Geenius - Risk algab juba firma loomisest: mida saab pettur sinu ettevõtte kohta internetist teada?

Asutasin hiljuti tehisintellekti abil oma ettevõtte ning panin tähele, kui palju andmeid tuleb juba registreerimisel avalikustada. Näiteks juhatuse liikme nimi ja isikukood ning ettevõtte aadress, mis väikeettevõtja puhul võib olla ka tema koduaadress. Kogu seda infot koguvad automaatselt ka ettevõtted, kes hakkavad kohe pärast firma asutamist oma teenuseid pakkuma. See tähendab, et samu võimalusi saavad kasutada ka petturid.

Tehisintellekt on petturite käes võimas relv

Phishbite’i kaasasutaja Urmo Keskeli sõnul on tehisintellekt muutnud avaliku info kogumise ja töötlemise märkimisväärselt lihtsamaks. Tehisaru abil saab ka vähese info põhjal koostada väga usutavaid õngitsuskirju. Phishbite tegeleb töötajate küberturvateadlikkuse suurendamisega, korraldades muu hulgas simuleeritud õngitsusrünnakuid. Nende käigus saadetakse töötajatele näilisi petukirju, et kontrollida nende oskust pettusi ära tunda ning aidata neil edaspidi sarnaseid ohte vältida.

„Sisuliselt on vaja keelemudelile anda paar vihjet ja natuke infot inimese tausta kohta ning see suudab koostada väga usutavaid, personaliseeritud kirju. Meie Phishbite’is ei otsi inimeste kohta avalikest allikatest andmeid. Meile piisab ametipositsioonist ja ettevõtte tegevusvaldkonnast, et kirjutada usutavaid õngitsuskirju, näiteks konverentsikutse kohta. Samamoodi saab tehisintellekti abil kiiremini luua petulehti, mis on väga sarnased päris veebilehtedega. Pettuste korraldamine on muutunud odavamaks ja kiiremaks,“ selgitab Keskel.

Samas ei tähenda see, et kõik petuskeemid oleksid muutunud väga personaalseks. Keskeli sõnul moodustavad endiselt valdava osa massiliselt levitatavad petukirjad, näiteks pankade ja kullerettevõtete nimel saadetud sõnumid. Põhjalikumat taustauuringut tehakse eelkõige siis, kui sihtmärgiks on valitud konkreetne inimene või ettevõte. Tehisintellekt muudab aga selliste sihitud rünnakute ettevalmistamise odavamaks.

Juhi vahetust kasutatakse ära

Küberturbeettevõtte Neverhack Estonia tegevjuhi Jürgen Ermi sõnul peab ründaja oma sõnumis seda vähem oletama, mida rohkem ta ohvri ja organisatsiooni kohta teab. Üldise „teie Microsofti konto aegub“ kirja asemel võib sõnum viidata tegelikule kolleegile, käimasolevale projektile, konverentsile või teenusepakkujale. Kui ajastus ja kontekst klapivad, on ka hästi koolitatud inimesel keerulisem pettust märgata.

„Näiteks kui avalikest allikatest on võimalik teada saada, et ettevõtte finantsjuht viibib sel nädalal välismaal, kes tema meeskonnas töötab ja kellega ettevõte koostööd teeb, võib seda infot kasutada temana esinemiseks või mõne kiireloomulise maksepalve usutavamaks muutmiseks. Samamoodi võib uuele töötajale saata näiliselt personaliosakonnast või IT-toest pärineva kirja, kui avalikult on näha, et ta just ettevõttega liitus,“ kirjutab Erm.

Suurettevõtete puhul võivad turvariskiks osutuda just nende suurus ja töötajate rohkus. Kui inimesed ei tunne üksteist, töötavad nii kontoris kui ka kodukontoris ning paiknevad eri linnades ja riikides, on nad harjunud sellega, et olulisi tööalaseid kirju saadavad ka võõrad inimesed. Samuti on tavapärane töötajate vahetumine: ühed tulevad, teised lähevad.

Keskeli sõnul kasutavad petturid sageli ära just olukordi, kus ettevõttes vahetub juht või mõni teine võtmeisik. „Alguses töötajad ei tea, kuidas see uus juht kirjutab, mis stiilis tema kirjad on,“ selgitab ta.

Värbimine kui suurenenud riskiga olukord

Kuigi tööjõu voolavus ettevõttes suurendab juba iseenesest riske, kaasnevad eraldi ohud ka töökuulutuste ja värbamisprotsessiga. Sellel medalil on kaks poolt. Näiteks kirjeldatakse mõnikord töökuulutustes väga üksikasjalikult, millist tarkvara ettevõte kasutab. See võimaldab ründajal mainida petukirjas töötajatele tuttavat rakendust, mis võib muuta kirja usutavamaks ja suurendada tõenäosust, et sellele reageeritakse.

Teine pool on see, kui ettevõtte töötaja otsib LinkedIni kaudu aktiivselt uut tööd ning jagab seal infot oma kogemuste ja ootuste kohta. Ühel hetkel võib tema postkasti saabuda kiri justkui potentsiaalselt tööandjalt või värbajalt.

