Mitä tehdä, jos joudut hakkeroiduksi

Tuleminen hakkeroiduksi on stressaavaa. Se voi tuntua henkilökohtaiselta, kiireelliseltä ja hämmentävältä samanaikaisesti. Saatat nähdä outoja kirjautumisilmoituksia, löytää viestejä, joita et itse lähettänyt, menettää pääsyn tilillesi, huomata rahan kadonneen tai saada ystäviltä viestin, että olet lähettänyt heille epäilyttäviä linkkejä.

Tärkeintä on välttää paniikissa tehtyjä ratkaisuja. Hyökkääjät luottavat usein nopeuteen, sekavuuteen ja paineeseen. Sinun tavoitteesi on hidastaa tilannetta, rajata vahingot, palauttaa hallinta ja poistaa heikkoudet, jotka mahdollistivat murron.

Tämä opas käy läpi käytännön askeleet henkilökohtaisen tilin, yritystilin, laitteen tai verkkopalvelun hakkeroituessa.

1. Ilmoita työnantajallesi heti, jos työasiat voivat vaarantua

Jos on vähänkään mahdollista, että työnantajasi, asiakkaasi tai jokin muu organisaatio voi vaarantua, ilmoita välittömästi asianmukaiselle IT- tai tietoturvatiimille. Älä odota, että sinulla on täydellisiä todisteita. Tämä koskee erityisesti tilanteita, joissa vaarantunutta laitetta on käytetty työasioihin, laite on rekisteröity BYOD-laitteena, sitä on käytetty yrityksen sähköpostiin, kertakirjautumiseen, salasanojen hallintaan, VPN:ään, hallintapaneeliin, lähdekoodivarastoon, pilvilaitteeseen tai tiedostojakopalveluun.

Organisaation on tärkeä reagoida ennen kuin alat selvittää kaikkea itse. Yritys saattaa joutua peruuttamaan istuntoja, kierrättämään tunnuksia, tarkistamaan lokeja, eristämään vaarantuneet järjestelmät tai poistamaan pääsyn, kun tilanne on vielä kesken.

Ilmoituksen viivästyttäminen voi pahentaa vahinkoja ja johtaa kurinpidollisiin toimiin tai vastuuseen, jos yritykselle aiheutuu tappioita, jotka olisi voitu estää nopealla raportoinnilla. Jos mikään työpalvelu, -laite, -tili tai -tieto ei voi vaarantua, jatka henkilökohtaisen palautumisen vaiheilla alla.

2. Aloita puhtaasta laitteesta

Jos epäilet, että tietokoneesi tai puhelimesi on saanut tartunnan, älä käytä samaa laitetta salasanojen vaihtoon tai kirjautumiseen tärkeille tileille. Haittaohjelma voi tallentaa uudet salasanat, kaapata istuntoevästeet, ottaa kuvakaappauksia tai siepata palautuskoodit.

Käytä laitetta, johon luotat, esimerkiksi:

• Täysin päivitettyä puhelinta tai tietokonetta, jossa ei ole hakkeroitumisen merkkejä
• Perheenjäsenen laitetta, johon luotat
• Työpaikan hallinnoimaa laitetta, jos IT-tiimi vahvistaa sen olevan turvallinen

Jos sinulla ei ole pääsyä puhtaalle laitteelle, irrota epäilty laite internetistä ja keskity avun hankkimiseen ennen kuin syötät uusia tunnuksia.

3. Turvaa sähköpostitilisi ensin

Sähköposti on usein avain lähes kaikkeen muuhun. Jos hyökkääjä hallitsee sähköpostiasi, hän voi nollata salasanat pankkiin, verkkokauppaan, pilvipalveluihin, sometileihin, kehitysfoorumeihin ja työkaluihin.

