Mikä on tietoturvaloukkaus?

Tietoturvaloukkaus on mikä tahansa tilanne, joka aiheuttaa luvattoman pääsyn tietokoneen tietoihin, sovelluksiin, verkkoihin tai laitteisiin. Seurauksena on, että tietoja käytetään ilman lupaa. Yleensä tietoturvaloukkaus tapahtuu, kun tunkeilija onnistuu kiertämään suojausmekanismit.

Tietoturvaloukkaus ja tietomurto eivät ole aivan sama asia. Tietoturvaloukkaus on käytännössä pelkkä murtautuminen, kun taas tietomurto tarkoittaa, että kyberrikollinen vie tietoa mukanaan. Jos käytämme murtovarasta esimerkkinä, tietoturvaloukkaus toteutuu, kun hän kiipeää ikkunasta, ja tietomurto tapahtuu, kun hän nappaa lompakon tai kannettavan ja vie sen mukanaan.

Luottamukselliset tiedot ovat erittäin arvokkaita. Niitä myydään usein pimeässä verkossa. Esimerkiksi nimiä ja luottokorttinumeroita on kaupan, ja niitä voi käyttää identiteettivarkauksissa ja petoksissa. Siksi ei olekaan yllättävää, että tietoturvaloukkaukset voivat koitua yrityksille erittäin kalliiksi. Suuryrityksillä lasku on keskimäärin lähes neljä miljoonaa dollaria.

On myös tärkeää erottaa tietoturvaloukkauksen ja tietoturvahäiriön määritelmät toisistaan. Häiriötilanne voi olla esimerkiksi haittaohjelman asentuminen, palvelunestohyökkäys tai tilanne, jossa työntekijä unohtaa kannettavan tietokoneen taksiin. Jos tuloksena ei ole pääsy tietoverkkoon tai tietojen menetys, tilanne ei ole tietoturvaloukkaus.

Esimerkkejä tietoturvaloukkauksesta

Kun suuryritys joutuu tietoturvaloukkauksen kohteeksi, se on aina uutinen. Esimerkkejä tietoturvaloukkauksista:

• Equifax: Verkkosivujen sovelluksen haavoittuvuus aiheutti vuonna 2017 sen, että yhtiöltä varastettiin 145 miljoonan amerikkalaisen henkilötiedot. Vuotaneissa henkilötiedoissa olivat muun muassa nimiä, henkilötunnuksia ja ajokorttien numeroita. Hyökkäykset tapahtuivat kolmen kuukauden aikana toukokuun ja heinäkuun välillä, mutta tietoturvaloukkauksesta ilmoitettiin vasta syyskuussa.
• Yahoo: Kolmen miljardin käyttäjätilin suojaus vaarantui vuonna 2013, kun hakkerit onnistuivat pääsemään verkkoon tietojenkalastelulla.
• eBay joutui merkittävän murron kohteeksi vuonna 2014. Vaikka PayPal-käyttäjien luottokorttitiedot eivät olleet vaarassa, asiakkaiden salasanoja päätyi urkkijoiden käsiin. Yhtiö toimi nopeasti ja pyysi käyttäjiä vaihtamaan salasanansa lähettämällä heille sähköpostia.
• Deittisivusto Ashley Madison, jota markkinoidaan suhdetta etsiville naimisissa oleville ihmisille, joutui hakkeroinnin kohteeksi vuonna 2015. Hakkerit vuotivat valtavan määrän asiakastietoja Internetiin. Asiakkaita, joiden nimiä oli vuotanut, joutui kiristäjien hampaisiin. Vahvistamattomien raporttien mukaan tietomurron jälkeisiin paljastuksiin kytkeytyy useita itsemurhatapauksia.
• Puutteet Facebookin sisäisissä ohjelmissa aiheuttivat 29 miljoonan ihmisen henkilötietojen vuotamisen vuonna 2018. Tietoturvaloukkaus oli erityisen kiusallinen, sillä vaarantuneiden tilien joukossa oli yhtiön toimitusjohtajan Mark Zuckerbergin tili.
• Marriott Hotels ilmoitti vuonna 2018 tietoturvaloukkauksesta ja tietomurrosta, joka vaikutti jopa 500 miljoonan asiakkaan tietoihin. Varausjärjestelmä oli hakkeroitu jo vuonna 2016, mutta tietomurto havaittiin vasta kaksi vuotta myöhemmin.
• Edes kyberturvallisuusyritykset eivät ole turvassa hyökkäyksiltä, mikä on tietysti erityisen kiusallista. Tšekkiläinen yhtiö Avast ilmoitti tietoturvaloukkauksesta vuonna 2019, kun hakkeri onnistui urkkimaan erään työntekijän VPN-tunnistetiedot. Tämä rikkomus ei vaarantanut asiakkaiden tietoja, vaan tavoitteena oli haittaohjelmien lisääminen Avastin tuotteisiin.

