Tietojenkalastelu, kohdennettu tietojenkalastelu ja whaling

Sähköposti on edelleen yleisin alkuperäinen pääsyväylä kyberhyökkäyksissä. Phishing hyödyntää ihmisen psykologiaa — luo kiireen, auktoriteetin tai pelon tunnetta — huijatakseen vastaanottajan napsauttamaan haitallista linkkiä, avaamaan saastuneen liitteen tai luovuttamaan tunnistetietonsa. Toisin kuin tekniset haavoittuvuudet, jotka voidaan korjata päivityksellä, ihmisen alttiutta sosiaaliselle painostukselle ei voida poistaa ohjelmistopäivityksellä. Security+ -kokeeseen valmistautuvien on ymmärrettävä phishing-hyökkäysten koko kirjo miljooniin satunnaisiin vastaanottajiin kohdistuvista massakampanjoista yksittäiselle henkilölle laadittuihin erittäin kohdennettuihin viesteihin.

Massaphishing (tai bulk phishing) lähettää saman haitallisen sähköpostin samanaikaisesti tuhansiin tai miljooniin osoitteisiin ja luottaa kohteiden valtavaan määrään saavuttaakseen pienen onnistumisprosentin. Yleisiä houkuttimia ovat väärennetyt pankkihälytykset, pakettien toimitusilmoitukset, salasanan vanhentumisvaroitukset ja veronpalautustarjoukset. Sähköpostit ovat yleisluontoisia — hyökkääjä ei tunne vastaanottajia henkilökohtaisesti. Alhaisesta kehittyneisyydestä huolimatta massaphishing-kampanjat aiheuttavat maailmanlaajuisesti valtavan määrän uhreja ja vastaavat suurimmasta osasta tunnistetietojen varastamistapauksia.

Spear phishing on phishingin kohdennettu muoto, jossa hyökkääjä mukauttaa viestin tietylle henkilölle tai pienelle ryhmälle. Hyökkääjät tutkivat kohteitaan LinkedInissä, sosiaalisessa mediassa, yritysten verkkosivustoilla ja tietomurtotietokannoissa laatiakseen uskottavia viestejä, joissa viitataan oikeisiin nimiin, tehtävänimikkeisiin, projekteihin tai työtovereihin. Spear phishing -sähköposti voi näyttää tulevan kohteen esimieheltä, joka pyytää kiireellistä hyväksyntää tilisiirrolle, tai henkilöstöhallinnolta, ja sen liitteenä voi olla ”etuuspäivitys”. Henkilökohtaistaminen parantaa onnistumisprosenttia huomattavasti yleisluontoiseen phishingiin verrattuna.

Whaling on spear phishing -hyökkäys, joka kohdistetaan erityisesti arvokkaisiin henkilöihin — toimitusjohtajiin, talousjohtajiin, hallituksen jäseniin ja muihin ylimmän johdon edustajiin. Näillä kohteilla on valtuudet hyväksyä suuria rahansiirtoja, käyttää arkaluonteisia tietoja ja ohittaa tietoturvakäytäntöjä. Onnistunut whaling-hyökkäys voi huijata talousjohtajan hyväksymään useiden miljoonien dollarien tilisiirron hyökkääjän hallinnoimalle tilille. Tätä kutsutaan nimellä Business Email Compromise (BEC). FBI arvioi BEC-hyökkäysten aiheuttamien tappioiden ylittävän 3 miljardia dollaria vuodessa. Johtajia kohdennetaan myös heidän pääsynsä vuoksi immateriaalioikeuksiin, yritysosto- ja fuusiotietoihin sekä strategisiin suunnitelmiin.

Angler phishing kohdistuu sosiaalisen median käyttäjiin: hyökkääjät luovat suurille tuotemerkeille väärennettyjä asiakaspalvelutilejä ja vastaavat valituksia julkaiseville käyttäjille houkutellen heidät väärennetyille kirjautumissivuille. Clone phishing kopioi aidon sähköpostin (esimerkiksi äskettäisen laskun tai uutiskirjeen), korvaa linkit tai liitteet haitallisilla versioilla ja lähettää viestin uudelleen väärennetystä osoitteesta väittäen sen olevan korjattu versio. Clone phishing on erityisen tehokas, koska vastaanottaja tunnistaa sähköpostin muodon ja lähettäjän, mikä vähentää epäilyksiä huomattavasti.

Pharming ohjaa uhrit haitallisille verkkosivustoille ilman, että heidän tarvitsee napsauttaa phishing-linkkiä. Tämä toteutetaan yleensä DNS-välimuistin myrkytyksellä (väärennettyjen DNS-tietueiden syöttämisellä nimipalvelimeen niin, että aito verkkotunnus ohjautuu hyökkääjän palvelimelle) tai muokkaamalla uhrin paikallista hosts-tiedostoa. Toisin kuin phishing, joka edellyttää uhrilta toimintaa, pharming toimii, vaikka käyttäjä kirjoittaisi oikean URL-osoitteen suoraan selaimeensa. DNSSEC ja HTTPS-varmenteen tarkistaminen ovat ensisijaiset tekniset suojauskeinot.

