavasti. Riskinä oli, että tiedostot voidaan palauttaa kotikonstein. Tämän takia edellä mainittua kirjainyhdistelmää piti hieman soveltaa:

Drill, Bang and Neutralize.

kiintolevyn tuhoaminen

Riskiarvio oikaistiin vasaralla.