Mitä tarkoittaa phishing eli verkkourkinta?

Verkkourkinta eli phishing on huijausmenetelmä, jossa käytetään hyödyksi esimerkiksi tekaistuja sähköposteja tai verkkosivustoja käyttäjien tietojen tai rahavarojen keräämiseksi. Usein huijarit pyrkivät viesteissään tai luomallaan verkkosivustollaan esittämään jotain toista sivustoa tai isoa yritystä. Suomessa on törmätty esimerkiksi Nordean ja Postin kaltaisten yritysten nimissä tehtyihin huijauksiin ja huijausyrityksiin.

Tietojen kalastelu on merkittävä ongelma, ja haavoittuvaisessa asemassa ovat erityisesti vanhemmat ihmiset sekä ihmiset, joilla ei ole paljoa kokemusta internetistä tai huijausviesteistä.

Huijarit pyrkivät saamaan käyttäjän syöttämään tietonsa esimerkiksi tekaistulle verkkosivustolle. Näitä tietoja saatetaan sitten käyttää suoraan rahan anastamiseksi, tai tiedot voidaan kaupata eteenpäin. Joissain huijausyrityksistä saatetaan myös yrittää saada käyttäjä siirtämään tilisiirrolla rahaa huijareiden tilille.

Miten tunnistaa phishing-hyökkäys?

• Viestissä kehotetaan tekemään jotain. Suurin osa phishing-tapauksista nojaa ihmisten pelkoon jäädä paitsi jostakin, mikä johtaa helposti harkitsemattomiin valintoihin. Huijarit saattavat esimerkiksi mainostaa tarjousta, joka on saatavilla vain lyhyen ajan. Phishing tarkoittaa suomeksi verkkourkintaa, ja juuri tätä tarkoitusta varten pyritään luomaan kuva uskomattoman hyvästä tarjouksesta tai mahdollisuudesta.
• Sinua yritetään pelotella. Joissain tapauksissa huijarit yrittävät pelotella käyttäjän tekemään jotain. He saattavat esimerkiksi lähettää viestin, jossa kehotetaan kiireellisesti vaihtamaan jonkin sivuston tai palvelun salasana tilillä tapahtuneen epäilyttävän toiminnan takia. Riskiä voi välttää tekemällä kaikki tiliin liittyvät toimet suoraan palvelun virallisen verkkosivuston kautta ilman, että klikkaa sähköpostiviestien linkkejä, jotka saattavat johdatella huijaussivustolle.
• Viestissä on liitteitä. Yritykset eivät yleensä lähetä uutiskirjeitä, huomautusviestejä tai muita viestejä liitteiden kera. Älä koskaan lataa tai avaa epäilyttäviä liitteitä, sillä ne saattavat pitää sisällään haittaohjelmia.
• Viesti ei vaikuta tulleen oikealta lähettäjältä. Jos jokin yritys yllättäen lähettää viestinnästään poikkeavan viestin sinulle, saattaa kyseessä olla huijaus. Samaan kategoriaan kuuluvat myös huonolla suomen tai englannin kielellä lähetetyt viestit, tai esimerkiksi epäilyttävä viestin asettelu, joka poikkeaa lähettäjän normaaleista viesteistä.

Erilaiset phishing-tyypit

Spear phishing

Spear phishing viittaa tarkkaan kohderyhmään suunnattuun verkkourkintaan. Kohteena saattaa olla esimerkiksi tietty yksittäinen henkilö tai jonkin organisaation työntekijät. Tällaisessa hyökkäyksessä käytetään hyödyksi verkosta löytyvää tietoa tai mahdollisen tietomurron myötä hankittuja tietoja. Näitä tietoja käytetään hyödyksi tekeytymällä esimerkiksi uhrille läheiseksi henkilöksi ja kalastelemalla erilaisia tietoja.

Whaling

Whaling viittaa verkkourkintaan, jossa pyritään hyödyntämään auktoriteettiasemia. Hyökkääjät tekeytyvät yrityksen korkea-arvoiseksi jäseneksi, kuten toimitusjohtajaksi, hallituksen jäseneksi tai isoksi omistajaksi. Hyökkääjät saattavat yrittää saada työntekijöitä siirtämään esimerkiksi rahaa huijarin tilille.

