Kuusi vinkkiä huijausviestien tunnistamiseen

Nyt on puheluita ollut vähemmän, mutta enemmän on tullut kryptohuijareita esimerkiksi Telegramissa. Eräiden suosittujen keskustelukanavien kautta tuntuvat skannaavan käyttäjiä. Tuossa alustassa kun ei voi estää viestejä tuntemattomilta ennen kuin ovat viestin lähettäneet, sitten voi report spam ja block.

Liittyyköhän tuohon kun turvaposti.fi ei ole tavoitettavissa tällä hetkellä. Taitaa itänaapuri DDoSsata oikeaa, että ihmiset lankeaa helpommin huijausviesteihin. Pari kertaa olen itse saanut moisen ja tuntuu todella epäturvalliselta ja hankalalta idealta saada linkkejä viesteissä. 

Nyt toimii taas. Malliviestin lähettämisen perusteella tuo Turvaposti perustuu vain puhelinnumeroon lähetettävään viestiin eli ei tarjoa juurikaan lisäturvaa. Oikeaa lisäturvaa sähköpostiin toisi joko PGP tai realistisemmin vahvan tunnistautuminen vaatiminen itse viestiä lukiessa.Yleisempiä käyttötarkoituksia Turvaposti listaa mm. terveydenhuollon ja sosiaalihuollon, jota varten ainakin meillä on OmaKannan lisäksi https://www.hyvis.fi/ ja nämä vaativat vahvan tunnistatumisen tekstiviestipelleilyn sijaan. En ollutkaan itse saanut juuri tuon palvelun posteja vaan esim pankit lähettävät linkin omille sivuilleen.

Ei ne tekstiviestit ole yhtään sen salatumpia kuin selväkieliset sähköpostit. Puhelimet ovat vielä astetta helpompia kohteita hakkereillekin kuin tietokoneet ja silloin pääsee lukemaan yleensä sekä sähköposteja että kaikkia muitakin viestejä ja kaksivaihe onkin taas turvaton yksivaihe.

Noitahan on maailmalla tapahtunut vaikka kuinka, että rikolliset onnistuvat hankkimaan uuden SIM kortin liittymälle asiakaspalvelua huijaamalla ja pääsevät käsiksi kaikkiin kaksivaiheviesteihin. Joskus oli legendaa siitä, että vanhalla Nokialla sai jopa väärennettyä numeron niin, että pankkien viestit saapuivat myös rikollisille. Ainakin Saksassa kun nettipankeissa siihen aikaan maksut sun muut vahvistettiin tekstiviestillä eikä vahvalla tunnistaumisella niin vähän väliä sai lukea väärinkäytöksistä.

Aivan, muistelinkin että olivat nimettyjä turvaposteiksi, vaikka lähettävä taho ja toteutus oli eri. Hölmö käytäntö silti verrattuna siihen, että sähköpostista kerrotaan vaan uudesta lukemattomasta viestistä ja ihan itse pitää mennä sovellukseen tai sivulle lukemaan se vahvan tunnistautumisen jälkeen.

Tiedän kyllä varsin hyvin miten erilaiset tunnistautumiset toimivat ettei tarvitse lukea yhtään mitään lisää aiheesta. Itse olisin pärjännyt varsin hyvin ilman sitä kun en ole vielä kertaakaan onnistunut antamaan edes niitä ensimmäisiä tunnuksia yhtään kenellekään muulle. Toki käytän esim sähköposteissa kunhan sen saa myös olemaan kyselemättä sen perään joka kerta vaan kerta per laite riittää. 

Samoin minulle antivirukset sun muut eivät ole ikinä tuoneet mitään lisäturvaa, kun yksikään niistä muutamasta positiivisesta vuosikymmenten aikana ei ole ollut oikea. Maalaisjärki ja kyynisyys ovat parhaita turvia ihan kaikkia uhkia vastaan kun taas kaksivaiheinen tunnistautuminen ei suojaa siinä vaiheessa kun ihan itse olet antamassa sekä tunnukset että varmistuskoodit rikolliselle. Pikemminkin se voi luoda joillekin valheellisen turvallisuuden tunteen ettei tarvitse enää huolehtia niin tarkkaan. 

Nämä ovat puhtaasti siis omia mielipiteitäni omaan tekniseen tietämykseeni pohjaten. Monelle vähemmän osaavalle siitä taas voi olla paljonkin hyötyä jos käyttää esim samaa 8 merkin salasanaa joka palvelussa ja yhden vuotaessa on jokainen muukin vaarassa. Tai jos klikkaa jokaista Nigerian prinssin lähettämää linkkiä, itse en edes lue roskapostia vaan poistan suoraan koko kansiollisen kerralla, joten en sen tarkemmin tiedä edes mitä ne sisältävät muuten kuin lehtijuttuja lukemalla. Siellä niitä on yleensä kymmenittäin ja jo otsikosta ja lähettäjästä näkee suoraan, ettei ole mitään oikeaa mennyt vahingossa roskiin. 

Ainoa lähes 100% varma tapa olla lankeamatta huijauksiin on pitää kaikkea oletuksena huijauksena ja oppia tunnistamaan ne harvat oikeat viestit. Huijaukset kun voivat olla uudenlaisia joka kerta, mutta oikeat viestit ovat aina samanlaisia. Harmi vaan, että usein näissä huijauksiin langenneista kertovissa jutuissa mainitaan miten “Olin lukenut näistä ja tiedän ettei pitäisi, mutta väsyneenä kiireessä annoin silti pankkitunnukseni” tai jotain vastaavaa. Valistuksen pitää olla mielessä joka hetki, mutta huijari tarvitsee vain 1 hetken herpaantumisen.