Kun taloushallinto saa toimitusjohtajan nimissä kiireellisen pyynnön muuttaa toimittajan tilinumero, vahinko voi syntyä muutamassa minuutissa. Tietojenkalastelun torjunta yrityksessä ei ole pelkkä tietohallinnon tehtävä, vaan rahaliikenteen, asiakastietojen ja työrauhan suojaamista. Pk-yrityksessä onnistuminen perustuu kolmeen asiaan: selkeisiin toimintatapoihin, hallittuun IT-ympäristöön ja nopeaan reagointiin.
Miksi tietojenkalastelu on liiketoimintariski?
Tietojenkalastelu on yritykselle liiketoimintariski, koska yksikin onnistunut huijaus voi keskeyttää työn, vaarantaa maksuliikenteen tai avata pääsyn asiakas- ja henkilöstötietoihin. Hyökkääjä ei yleensä murra teknisiä suojauksia väkisin. Hän hyödyntää kiirettä, luottamusta ja epäselviä käytäntöjä – usein tavalliselta näyttävän sähköpostin, kirjautumissivun tai Teams-viestin avulla.
Kyse ei ole enää vain kömpelöstä viestistä, jossa pyydetään klikkaamaan epäilyttävää linkkiä. Hyökkäykset voivat jäljitellä toimitusjohtajan kirjoitustyyliä, oikean yhteistyökumppanin sähköpostiketjua tai Microsoft 365 -kirjautumista. Viesti saattaa tulla myös kaapatulta, aidolta tililtä. Siksi pelkkä lähettäjän nimen vilkaisu ei riitä.
Vaikutus näkyy nopeasti euroissa ja työajassa. Maksuhuijaus voi johtaa välittömään rahalliseen menetykseen. Varastettu käyttäjätunnus voi mahdollistaa laskutustietojen muutokset, luottamuksellisen aineiston kopioinnin tai haittaohjelman levittämisen. Lisäksi henkilöstö joutuu keskeyttämään työnsä, johto selvittämään tilannetta ja asiakassuhteet voivat kärsiä.
Tietojenkalastelun torjunta yrityksessä alkaa arjen toimintamalleista
Tehokkain suoja syntyy, kun henkilöstö tietää täsmälleen, mitä tehdä epäilyttävässä tilanteessa ja milloin rahaan tai tietoihin liittyvä pyyntö pitää varmistaa toisella tavalla. Tavoite ei ole tehdä jokaisesta työntekijästä tietoturva-asiantuntijaa. Tavoite on estää hätiköidyt päätökset ja tehdä oikeasta toimintatavasta helppo.
Erityisesti seuraavat tilanteet kannattaa sopia kirjallisesti ja käydä läpi henkilöstön kanssa:
- Maksu- ja tilinumeromuutokset varmistetaan aina toista kanavaa pitkin. Jos pyyntö tulee sähköpostilla, varmistus tehdään esimerkiksi ennalta tunnettuun puhelinnumeroon soittamalla. Viestissä annettuun numeroon ei soiteta.
- Salasanaa tai kertakäyttökoodia ei luovuteta koskaan. IT-tuki, pankki tai Microsoft eivät pyydä niitä sähköpostilla, tekstiviestillä tai puhelussa.
- Kirjautuminen tehdään vain tutusta osoitteesta tai kirjanmerkin kautta. Linkin avaamisen sijaan käyttäjä voi avata palvelun itse selaimesta.
- Epäilyttävä viesti ilmoitetaan heti. Ilmoittaminen ei ole virheen myöntämistä, vaan nopein tapa estää muiden altistuminen.
- Kiire ei ohita hyväksyntäkäytäntöjä. Varsinkaan toimitusjohtajan nimissä tullut poikkeuksellinen pyyntö ei saa muuttaa sovittua prosessia.
Käytäntöjen täytyy sopia yrityksen kokoon. Kymmenen hengen yrityksessä kahden henkilön tarkistus maksupyynnöille voi olla riittävä ja erittäin tehokas. Sadassa hengessä tarvitaan usein roolikohtaiset hyväksynnät ja selkeä omistaja prosessille. Olennaista on, että ihmiset tietävät, missä tilanteessa pysähtyä.
