Petokset
Versio hetkellä 9. toukokuuta 2024 kello 16.16 – tehnyt TUOMALA JUHA 10000350X (keskustelu | muokkaukset) (→Tunnistusvälineen luonti)
Petokset verkossa ovat yleisiä. Yli tuhat suomalaista joutuu vuosittain verkossa tapahtuvien petoksien uhriksi. Vahingot ovat vuosittain yli kymmenen miljoonaa euroa. Tekotapoja on monia, kaikissa tavoissa tekijä vastaanottaa hyödyn rahana jossain vaiheessa.
Petoksia voi jaotella tekotavan mukaan:
- uhri on oma-aloitteisesti tapahtuman osapuoli joka osoittautuu petokseksi (torimyynti)
- uhri johdatellaan tapahtumaan ja tekemään petoksen suoritus itse (perintö, paketti, tullaus, lasku)
- uhri johdatellaan luovuttamaan tunnistautumiseen tiedot ja huijari suorittaa petoksen (paketti, tullaus, tilisiirto)
- uhri johdatellaan luovuttamaan tunnistautumiseen tiedot ja huijari luo tunnistusvälineen jolla suoritetaan petoksia (tunnistusväline)
- uhri johdatellaan asentamaan ohjelma jolla huijari käyttää uhrin laitteita ja suorittaa petoksia
Näistä voi päätellä petokset mahdollistavat ongelmat:
- tapahtuman toista osapuolta ei oikeasti tunneta verkossa
- verkkopankkitunnusten tai luottokortin käytön mahdollistavien tietojen siirto viestinä
- uhri ei ole kykenevä huolehtimaan omista asioistaan ja on siten johdateltavissa
Osapuolen tunnistamisen ongelma on palvelun ratkaistavissa, mutta jostain syystä vahvempia tunnistustapoja ei ole vaadittu käyttäjiltä. Tunnistustietojen välittäminen viestinä on ratkaistavissa MFA-välineellä:
- HSM kuten henkilökortti, jota yksikään pankki ei salli tällä hetkellä
- Mobiililaitteen käyttäminen SAM-välineenä, joka on altis mm etäkäyttö-petoksiin ja muihin mobiilitietoturva-ongelmiin
Uhrin kyky huolehtia omista asioistaan ei ole varsinaisesti tekninen ongelma. Sitä ja muiden ongelmien takia on ajauduttu niksipirkka-tietoturvaan jossa pankit, Kyberturvallisuuskeskus ja poliisi jakavat hankalia ja tehottomia ohjeita tunnistaa petosyrityksiä monista eri kanavista. Ne eivät skaalaudu koko väestöön eikä niihin turvautuminen vuosikymmenen ajan ole vähentänyt petoksien lukumäärää tai taloudellisia vahinkoja. Ne ovat päin vastoin kasvaneet. Väestö on ikääntynyt ja mahdollisesti korkea onnistumisaste on kannustanut yrittämään enemmän.
Sisällysluettelo
Torimyynti
- Uhrilta laskutetaan verkkotorilla myydyistä tavaroista, mutta toimitusta ei tule tai se ei vastaa ilmoitusta ja osoittautuu, että ilmoittajan henkilötiedot eivät pidä paikkaansa koska verkkotorin palveluntarjoaja ei ole tehnyt myyjästä vahvaa tunnistamista missään vaiheessa.
Perintö, tullaus, lasku
- Viesti jossa kerrotaan suuresta jumissa olevasta perinnöstä tai vastaavasta jonka vapauttamiseen tarvitaan rahaa ja uhrille luvataan osa rahoista vastineeksi avusta - on tyypillisesti sähköpostitse saatu viesti ulkomailta. Ensimmäisen maksusuorituksen jälkeen ilmenee usein uusia ongelmia joiden ratkaisemiseen tarvitaan lisää rahaa ja lypsy jatkuu kunnes uhri lopettaa maksamisen. Alkuun viestit olivat kömpelöä englantia, mutta käännöskoneiden kehityksen myötä osa niistä on jo sujuvaa suomea.
