Klikitud: mida nüüd teha?

Moodul 3: Andmepüügi äratundmine · Lugemisaeg: 12 minutit

Õpieesmärk: Pärast seda õppetundi tead, mida teha esimeste tundide jooksul pärast klikki, täidetud parooli, täidetud pangaandmete või avatud manuse puhul, õiges järjekorras, ning kuidas andmepüügist teatada ja seda edastada.
Põhimõisted: piiramine, parooli vahetamine puhtast seadmest, seansside tühistamine, pangale helistamine, teatamine, andmepüügikirja edastamine (näiteks CERT-EE-le ja ära kasutatud kaubamärgile)

See juhtub kõigiga

Igaüks klõpsab kunagi valel lingil. Ka need, kes on selle kursuse läbinud, ka IT-inimesed. Hea andmepüügikiri saabub valel hetkel, õige looga. Häbenemisest pole kasu, kiirest tegutsemisest on. Mida kiiremini sekkud, seda vähem jõuab ründaja saaduga teha.

Seepärast on esimene samm igas ettevõttes: teata sellest kohe, kolleegile, kes IT-d korraldab, või oma IT-ettevõttele. Lepi kokku, et see, kes klikist teatab, saab tänusõnad, mitte noomituse (sellest rohkem õppetunnis 9.2). Kes kardab karistust, ei ütle midagi, ja siis on ründajal päevade kaupa aega.

Esmalt tuleb kindlaks teha: mis täpselt juhtus?

Mida teha, sõltub sellest, kui kaugele asjad jõudsid. Tee see esmalt lühidalt ja ausalt selgeks.

Ainult klikkimine ei ole tavaliselt tõsine: tänapäevased brauserid on hästi kaitstud. Kuid klikk võib käivitada ka allalaadimise. Kui kahtled, käsitle seda raskema olukorrana.

Samm-sammult esimestel tundidel

1. Teata oma ettevõttes. Kohe, ka kahtluse korral. Räägi, mida nägid, millal, ja mida täitsid või avasid. Säilita kiri: ära kustuta seda, sul läheb seda vaja teatamiseks.

2. Piira. Kas avasid manuse või andsid kellelegi juurdepääsu? Eemalda seade võrgust: lülita wifi välja, tõmba võrgukaabel välja. Ära lülita seda kohe välja, sest see, mis on mälus, võib aidata uurimisel (õppetund 8.3). Ära jätka tööd sellel seadmel.

3. Helista pangale, kui on tegu rahaga. Kui täitsid pangaandmed või kinnitasid makse, helista kohe oma panka, kaardil oleval numbril või ametlikul veebisaidil olevale numbrile. Mida kiirem, seda suurem on võimalus, et makse peatatakse või tagasi saadakse. Ka vale IBAN-i tehtud makse pärast arvepettust tuleb kohe pangale teatada.

4. Vaheta parool puhtast seadmest. Vaheta selle konto parool, mille täitsid. Tee seda teisel seadmel kui see, millel manuse avasid, sest seal võib programm sinuga kaasa vaadata. Sisesta aadress ise või kasuta järjehoidjat, mitte kirjas olevat linki. Kui kasutasid sama parooli ka mujal, vaheta see ka seal (õppetund 2.1).

5. Tühista seansid ja vaata konto üle. Uus parool ei viska juba sees olevat ründajat alati automaatselt välja. Logi seepärast välja kõigist teistest seanssidest (õppetund 2.5) ja vaata üle, mida ta võis muuta:

• kaheastmeline autentimine: kas seal on tundmatu rakendus või tundmatu telefoninumber?
• taastamisandmed: kas taastamise e-posti aadress või telefoninumber on muudetud?
• edastusreeglid ja filtrid su postkastis: ründaja seab meelsasti reegli, mis edastab kogu kirjavahetuse, või ainult kirjad, kus on sõna "arve", oma aadressile või kustutab need kohe. Nii loeb ta kaasa, isegi kui oled oma parooli juba vahetanud;
• saadetud kirjad: kas on saadetud kirju, mida sa ise ei kirjutanud? Siis pead oma kontakte hoiatama.

6. Teata ja edasta. Vaata allpool.

7. Kontrolli, kas tegu on andmelekkega. Kas ründaja pääses postkasti, kliendiandmete faili või muusse keskkonda, kus on isikuandmeid? Siis võib olla tegu andmelekkega. Isikuandmete kaitse üldmääruse (GDPR) kohaselt tuleb andmelekkest teatada ilma põhjendamatu viivituseta ja võimalusel 72 tunni jooksul pärast avastamist Andmekaitse Inspektsioonile, välja arvatud juhul, kui see tõenäoliselt ei kujuta ohtu asjaomastele inimestele. Igal juhul kirjuta see oma andmeleketeregistrisse. Kuidas seda hinnata, õpid õppetunnis 8.2.

Andmepüügist teatamine ja edastamine

Teatamisest on kasu, ka siis, kui midagi ei juhtunud. Nii saab võltsitud veebisaidi kiiremini maha võtta ja teisi hoiatada.