„Mul oli just paar nädalat tagasi ühe tuttavaga juhtum, kus talle saadeti e-kiri, algas suhtlus ja ta saatis isegi oma CV ära. Kõik tundus täiesti usutav. Sama nimega inimene oli ka LinkedInis olemas, aga suhtlus käis e-posti teel. Ühel hetkel tuli tema saadetud CV kohta kommentaar, et see ei vasta päris oodatud nõuetele ja seda oleks vaja parandada. Seejärel pakuti talle konsultatsiooni, et aidata tal kandideerimisel paremini hakkama saada,“ toob Keskel näite.

LinkedIn on petturite jaoks üldiselt väga väärtuslik infoallikas, kuna seal leidub rohkelt teavet ettevõtete ja nende töötajate kohta. „Sealt saab üsna kiiresti aru, kes ettevõttes mille eest vastutab. Näiteks kes töötab IT-s, finantsosakonnas, personalis või juhtkonnas, kes on hiljuti ettevõttega liitunud ning kellel võib olla ligipääs juba ka palju tundlikumale infole või süsteemidele,“ kirjeldab Erm.

Ettevõtet rünnatakse alati inimeste kaudu

Iga ettevõtte taga on inimesed ja seetõttu on rünnaku sihtmärgiks alati töötajad. Eesti Panga värske maksepettuste statistika näitab, et ettevõtete kaotatud rahasummade osakaal on oluliselt kasvanud. Petturid sihivad üha enam just väikeettevõtteid ning nende juhte ja raamatupidajaid.

Urmo Keskeli sõnul võib rünnak toimuda väga isiklikul tasandil: petturid püüavad pääseda ligi inimese isiklikule pangakontole, mis on just väikeettevõtjate puhul tihti seotud ettevõtte pangakontoga. Aga mitte ainult: kuigi lõppeesmärk on alati saada kätte ettevõtte või eraisiku raha, ei pea töötaja, keda püütakse ära kasutada, olema otseselt ettevõtte rahaasjadega seotud.

Näiteks kirjeldab Keskel olukorda, kus töötaja loeb töömeili ja siseneb ettevõtte süsteemidesse oma isiklikust seadmest. „Meie isiklikud seadmed on tüüpiliselt halvemini kaitstud kui meie tööandja antud seadmed,“ selgitab ta. Nii võib pettur seadmesse paigaldatud pahavara abil saada ligipääsu ka ettevõtte süsteemidele ja dokumentidele.

„Eelmisel nädalal tuli avalikkuse ette üks ulatuslik Taani andmeleke, kus lekkisid umbes 8,8 miljoni inimese isikuandmed. See oli riiklik rahvastikuregister. Ja tuli välja, et häkkerid kasutasid ühe konto nõrka parooli. See näitab, et väga ulatuslik andmeleke võib saada alguse mõne töötaja konto ülevõtmisest. Ja samamoodi oli Leedus kevadel toimunud andmelekke puhul. Üks konto oli üle võetud ning selle kaudu päriti registrist pika perioodi jooksul hästi palju andmeid,“ räägib Keskel.

Kui tulla tagasi ettevõtte rahaasjadega tegelevate töötajate juurde, siis Keskeli sõnul moodustavad just arvepettused suurima osa ettevõtete vastu suunatud rünnakutest. Kõige levinum on võltsarvete massiline väljasaatmine lootuses, et keegi need tasub. Kuid petturite kätte võib sattuda ka info ettevõtte äripartnerite kohta. Sel juhul võib arve näha välja täpselt samasugune nagu tavaliselt: kogu muu info jääb samaks, kuid kontonumber vahetatakse ära.

„Eurotsooni sees on olemas vastavuse kontroll ja kui nimi ja kontonumber ei klapi, siis kuvatakse hoiatus, mida võib ka ignoreerida. Aga on veel riike, mis ei ole täna eurotsoonis, näiteks Poola, Ungari, Suurbritannia ja mõned veel. Kui sinna riiki ülekanne teha, siis seda vastavuse kontrolli täna ei ole,“ selgitab Keskel.

Kuidas isikukood aitab petturitel pangakontole ligi pääseda

Probleem ei pruugi olla ühes konkreetses avaldatud infokillus ega selles, et ettevõte kirjutab sotsiaalmeedias oma saavutustest ja partneritest. Kõige karmim tõde on see, et ainuüksi äriregistrist saadud info võib olla lähtepunkt, millest petturid liiguvad samm-sammult pangakontole ligipääsu saamise poole.

Urmo Keskeli sõnul saab igaüks isikukoodi alusel vaadata, kui suur on inimese teise samba sissemaksete määr. „Näiteks nägin ma, et sa suurendad uue aasta algusest oma teise samba makseid. Nüüd võin mina kelmina saata sulle kirja, et selle suurendamise kinnitamiseks pead veel tegema mingi toimingu. See kõlab väga usutavalt, sest sa ju suurendasid.“

See tähendab, et risk jääb ka siis, kui ettevõte ise enda kohta midagi ei avalda. Petturite skeemid on muutunud üha mitmesammulisemaks: esmalt püütakse ohvri kohta võimalikult palju infot koguda, et seda hiljem, mõnikord alles mitme kuu pärast, pettuses ära kasutada.

