Moodul 1 · 1.2
Andmepüük, juhatuse esindaja pettus ja arvepettus
Moodul 1: Miks oled just sina sihtmärk · Lugemisaeg: 10 minutit
Õpieesmärk: Pärast seda õppetundi oskad ära tunda andmepüügi, juhatuse esindaja pettuse ja arvepettuse (BEC) tegutsemisviisi ning luua tagasihelistamise kontrolliga maksekorra.
Põhimõisted: andmepüük, suunatud andmepüük, juhatuse esindaja pettus, arvepettus, Business Email Compromise, nelja silma põhimõte, tagasihelistamine tuntud numbrile
Kolm sama triki vormi
Kõik kolm selles õppetunnis käsitletud rünnet toimivad pettuse abil. Arvutisse ei murta sisse, vaid kedagi veenetakse ise midagi tegema: klõpsama lingil, sisestama parooli, kandma raha üle. Seda nimetatakse sotsiaalseks manipuleerimiseks (social engineering). See toimib, sest see mängib tavaliste inimlike reaktsioonidega: sa tahad oma ülemust aidata, tarnijale õigeaegselt maksta, probleemi kiiresti lahendada.
| Vorm | Mida ründaja tahab | Tüüpiline sõnum |
|---|---|---|
| Andmepüük | Sisselogimisandmed, maksega seotud andmed või klõps pahavaral | "Sinu postkast on täis, logi sisse, et kirjad alles jääksid" |
| Juhatuse esindaja pettus | Kiireloomuline makse | "Olen koosolekul, kas saad selle täna veel üle kanda? Ära räägi sellest teistega" |
| Arvepettus | Tegeliku arve tasumine vale kontole | "Tähelepanu: meie kontonumber on muutunud" |
Juhatuse esindaja pettus ja arvepettus kuuluvad mõlemad inglisekeelse üldnimetuse Business Email Compromise (BEC) alla: pettus, mille puhul kuritarvitatakse ettevõtte e-posti ja petis esineb kellenagi teisena.
Andmepüük ja suunatud andmepüük
Andmepüük on sõnum, mis esineb usaldusväärse saatjana, et sa teeksid midagi, mida muidu ei teeks. Tavaliselt on tegu lingiga võltsitud sisselogimislehele, näiteks rnijnbank.example (kus on "rn" tähe "m" asemel), või pahavaraga manusega. Tavaline andmepüük saadetakse korraga suurele hulgale inimestele üldise looga.
Suunatud andmepüügi (spear phishing) puhul on sõnum just sinule kohandatud. Ründaja kasutab sinu nime, ametikohta, mõne tegeliku kolleegi või tarnija nime, projekti, millega tegeled. Selle info leiab ta su veebilehelt, LinkedInist, äriregistrist või varem lekkinud postkastist. Kuna sõnum vastab sinu ootustele, jääb see palju vähem silma.
Õigekirjavead ei ole enam usaldusväärne tunnus. Tõlkeprogrammide ja tehisintellekti tekstigeneraatoritega kirjutab petis veatut eesti keelt. Moodulis 3 õpid andmepüüki ära tundma asjade järgi, mida petis ei saa jäljendada: lingi tegeliku domeeni ja kirja tehnilise saatja järgi.
Juhatuse esindaja pettus
Juhatuse esindaja pettuse puhul saab makseid tegev inimene sõnumi, mis näib tulevat juhatajalt või omanikult. Tüüpilised tunnused on järgmised:
- Autoriteet: see on korraldus, mitte palve.
- Salajas hoidmine: "ära räägi sellest veel teistega, tegu on ülevõtmisega."
- Ajasurve: see peab juhtuma täna, enne panga sulgemist.
- Saatja aadress, mis näib peaaegu õige: näiteks
directie@example-com.example, mis esmapilgul sarnaneb oma domeeniga, või isiklik aadress "sest olen teel".
Mõnikord kaasatakse ka "advokaat" või "raamatupidaja", kes kinnitab korraldust; ka see kuulub petiste juurde. Samamoodi võetakse ühendust ka ühingute ja väikeettevõtetega: laekahoidja saab kirja "esimehelt".
