Tietojenkalastelu yleistyy – Miten voi suojautua?

Tietojenkalastelu on yhä kasvava ongelma ja valitettavasti myös hyvin kallis sellainen. Viime vuonna suomalaisilta huijattiin yli 70 miljoonaa euroa, ja suurin osa menetyksistä liittyi juuri tietojenkalasteluhuijauksiin.

Tietojenkalastelusta on puhuttu jo vuosien ajan, mutta siitä huolimatta se on edelleen yksi yleisimmistä kyberuhista. 

Huijaukset eivät kosketa vain yrityksiä tai teknologia-alan ammattilaisia, vaan ne voivat tulla vastaan kenelle tahansa arjessa: sähköpostissa, tekstiviesteissä tai vaikkapa sosiaalisen median kautta. Siksi aihe nousee esiin kerta toisensa jälkeen myös uutisotsikoissa.

Miksi tietojenkalastelu on niin suosittua?

Tietojenkalastelu on helppo toteuttaa, ja siinä isketään tietoturvan heikoimpaan lenkkiin eli ihmiseen. Viestit kehittyvät jatkuvasti, ja erilaiset teknologiat, kuten koneoppiminen ja tekoäly, auttavat rikollisia saavuttamaan tavoitteensa.

Miten suojautua tietojenkalastelulta?

Yksi parhaista keinoista on MFA, eli monivaiheinen tunnistautuminen. Silti Suomessa vain hieman yli 40 % organisaatioista käyttää monivaiheista tunnistautumista Microsoft 365 -tileissä.

Monivaiheinen tunnistautuminen koetaan usein monimutkaiseksi tai hankalaksi, vaikka lähes kaikki käyttäjätilien kaappausyritykset voidaan estää sen avulla. Vaikka rikollisella olisi käyttäjätunnus ja salasana, tarvitaan vielä lisävahvistus ennen kuin hän pääsee sisään. Tämä nostaa kynnystä ja vaatii rikolliselta huomattavasti enemmän vaivaa.

Monivaiheiseen tunnistautumiseen on useita vaihtoehtoja. Yleisimpiä ovat autentikaattorisovellukset, biometrinen tunnistautuminen sekä push-ilmoitukset ja tekstiviestit. 

Tekstiviestien käyttö on vähentynyt niiden tietoturvariskien vuoksi. Sen sijaan vahvempiin tunnistautumismenetelmiin, kuten fyysisiin tietoturva-avaimiin, siirrytään yhä useammin erityisesti organisaatioissa, joissa tietoturvan tasolle asetetaan korkeampia vaatimuksia.

Fyysinen tietoturva-avain (FIDO2) on hyvä vaihtoehto lisäsuojaukseen

Fyysinen tietoturva-avain toimii PIN-koodin ja käyttäjän fyysisen kosketuksen avulla. Kosketusta ei voida tehdä etänä, mikä tekee menetelmästä erittäin vastustuskykyisen tietojenkalastelulle ja tilien kaappausyrityksille. Lisäksi FIDO2-pohjaiset avaimet estävät kirjautumisen väärennetyille sivustoille, vaikka käyttäjä päätyisi huijaussivulle.

Pienellä investoinnilla voidaan merkittävästi vähentää riskejä ja välttää mahdolliset tietomurtoihin, väärinkäytöksiin ja selvitystyöhön liittyvät kustannukset. Fyysinen tietoturva-avain on kuin Abloy-avaimesi: vain sinä tiedät, mihin oveen se sopii. Emme pidä ovia auki emmekä kutsu tuntemattomia sisään. 

Ihmisten osaaminen on tärkeää

Teknologia ei yksin kuitenkaan ratkaise kaikkea. Tietoturva on myös toimintatapoja ja jatkuvaa valppautta. Organisaatioissa on tärkeää kouluttaa henkilöstöä tunnistamaan huijausyritykset, varmistaa selkeät toimintamallit epäilyttävissä tilanteissa sekä ottaa käyttöön vähimmän oikeuden periaate ja ajantasaiset päivitykset. Kun tekniset ratkaisut ja käyttäjien osaaminen kulkevat käsi kädessä, riskejä voidaan pienentää merkittävästi.

Kirjoittaja Emma Mussalo työskentelee tietoturvatukkuri Infinigate Finland Oy:ssä markkinoinnin ja myynnin parissa. Infinigate toimittaa tietoturvaratkaisuja kumppaniverkostonsa kautta.