„Kui rääkida petukõnedest või ahelkõnedest, siis esimese kõne eesmärk on enamasti olnud ohvri kohta andmeid juurde saada. Näiteks varem lasti ohvril esimese kõne käigus Eesti portaali sisse logida. Sealt sai ülevaate pereliikmetest ja kinnistutest ning muud infot, mida on võimalik järgmises etapis ära kasutada,“ räägib Keskel.

Pettur võib ühendust võtta lähedase nimel

Petturitele võivad palju teavet anda ka inimeste isiklikud sotsiaalmeediakontod. Paljudel on avalikult nähtav info sõprade ja isegi pereliikmete kohta. Selle abil võivad petturid lavastada olukorra, kus inimese ema või poeg on sattunud hätta, või luua võltskonto sõbra või pereliikme andmete, piltide ja postitustega.

„Näiteks eelmisel nädalal võeti Instagramis ühe minu tuttavaga ühendust tema tütre sõbranna nimel. Öeldi, et olen kaotanud ligipääsu oma telefonile ja nüüd on vaja, et saadaksin kellelegi PIN-koodi, et saaksin telefonile uuesti ligi. Ja see tuttav tegigi seda. Tegelikult juhtus aga see, et tema mobiiltelefon seoti kellegi teise Apple’i kontoga ning selle konto kaudu tehti väikseid makseid mingite teenuste eest tasumiseks,“ kirjeldab Keskel.

Tema sõnul kasutatakse lähedasi pettustes ära üsna sageli. Seejuures ei pea tegemist olema pereliikmega, vaid see võib olla ka keegi inimese kontaktivõrgustikust. Eespool kirjeldatud juhtumis võttis ohver ühendust inimesega, kelle nimel talle kirjutati. Selgus, et samasuguseid sõnumeid olid saanud ka mitmed teised selle inimese tuttavad. Petturid olid loonud tema konto põhjal võltskonto ja saatnud selle kaudu sõnumeid paljudele tema kontaktidele.

Mida jagada ja mida enda teada hoida?

Iga infokildu ettevõtte, selle töötajate, partnerite ja sündmuste kohta võib ära kasutada. Samal ajal avaldavad Eesti registrid ettevõtete kohta infot just selleks, et luua võimalikult läbipaistev ettevõtluskeskkond. Ja firmad ise avalikustavad infot LinkedInis, teistel sotsiaalmeediaplatvormidel ja oma veebilehel selleks, et kliendid ja partnerid saaksid kiiresti ja mugavalt vajalikku infot leida ning ühendust võtta.

„Kõik see ei tähenda muidugi, et ettevõtted peaksid lõpetama oma inimeste, tehnoloogia või tegemiste tutvustamise. Pigem peaks tekkima teadlikkus sellest, millise tervikpildi erinevad avalikud infokillud koos moodustavad ja kui lihtne on neid tänapäeval tehisintellekti abil analüüsida ja seoseid leida,“ ütleb Jürgen Erm.

Neverhack pakub ka kontrollnimekirja selle kohta, mida võib avalikult jagada ja mida pigem mitte. Küberturvalisuse tuumaks on teadlikkus: kui teame, kust võib oht tulla, oleme selleks paremini valmis.

• juhtide ja kõneisikute nimesid ning tavapäraseid ametinimetusi;

• ettevõtte uudiseid, saavutusi ja partnerlusi;

• infot värbamise ja üritustel osalemise kohta;

• üldist infot kasutatavate tehnoloogiate ja töökorralduse kohta.

• reaalajas infot selle kohta, kes on puhkusel, lähetuses või kontorist eemal;

• detaile selle kohta, kes kinnitab makseid, kellel on ligipääs süsteemidele või kes asendab konkreetset juhti;

• fotosid, millele jäävad ekraanid, töötõendid, QR-koodid, Wi-Fi-andmed, tahvlid või muud tööalased detailid;

• liiga täpset infot IT-taristu, turvalahenduste ja süsteemide ülesehituse kohta;

• detailseid kirjeldusi käimasolevatest süsteemivahetustest või muudatustest;

• infot, mille põhjal saab hõlpsasti ülevaate ettevõtte sisemistest tööprotsessidest.

Hea rusikareegel: kui avaldatav info aitab võõral inimesel aru saada, kes mida teeb, millal ta seda teeb, millist süsteemi ta kasutab ja kelle nimel võiks talle usutavalt kirjutada, tasub enne avaldamist kriitiliselt mõelda, kas kõiki neid detaile on vaja jagada.

Allikas: Geenius - Risk algab juba firma loomisest: mida saab pettur sinu ettevõtte kohta internetist teada?