Tunnista viestit, jotka vaativat pysähtymistä
Tietojenkalasteluviestissä ratkaisevaa ei ole yksi yksittäinen merkki vaan kokonaisuus. Pysähdy, jos viesti pyytää tekemään jotain kiireellisesti, ohittamaan normaalin hyväksynnän tai luovuttamaan kirjautumistietoja. Sama koskee odottamattomia liitteitä, epätavallista kieltä ja osoitteita, jotka muistuttavat tuttua verkkotunnusta mutta eivät ole aivan oikein.
Erityisen riskialttiita ovat viestit, joissa pyydetään tarkistamaan jaetun tiedoston käyttöoikeus, uusimaan salasana tai hyväksymään monivaiheisen tunnistautumisen ilmoitus. Jos et itse ole kirjautumassa palveluun, älä hyväksy ilmoitusta. Se voi olla hyökkääjän yritys kirjautua tilillesi oikealla salasanalla.
Tekninen suojaus vähentää onnistuneen huijauksen mahdollisuutta
Tekniset suojaukset eivät poista henkilöstön harkinnan tarvetta, mutta ne pienentävät vahingon todennäköisyyttä ja rajaavat vaikutuksia, jos käyttäjä erehtyy. Pk-yritykselle järkevä kokonaisuus ei tarkoita kymmeniä erillisiä työkaluja. Se tarkoittaa vakioituja perusasioita, joita seurataan jatkuvasti eikä vain käyttöönoton yhteydessä.
| Suojaustoimi | Mitä se estää tai rajoittaa | Liiketoimintahyöty | |—|—|—| | Monivaiheinen tunnistautuminen | Tilin kaappauksen pelkällä salasanalla | Vähentää sähköpostin ja pilvipalvelujen väärinkäyttöä | | Sähköpostin suodatus ja suojausasetukset | Haitallisia linkkejä, liitteitä ja huijausviestejä | Vähemmän vaarallisia viestejä käyttäjien käsiteltäväksi | | Hallitut päätelaitteet ja päivitykset | Tunnettujen haavoittuvuuksien hyväksikäyttöä | Vähemmän häiriöitä ja ennakoitavampi laitekanta | | Pääsynhallinta ja vähimmät oikeudet | Kaapatun tilin laajaa vahinkoa | Rajaa pääsyn vain työn kannalta tarpeellisiin tietoihin | | Varmuuskopioiden testaus | Palautumisen epäonnistumista häiriötilanteessa | Nopeampi paluu normaaliin toimintaan |
Monivaiheinen tunnistautuminen on käytännössä pakollinen lähtötaso, mutta senkin toteutus ratkaisee. Jos henkilöstöä pommitetaan hyväksyntäilmoituksilla, he voivat tottua painamaan hyväksy-painiketta tarkistamatta pyyntöä. Siksi tunnistautumisen asetukset, käyttäjäohjeistus ja poikkeamien seuranta kuuluvat samaan kokonaisuuteen.
Myös vanhentuneet laitteet, puuttuvat päivitykset ja tarpeettoman laajat käyttöoikeudet ovat tietojenkalastelun seurausten kannalta merkittäviä. Kun ympäristö on vakioitu, tiedetään, mitkä laitteet ovat käytössä, mitä niihin on asennettu ja kenen oikeuksia pitää muuttaa työsuhteen vaihtuessa. Tämä vähentää sekä riskiä että päivittäistä säätämistä.
Koulutus toimii vain, kun se on käytännönläheistä
Tietoturvakoulutus toimii, kun se on lyhyt, toistuva ja sidottu työntekijöiden oikeisiin tilanteisiin. Yksi vuosittainen esitys ei muuta toimintaa, jos työntekijä kohtaa epäilyttävän laskupyynnön kahdeksan kuukautta myöhemmin kiireisenä perjantaiaamuna. Koulutuksen pitää harjoituttaa päätöksentekoa juuri siinä hetkessä, jossa huijaus yrittää vaikuttaa.
Hyvä tapa on käydä säännöllisesti läpi muutama tuore esimerkki: toimitusjohtajahuijaus, jaetun tiedoston ilmoitus, pankin nimissä tullut tekstiviesti ja toimittajan muuttunut laskutusosoite. Kunkin esimerkin kohdalla vastataan kolmeen kysymykseen: mikä herättää epäilyn, miten pyyntö varmistetaan ja kenelle siitä ilmoitetaan.
