Õngitsuskirja äratundmine veebipostis

Moodul 2: Kirjade lugemine · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda õppetundi tunned ära õngitsuskirja tunnused, oskad veebipostis kontrollida, kuhu link ja vastus päriselt lähevad, ning tead, mida teha kahtlase kirjaga ja siis, kui oled siiski klõpsanud.

Põhimõisted: õngitsus (phishing), lingi tekst, tegelik link, domeeninimi, alamdomeen, sarnane domeen (lookalike), Vastus aadressile, hoiatus kahtlaste aadresside kohta, Teata rämpspostist, teine kanal

Mis on õngitsus

Õngitsus (inglise keeles phishing) on kiri, mis püüab sind meelitada tegema midagi, mis aitab saatjat: logima sisse võltsitud lehel, tegema makse, avama manuse või saatma andmeid tagasi. Ingliskeelne sõna tuleneb sõnast fishing ehk kalapüük: ründaja viskab õnge vette ja ootab, kes hammustab.

Enamik õngitsusi ei puuduta sinu arvutit, vaid sind ennast. Sageli pole kirjas mingit viirust. Kiri tahab ainult, et sa ise midagi teeksid. Seepärast aitab viirusetõrje vaid piiratult, küll aga aitab nippide tundmine.

Püsivad koostisosad

Peaaegu iga õngitsuskiri kasutab ühte või mitut neist võtetest:

• Kiirustamine: "24 tunni jooksul", "veel täna", "viimane meeldetuletus". Kes kiirustab, kontrollib vähem.
• Ähvardus: sinu postkast suletakse, sinu domeen aegub, sul on tasumata otsekorraldus, sinu pakk saadetakse tagasi.
• Tasu või uudishimu: tagasimakse, jagatud dokument, kõneposti sõnum.
• Nupp või link lehele, mis näeb välja nagu sinu panga, teenusepakkuja või veebiposti leht.
• Saatja või domeen, mis on peaaegu õige.
• Teistsugune vastuse aadress, nii et sinu vastus jõuab petturini.

Kiri, milles on kiirustamine ja ka link sisselogimislehele, väärib alati teist pilku, isegi kui see näeb korralik välja. Hea õngitsuskiri on juba ammu ilma keelevigadeta.

Lingi tekst ja tegelik link

Kirjas on tekst, mida sa näed, ja aadress, kuhu link viib, kaks eri asja. Kirja lähtekoodis näeb see välja nii:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.ee
</a>

Sa näed https://webmail.weboke.ee, aga satud hoopis teisele aadressile. Arvutis kontrollid seda nii: vii hiir lingi või nupu kohale, ilma klõpsamata. Brauseriakna alaossa ilmub tegelik aadress. Telefonis või tahvelarvutis hoia linki pikalt all; siis avaneb menüü, mille ülaosas on aadress. Ära vali seejärel avamist.

Veebiaadressi lugemine

Tegelikku aadressi pead oskama ka korralikult lugeda. Vaata osa, mis jääb https:// ja järgmise kaldkriipsu vahele. Loe seda paremalt vasakule: laiend (.nl, .com, .example) ja sellele eelnev sõna moodustavad koos domeeninime. See on osa, millel on tähtsus.

• https://webmail.weboke.ee/ : domeeninimi on weboke.nl. Selle ees olev osa webmail teeb sellest alamdomeeni; seda tohib luua ainult weboke.nl omanik.
• https://login.weboke.nl.account-check.example/inloggen : domeeninimi on account-check.example. Kõik selle ees ("login.weboke.nl") on alamdomeen, mille ründaja ise valis. See on tuntuim nipp.
• https://weboke-beveiliging.example/ : sarnane domeen. Selles on tuntud nimi, aga see on teine domeen, mida võib registreerida igaüks.
• https://www.example.com@account-check.example/ : kõike enne märki @ eiratakse; sa satud aadressile account-check.example.

On ka domeene, mis kasutavad tähenippe: number 0 tähe o asemel, rn tähe m asemel või teise tähestiku tähed, mis näevad välja täpselt samamoodi. Kui sa sellist erinevust palja silmaga ei näe, aitab paroolihaldur: see täidab parooli ainult õigel domeenil (õppetund 1.3).

Saatja ja Vastus aadressile

Õppetunnis 2.2 nägid, et kuvatav nimi ei tõesta midagi ja et väljal Vastus aadressile võib olla oma aadress. Õngitsuse puhul käivad need kaks sageli koos. Kiri on justkui saadetud "WebOké Support" poolt, aadress on support@weboke-beveiliging.example ja Vastus aadressile viitab tasuta e-posti aadressile. Või tuleb kiri sinu juhi päris aadressilt, aga Vastus aadressile viitab teisele domeenile. Viimast näed sageli juhipettuse (CEO-pettuse) puhul: "kiireloomuline makse", mida juht väidetavalt koosoleku pealt palub.

Veebipost aitab natuke. Kui saatja aadressis on märke, mis näevad välja nagu tavalised tähed, aga ei ole seda, kuvab veebipost sõnumi kohal hoiatuse, et sõnumis on e-posti aadresse, mis ei pruugi olla usaldusväärsed. Kui näed seda teadet, pea kirja kahtlaseks. Kui sa seda ei näe, ei tähenda see midagi: enamik õngitsusi kasutab lihtsalt teist domeeni.