Aloita pää-sähköpostitilistäsi ja tarkista seuraavat asiat:

• Vaihda salasana uuteen, vahvaan ja ainutkertaiseen
• Ota käyttöön monivaiheinen tunnistautuminen, jos se ei jo ole käytössä
• Tarkista palautussähköpostit ja -puhelinnumerot
• Poista tuntemattomat palautusvaihtoehdot
• Tarkista välityssäännöt ja suodattimet epäilyttävien muutosten varalta
• Tarkista viimeisimmät kirjautumiset sekä aktiiviset istunnot
• Kirjaudu ulos kaikista muista istunnoista, jos palvelu sen mahdollistaa

Kiinnitä erityistä huomiota postilaatikon sääntöihin. Hyökkääjät voivat luoda suodattimia, jotka piilottavat turvailmoitukset, ohjaavat laskut eteenpäin tai kopioivat salasanan nollausviestit toiseen osoitteeseen.

4. Vaihda salasanat oikeassa järjestyksessä

Sähköpostin turvaamisen jälkeen siirry tileihin, jotka voivat aiheuttaa suurimmat vahingot. Älä käytä ensimmäisiä kriittisiä minuutteja vähäarvoisiin tileihin, kun hyökkääjällä on edelleen pääsy pankkiin, pilvitallennukseen tai hallintatyökaluihin.

Tärkein vaihtojärjestys on:

1. Sähköpostitilit
2. Pankki-, maksu- ja kryptovaluuttatilit
3. Salasanojen hallinnat, identiteetinhallinta ja kertakirjautumistunnukset
4. Pilvitallennus, varmuuskopiot ja tiedostonjako
5. Työtilit, hallintapaneelit, palveluntarjoajat ja kehittäjäympäristöt
6. Some- ja viestintätilit
7. Verkkokauppa, pelit, foorumit ja muut matalariskiset tilit

Jokaisen uuden salasanan tulee olla yksilöllinen. Jos käytät samaa uutta salasanaa useilla tileillä, yksikin heikko kohta voi vaarantaa kaiken uudelleen.

5. Kumoa istunnot, laitteet, sovellukset ja tokenit

Salasanan vaihtaminen on tärkeää, mutta se ei välttämättä poista jo kirjautunutta hyökkääjää. Useat palvelut pitävät istunnot voimassa salasananvaihdon jälkeen, ellei niitä erikseen peruuteta.

Etsi seuraavia asetuksia:

• Kirjaudu ulos kaikista laitteista
• Aktiiviset istunnot
• Luotetut laitteet
• Yhdistetyt sovellukset
• Sovellussalasanat
• API-avaimet
• Selaimen lisäosat
• OAuth-käyttöoikeudet
• SSH-avaimet
• Palautuskoodit

Poista kaikki, joita et tunnista. Yritys- ja kehittäjätilien kohdalla kierrätä API-tokenit, julkaisuavaimet, SSH-avaimet, webhookit ja palvelutilin tunnukset, jotka ovat voineet vuotaa.

6. Ota käyttöön vahvempi monivaiheinen tunnistautuminen

Monivaiheinen tunnistautuminen (MFA, 2FA) estää monen tilikaappauksen, vaikka salasana päätyisi vääriin käsiin. Jos sitä ei ollut jo käytössä, ota se käyttöön tärkeillä tileilläsi nyt.

Suosi vahvempia vaihtoehtoja, jos mahdollista:

• Laitteistopohjaiset turva-avaimet
• Tunnistautumissovellukset
• Varmuuskoodit tallennettuna turvallisesti erillään

Tekstiviestipohjaiset koodit ovat parempi vaihtoehto kuin ei toista tekijää lainkaan, mutta ne ovat heikompia kuin sovellus- tai laitepohjaiset vaihtoehdot. Puhelinnumeroita voidaan siirtää SIM-vaihdoissa, siepata tietyissä tilanteissa tai käyttää hyväksi heikon tilin palautuksen kautta.

Kun otat MFA:n käyttöön, luo varmuuskoodit ja säilytä ne turvallisesti. Ilman niitä puhelimen tai turva-avaimen katoaminen voi muodostua omaksi hätätilanteekseen.