Simuloidut kalasteluviestit voivat olla hyödyllisiä, jos niiden tarkoitus on opettaa eikä nolata. Tuloksia ei pidä käyttää henkilöstön rankaisemiseen. Parempi mittari on se, lisääntyvätkö epäilyttävistä viesteistä tehdyt ilmoitukset ja saadaanko vaaralliset viestit poistettua nopeasti. Avoin ilmoituskulttuuri on vahvempi suoja kuin hiljaisuus, jossa virhettä pelätään.
Kun epäily syntyy, ensimmäinen tunti ratkaisee
Epäilyttävään viestiin reagoidaan tehokkaasti, kun henkilöstöllä on yksi selkeä ilmoituskanava ja IT-ympäristöä pystytään tutkimaan nopeasti. Jos käyttäjä on klikannut linkkiä tai syöttänyt tunnuksensa, aikaa ei pidä käyttää syyllisen etsimiseen. Tilanne rajataan ensin, käyttäjätili suojataan ja mahdollinen leviäminen selvitetään.
Toimintamalli kannattaa sopia etukäteen seuraavaksi:
- Käyttäjä ilmoittaa viestistä tai tapahtumasta välittömästi sovittuun kanavaan.
- IT-tuki arvioi, onko kyse pelkästä viestistä, linkin avauksesta, tunnusten luovutuksesta vai mahdollisesta tilikaappauksesta.
- Tarvittaessa salasana vaihdetaan, aktiiviset istunnot katkaistaan ja tunnistautumismenetelmät tarkistetaan.
- Sähköpostista etsitään vastaavat viestit ja ne poistetaan tai eristetään muiden käyttäjien postilaatikoista.
- Tapaus dokumentoidaan, ja samalla korjataan se käytäntö tai tekninen puute, joka mahdollisti riskin.
Nopea reagointi vaatii näkyvyyttä ympäristöön. Jos yritys ei tiedä, millä laitteilla käyttäjä on kirjautunut, mitä käyttöoikeuksia hänellä on tai miten sähköpostisuojaus toimii, selvitystyö pitenee. Silloin käyttökatkon ja epävarmuuden kustannus kasvaa tarpeettomasti.
Ennakoiva IT-ylläpito tekee suojauksesta hallittavaa
Tietojenkalastelun torjunta ei ole kertaluonteinen projekti, vaan osa jatkuvaa IT-ylläpitoa. Kun käyttäjät, laitteet, päivitykset, käyttöoikeudet ja suojausasetukset ovat hallinnassa, riskit voidaan tunnistaa ennen kuin ne muuttuvat häiriöksi. Samalla yritys välttää tilanteen, jossa tietoturva nojaa yhden kiireisen sisäisen henkilön muistiin.
Käytännössä tämä tarkoittaa kehitä, seuraa, vakioi, tue -mallia. Ensin tunnistetaan nykyiset riskit ja sovitaan tavoitetaso. Sen jälkeen laitteita, käyttäjätilejä ja suojausten tilaa seurataan jatkuvasti. Vakioidut toimintamallit vähentävät poikkeuksia, ja käyttäjät saavat nopeasti apua, kun jotain epäilyttävää tapahtuu.
Config Oy toteuttaa tätä ajattelutapaa kiinteähintaisessa IT-ylläpidossa: tarkoitus ei ole odottaa seuraavaa tukipyyntöä, vaan vähentää niiden syntymistä hallitulla ja standardoidulla ympäristöllä. Se on erityisen arvokasta yritykselle, jossa oman IT-tiimin aika pitää käyttää liiketoimintaa tukeviin tehtäviin eikä jatkuvaan hälytystilaan.
Tietojenkalastelun riskiä ei voi poistaa kokonaan, koska hyökkääjät hyödyntävät aina ihmisten kiirettä ja luottamusta. Yritys voi kuitenkin päättää, jääkö jokainen epäily yksittäisen työntekijän huoleksi vai muuttuuko se hallituksi prosessiksi, jossa apu on lähellä ja vahinko pysähtyy ajoissa.