CERT-EE-le. Teata petukirjast CERT-EE-le (RIA, https://www.ria.ee/), kui saad valekirju koos kahtlaste linkide või manustega. Soovitused:

• edasta kiri soovitavalt manusena. Tavalise edastamise korral lähevad tehnilised andmed (päised õppetunnist 3.3) kaotsi. Kui see ei õnnestu, näiteks telefonis, edasta see siis lihtsalt edasi;
• kui kiri näib pärinevat pangast või mõnest muust tuntud ettevõttest, lisa selle ettevõtte aadress koopiasse (cc). Mõned organisatsioonid avaldavad oma veebisaidil nimekirja sellistest aadressidest;
• sms, WhatsApp ja muud sõnumid teata läbi RIA soovitustes viidatud kanalite või politseile (https://www.politsei.ee/). Sama kehtib kahtlase kirja puhul, millel pole linke ega manuseid, ning telefonis toimunud abikeskuse-pettuse puhul.

Paljudes meiliprogrammides nimetatakse manusena edastamist "Edasta manusena" või midagi sarnast.

Ära kasutatud kaubamärgile. Kui panga, vedaja või tarnija nime on kuritarvitatud, teavita sellest organisatsiooni kanali kaudu, mille otsid üles nende enda päris veebisaidilt, mitte sõnumist. Paljudel organisatsioonidel on andmepüügi jaoks oma teatamise aadress. Kui tegu on sinu enda majutusettevõtte või meiliteenuse pakkujaga, saada see ka sinna; WebOkés saab seda teha pileti kaudu, kirjaga manusena (Teadmistebaas 581).

Avalduse esitamine politseile. Kui oled raha kaotanud, või kui on toimunud kuritarvitus või selle katse, esita avaldus. Vastav teatamiskanal annab nõu ja kogub teateid, kuid ei saa ise juurdlust teostada. Seda saab teha ainult politsei.

Pärast seda võid kirja kustutada ja saatja blokeerida.

Kontroll nädala pärast

Rünnak ei ole alati ühe päevaga läbi. Sea meeldetuletus nädalaks hiljem:

• Kas on uusi sisselogimisteateid või tundmatuid seansse?
• Kas pangakontol on tundmatuid makseid?
• Kas postkastis on uusi edastusreegleid või filtreid?
• Kas kliendid või tarnijad kurdavad imeliku kirja üle sinu nimel? Siis võidakse su postkasti endiselt kuritarvitada rämpsposti saatmiseks (Teadmistebaas 25).
• Mida saame õppida? Kas kirja oli hea ära tunda, ja mis oleks selle järgmisel korral varem silma jäänud?

Praktikas: nii see välja näeb

Esmaspäev, kell 9:12. Fatima pagariäri Example'ist täidab oma meili parooli "raamatupidamistarkvara" võltsitud sisselogimislehel. Kell 9:15 näeb ta, et aadress oli boekhoudpakket.inlog-check.example. Ta teatab sellest Keesile, kes IT-d korraldab. Kell 9:20 vahetab Kees oma sülearvutist Fatima postkasti parooli ja logib kõik seansid välja. Veebimeilis leiab ta uue reegli: kõik kirjad sõnaga "arve" lähevad tundmatule aadressile ja kustutatakse seejärel. Ta eemaldab reegli, lülitab sisse kaheastmelise autentimise ja vaatab üle saadetud kirjad: midagi pole saadetud. Fatima edastab andmepüügikirja manusena CERT-EE-le. Kees märgib selle intsidendipäevikusse ja kontrollib, kas ründaja võis näha isikuandmeid. Nädala pärast vaatab ta reeglid ja seansid uuesti üle.

Kus need reeglid ja seansid asuvad, erineb keskkonniti. WebOkés on aadressi edastused Minu WebOkés ja DirectAdminis (Forwarders), ja reegel võib olla ka veebimeilis või meiliprogrammis endas. Teiste pakkujate juures toimib see sarnaselt: otsi edastamist, forwardereid, reegleid või filtreid.

Kokkuvõte

• Igaüks klõpsab vahel valesti. Teata sellest kohe, ilma häbita, ja leppige kokku, et teatamist premeeritakse.
• Tee esmalt kindlaks, mis juhtus: ainult klõpsamine, parool, kood, pangaandmed, manus või kaugjuurdepääs.
• Järjekord: teatamine, piiramine (võrgust eemaldamine), pangale helistamine rahaasjade puhul, parooli vahetamine puhtast seadmest, seansside tühistamine ja konto ülevaatamine (eriti edastusreeglid), teatamine ja edastamine, andmelekke hindamine.
• Edasta valekiri manusena CERT-EE-le (RIA), koos ära kasutatud kaubamärgiga koopias (cc); sms ja vestlussõnumid vastava kanali kaudu. Kahju korral: avaldus politseile.
• Kontrolli nädala pärast uuesti üle.

Test

Ülesanne

Ülesanne A3.5: Sammude kaart pärast klikkimist. Saad olukorra ja virna kaarte sammudega. Vali, millised sammud on vajalikud, ja sea need õigesse järjekorda. Programm kontrollib ja selgitab, miks mõni samm peab olema varem või hiljem.

Lisalugemist

WebOké artiklites olevad sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures toimib see sarnaselt.

• Kas see e-kiri on tõesti WebOkélt? Kuidas tunda ära andmepüük ja kasutada sooduskoodi
• Postkast üle võetud või spämm sinu aadressilt: nii koristad üles
• WebOké juhend 3.6: Aktiivsete seansside vaatamine ja väljalogimine
• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• CERT-EE (RIA), petukirjast teatamine: https://www.ria.ee/
• Politsei- ja Piirivalveamet, pettusest teatamine: https://www.politsei.ee/
• Madalmaade NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing