Kalasteluviestien tunnistaminen yrityksessä: viisi merkkiä ja sääntö, joka pysäyttää tilinumeron vaihdon

Kalasteluviestiä ei enää tunnista kielivirheistä. Tunnistaminen perustuu siihen, mitä viesti pyytää tekemään ja kuinka kiireellisesti. Tällä sivulla on viisi toistuvaa merkkiä, kuuden kohdan sisäinen ohje kopioitavaksi ja yksi maksusääntö, joka maksaa nolla euroa.

Kalasteluviestin tunnistaa harvoin kielivirheistä. Nykyiset viestit ovat sujuvaa suomea, oikean näköisiä ja usein vastaus keskusteluun, jota olet oikeasti käynyt. Tunnistaminen ei siis perustu siihen, miltä viesti näyttää, vaan siihen, mitä se pyytää sinua tekemään ja kuinka kiireellisesti.

Tehokkain suoja pienyrityksessä ei ole ohjelmisto vaan yksi kirjattu sääntö maksuprosessissa. Se sääntö on tämän sivun lopussa kopioitavassa muodossa.

Mikä kalasteluviesti on ja mitä se yrittää saada aikaan?

Kalasteluviesti on viesti, joka esiintyy jonakin muuna kuin on, ja jonka tarkoitus on saada vastaanottaja tekemään yksi kolmesta asiasta: antamaan tunnukset, maksamaan rahaa väärään paikkaan tai avaamaan liitteen, joka asentaa haittaohjelman. Viesti voi tulla sähköpostina, tekstiviestinä tai pikaviestinä, ja se voi esittää olevansa pankki, toimittaja, viranomainen tai oma esihenkilö. Olennaista ei ole kanava vaan se, mihin tekoon viesti pyrkii ja kuinka kiireellisesti. Nykyiset kalasteluviestit ovat sujuvaa suomea ja usein vastaus keskusteluun, jota olet oikeasti käynyt, joten kielivirheisiin ei voi enää nojata. Juuri siksi tunnistaminen perustuu pyynnön muotoon eikä viestin ulkoasuun — ja siihen jokainen pystyy ilman teknistä osaamista.

Pienyritys ei ole liian pieni kohteeksi. Päinvastoin: viestit lähetetään massana, ja pieni yritys on houkutteleva juuri siksi, että siellä ei yleensä ole erillistä talousosastoa eikä kahden ihmisen hyväksyntää. Yhden ihmisen päätös riittää rahan siirtämiseen, ja juuri sitä hyödynnetään.

Yleiskuva kotimaisesta uhkatilanteesta ja tuoreet varoitukset löytyvät Liikenne- ja viestintäviraston Kyberturvallisuuskeskuksen sivuilta. Sinne kannattaa käydä katsomassa silloin, kun jokin viesti mietityttää — laajoista kampanjoista tiedotetaan usein julkisesti.

Mitkä viisi merkkiä toistuvat lähes joka kerta?

Yritykseen kohdistuvassa kalasteluviestissä toistuu viisi merkkiä lähes joka kerta: kiire, poikkeus normaalista prosessista, salassapitopyyntö, uusi maksuosoite ja linkki tai liite, joka vie kirjautumissivulle. Nämä eivät ole ulkonäkövihjeitä vaan käyttäytymisvihjeitä, ja siksi ne toimivat myös silloin, kun viesti näyttää täysin oikealta ja tulee oikean näköisestä osoitteesta. Yksikään merkki ei yksin todista mitään — kiire on liike-elämässä arkipäivää ja uusi maksuosoite voi olla aito. Kaksi merkkiä samassa viestissä on käytännöllinen raja, jonka jälkeen toiminta pysäytetään ja asia tarkistetaan toista kanavaa pitkin. Alla oleva taulukko kertoo jokaisesta merkistä, miltä se näyttää käytännössä ja mitä sen kohdalla tehdään.

Kaksi näistä samassa viestissä on käytännöllinen raja. Kiire yksin on tavallista liike-elämässä. Kiire yhdistettynä uuteen tilinumeroon ei ole.