Vielä noin kymmenen vuotta sitten monet yritykset pyrkivät salaamaan tiedot tietoturvaloukkauksista asiakkaiden luottamuksen menettämisen pelossa. Tämä on kuitenkin nykyään yhä harvinaisempaa. EU:ssa yleinen tietosuoja-asetus (GDPR) edellyttää, että yritykset ilmoittavat asiaankuuluville viranomaisille tietoturvaloukkauksesta ja siitä, kenen henkilötiedot saattavat olla vaarantuneet. Tammikuussa 2020, kun yleinen tietosuoja-asetus oli ollut voimassa vasta 18 kuukautta, tietomurtoilmoituksia oli tehty yli 160 000 – yli 250 päivässä.

Eri tyyppisiä tietoturvaloukkauksia

Tietoturvaloukkaukset jaetaan eri tyyppeihin sen mukaan, kuinka tunkeutuja on onnistunut saamaan pääsyn järjestelmään:

• Haavoittuvuuksien hyödyntäminen tarkoittaa tietoturvaloukkausta, jossa esimerkiksi vanhentuneen käyttöjärjestelmän haavoittuvuutta hyödynnetään. Esimerkiksi vanhentuneita Microsoft Windows -versioita käyttävien yritysten vanhat, päivittämättömät järjestelmät ovat alttiita tällaisille tietoturvaloukkauksille.
• Heikon salasanan voi murtaa tai arvata. Vielä tänäkin päivänä osalla ihmisistä salasanana on "salasana", "password" tai esimerkiksi "pa$$word", joka ei juuri ole edellisiä turvallisempi.
• Haittaohjelmahyökkäyksessä pääsy järjestelmään voidaan urkkia esimerkiksi tietojenkalasteluviestillä. Tarvitaan vain yksi työntekijä, joka erehtyy klikkaamaan tietojenkalasteluviestin linkkiä, niin haittaohjelma pääsee leviämään tietoverkkoon.
• Ohiajolatauksessa virus tai haittaohjelma toimitetaan valesivuston tai sellaisen sivuston kautta, jonka suojaus on pettänyt.
• Käyttäjän manipulointi on myös yksi tapa saada pääsy järjestelmään. Tunkeutuja voi esimerkiksi tekeytyä puhelimessa yrityksen IT-tuen edustajaksi ja pyytää salasanaa päästäkseen tietokoneeseen ja "korjatakseen" sen.

Edellä mainituissa tietoturvaloukkauksia koskevissa esimerkeissä pääsy verkkoon onnistuttiin saamaan erityyppisillä menetelmillä. Esimerkiksi Yahoo joutui tietojenkalasteluhyökkäyksen kohteeksi, ja Facebookiin kohdistuneessa tietoturvaloukkauksessa oli kyse haavoittuvuuden hyödyntämisestä.

Vaikka toistaiseksi olemme puhuneet tietoturvaloukkauksien seurauksista suurille organisaatioille, samat loukkaukset ovat vitsaus myös yksittäisten käyttäjien tietokoneille ja muille laitteille. Haavoittuvuuden hyödyntäminen ei ole todennäköinen tapa esimerkiksi sinuun kohdistuvassa hyökkäyksessä, mutta haittaohjelmat ovat vaikuttaneet moniin tietokoneiden käyttäjin, on se sitten ladattu osana ohjelmistopakettia tai päätynyt tietokoneeseen tietojenkalasteluhyökkäyksen seurauksena. Heikkojen salasanojen ja julkisten Wi-Fi-verkkojen käyttäminen voi vaarantaa Internet-tietoliikenteen tietoturvan.