Miks see toimib? Sest väikeses ettevõttes tunnevad kõik üksteist ja usaldavad üksteist. Töötaja tahab aidata ja salajas hoidmine takistab tal kolleegiga üle kontrollimast. Saladus ongi täpselt petise eesmärk.
Arvepettus: ainult IBAN on teine
Arvepettust on raskem ära tunda, sest arve on sageli tõeline. Summa, tellimuse number, logo, kujundus: kõik klapib. Ainult kontonumber on muudetud. See juhtub mitmel viisil: arve kaaperdatakse ja muudetakse, saadetakse eraldi kiri "meie kontonumber on muutunud", või on ettevõte ise häkitud ja petis saadab kirja otse tegelikust postkastist.
Viimast on oluline mõista. Kui sinu tarnija postkast leverancier.example on üle võetud, tuleb kiri tõepoolest õigelt aadressilt. Kõik tehnilised kontrollid (SPF, DKIM, DMARC, mida käsitleme moodulis 4) õnnestuvad. Petis on postkasti vahel nädalaid jälginud, teab, millised arved on maksmata, ja saadab oma sõnumi täpselt õigel hetkel, samas kirjavahetuses. Saatja aadressi kontrollimine ei aita siin seega.
Valus üksikasi: kui oled petisele maksnud, oled tõenäoliselt endiselt võlgu ka tegelikule tarnijale.
Näide
Pagarikoda Example tellib uue ahju tarnijalt leverancier.example. Pakkumine, tellimuse kinnitus ja arve jõuavad kõik korrektselt kohale. Kaks päeva hiljem järgneb samas kirjavahetuses:
Lugupeetud Petra, seoses üleminekuga teisele pangale on meie kontonumber viivitamatult muutunud. Kas saaksite ahju arve kanda uuele numbrile? Vana number suletakse järgmisel nädalal. Lugupidamisega, Joost
Aadress on õige, Joosti nimi on õige, tellimuse number klapib. Ainus, mis pettusest reedab, on küsimus ise: kontonumbri muutmine. See on alati hetk, mil tuleb kontrollida, mitte kunagi hetk, mil usaldada ainult kirja.
Maksekord, mis selle ära hoiab
Sa ei saa iga võltskirja ära tunda. Küll aga saad tagada, et võltskirjast üksi ei piisa raha ülekandmiseks. Selleks on vaja mõningaid kindlaid kokkuleppeid.
- Helista tagasi tuntud numbril. Iga kontonumbri muutuse ja iga ebatavalise maksepalve korral helista saatjale. Mitte kirjas või arvel olevale numbrile, sest ka see võib olla võlts, vaid numbrile, mis sul juba olemas oli: oma raamatupidamisest, lepingust või ametlikult veebilehelt, mille ise sisestad.
- Ära vasta kirjale. Kui tahad kontrollida e-posti teel, sisesta aadress ise. Nupule "vasta" vajutades võid sattuda petise juurde, näiteks Reply-To päise kaudu, mis suunab teisele aadressile (õppetund 3.3).
- Nelja silma põhimõte. Makseid, mis ületavad kindlaksmääratud summa, uusi makse saajaid ja muudetud kontonumbreid kontrollivad kaks inimest. Füüsilisest isikust ettevõtjal tähendab see kindlat ooteaega ja tagasihelistamist enne maksmist.
- Erandeid e-posti ega vestluse teel ei tehta. Juhataja ei palu kunagi kirja ega WhatsAppi teel protseduurist kõrvale kalduda. Leppige see kokku, nimelt ka juhataja endaga. Siis teab igaüks: sõnum, mis ütleb "tee seekord erandina teisiti", ongi juba kahtlane.