7. Tarkista taloudelliset ja henkilötiedot

Jos murrettu tili liittyy rahaan, henkilöllisyystodistuksiin, laskuihin, asiakastietoihin tai verotietoihin, oletusarvoisesti oleta, että hyökkääjä on voinut kopioida hyödyllisiä tietoja, vaikka saisit tilin pian takaisin hallintaasi.

Tarkista seuraavat asiat:

• Pankki- ja korttitapahtumat
• Maksusovellukset ja tallennetut kortit
• Kryptovaluuttapörssin nostot ja API-avaimet
• Uudet toimitusosoitteet verkkokauppatileillä
• Uudet tilaukset tai ostokset
• Luottoraportit ja henkilöllisyyden valvonta, jos saatavilla
• Verotus-, vakuutus- tai viranomaistunnukset

Ota välittömästi yhteys pankkiisi tai maksupalvelun tarjoajaan, jos havaitset epäilyttävää toimintaa. Monissa tapauksissa nopea ilmoitus parantaa mahdollisuuksiasi saada petostapahtumia peruttua tai vähentää vastuuta.

8. Säilytä todisteet ennen kaiken poistamista

Halu siivota nopeasti on ymmärrettävä, mutta viestien, lokien tai tiedostojen liian aikainen poistaminen vaikeuttaa selvittämistä. Ennen epäilyttävien asioiden poistamista tallenna olennaiset todisteet. Tee tämä ennen laitteen tyhjennystä tai uudelleenasennusta, etenkin jos kyse on rahasta, yrityksen tai asiakkaan tiedoista, kiristysohjelmasta tai lakiin perustuvista vaatimuksista.

Hyödyllisiä todisteita ovat:

• Kirjautumisilmoituksen sähköpostit
• Kuvakaappaukset epäilyttävästä tilitoiminnasta
• Lähettäjän osoitteet ja viestien otsakkeet kalasteluviesteissä
• Tapahtuma-ID:t ja laskutiedot
• Kirjautumispaikat ja ajankohdat
• Tuntemattomien laitteiden tai sovellusten nimet
• Tukipalvelun tikettinumerot
• Alkuperäinen kiintolevy tai SSD, jos laite voi vaatia oikeustieteellistä analyysiä

Nämä tiedot auttavat tukitiimiä, pankkia, poliisia, vakuutusta, yrityksesi IT:tä tai tietoturvatiimiä selvittämään mitä tapahtui.

Jos kannettava tai pöytäkone sallii, harkitse alkuperäisen levyn poistamista ja uuden kovalevyn tai SSD:n asentamista uutta käyttöjärjestelmää varten. Näin voit käyttää puhdasta konetta ja säilyttää alkuperäisen levyn tutkintaa varten. Jos kyseessä on yritystapaus, kysy IT:ltä tai tietoturvatiimiltä ennen levyn vaihtamista tai laitteen käynnistämistä uudelleen.

9. Rakenna kompromissin kokenut laite alusta alkaen

Jos hyökkäys on voinut alkaa haittaohjelmasta, epäilyttävästä liitteestä, väärennetystä selaimen lisäosasta, piraattiohjelmasta tai tuntemattomasta etätyökalusta, pelkkä tilin palauttaminen ei riitä. Laite ei välttämättä ole enää luotettava. Hyökkääjä on saattanut asentaa pysyvyysmalleja, muokata järjestelmäasetuksia, kaapata istuntoevästeitä tai jättää ohjelman, joka varastaa uudetkin kirjautumistietosi heti kun ne syötetään.

Tällöin on turvallisinta olla "puhdistamatta" laitetta käsin. Turvallisempi oletus on ensin säilyttää todisteet, varmuuskopioida vain aidosti tarvittavat tiedot, tyhjentää laite ja asentaa käyttöjärjestelmä puhtaalta pöydältä.