Mikä sääntö pysäyttää tilinumeron vaihdon?

Tilinumeron vaihdon pysäyttää yksi kirjattu sääntö, ja se on tämän sivun tärkein kohta sekä ainoa, jonka pitäisi päätyä yrityksesi kirjattuun ohjeeseen tänään. Sääntö koskee tilannetta, jossa tuttu toimittaja ilmoittaa viestillä tilinumeron vaihtuneen — juuri se on se hetki, jossa pienyritykset menettävät rahaa eniten kerralla. Sääntö toimii siksi, ettei se nojaa viestin arviointiin lainkaan: se pätee myös silloin, kun viesti on aidosta mutta kaapatusta postilaatikosta ja viittaa oikeaan projektiin oikeilla summilla. Sääntö on ilmainen, se ei vaadi mitään ohjelmistoa, ja sen käyttöönotto vie viisi minuuttia. Se kuuluu kokonaisuudessaan näin.

Tilinumeroa ei koskaan vaihdeta viestin perusteella. Vaihto vahvistetaan aina puhelimitse numeroon, joka on ollut tiedossa ennen viestiä.

Sanamuodossa on kaksi olennaista osaa, ja molemmat ovat välttämättömiä.

Puhelimitse. Ei sähköpostivastauksella. Jos viestiketju on jo hallinnassa tai lähettäjän osoite on väärennetty, vastaus menee samaan paikkaan kuin alkuperäinen viesti, ja saat rauhoittavan vahvistuksen huijarilta.

Numeroon, joka oli tiedossa ennen viestiä. Ei viestissä olevaan numeroon, ei viestin allekirjoituksen numeroon, ei liitteen numeroon. Vaan numeroon, joka on omissa yhteystiedoissasi, vanhassa laskussa tai toimittajan verkkosivulla, jonne menit itse. Tämä on se kohta, joka useimmiten unohtuu, ja se on koko säännön ydin.

Sääntö on ilmainen, sen käyttöönotto vie viisi minuuttia, eikä se vaadi mitään ohjelmistoa. Se on paras yksittäinen tuotto, jonka pienyritys saa tietoturvaan käytetystä ajasta. Laajemmin maksuprosessin suojaamisesta on oma sivunsa: laskuhuijaus ja toimitusjohtajahuijaus.

Sisäinen ohje kopioitavaksi

Kalasteluviestien käsittelystä kannattaa olla yrityksessä kirjattu sisäinen ohje, ja alla oleva kuuden kohdan teksti on tarkoitettu liimattavaksi sellaisenaan sisäiseen ohjeeseen, perehdytyskansioon tai seinälle laskutuksen viereen. Muuta vain nimet. Ohje kattaa koko ketjun: milloin toiminta pysäytetään, miksi viestiin ei vastata, kenelle soitetaan ja mistä numero otetaan, kuka toinen ihminen katsoo viestin, mitä kirjataan ja mitä tehdään, jos jotain ehti jo tapahtua. Kirjattu ohje on tässä asiassa selvästi tehokkaampi kuin kerran pidetty koulutus, koska se on saatavilla juuri sillä hetkellä kun epäilyttävä viesti on auki näytöllä — ja se on myös se, mihin uusi työntekijä perehdytetään ensimmäisenä päivänä.

1. Pysäytä, jos kaksi merkkiä täyttyyKiire, prosessipoikkeus, salassapito, uusi maksuosoite, kirjautumislinkki. Kaksi näistä samassa viestissä = ei toimita ennen tarkistusta.
2. Älä vastaa viestiinÄlä klikkaa linkkiä, älä avaa liitettä, älä vastaa lähettäjälle. Vastaaminen kertoo lähettäjälle, että osoite on aktiivinen.
3. Soita tunnettuun numeroonToimittajalle, pankkiin tai kollegalle. Numero otetaan omista tiedoista, ei viestistä. Kysy suoraan: lähetitkö tämän?
4. Kysy toiselta ihmiseltäNäytä viesti kollegalle ennen kuin teet mitään. Yksin päättäminen on se tila, jota viesti tavoittelee.
5. Kirjaa ja kerroKirjaa päivämäärä, lähettäjä ja mitä pyydettiin. Kerro kaikille, joilla on maksuoikeus. Sama viesti tulee yleensä muillekin.
6. Jos jotain ehti tapahtuaIlmoita heti pankkiin maksun pysäyttämiseksi, vaihda paljastuneet salasanat ja tee rikosilmoitus.