Näin toimit tietoturvaloukkaustilanteessa

Jos saat tietoosi, että jokin suuri yritys on joutunut tietoturvaloukkauksen kohteeksi tai oman tietokoneesi suojaus on pettänyt, toimi nopeasti, jotta tietoturvasi ei vaarannu. Muista, että yhteen tiliin kohdistunut tietoturvaloukkaus voi tarkoittaa, että myös muut tilisi ovat vaarassa – etenkin, jos niissä käytetään samoja salasanoja tai tilien välillä on säännöllisesti tapahtumia.

• Jos taloustietosi ovat voineet vaarantua, ilmoita asiasta pankeille ja rahoituslaitoksille, joissa sinulla on tilejä.
• Vaihda kaikkien tiliesi salasanat. Jos tileilläsi on suojauskysymyksiä tai PIN-koodeja, vaihda myös ne.
• Jäädytä tarvittaessa luottotietosi. Näin kukaan ei voi käyttää tietojasi identiteettivarkauksiin tai lainata rahaa nimelläsi.
• Tarkista luottotiedoistasi, että kukaan ei varmasti hae lainaa sinun tiedoillasi.
• Yritä selvittää, mitä tietoja tarkalleen on varastettu. Näin saat käsityksen tilanteen vakavuudesta. Jos esimerkiksi verotietosi ja henkilötunnuksesi on varastettu, toimi nopeasti identiteettivarkauden välttämiseksi. Tämä on vakavampi asia kuin pelkkien luottokorttitietojen menettäminen.
• Älävastaa suoraan yritykselle, joka pyytää henkilötietojasi tietomurron jälkeen. Kyseessä voi olla käyttäjän manipulointiin perustuva hyökkäys. Selvitä ensin pyyntöjen aitous perehtymällä uutisiin, tarkistamalla yrityksen verkkosivut tai soittamalla asiakaspalveluun.
• Varaudu muuntyyppisiin käyttäjän manipulointiin perustuviin hyökkäyksiin. Esimerkiksi hotellin tileille päässyt käyttäjä voi soitella asiakkaille ja pyytää palautetta viimeaikaisista käynneistä, vaikka hänellä ei olisikaan taloustietoja hallussaan. Puhelun päätteeksi rikollinen voi esimerkiksi tarjota hyvitystä pysäköintimaksuista ja pyytää asiakkaan luottokorttinumeroa hyvityksen tekemistä varten. Jos puhelu on vakuuttava, useimmat asiakkaat antavat nämä tiedot mukisematta.

Valvo tilejäsi uusien tapahtumien varalta. Jos huomaat tapahtumia, joita et tunnista, puutu niihin heti.

Näin voit suojautua tietoturvaloukkauksilta

Vaikka kukaan ei ole täysin suojassa tietomurroilta, hyvät tietoturvatottumukset tekevät tietokoneen käyttäjästä vähemmän alttiin hyökkäyksille ja pienentävät niiden aiheuttamia haittoja. Näiden vinkkien avulla voit ehkäistä hakkereiden pyrkimyksiä murtaa tietokoneidesi ja muiden laitteidesi suojausta.