Tärkeät varotoimet:

• Luo asentava USB-tikku puhtaalta laitteelta
• Lataa asennusmedia vain käyttöjärjestelmän viralliselta toimittajalta
• Älä käytä vanhoja palautuskuvia, jos et tiedä milloin laite vaarantui
• Varmuuskopioi vain dokumentit, kuvat ja välttämättömät tiedostot; vältä tuntemattomia ohjelmia, skriptejä ja asennuspaketteja
• Asenna sovellukset uudelleen luotettavista lähteistä, äläkä palauta kaikkea automaattisesti
• Päivitä käyttöjärjestelmä ja selain täysin ennen kuin kirjaudut tärkeille tileille
• Vaihda salasanat uudelleen, jos syötit ne laitteeseen sen ollessa vielä mahdollisesti vaarannettu

Korkean riskin tilanteessa, kuten kiristysohjelmat, yrityksen sähköpostin kaappaus, pääkäyttäjätilin menetys tai epäilty tietovuoto, harkitse ammattimaisen tietoturva-avun hankkimista ennen järjestelmien tyhjennystä. Yrityksissä todisteita voidaan tarvita tutkintaan, vakuutuksiin, lakisyistä tai asiakastiedottamiseen.

10. Ilmoita mahdollisesti vaikuttaville ihmisille

Jos hyökkääjät käyttivät tiliäsi viestien, laskujen, linkkien tai tiedostojen lähettämiseen, varoita mahdollisia vastaanottajia. Pidä varoitus lyhyenä ja täsmällisenä.

Esimerkiksi:

Tilini on vaarantunut. Älä avaa lähettämiäni linkkejä, liitteitä, maksupyyntöjä tai jaettuja tiedostoja aikavälillä [aika]–[aika]. Olen saanut tilin takaisin hallintaan ja selvitän asiaa.

Yrityksille ilmoittaminen saattaa olla myös lakisääteinen tai sopimusvelvoite. Jos asiakasdataa, työntekijätietoja, maksutietoja, terveystietoja tai luottamuksellista materiaalia on voinut vuotaa, ota mukaan lakiasiain, compliance- ja tietoturvatiimit heti alussa.

11. Tee ilmoitus viranomaisille tai palveluntarjoajalle tarvittaessa

Kaikista murretuista sometileistä ei tarvitse tehdä rikosilmoitusta, mutta joissain tapauksissa raportointi on välttämätöntä. Tämä pätee erityisesti, jos kyseessä on taloudellinen petos, identiteettivarkaus, kiristysohjelma, yrityksen sähköpostin kaappaus, asiakasdatan varkaus tai henkilökohtaisen turvallisuuden uhkia.

Hyödyllisiä ilmoituskanavia voivat olla:

• Kyseinen palveluntarjoaja
• Pankkisi tai maksujenvälittäjäsi
• Työnantajasi IT- tai tietoturvatiimi
• Poliisi tai kansalliset kyberrikosportaalit
• Vakuutusyhtiöt, jos kybervakuutus on olemassa
• Asiakkaat, kumppanit tai viranomaiset, jos tietovuoto on varmistunut tai todennäköinen

Ilmoitusluonti antaa myös kirjallisen jäljen. Se voi olla tarpeen myöhemmin, jos petollinen toiminta jatkuu tai jos sinun täytyy osoittaa ryhtyneesi toimiin nopeasti.

Jos johdat yritystä, käsittele tapaus tietoturvapoikkeamana

Yrityksissä murrettu tili ei ole harvoin vain käyttäjäkohtainen ongelma. Se voi olla ensimmäinen näkyvä merkki laajemmasta tietoturvatapauksesta. Kompromissoitu postilaatikko voi paljastaa asiakaskeskusteluja. Varastettu ylläpitäjäsalasana voi johtaa tietojen vuotamiseen. Vuotanut käyttöönottoavain voi vaarantaa tuotantojärjestelmät.