Kuudes kohta on syytä käydä läpi etukäteen eikä vasta tositilanteessa. Pankin sulkupalvelun numero kannattaa olla samassa paperissa. Rikosilmoituksen voi tehdä poliisin sähköisessä palvelussa, ja se kannattaa tehdä myös silloin, kun rahaa ei menetetty — ilmoitukset kerryttävät kuvaa käynnissä olevista kampanjoista.

Miksi tekniset suojat eivät riitä yksin?

Tekniset suojat eivät riitä kalastelua vastaan yksin, koska ne on rakennettu massaviestien torjuntaan. Roskapostisuodatin poistaa valtaosan sellaisista viesteistä, mutta se ei tunnista viestiä, joka on kirjoitettu käsin yhdelle vastaanottajalle, tulee oikeasta mutta kaapatusta postilaatikosta ja viittaa oikeaan projektiin oikeilla nimillä. Juuri nämä viestit aiheuttavat suurimmat tappiot, ja juuri ne menevät suodattimista läpi, koska niissä ei ole mitään teknisesti poikkeavaa. Tekniikan tehtävä onkin pienentää sitä joukkoa, jonka ihminen joutuu arvioimaan, ei poistaa arviointia kokonaan. Kolme teknistä asiaa kannattaa silti tehdä, koska ne tekevät juuri tuon rajauksen ja ne tehdään kerran — ne käydään läpi alla.

Kolme teknistä asiaa kannattaa silti tehdä, koska ne pienentävät sitä joukkoa, jonka ihmisen pitää arvioida:

• Monivaiheinen tunnistautuminen kaikkiin tileihin. Vaikka salasana päätyisi kalastelusivulle, pelkkä salasana ei riitä kirjautumiseen. Tästä on oma ohjeensa: kahden tekijän tunnistus yrityksessä.
• Ulkopuolisen viestin merkintä. Useimmissa sähköpostijärjestelmissä voi asettaa automaattisen huomautuksen viesteihin, jotka tulevat organisaation ulkopuolelta. Se paljastaa heti viestin, joka esittää olevansa kollegalta.
• Lähettäjän tunnistetietueet omaan domainiin. SPF, DKIM ja DMARC vaikeuttavat sitä, että joku esiintyy sinun yrityksesi nimissä asiakkaillesi päin. Tämä suojaa maineesi, ei omaa postilaatikkoasi.

Näiden asettaminen kuuluu normaaliin yrityksen tietoturvan perustyöhön ja tehdään kerran. Hinnat kaikkeen tekemiseen ovat julkisia hinnastossa.

Mitä tehdään, jos linkkiä ehdittiin klikata?

Linkin klikkaaminen ei vielä tarkoita, että jotain meni pieleen. Ratkaisevaa on se, mitä sivulla tehtiin, ja siksi jatkotoimet jakautuvat kolmeen selvästi erilaiseen tapaukseen: tunnuksia ei syötetty, tunnukset syötettiin, tai maksu ehdittiin tehdä. Ensimmäisessä riittää välilehden sulkeminen, laitteen tietoturvatarkistus ja muiden varoittaminen. Toisessa vaihdetaan salasanat, kirjataan kaikki laitteet ulos ja tarkistetaan sähköpostin sääntöasetukset, koska kaapattuun postilaatikkoon jätetään usein sääntö, joka piilottaa viestejä. Kolmannessa soitetaan pankkiin heti, koska minuutit ratkaisevat. Kaikissa kolmessa pätee sama periaate: nopea ja ääneen kerrottu reaktio maksaa vähemmän kuin päivän mietintä siitä, kävikö mitään.

