Näin se toimii: vakoilua takaoven kautta
Periaate on pelottavan yksinkertainen. Siinä hyödynnetään toimintoa, jonka viestipalvelut ovat alun perin kehittäneet käyttäjien arjen helpottamiseksi: muiden laitteiden yhdistämistä tiliin (esimerkiksi WhatsApp Webin kautta). Jos joku saa lukitsemattoman älypuhelimesi käsiinsä edes muutamaksi sekunniksi, hän voi liittää tiliisi toisen laitteen, kuten tietokoneen tai tabletin, QR-koodin tai tekstiviestillä lähetetyn vahvistuskoodin avulla. Tutkintaviranomaiset käyttävät tätä taktiikkaa jo kuulusteluissa, joissa puhelin luovutetaan heille vapaaehtoisesti. Uhka ei kuitenkaan tule vain viranomaisten taholta: myös mustasukkainen kumppani illalla sohvalla tai esihenkilö toimistossa voi hyödyntää hetken tarkkaamattomuuden ja yhdistää oman laitteensa tiliisi salaa. Tätä kutsutaan nimellä ”ghost pairing”. Tällaisella yhdistämisellä voi olla vakavia seurauksia:
- Reaaliaikainen seuranta: Hyökkääjä näkee jokaisen lähettämäsi tai vastaanottamasi uuden viestin samanaikaisesti omalla näytöllään.
- Vanhojen keskustelujen synkronointi: Viestipalvelusta riippuen myös aiemmat keskusteluhistoriat voidaan ladata ulkopuolisen laitteelle, kun se yhdistetään tiliin.
- Huomaamaton manipulointi: Tiliin yhdistetyllä laitteella voi viestien lukemisen lisäksi usein myös kirjoittaa ja lähettää viestejä sinun nimissäsi. Tämä voi vääristää täysin keskustelujen todistusarvon, jos niitä joudutaan käyttämään todisteina.
Miksi salaus ei tässä auta
Tätä menetelmää vastaan ei auta paraskaan päästä päähän -salaus. Järjestelmän näkökulmasta hyökkääjän laite ei ole luvaton ulkopuolinen, vaan sinun hyväksymäsi virallinen lisäyhteys. Suojausta ei siis murreta, vaan se yksinkertaisesti kierretään sallittua reittiä pitkin. Menetelmä paljastuu kyllä heti, kun sovelluksen asetuksista tarkistaa aktiiviset istunnot, mutta rehellisesti sanottuna: kuka tarkistaa tämän luettelon päivittäin? Juuri tähän urkkijat luottavat. Usein salaa viestejä lukeva huomataan vasta tuntien, päivien tai jopa viikkojen kuluttua.
Yritysten riskit: varjo-IT ja yritysvakoilu
Yritysten kannalta ongelma on huomattavasti vakavampi. Jos työntekijät vaihtavat yrityksen sisäisiä tietoja, asiakastietoja tai projektien yksityiskohtia yksityisissä tai puutteellisesti suojatuissa viestipalveluissa, yrityksiä uhkaavat laajat tietovuodot:
- Liikesalaisuuksien vuotaminen: Tiliin huomaamatta yhdistetyn laitteen kautta luottamuksellisten keskustelujen sisältö voi päätyä suoraan kilpailijoille tai muille sivullisille.
- Sääntöjen ja yleisen tietosuoja-asetuksen rikkomukset: Työhön liittyvien keskustelujen salaamaton synkronointi kolmansien osapuolten yksityislaitteisiin rikkoo voimassa olevia tietosuojakäytäntöjä ja voi johtaa yrityksille kalliisiin oikeudellisiin seuraamuksiin.
Näin suojaudut tehokkaasti
(Tietoturvaohjeita arkeen)
IT-kumppaninasi suosittelemme vahvasti, että niin yritykset kuin yksityishenkilötkin omaksuvat seuraavat tietoturvaohjeet osaksi arkeaan ja noudattavat niitä tarkasti:
- Tarkista linkitetyt laitteet säännöllisesti: Tarkista käyttämiesi sovellusten (WhatsApp, Telegram, Signal) asetuksista kohta ”Linkitetyt laitteet” tai ”Istunnot”. Poista välittömästi kaikki laitteet, joita et ole varmasti itse lisännyt.
- Suojaa puhelimesi näytön lukituksella: Älä koskaan jätä älypuhelintasi lukitsemattomana ilman valvontaa – kotona tai työpaikalla. Käytä turvallista PIN-koodia, Face-ID:tä tai sormenjälkilukitusta.
- Ota sovelluksen lukitus käyttöön: Monien viestisovellusten tietosuoja-asetuksissa on mahdollisuus suojata myös itse sovellus erillisellä koodilla tai biometrisellä tunnistuksella. Ota tämä toiminto käyttöön!
- Ole varovainen tekstiviestikoodien kanssa: Älä koskaan luovuta tekstiviestillä saamiasi vahvistuskoodeja muille äläkä anna kenenkään katsella näyttöäsi valvomatta.
- Selkeät ohjeet viestisovellusten käyttöön yrityksessä: Käytä työviestintään ainoastaan siihen tarkoitettuja, IT-palveluntarjoajan hyväksymiä yritysviestisovelluksia ja kiellä työhön liittyvien tietojen välittäminen pelkästään yksityiskäyttöön tarkoitettujen keskustelusovellusten kautta.
Digitaalinen yksityisyys alkaa laitteiden tietoisesta ja huolellisesta käytöstä. Jos tarvitset apua yrityksesi viestinnän suojaamisessa tai turvallisten viestintäkanavien järjestämisessä henkilöstöllesi, olemme IT-palveluntarjoajanasi aina valmiina auttamaan ja neuvomaan.
Kirjoita tähän …