Viestien kloonaus

Viestien kloonauksessa phishing-rikollisella on oltava pääsy uhrin sähköpostiin. Rikolliset valitsevat tällöin saapuneista viesteistä jonkin, tekevät siitä kloonin sekä sisällyttävät siihen haitallisia linkkejä tai liitteitä. Uudessa klooniviestissä saatetaan sanoa, että se pitää sisällään päivitettyä tietoa.

Kloonattuun viestiin saatetaan sisällyttää esimerkiksi lasku, jonka saajan tilinumeroksi ilmoitetaankin rikollisten pankkitili. Kloonausviestit ovat erityisen petollisia, sillä ne perustuvat aina todelliseen laskuun tai viestiin, jonka käyttäjä on saanut. Näin ne ovat myös huomattavasti henkilökohtaisempia ja yleensä aidomman oloisia.

Tekstiviestihuijaukset

Verkkourkinta ja phishing eivät rajoitu vain tietokoneelle ja sähköpostiin. Etenkin viime vuosina erilaiset tekstiviestihuijaukset ja soittohuijaukset ovat olleet yleinen verkkourkinnan muoto. Urkkijat tekeytyvät yleensä jonkin tunnetun yrityksen edustajaksi ja pyrkivät saamaan käyttäjästä tietoja.

Soittohuijauksia tehtaillaan monista kehittyvistä maista. Esimerkiksi Microsoft-tueksi tekeytyvät soittajat ovat piinanneet suomalaisia jo vuosien ajan. Soittohuijauksissa saatetaan huijata uhri antamaan rikollisille etäpääsy tietokoneelle. Toinen vaihtoehto on, että uhria pyydetään kertomaan verkkopankkitunnuksensa, luottokorttinumeronsa tai jotain muuta tietoa, jonka perusteella huijarit yrittävät saada pääsyn uhrin rahoihin.

Miten suojautua phishing-hyökkäyksiltä?

• Hyödynnä roskapostisuodattimia. Paras tapa suojautua urkintasähköposteilta on käyttää sähköpostipalveluiden roskapostisuodatusta. Voit edesauttaa roskaviestien tunnistamista merkkaamalla itse roskapostiksi tunnistamasi viestit.
• Hanki selainsuodatin. Roskapostisuodattimet eivät aina toimi sataprosenttisesti, ja huijausyritysten muuttuessa entistä huolitellummiksi sähköpostiohjelmistojen on vaikea pysyä perässä. Tällöin NordVPN:stä ja sen tarjoamasta CyberSec-ominaisuudesta voi olla apua. Lue tästä, mikä on VPN, ja miten se voi auttaa suojaamaan toimintasi netissä.
• Opi tunnistamaan huijaukset. Tämä voi vaatia hieman harjoittelua, mutta ajan kanssa opit tunnistamaan ainakin räikeimmät verkkourkintayritykset. Samat vanhat ohjeet pätevät tässäkin asiassa: jos jokin kuulostaa liian hyvältä ollakseen totta, se myös todennäköisesti on sitä. Myös huono kieli ja erikoinen asettelu ovat monesti merkkejä huijausviestistä.
• Syötä verkko-osoite manuaalisesti. Jos sähköpostissa pyydetään tekemään tiliin liittyviä asioita, kannattaa halutulle sivustolle siirtyä aina verkkoselaimen kautta suoraan. Jos klikkaat huijausviestin linkkiä, sinut ohjataan huijaussivustolle, joka saattaa olla vain oikean sivuston valeversio, jonka kautta sinun tietojasi kerätään.
• Tarkasta aina verkkosivuston osoite. Jos olet sivustolla, jolla sinulta pyydetään tietoja, tarkasta aina, onko kyseessä oikea sivusto. Tarkasta verkkosivuston osoite, TLS-sertifikaatti sekä selvitä, hyödyntääkö sivusto SSL-salausta. Löydät lisätietoja sivustosta klikkaamalla selaimessasi osoiterivin vasemmasta reunasta löytyvää lukon kuvaketta.
• Pysy skarppina. Phishing-yrityksissä hyödynnetään yleensä ihmisten huolimattomuutta sekä tapoihin kangistumista. Jos saat soiton jostain asiasta, ole aina tilanteesta riippumatta tarkkana. Jos tuntuu, ettet juuri sillä hetkellä pysty puhumaan, voit aina siirtää asian myöhemmäksi. Mikäli kyseessä on huijari, hän yrittää saada sinut kaikin keinoin pysymään linjalla ja paljastamaan tietojasi, mutta älä lankea tähän.