Jos tunnuksia ei syötetty: sulje välilehti, älä palaa sivulle. Aja laitteen tietoturvatarkistus. Kerro tapauksesta muille, jotta he tunnistavat saman viestin.

Jos tunnukset syötettiin: vaihda salasana välittömästi — ensin siihen palveluun, sitten kaikkiin muihin, joissa sama salasana on käytössä. Kirjaa kaikki laitteet ulos palvelun asetuksista. Tarkista sähköpostin sääntöasetukset: postilaatikon kaappauksen jälkeen sinne jätetään usein sääntö, joka piilottaa tai edelleenlähettää tiettyjä viestejä. Tarkista myös, ettei tilille ole lisätty uutta tunnistautumistapaa.

Jos maksu ehdittiin tehdä: soita pankkiin heti, minuutit ratkaisevat. Tee rikosilmoitus. Jos maksun mukana käsiteltiin henkilötietoja tai tili on vaarantunut, arvioi myös ilmoitusvelvollisuus: tietoturvaloukkauksen ilmoittaminen käy asian läpi.

Milloin kalastelusuojaan ei kannata ostaa erillistä palvelua?

Erillistä kalastelusuojaa ei kannata ostaa kolmessa tilanteessa, vaikka markkinoilla myydään pienyrityksille kalastelusimulaatioita, tietoisuusalustoja ja lisäsuodattimia. Ne ovat oikeita tuotteita, mutta ne eivät ole ensimmäinen ostos. Alle kymmenen hengen yrityksessä erillinen simulaatioalusta on useimmiten turha, koska saman vaikutuksen saa lähettämällä itse yhden harjoitusviestin ja käymällä sen läpi yhdessä. Jos monivaiheinen tunnistautuminen ei ole vielä päällä, mitään muuta ei kannata ostaa ennen sitä. Ja jos maksuprosessia ei ole kirjattu, se kirjataan ensin — tilinumerosääntö ja kuuden kohdan ohje maksavat nolla euroa. Ostaminen tulee ajankohtaiseksi vasta, kun henkilöstöä on kymmeniä tai koulutus pitää pystyä todentamaan.

Alle kymmenen hengen yrityksessä erillinen simulaatioalusta on useimmiten turha. Saman vaikutuksen saa lähettämällä itse yhden harjoitusviestin ja käymällä sen läpi yhdessä. Ohje siihen on sivulla tietoturvakoulutus henkilöstölle.

Jos monivaiheinen tunnistautuminen ei ole vielä päällä, älä osta mitään muuta ennen sitä. Lisäsuodatin, joka päästää läpi yhden viestin sadasta, ei auta, jos yksi läpi mennyt riittää tilin haltuunottoon.

Jos maksuprosessia ei ole kirjattu, kirjaa se ensin. Tämän sivun kuuden kohdan ohje ja tilinumerosääntö maksavat nolla euroa ja estävät suurimman osan siitä vahingosta, jota vastaan lisäpalveluita myydään.

Ostaminen tulee ajankohtaiseksi, kun henkilöstöä on kymmeniä, vaihtuvuus on suurta tai toimiala on säännelty niin, että koulutus pitää pystyä todentamaan. Silloin alustan arvo on dokumentaatiossa, ei suojassa.

Mitkä kalastelumuodot osuvat pienyritykseen useimmin?

Kirjautumissivu, joka näyttää oikealta. Viesti kertoo, että sähköpostitila on täynnä, tili suljetaan tai jaettu tiedosto odottaa. Linkki vie sivulle, joka on ulkoasultaan sama kuin oikea kirjautumissivu. Ainoa ero on osoiterivillä. Tämän varalta on yksi yksinkertainen tapa: älä koskaan kirjaudu mihinkään palveluun viestin linkistä. Mene palveluun aina omalla kirjanmerkillä tai kirjoittamalla osoite itse. Jos noudatat tätä poikkeuksetta, sivun ulkoasun tarkkuudella ei ole enää merkitystä.