- Andmete kirjapanek. Tarnija kontonumber on sinu raamatupidamises olemas. Võrdle iga arve numbrit sellega, mis sul juba oli. Alates 2025. aasta oktoobrist kontrollivad euroala pangad ülekande tegemisel, kas sisestatud nimi vastab kontonumbrile (inglise keeles Verification of Payee). Võta sellest tulenev hoiatus tõsiselt. Kuid roheline tulemus näitab ainult, et nimi ja konto käivad kokku, mitte seda, et saaja on aus.
| Olukord | Tegevus |
|---|---|
| Olemasoleva tarnija uus kontonumber | Helista tagasi tuntud numbril, teine inimene kinnitab |
| Juhtkonna soovitud kiirmakse | Helista või küsi isiklikult üle, järgi protseduuri nagu alati |
| Uus tarnija, esimene arve | Kontrolli andmeid ametlikust allikast, teine inimene kinnitab |
| Arve, mis näeb tavapärasest teistsugune välja | Küsi üle enne maksmist |
Kui asi siiski valesti läheb
Oled maksnud ja ei usalda enam seda? Siis loeb iga tund.
- Helista kohe oma panka ja küsi, kas makse saab peatada või tagasi kutsuda.
- Teata sellest CERT-EE-le (RIA, https://www.ria.ee/) ja esita avaldus Politsei- ja Piirivalveametile (https://www.politsei.ee/).
- Hoiata tarnijat: kui tema postkast on üle võetud, saavad ka teised kliendid võltskirju.
- Kui sõnum tuli sinu enda või kolleegi postkastist, võib see olla üle võetud. Vaheta parool, tühista seansid ja kontrolli suunamisreegleid (õppetunnid 2.5 ja 3.5).
Kokkuvõte
- Andmepüük, juhatuse esindaja pettus ja arvepettus on sotsiaalne manipuleerimine: sind veendakse ise midagi tegema.
- Suunatud andmepüük on sinule kohandatud ja seetõttu palju veenvam; õigekirjavead ei ole enam hea tunnus.
- Juhatuse esindaja pettus mängib autoriteedi, salajas hoidmise ja ajasurvega.
- Arvepettuse puhul on sageli ainult IBAN teine, vahel otse tarnija tegelikust häkitud postkastist saadetuna.
- Maksekord, mis sisaldab tagasihelistamist tuntud numbrile ja nelja silma põhimõtet, hoiab ära enamiku pettusi, isegi kui sa võltskirja ise ära ei tunne.
Test
Ülesanne
Ülesanne A1.2: Tunne pettus ära. Saad kuus lühikest sõnumit. Märgi iga sõnumi kohta, kas see on tõenäoliselt andmepüük, juhatuse esindaja pettus, arvepettus või tavaline sõnum, ning milline tegevus on sobiv. Programm kontrollib vastused ja näitab iga sõnumi juures tunnuseid, mida oleksid võinud märgata.
Ülesanne D1.2: Sinu enda maksekord. Kirjuta oma ettevõtte maksekord ühele A4-lehele: millal helistada tagasi, millisele numbrile, kes teeb teise kontrolli ja alates millisest summast. Arutage seda kõigi töötajatega, kes makseid teevad.
Ülesanne D1.2: Sinu enda maksekord
Nii teed seda: (1) Kirjuta ühele A4-lehele, millal makse vajab lisakontrolli: muudetud kontonumber, uus saaja, summa üle piiri, mille sa ise valid, kiirnõue tavapärasest teest mööda minnes. (2) Kirjuta üles, kuidas tagasi helistada: ainult numbril, mis on sinu enda arvestuses, lepingus või ametlikul veebilehel, mille sa ise sisestad. (3) Määra teine inimene, kes kontrollib kaasa (üksikettevõtjana: kindel ooteaeg, näiteks üks öö). (4) Lepi juhtkonnaga kokku, et korda ei jäeta kunagi e-kirja või vestluse tõttu vahele. (5) Arutage A4-leht läbi kõigiga, kes makseid teevad, ja riputa see üles.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Veel lugemist
WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate puhul toimib see sarnaselt.
- Kas see e-kiri on tõesti WebOkélt? Kuidas tunda ära andmepüük ja kasutada sooduskoodi
- ICANNi või registri kirjad sinu domeeni kohta: pärised või võltsid, ja mida sa pead tegema?
- RIA soovitused, juhatuse esindaja pettus: https://www.ria.ee/
- RIA soovitused, arvel muudetud kontonumber: https://www.ria.ee/
- RIA soovitused, kaaperdatud arved: https://www.ria.ee/