Kyberturvallisuuskeskuksen viikkokatsaus - 37/2024

Rikolliset kalastelevat M365-tunnuksia Dropboxin avulla

Heinäkuun jälkeen Traficomin Kyberturvallisuuskeskukselle on ilmoitettu noin 60:stä M365-tilimurrosta. Ilmoituksia on tehty myös tapauksista, joissa hyökkääjä on tietomurron tehtyään jäänyt seuraamaan murrettua tiliä.

Etenkin Dropbox-teemainen M365-tunnusten kalastelu näyttää olevan nyt aktiivista. Sähköpostiin saapuvassa kalasteluviestissä vastaanottajalle lähetään pdf-tiedosto Dropbox-palvelun kautta. Jaetussa pdf-tiedostossa on linkki, josta avautuvalla sivustolla pyydetään M365-tunnuksia. Tälle sivustolle syötetyt tunnukset päätyvät rikollisen haltuun. M365-tilille päästyään hyökkääjä kaappaa käyttäjän mahdollisesti jo voimassa olevan Dropbox-tilin tai tekee uuden tilin käyttäjän nimissä. Murrettua Dropbox-tiliä voidaan käyttää kalasteluviestien lähettämiseen. Kalasteluviestejä saatetaan lähettää tuhansille murretun käyttäjätilin yhteystiedoille.

Siinä missä M365-tilin palauttaminen on kohtalaisen helppoa organisaatiolle, on Dropbox-tilin palauttaminen hankalampaa. Organisaatiolla ei ole pääsyä tilin hallintaan, eikä tietoa hyökkääjän asettamasta salasanasta tai monivaiheisen tunnistautumisen tavasta.

Ennaltaehkäise, raportoi, reagoi

• Kyberturvallisuuskeskus kehottaa kaikkia Microsoft 365 -asiakkaita viestimään sisäisesti liikkeellä olevista kalasteluviesteistä.
• Monivaiheisen tunnistautumisen pakotettu käyttöönotto on tehokas suojautumiskeino tietojenkalastelua vastaan. 
• Suosittelemme tarkistamaan organisaation sisäisesti, onko käyttäjällä tarvetta olla oikeus asentaa eri sovelluksia suoraan Microsoft 365 -tilaukseen.
• Tietomurroissa on käytetty myös eM Client -nimistä sovellusta. Sovellus itsessään ei ole haitallinen, mutta sen tarjoamia ominaisuuksia on käytetty myös laittomiin tarkoituksiin. Sovelluksen asentuminen saattaa olla merkki tapahtuneesta tietomurrosta.
• Jos epäilet saaneesi tietojenkalasteluviestin, ilmoita asiasta oman organisaatiosi IT-tukeen. Voit ilmoittaa (Ulkoinen linkki) kalasteluviestin linkkeineen myös Kyberturvallisuuskeskukselle. Kyberturvallisuuskeskus tutkii viestin linkin, ja tekee haitallisista linkeistä ilmoituksen sivuston ylläpitäjälle.

Elokuun kybersäässä poutaa

Elokuun kybersää jatkui tavanomaista rauhallisempana. Ilmoitetuissa tapauksissa korostuivat kansalaisiin kohdistuvat huijaukset ja tietojenkalastelu.

Auringonpaistetta kybersäähän toi Traficomin uudistettu määräys teletoiminnan tietoturvasta. Uudistetussa määräyksessä (Ulkoinen linkki) huomioidaan viestinverkkojen ja -palvelujen kehittyminen sekä vastataan uusiin, tietoturvaa uhkaaviin ilmiöihin.

Sääntelyn osalta syksy on muutenkin vilkas, kun EU:n tekoälysäädös astui voimaan elokuun alussa ja NIS2-direktiivin kansalliset vaatimukset astuvat voimaan lokakuun alussa.

Pitkän aikavälin kyberturvallisuuden ilmiöseurannassa paneuduimme tällä kertaa pilvipalveluiden tietoturvaan. Nopeus, kustannustehokkuus ja joustavuus houkuttelevat pilvipalvelujen pariin. Valitettavasti myös kyberhyökkäykset siirtyvät pilviympäristöihin.

Huijausviestejä jälleen Traficomin nimissä

Liikenne- ja viestintävirasto Traficom varoittaa sen nimissä (Ulkoinen linkki) lähetetyistä erilaisista huijausviesteistä. Kyse on kalasteluviesteistä, jolla sinut yritetään saada klikkaamaan viestissä olevaa linkkiä ja luovuttamaan pankkitunnuksesi rikollisille.

Toimi näin:

• Älä klikkaa sähköpostissa tai tekstiviesteissä olevia linkkejä.  
• Älä mene palveluihin linkkien tai hakukoneen tulosten kautta vaan kirjoita verkkosivun osoite kokonaisuudessaan osoiteriville. 
• Tallenna sinulle tärkeimpien palveluiden verkko-osoitteet selaimesi kirjanmerkkeihin tai suosikkeihin, joiden kautta niihin on turvallista siirtyä.
• Jos olet erehtynyt antamaan luottokorttitietojasi tai verkkopankkitunnuksesi, olet voinut joutua petoksen uhriksi. Ole ensin yhteydessä omaan pankkiisi, ja tee sen jälkeen rikosilmoitus poliisille. Myös petoksen yritykset kannattaa ilmoittaa.
   

Ajankohtaiset huijaukset

Tässä koosteessa kerromme kuluneen viikon aikana Kyberturvallisuuskeskukselle ilmoitetuista ajankohtaisista huijauksista.

Haavoittuvuudet

CVE: CVE-2024-40766
CVSS: CVSS 9.3
Mikä: SonicWall SSLVPN haavoittuvuutta hyväksikäytetään aktiivisesti (Ulkoinen linkki)
Tuote: SonicWall SSLVPN
Korjaus: Päivitä uusimpaan versioon