Tekstiviesti tai pikaviesti, joka esittää olevansa esihenkilöltä. Viesti tulee tuntemattomasta numerosta, kertoo että vanha puhelin hajosi ja pyytää pientä palvelusta — usein lahjakorttien ostoa tai kiireellistä maksua. Tunnistetta ei kannata etsiä numerosta vaan pyynnön muodosta: esihenkilö, joka ei voi puhua puhelimessa mutta tarvitsee rahaa tunnissa, on lähes aina väärennös.

Toimittajaksi tekeytyminen kesken oikean projektin. Vaikein muoto, koska viesti viittaa oikeisiin asioihin. Se on mahdollista, kun jomman kumman osapuolen postilaatikko on jo hallinnassa ja keskustelua on luettu. Tämän vuoksi tilinumerosääntö on kirjoitettu ehdottomaan muotoon: se toimii silloinkin, kun kaikki muu viestissä on aitoa.

Miten viesti käsitellään, kun et ole varma?

Epäselvä viesti käsitellään menettelyllä eikä arvauksella, koska suurin osa tapauksista ei ole selviä kumpaankaan suuntaan. Epävarmuus on normaali tila, ja siihen tarvitaan kolme askelta. Ensimmäinen on erottaa kaksi kysymystä toisistaan: onko viesti aito, ja onko pyyntö toteutettava — aitouden ratkaisee yhteydenotto toista kanavaa pitkin, pyynnön ratkaisee normaali prosessi. Toinen on aikaraja: mitään maksua tai tunnusten antamista ei tehdä saman tunnin aikana kuin viesti saapui. Kolmas on se, että epävarmuudesta puhutaan ääneen ilman nolatuksi tulemisen pelkoa. Nämä kolme eivät vaadi teknistä osaamista eivätkä maksa mitään, ja ne poistavat suurimman osan väärästä toiminnasta.

Ensimmäinen askel on erottaa kaksi kysymystä toisistaan: onko viesti aito, ja onko pyyntö toteutettava. Näihin vastataan eri tavoin. Aitouden ratkaisee yhteydenotto toista kanavaa pitkin. Pyynnön toteuttamisen ratkaisee normaali prosessisi, joka on olemassa juuri tätä varten.

Toinen askel on aikaraja. Sovi itsesi kanssa, ettei mitään maksua tai tunnusten antamista tehdä saman tunnin aikana kuin viesti saapui. Lähes kaikki näistä viesteistä perustuvat siihen, että päätös tehdään ennen kuin sitä ehtii tarkistaa. Tunnin viive ei maksa aidossa asiassa käytännössä mitään, ja se poistaa suurimman osan väärästä toiminnasta.

Kolmas askel on, että epävarmuudesta puhutaan ääneen. Yrityksessä, jossa väärän viestin avaamisesta joutuu nolatuksi, tapauksista ei kerrota, ja korjaaminen alkaa viikkoja myöhässä. Sano ääneen, että ilmoittaminen on aina oikea teko, myös silloin kun kyse oli turhasta hälytyksestä. Tämä on kulttuurikysymys eikä tekninen kysymys, ja se on halvin saatavilla oleva parannus.

Usein kysyttyä

Lue seuraavaksi

• Yrityssovelluksen kehittämisen hinta
• WordPress-ylläpidon hinta ja mitä siihen oikeasti kuuluu
• WordPressin hakukoneoptimointi: neljä asetusta, jotka ratkaisevat teknisen puolen
• Webhotellin vaihto ilman katkoa: testaa uusi palvelin ennen kuin kukaan asiakas näkee mitään
• Ilmainen verkkotunnus: milloin se on oikeasti ilmainen ja mitä se sitoo
• Palvelimen ylläpito vai pilvi: mitä oma palvelin oikeasti maksaa vuodessa

Lue myös: toiminnanohjausjärjestelmä · iOS-sovellus App Storeen · Android-sovellus Google Playhin · yrityksen tietoturva · varmuuskopiointi · hakukoneoptimoinnin hinta · Verkkokaupan perustaminen: hinta, vaihtoehdot ja todellinen kululista · Tietosuojaseloste-malli pienyritykselle