- Sähköposti jossa esitetään perusteeton lasku maksutietoineen ja uhri maksaa sen itse vieraalle tilille, käyttäen omia pankkitunnuksiaan ja vahvistustapoja.
Paketit ja tullaus
- Tekstiviesti tai sähköpostiviesti kehottaa kuittaamaan tai maksamaan tullausmaksun verkkosivulla jossa tyypillisesti pyydetään luottokortin tietoja ja kortin CVV-numeroa jotka mahdollistavat kortin käytön verkossa.
Tilisiirto
- Sähköposti jossa pyydetään kirjautumaan verkkopankkiin tai uhkaukset toteutuu ja sähköpostissa oleva verkkopankin kirjautumisnappi / linkki johtaa tekijän omaan verkkopankin näköiskopioon. Kirjautumisyrityksessä saadut käyttäjätunnukset ja salasanat käytetään myöhemmin petoksessa oikeassa verkkopankissa tilisiirtoon.
- Uhrille soitetaan ja esiinnytään poliisina tai pankin työntekijänä joka tutkii epäilyttäviä pankkitapahtumia, jonka aikana uhri luovuttaa tilisiirtoon tarvittavia koodeja ja mahdollisesti tekee vielä petoksen mahdollistavan vahvistuksen tekstiviestillä, luullen sen liittyvän tutkintaan.
- WhatsApp viestillä saadaan uhri asentamaan etäkäyttöohjelma mobiililaitteeseensa ja kun tekijä saa etäyhteyden uhrin puhelimeen, siitä otetaan yhteys verkkopankkiin ja suoritetaan tilisiirto. Petostavassa tekijällä on pääsy mobiililaitteessa olevaan selaimeen tai käytössä olevaan verkkopankki- ja tunnistusohjelmaan joiden käyttö nykyään on yleistä.
Tunnistusvälineen luonti
- Uhri houkutellaan valesivustolle, saaduilla pankkitunnuksilla luodaan mobiilitunnistusväline jota käyttäen tehdään petoksia. Tunnistusvälineen päätyminen vääriin käsiin on muihin petoksiin verrattuna vahingollisempaa koska sen toistuva käyttö ei vaadi enää uhrin kanssakäymistä jossa voisi paljastua ja Suomessa ns vahva tunnistusväline avaa lähes kaikki palvelut tekijälle.
- Maksukortin kloonaus ulkomailla esimerkiksi analogiselta puhelinyhteydeltä jota käytetään kortin luottokelpoisuuden tarkastamiseen ja saaduista tiedoista luodaan kortista kopio jota käytetään maksuihin. Tämä tekotapa on vähentynyt korttien siirryttyä mikrosirujen ja sen sisältämien varmenteiden käyttöön.
- Maksukortin kloonaus automaatilla tai maksuterminaalissa kortin skimmauslaitteella. Tämä tekotapa on ilmeisesti yhä aktiivinen ainakin ulkomailla.
Allekirjoitus palvelussa
- Uhrin pankkitunnuksilla otetaan pankkilaina allekirjoittaen se verkossa ja se siirretään uhrin tililtä eteenpäin.
- Uhrin vahvaa tunnistusvälinettä käyttäen luodaan tili ja allekirjoitetaan sopimus allekirjoituspalvelussa. Osa palveluista käyttää vahvaa tunnistusmenetelmää vain ensitunnistuksessa ja palvelua voi myöhemmin käyttää pahimmillaan pelkällä salasanalla joka helpottaa petosten tekoa toistuvasti ilman uhrin kanssakäymistä ja riskiä paljastumisesta. Vahvan tunnistustavan jatkuva käyttö ei sinänsä estä petostapaa, mutta voisi vaikeuttaa sitä. Palvelussa voi allekirjoittaa sopimuksia uhrin nimissä ja luoda asiakassopimuksia muihin palveluihin. Tätä petostapaa ei tiettävästi ole vielä tehty Suomessa.