Ja pea meeles õppetunnist 2.2: kiri, mis läbib korralikult SPF-, DKIM- ja DMARC-kontrolli, võib ikkagi olla õngitsus. Ründaja kasutab siis oma, päris domeeni.

Mida teha kahtlase kirjaga

1. Ära klõpsa, ära vasta, ära ava manust. Ka mitte "korraks vaatamiseks".
2. Mine ise saidile. Kas kiri räägib sinu pangast, teenusepakkujast või pakist? Ava sait või rakendus nii, nagu sa seda alati teed: järjehoidja kaudu või aadressi ise sisestades. Kui seal midagi pole, oli kiri võlts.
3. Kahtluse korral helista numbrile, mis sul juba olemas oli, mitte kirjas olevale numbrile.
4. Teata kirjast. WebOké veebipostis nupuga Teata rämpspostist: sõnum läheb WebOké rämpspostimeeskonnale ja sinu kausta Rämps. Kui kiri puudutab sinu panka, suuna see ka selle panga teavitusaadressile. Eestis saad õngitsusest teatada ka CERT-EE-le (RIA, www.ria.ee) ja politseile (www.politsei.ee).
5. Hoiata kolleege, kui kiri läks sinu organisatsioonis rohkematele inimestele.

Klõpsasid või logisid siiski sisse?

See võib juhtuda igaühega. Kiire tegutsemine annab suurima vahe.

• Muuda kohe oma parool seadmest, mida usaldad, ja ka igas muus kohas, kus kasutasid sama parooli.
• Lülita sisse kaheastmeline kinnitamine (õppetund 8.1).
• Otsi postkastist jälgi. Ründajad, kes postkasti pääsevad, loovad sageli filtri, mis suunab kirju edasi või peidab neid, või muudavad sinu identiteedis välja Vastus aadressile. Vaata jaotisi Seaded > Filtrid, Seaded > Identiteedid ja Kontorist väljas, kas seal on midagi, mida sa ise ei loonud.
• Kas sisestasid makseandmeid? Helista kohe oma pangale.
• Kas sinu postkast saadab äkki rämpsposti? Teata sellest oma teenusepakkujale.

Praktikas: nii töötab see veebipostis

Veebipostis vii hiir lingi kohale, et näha tegelikku aadressi brauseri alaosas. Nupuga Detailid näed saatja aadressi ja koostamisaknas näed, kuhu vastus läheb. Nupp Teata rämpspostist on sõnumi kohal.

Pildil näed akent, mis ilmub, kui klõpsad nupul Teata rämpspostist. Roundcube'i käsiraamat kirjeldab seda jaotises Rämpspostist teatamine nupuga Teata rämpspostist. Teistes veebipostides, näiteks Gmail või Outlook.com, toimib see sarnaselt: seal on nupu nimi näiteks Teata õngitsusest või Teata.

Kokkuvõte

• Õngitsus kasutab kiirustamist, ähvardust, linki võltsitud lehele ja saatjat, mis on peaaegu õige.
• Lingi tekst ja tegelik link erinevad: vii hiir lingi kohale või hoia telefonis linki pikalt all.
• Loe domeeninime paremalt vasakule; kõik, mis on selle ees, valib selle domeeni omanik ise.
• Vastus aadressile teisele domeenile ja hoiatus kahtlaste aadresside kohta on ohumärgid; edukas DMARC-kontroll ei tõesta usaldusväärsuse kohta midagi.
• Ära klõpsa, mine ise saidile, teata; kui siiski klõpsasid: muuda parool ning kontrolli oma filtrid ja identiteedid üle.

Test (quiz)

Ülesanne

Ülesanne A2.4: Kahtlase kirja lahtiharutamine. Materjal phishing-1.eml on selle ülesande all. Ava see tekstina (näiteks programmis Märkmik või TextEdit, mitte oma e-posti programmis) ja otsi üles päised From ja Reply-To ning sisus oleva nupu taga olev aadress (href). Täida: saatja tegelik domeen, domeen, kuhu nupp päriselt viib, välja Vastus aadressile domeen, ja vali, kas usaldad kirja. Programm võrdleb sinu vastuseid vastuste võtmega ja näitab iga küsimuse juures, kust oleksid selle failist leidnud.

Lisalugemist

Kui juhendis on veebiposti sammud, kehtivad need WebOké veebiposti kohta; teistes veebipostides toimib see sarnaselt.

• Roundcube Webmail 11.2: Rämpspostist teatamine nupuga Teata rämpspostist
• Kas see e-kiri on tõesti WebOkélt? Õngitsuskirjade äratundmine ja sooduskoodi kasutamine
• Kuidas tuvastada andmepüüki: nii loed linki ja saatjat
• Postkast üle võetud või spämm sinu aadressilt: nii koristad üles
• Tasuta kursus Turvaline veebis tegutsemine ettevõtjatele 1.2: Andmepüük, juhatuse esindaja pettus ja arvepettus
• Tasuta kursus Turvaline veebis tegutsemine ettevõtjatele 3.2: Domeenide ja linkide lugemine
• Tasuta kursus Turvaline veebis tegutsemine ettevõtjatele 3.5: Klikitud: mida nüüd teha?