Paroolid ja väärkasutatud meiliaadress: häkitud või võltsitud?

Moodul 3: Mailboksi haldamine · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda tundi oskad oma mailboksi korralikult kaitsta, eristada võltsitud saatjat üle võetud mailboksist ning mõlemal juhul õigeid samme astuda.

Põhimõisted: tugev parool, paroolilause, paroolihaldur, taaskasutus, andmeleke, jõuruvõll (brute force), IP-blokeering, kaheastmeline autentimine, rakenduse parool, andmepüük (phishing), spoofing (võltsitud saatja), backscatter, ülevõetud mailboks, kahtlased reeglid ja suunamised, saatmislimiit

Kaks põhjust, miks "minu aadressilt saadetakse rämpsposti"

Peaaegu iga haldaja kuuleb seda kunagi: "minu aadressilt läheb välja rämpspost". Selle taga on kaks väga erinevat põhjust ja ka lahendus on erinev.

1. Võltsimine (spoofing): keegi ei olnud su mailboksis

Saatja aadress on lihtsalt tekst. Igaüks saab saata kirja väärtusega Van: info@example.com (ehk From:), kasutades oma serverit, ilma et ta kunagi su mailboksi siseneks. Seda nimetatakse spoofinguks.

Nii tunned selle ära:

• Saad äkki kümneid või sadu tagastuskirju (bounces) kirjade kohta, mida sa pole kunagi saatnud, sageli tundmatutele aadressidele. See on backscatter: vastuvõtjad keeldusid võltsitud kirjast ja saatsid veateate aadressile, mis kirjas seisis, ehk sinule.
• Sinu enda Saadetud kirjade kaustas (Sent) ei ole midagi.
• Sinu meiliserveri logides (paljudes paneelides: funktsioon nagu "E-mail Tracering" ehk e-kirjade jälgimine) sa neid kirju väljuva postina ei näe.
• Tagastatud kirja päistes (tund 1.5) on Received rida serverist, mis ei ole sinu oma.

Parooli muutmine siin ei aita: kellelgi polnudki seda. Aitab aga DMARC (tund 4.4). Väärtusega p=quarantine või p=reject ütled vastuvõtjatele, et nad peavad kirjad, mis ei läbi sinu SPF-i ega DKIM-i, karantiini panema või tagasi lükkama. Siis jõuab võltsitud kiri kohale harvemini ja ka vähem inimesi saab sinu nime all petetud. Tagastuskirjad lõppevad tavaliselt iseenesest mõne päeva pärast; võid need lihtsalt kustutada.

2. Ülevõetud mailboks: kellelgi on sinu parool

Kui kellelgi on su parool, logib ta sisse sinu serverisse ja saadab rämpsposti tõepoolest sinu mailboksi kaudu. See on palju tõsisem: rämpspost tuleb usaldusväärsest serverist koos sinu kehtiva SPF-i ja DKIM-iga, mistõttu see jõuab tihti kohale. Ja server kaotab oma hea maine (tund 5.2).

Nii tunned selle ära:

• Serveri logis näed väljuvat kirjavahetust, mida sa ei ole saatnud, sageli suurtes kogustes.
• Sinu mailboksist saadetud kirjade arv on tavapärasest palju suurem või jõuad äkki saatmislimiidini.
• Teenusepakkuja teavitab sellest või blokeerib saatmise.
• Sinu mailboksis on asju, mida sa ei tunne: suunamisreegel tundmatule aadressile, filter, mis teatud kirjad (näiteks sinu pangast või teenusepakkujalt) kohe prügikasti liigutab, teistsugune vastamisaadress (Reply-To) sinu seadetes või äraolekuteade.

Need reeglid on tuntud trikk. Ründaja, kes võtab üle su mailboksi, soovib sageli pikalt märkamatult kaasa lugeda, näiteks et õigel hetkel saata valearvet teise kontonumbriga. Suunamisreegel tema enda aadressile jätkab toimimist isegi pärast seda, kui oled oma parooli muutnud.

Kuidas saab keegi sinu parooli kätte?

• Andmepüük (phishing): valekiri lingiga järeletehtud sisselogimislehele ("sinu mailboks on täis, logi siit sisse"). Kõige levinum põhjus.
• Taaskasutus: kasutad sama parooli ka veebipoes või foorumis ja see häkitakse. Varastatud meiliaadressi ja parooli kombinatsioone proovitakse hiljem automaatselt meiliserverites. Teenustega nagu Have I Been Pwned saad kontrollida, kas sinu aadress esineb mõnes teadaolevas andmelekkes.
• Äraarvamine: lühikesi või ilmselgeid paroole (Welkom2026!, ettevõtte nimi) arvatakse ära jõuruvõlluga (brute force): tuhandeid katseid järjest.
• Pahavara sinu arvutis, mis paroole pealt kuulab või brauserist välja võtab.

Mailboksi korralik kaitsmine

1. Pikk, unikaalne parool iga mailboksi kohta. Pikkus loeb rohkem kui veidrad märgid. Paroolilause neljast-viiest eraldi sõnast on tugev ja kergesti meelde jääv. Ära kasuta seda mujal.
2. Paroolihaldur. Siis ei pea sa kõiki neid paroole meeles pidama ja taaskasutus pole enam vajalik.
3. Kaheastmeline autentimine seal, kus võimalik. Äriliste pilveteenuste puhul (Microsoft 365, Google Workspace) ja teenusepakkuja kliendipaneelis on see enamasti võimalik. Tavalise IMAP-mailboksi puhul ei ole see sageli võimalik IMAP-i ja SMTP enda jaoks, kuna meiliprogrammid saadavad ainult parooli. Mõned teenused kasutavad siis rakenduse paroole: eraldi, pikk parool iga programmi kohta, mille saad tühistada ilma peaparooli muutmata.
4. Ole ettevaatlik, kus sisse logid. Sisesta oma parool ainult oma mailiprogrammis või veebimeili tegelikul aadressil. Teenusepakkuja ei küsi kunagi kirja teel sinu parooli.
5. Tunne oma serveri turvameetmeid. Paljud serverid blokeerivad IP-aadressi pärast teatud arvu ebaõnnestunud sisselogimiskatseid. See kaitseb jõuruvõllu eest, kuid tähendab ka, et vana seade vale parooliga (vana tahvelarvuti, printer, mis skannib meili saatmiseks) võib blokeerida terve su kontorivõrgu.

Mida teha ülevõetud mailboksi puhul?

Tee seda kohe, järgmises järjekorras:

1. Muuda parool teenusepakkuja paneelis (mitte kirjas oleva lingi kaudu). Vali uus, unikaalne parool.
2. Kontrolli suunamisreegleid, filtreid, aliaseid ja äraolekuteadet, nii veebimeilis kui ka paneelis. Eemalda kõik, mida sa ise ei loonud.
3. Vaata, millised seadmed ja programmid ühenduvad ning sisesta kõikjal uus parool. Unustatud seade vana parooliga võib su IP-aadressi blokeerida.
4. Skaneeri oma arvuti pahavara suhtes, eriti kui sa ei klõpsanud andmepüügilingil.
5. Muuda parool ka mujal, kui kasutasid seda korduvalt, ja ka oma kliendipaneeli parooli, kui see oli sama.
6. Teavita oma teenusepakkujat. Tema näeb, mis on saadetud, saab järjekorra puhastada ja blokeeringu tühistada.
7. Hoiata oma kontakte, kui neile on kirju saadetud, eriti valearvete puhul. Isikuandmetega seotud andmeleke võib isikuandmete kaitse üldmääruse (GDPR) kohaselt nõuda ka teavitamist sinu riigi andmekaitse järelevalveasutusele; kahtluse korral uuri seda välja.

Ülevõetud mailboks tuleb harva üksinda. Kontrolli ka, kas sinu veebisait ei saada rämpsposti: kaitsmata kontaktvorm või häkitud pistikprogramm võib samuti sinu nimel kirju saata (tund 7.3).

Praktikas: nii näeb see välja paneelis

DirectAdminis muudad mailboksi parooli E-mail Accounts all, kolme punkti kaudu ja Change Password/Username; veerus Sent näed, kui palju kirju mailboks täna saatis. Funktsiooniga E-mail Tracking näed, kas kiri tõepoolest serveri kaudu saadeti. Suunamised asuvad jaotises Forwarders, äraolekuteated jaotises Autoresponders ja veebimeilis seadetes. Teistel paneelidel on sarnased funktsioonid, sageli nimedega nagu "message trace" või "mailboksi reeglid".

Kokkuvõte

• Tagastuskirjad kirjade kohta, mida sa ei saatnud, ilma et midagi oleks sinu Saadetud kaustas: võltsimine. Siin aitab DMARC, mitte uus parool.
• Tõeline väljuv rämpspost serveri logis: ülevõetud mailboks. Muuda parool, kontrolli reegleid ja suunamisi, uuenda seadmeid, teavita teenusepakkujat.
• Ründajad seavad sageli suunamisreegli või filtri, et jätkata kaasa lugemist.
• Kasuta pikka, unikaalset parooli iga mailboksi kohta, paroolihaldurit ja võimaluse korral kaheastmelist autentimist või rakenduse paroole.

Test

Ülesanne

Ülesanne O3.4: Postkasti turvakontroll. Vaata üle oma mailboks. Kas parool on unikaalne ja pikk ning kas see on salvestatud paroolihalduris? Otsi oma aadressi andmelekketeenusest (nagu Have I Been Pwned) ja märgi üles, kas see esineb mõnes lekkes. Kontrolli veebimeilis või paneelis kõiki suunamisreegleid, filtreid, vastamisaadressi ja äraolekuteadet. Märgi üles, millised seadmed mailboksi kasutavad. Vasta seejärel: kui saad homme tagastuskirju kirjade kohta, mida sa ei saatnud, kuidas uurid välja, kas tegemist on spoofinguga või häkkimisega?

Lisalugemist

Nende artiklite sammud kehtivad WebOké paneelide kohta; teiste teenusepakkujate puhul toimib see sarnaselt.

• DirectAdmin juhend 9.6: Mida teha, kui su e-posti aadressi on kuritarvitatud
• DirectAdmin juhend 7.2: E-posti aadressi parooli muutmine
• DirectAdmin juhend 9.3: E-mail Tracking: kuhu mu kiri jäi?
• E-posti aadressi parooli või limiitide muutmine
• Postkast üle võetud või spämm sinu aadressilt: nii koristad üles
• NCSC, nõuanded paroolide ja kaheastmelise autentimise kohta (Holland): https://www.ncsc.nl
• Roundcube Webmail 10.5: Postkasti parooli muutmine
• Roundcube Webmail 10.3: Kaheastmelise kinnituse sisselülitamine
• Thunderbird sinu WebOké e-posti ja Nextcloudiga 2.3: Paroolid: muutmine, salvestatud paroolid ja ülemparool