Yrityksen vastauksen tulisi sisältää:

• Eristä vaarantuneet laitteet ja tilit
• Tallenna lokit ennen kuin ne yliajetaan tai poistetaan
• Selvitä, mihin hyökkääjällä oli pääsy, mitä muutettiin, kopioitiin tai luotiin
• Kierrätä salasanat, API-avaimet, varmenteet, tokenit ja palautuskoodit, jotka saattoivat vuotaa
• Tarkista postilaatikon välityssäännöt, OAuth-sovellukset, ylläpitäjäroolit ja uudet käyttäjät
• Poista vanhat pääsyt entisiltä työntekijöiltä, toimittajilta ja alihankkijoilta
• Viesti selkeästi vaikuttavien sidosryhmien kanssa
• Dokumentoi tapahtunut ja parannettavat kohdat

Jos tapaus liittyy säädeltyyn tietoon, asiakastietoihin, kiristysohjelmaan, tuotantoympäristöön tai laajennettuihin käyttöoikeuksiin, hanki apua ammattilaisilta heti. Liian pitkään odottaminen vaikeuttaa katastrofin rajaamista ja todisteiden keruuta.

Vältettävät yleiset virheet

Hyväntahtoisetkin toimet voivat vaikeuttaa palautumista tai luoda uusia riskejä.

Vältä näitä virheitä:

• Työnantajan / IT-osaston ilmoittamatta jättämistä heti
• Salasanojen vaihtamista mahdollisesti infektoidulla laitteella
• Yhden uuden salasanan käyttämistä useissa tileissä
• Sähköpostin edelleenlähetysten ja palautusasetus-ten huomiotta jättämistä
• Istuntojen ja yhdistettyjen sovellusten purkamisen unohtamista
• Epäilyttävien sähköpostien poistamista ilman todisteiden tallentamista
• Olettamista, että MFA tekee tilistä automaattisesti turvallisen
• Päivien odottamista pankkiin tai palveluntarjoajaan ottamisessa rikoksen jälkeen

Palautumisen jälkeen: pienennä uudelleen hakkeroitumisen riskiä

Kun kriisi on hallinnassa, käytä aikaa ympäristön vahvistamiseen. Suurin osa tilimurroista ei johdu kehittyneistä hyökkäyksistä. Syynä ovat usein uudelleenkäytetyt salasanat, tietojenkalastelu, heikot palautusvaihtoehdot, haittaohjelmat, altistuneet laitteet tai unohtuneet pääsyoikeudet.

Käytännön tarkistulista:

• Käytä uniikkeja salasanoja joka tilillä
• Säilytä salasanat turvallisessa salasananhallinnassa, älä muistiinpanoissa, tekstidokumenteissa tai keskustelusovelluksissa
• Ota MFA käyttöön sähköposteissa, pankkitileillä, pilvessä, työtileillä ja somekanavissa
• Korvaa tekstiviestipohjainen MFA vahvemmilla vaihtoehdoilla, jos mahdollista
• Pidä laitteet, selaimet ja sovellukset ajan tasalla
• Poista käyttämättömät sovellukset, lisäosat ja yhdistetyt palvelut
• Tarkista tilin palautusasetukset muutaman kuukauden välein
• Varmuuskopioi tärkeät tiedostot tavalla, jota kiristysohjelma ei voi helposti tuhota
• Opeta perhettä tai työntekijöitä tunnistamaan tietojenkalastelut ja valetukipyynnöt

Turvallisuuden ei tarvitse olla täydellistä ollakseen huomattavasti parempaa. Muutama johdonmukainen tapa vähentää helpoimpia hyökkäysreittejä ja rajoittaa vahinkoja, jos joku onnistuu uudelleen.

Lopuksi

Hakkerointi ei aina tarkoita, että olet toiminut tyhmästi. Hyökkääjät kohdistavat jatkuvasti sekä yksityishenkilöihin että yrityksiin, ja huolellisempikin käyttäjä voi ajautua ansaan uskottavan kalastelusivun, vuotaneen vanhan salasanan tai huomaamattomasti saastuneen laitteen kautta.

Tärkeintä on reagoida oikein: turvaa sähköposti ensin, vaihda salasanat luotettavalta laitteelta, kumoa istunnot, ota käyttöön vahva MFA, tarkista taloudelliset riskit, säilytä todisteet ja ilmoita mahdollisesti vaikuttaville. Sen jälkeen paranna järjestelmää ja käytäntöjä niin, ettei seuraava hyökkäys onnistuisi yhtä helposti.