E-ITSPEA 14: Andmeturveː tehnoloogia, koolitus ja reeglid

Andmepüük on üks levinumaid IT-turvaohte. Samal ajal võtavad kõik oma ohtu rohkem kui tõsiselt, kuna see on suunatud ohvri isikuandmete või raha varastamisele. Samal ajal on ta üks vihatuimaid probleeme, kuna inimesed annavad vabatahtlikult oma andmed, st nad ise lasevad end petta.

Andmepüügil on palju tehnikaid ja tüüpe. Need võivad olla provokatiivsed kirjad avaldatud ohvri isikliku alasti fotode kohta või panga võltssõnum, kus öeldakse, et kahtlane rahaülekanne on tehtud ja on vaja süsteemi sisse logida ja tehinguid kontrollida. Me ostame nendesse trikkidesse uudishimust, hirmust või haletsusest ja siis vihastame enda peale, et lasime end petta.

Mõnikord pole see meie süü. 2016. aastal, enne USA valimisi, tekkis poliitik John Podesti ümber tohutu skandaal. Ta oli esimees Hillary Clintoni presidendiks. Märtsis sai poliitik kirja isikliku Gmaili konto parooliga vahetamise palvega. Samal ajal teatati John Podestale võimalikest katsetest varastada tema isikuandmeid. Podesta saatis saabunud meili autentimiseks IT-osakonda. IT-spetsialist ajas tagastuskirjas segamini sõnad "päris" ja "võlts" ehk vastas poliitikule, et kiri oli ehtne. Pärast seda lekitasid paljud John Podesti isiklikud ja töökirjad Internetis. Sel juhul kahtlustas ohver võimalikku andmepüüki, kuid trükiviga autentimisel sundis teda tegutsema, nagu kirjas öeldud.

Väga sageli kasutatakse sellistes kirjades ähvardusi või seatakse ohvri reageerimiseks tähtajad. Näiteks kiri ohvri sotsiaalvõrgustiku konto kahtlase tegevuse kohta. Seoses teatud kaebusega (kaebust ei eksisteeri) kasutaja vastu blokeerivad sotsiaalvõrgustiku administraatorid 48 tunni jooksul ohvri konto, kui ta väidetavalt kaebuse ümberlükkamiseks linki ei järgi. Muidugi viib lingile klõpsamine ohvri brauseriaknasse, kus peab edasiste toimingute jaoks oma kontole sisse logima. Pärast seda pole vahet, mida ta teeb, pettur sai selle, mida ta tahtis.

Võltsmeilide kontrollimiseks on palju võimalusi, näiteks domeeni hoolikas uurimine, selle e-posti autentsuse kontrollimine, millega kahtlane kiri saadeti, ja pöördumine väidetavalt e-kirja saatnud ametliku allika poole. Paljud pangad postitavad oma kodulehekülgedele silmatorkavaid ja pilkupüüdvaid teateid, et petturid võivad proovida e-posti teel kasutajate isikuandmeid varastada. Seega hoiatab pank meid kohe, et kui keegi kirjutab panga nimel e-postile kahtlasi kirju, siis see on vale. Parim, mida ohver saab andmepüügi korral teha, on kas provokatsioonide täielik ignoreerimine või otse administraatoritele kirjutamine. Sotsiaalmeedias on andmepüüki üsna lihtne peatada, aidates administraatoritel leida häkkerid ja häkkinud kasutajad.

Ükskõik kui lihtne ja rumal see ka ei kõlaks, kuid sellistes olukordades ei tohiks mingil juhul emotsioonid teid juhtida, pettur üritab just seda saavutada. Enne faili avamist on oluline kontrollida selle saatnud isikut. Kui see on keegi tuttav, saab petturi tuvastada identiteedi kontrollimise abil. Mu lähedane sõber ei palu mul kunagi ametlikult iludusvõistlustel tema poolt hääletada. Muidugi on see kahtlane ja ma lihtsalt helistan talle telefoni teel ja küsin, kas ta kirjutas selle või mitte. Kui ei, siis järgmine kiri on sotsiaalvõrgustiku administraatorile. Kuigi tegelikult on see kohutavalt solvav, kui petturid üritavad ohvriga haletsusega manipuleerida või lähemate sõprade ja tuttavate nimel linke viirustega saitidele saata. Selline petmine tundub nagu torkamine selga.