• Käytä vahvoja salasanoja, joissa on isoja ja pieniä kirjaimia, numeroita ja symboleita satunnaisessa järjestyksessä. Niitä on huomattavasti vaikeampi murtaa kuin yksinkertaisempia salasanoja. Älä käytä salasanoja, joita on helppo arvata, kuten sukunimiä tai syntymäaikoja. Pidä salasanasi suojassa käyttämällä salasanojen hallintaohjelmaa.
• Käytä eri tileillä eri salasanoja. Jos käytät samaa salasanaa eri tileilläsi, yhdelle tilillesi tunkeutunut hakkeri pääsee saman tien kaikille muillekin tileillesi. Jos tileillä on eri salasanat, vain yksi tili on vaarassa.
• Sulje tilit, joita et tarvitse – älä jätä niitä tyhjän pantiksi. Tämä vähentää alttiuttasi joutua tietoturvaloukkausten kohteeksi. Jos et käytä tiliä, et välttämättä myöskään huomaa, jos sen suojaus pettää. Käyttämätön tili voi toimia takaporttina muille tileillesi.
• Vaihda salasanat säännöllisesti. Monissa julkisuuteen tulleissa tietoturvaloukkauksissa yhteistä on se, että ne ovat tapahtuneet pidemmän ajan kuluessa. Joissakin tapauksissa asiasta on tiedotettu vasta vuosia murron jälkeen. Vaihtamalla salasanasi säännöllisesti pienennät merkittävästi riskejä, joita ilmoittamatta jääneet tietomurrot voivat aiheuttaa.
• Jos hävität tietokoneen, tyhjennä vanha kiintolevy kokonaan. Pelkkä tietojen poistaminen ei riitä. Tyhjennä levy kokonaan tietojen tuhoamiseen tarkoitetulla ohjelmalla, joka korvaa kaiken levyllä olevan datan. Levy tyhjenee kokonaan myös, jos asennat käyttöjärjestelmän uudelleen.
• Varmuuskopioi tiedostosi. Tietomurron toteutustapa voi olla myös sellainen, että tiedostosi salataan ja kiristysohjelma vaatii korvauksen siitä, että saat tiedot jälleen käyttöösi. Jos pidät erillistä varmuuskopiota irrotettavassa asemassa, tietosi ovat turvassa tietomurtotilanteessa.
• Suojaa puhelimesi. Pidä puhelimen näyttöä lukittuna ja päivitä puhelimesi ohjelmisto säännöllisesti. Älä tee puhelimelle roottausta tai jailbreikkausta. Roottaamalla puhelimen annat hakkereille mahdollisuuden asentaa omia ohjelmiaan ja asetuksiaan puhelimeen.
• Suojaa tietokoneesi ja muut laitteesi virusten ja haittaohjelmien torjuntaohjelmistoilla.Kaspersky Antivirus on hyvä valinta, kun haluat pitää tietokoneesi suojassa tartunnoilta ja varmistaa, että hakkerit eivät saa jalansijaa järjestelmässäsi.
• Harkitse aina ennen kuin klikkaat. Sähköpostiviestit, joita et ole erikseen tilannut ja joissa on verkkosivustojen linkkejä, voivat olla tietojenkalasteluyrityksiä. Osa niistä voi olla tekeytynyt yhteyshenkilöidesi lähettämiksi. Jos niissä on liitetiedostoja tai linkkejä, varmista niiden aitous, ennen kuin avaat niitä, ja tarkista liitteet virustentorjuntaohjelmalla.
• Kun käytät tilejäsi, käytä suojattua HTTPS-protokollaa pelkän HTTP-protokollan sijaan.
• Voit huolehtia tietoturvastasi pitämällä silmällä tiliotteitasi ja luottotietojasi. Varastetut tiedot voivat päätyä pimeään verkkoon vuosien kuluttua alkuperäisestä tietomurrosta. Identiteettivarkautta voidaan siis yrittää vasta vuosien päästä, kun olet jo aikaa sitten unohtanut tilisi suojauksen vaarantaneen tietomurron.
• Muista, että henkilötietosi ovat arvokkaita, äläkä jakele niitä tarpeettomasti. Liian monet verkkosivut haluavat tietää liikaa sinusta. Miksi esimerkiksi talouslehti haluaa tietää syntymäaikasi? Mihin huutokauppasivusto tarvitsee henkilötunnustasi?

Kukaan tuskin jättää asuntonsa ovea auki koko päiväksi, sillä kuka tahansa voisi kävellä sisään. Suhtaudu tietokoneeseesi samalla tavalla. Pidä pääsy verkkoosi ja henkilötietoihisi visusti turvassa äläkä jätä auki ikkunoita tai ovia, joista hakkeri voi livahtaa sisään.

Aiheeseen liittyviä linkkejä

Verkkopankkitietojen suojaaminen varkauksilta

Tietovarkaus ja tietojen menetys

Vinkkejä kyberrikollisuudelta suojautumiseen