Mitä haittaa siitä on jos meille joku murtautuu, ei meillä ole mitään vietävää…

Tämä yllä esitetty teema toistuu vieläkin useissa asiakasrajapinnan keskusteluissa. Kyberuhat tuntuvat kaukaisilta ja joihinkin muihin, varsinkin isompiin organisaatioihin kohdistuvina vitsauksina. Mikään ei tänään voisi olla kauempana totuudesta.

Alla tiivistelmä 01 – 03.09.2015 selvitetyn rikoksen kulusta:

Tutkintatilanne

Meitä lähestyy kotimaassa toimiva asiakas, joka sanoo että heidän sähköpostinsa matkalla heiltä heidän asiakkaalleen Latviaan on kaapattu, liitteenä oleva PDF tilausvahvistus & lasku muokattu ja toimitettu erilaisena eteenpäin vastaanottajalle.

Kyseessä oli tilausvahvistus laskutustietoineen ja koska lähettäjäksi merkityllä Suomalaisella yrityksellä ja vastaanottavalla Latvialaisella yrityksellä oli aikaisemminkin ollut vastaavanlaista liiketoimintaa, oli vastaanottaja toiminut liitteenä olevan ohjeistuksen mukaisesti ja maksanut 17 000 euron laskun – tässä tapauksessa liitetiedoston väärentäneille kyberrikollisille.

Asia oli tullut ilmi kun oikea taho oli alkanut kyselemään maksamattoman laskun perään. Oikean toimijan identiteetti oli varastettu ja vaikka he olivat täysin syyttömiä koko tapahtumaketjuun, lopputuloksena oli syyttelyä, selvittelyä ja ikävä kyllä asiakkuuden menetys.

Tapahtumien kulku

Tutkimme tapausta ja koska toiminto, jossa itse lähetetty posti kaapattaisiin matkan varrelta on toki mahdollista, mutta se vaatisi rikollisilta murtautumista välityspalvelimille tai reitittimille, niin lähdimme purkamaan asiaa ihan yksinkertaisesti vastaanotetun muokatulla PDF liitteellä olleen viestin internet- otsikkotietojen (headerit) tutkinnalla.

Otsikkotiedoista kävi nopeasti selville, että kyseinen posti ei ollut koskaan lähtenyt oikeasti sille merkityltä lähettäjältä. Posti oli väärennetty ja sen verran uskottavasti, että vastaanottaja oli langennut ansaan ja maksanut laskun – menettäen tässä tapauksessa 17 000 euroa.

Lähettäjäksi oli merkitty ihan oikea henkilön nimi, ainoa eroavaisuus oli sähköpostiosoiteen TLD – päätteessä, joka oli tässä tapauksessa muotoa fl. Äkkiä katsoen kun fi ja fl näyttävät samanlaisilta – varsinkin ulkomaalaisten silmissä.

Kokemuksia ja opetuksia

Jo lähtökohtaisesti mahdollisuus, että väärennetyllä lähettäjätiedolla varustettuja sähköposteja otettaisiin vastaan olisi tämän päivän uhkaympäristöön peilaten estettävä. Loppukäyttäjä on turvaketjun heikoin lenkki ja sinne rikolliset toimintaansa usein kohdistavatkin.

Teknisen tietoturvan ja – ratkaisujen lisäksi keskiössä on kaikkien organisaation toimihenkilöiden oma kyberosaaminen. Kyberturva on johtoryhmän asia ja keskeinen osa koko organisaation toimintaa ja sitä ei voi ulkoistaa toimittajalle, it osastolle tai minnekään muualle.

Se mitä voi ja kannattaa ratkaisuperusteisesti tehdä, on loppukäyttäjille potentiaalisesti lankeavan hallintamahdollisuuden mahdollisimman suuri eliminoiminen. Ja juuri tähän toimintoon yritykset kasvavassa määrin valitsevat D-Fencen.