Yksi tärkeimmistä phishingiin liittyvistä taidoista on URL-osoitteiden analysointi väärentämistekniikoiden tunnistamiseksi. Hyökkääjät käyttävät useita menetelmiä: typosquatting (paypa1.com, g00gle.com), aliverkkotunnuskikat (paypal.com.attacker.com — todellinen verkkotunnus on attacker.com), todellisen kohteen piilottavia URL-lyhentimiä sekä homografihyökkäyksiä, joissa käytetään ASCII-merkkejä muistuttavia Unicode-merkkejä (xn--pple-43d.com käyttää kyrillistä а-kirjainta apple.com-sivuston väärentämiseen). Tietoturva-ammattilaisten tulee aina pitää hiiren osoitinta linkin päällä ennen napsauttamista ja käyttää URL-analyysityökaluja lyhennettyjen URL-osoitteiden turvalliseen laajentamiseen.

Käyttäjien kouluttaminen tunnistamaan phishing edellyttää tiettyjen varoitusmerkkien opettamista. Tarkistakaa seuraavat: lähettäjän osoite (vastaako näyttönimi todellista sähköpostin verkkotunnusta?), sähköpostin otsaketiedot (eroaako Return-Path tai Reply-To From-osoitteesta?), nopeaan toimintaan painostava kiireellinen tai uhkaava kielenkäyttö, pyytämättä lähetetyt liitteet tai odottamattomat salasanan palautuspyynnöt sekä linkit, jotka eivät vastaa ilmoitettua kohdetta. Yhden varoitusmerkin pitäisi herättää epäilyksiä; useat merkit yhdessä viittaavat vahvasti phishingiin. Organisaatioiden tulee määrittää selkeä menettely epäilyttävistä sähköposteista ilmoittamiseen.

Monet phishing-kampanjat ohjaavat uhrit väärennetyille kirjautumissivuille, jotka näyttävät identtisiltä aitojen verkkosivustojen kanssa. Hyökkääjät kloonaavat oikeiden sivustojen HTML/CSS-rakenteen ja isännöivät sitä samankaltaisissa verkkotunnuksissa tai vaarantuneilla verkkosivustoilla. Nykyaikaiset evilginx2- ja Modlishka-työkalut toimivat käänteisinä välityspalvelimina: ne välittävät uhrin aidolle sivustolle ja sieppaavat samalla istuntotunnisteet reaaliajassa, jolloin jopa MFA voidaan ohittaa. Käyttäjien kannattaa etsiä riippulukon kuvaketta (HTTPS), mutta muistaa, että HTTPS vahvistaa vain yhteyden salauksen, ei sivuston aitoutta. Certificate Transparency -lokit paljastavat samankaltaisia verkkotunnuksia käyttävät phishing-sivustot.

Haitalliset liitetiedostot toimittavat haittaohjelman suoraan uhrin päätelaitteelle. Yleisiä muotoja ovat makroja sisältävät Office-asiakirjat (.docm, .xlsm), jotka suorittavat VBA-komentosarjoja, kun käyttäjä ottaa makrot käyttöön, PDF-tiedostot, joissa on upotettua JavaScript-koodia tai linkkejä, ISO/IMG-levykuvat (joilla voidaan ohittaa Windowsin Mark of the Web -suojaukset) sekä pakatuista arkistoista (.zip, .rar) löytyvät suoritettavat tiedostot, joiden tiedostopääte on vaihdettu harhaanjohtavaksi. Organisaatioiden tulisi poistaa Office-makrot käytöstä oletusarvoisesti ryhmäkäytännön avulla ja määrittää sähköpostiyhdyskäytävät estämään suuren riskin tiedostotyypit.

Johtajien suojaaminen valaanpyyntihyökkäyksiltä edellyttää teknisten ja prosessiin liittyvien kontrollien yhdistelmää. Teknisesti on otettava DMARC käyttöön väärennettyjen, organisaation verkkotunnuksesta lähetetyiksi väitettyjen sähköpostien hylkäämiseksi, määritettävä sähköpostiyhdyskäytävä lisäämään ulkoisiin sähköposteihin varoitusbannerit sekä otettava johtajille käyttöön tietojenkalastelun kestävää MFA:ta (FIDO2). Prosessien osalta on luotava kaistan ulkopuoliset varmennusmenettelyt: pyynnön esittäjälle soitetaan suoraan tunnettuun puhelinnumeroon ennen tilisiirtojen hyväksymistä tai arkaluonteisten tietojen jakamista, riippumatta siitä, kuinka kiireelliseltä sähköposti vaikuttaa. Johtajille on järjestettävä erityisesti valaanpyyntitilanteita käsittelevää koulutusta, sillä yleinen tietoturvatietoisuuskoulutus ei usein tavoita ylintä johtoa.

Tässä oppitunnissa opitte, että massatietojenkalastelu perustuu suureen lähetysmäärään, jotta pieni osa satunnaisista vastaanottajista saadaan lankaan, kohdennettu tietojenkalastelu on yksilöityä ja personoitua, ja siinä hyödynnetään OSINT-tutkimusta vakuuttavien viestien laatimiseksi tietyille henkilöille, kun taas valaanpyynti kohdistuu johtajiin, joilla on valtaa talousasioihin ja arkaluonteisiin tietoihin. Sitä torjutaan DMARC:lla, tietojenkalastelun kestävällä MFA:lla ja kaistan ulkopuolisilla varmennusmenettelyillä. Seuraavaksi tutustumme ääni- ja tekstiviestipohjaisiin hyökkäyksiin, kuten vishingiin, smishingiin ja pretextingiin.