Mikael Albrecht

Psykologia – kyberrikollisen uusi työkalu

Kyberrikokset-palstalla esitellään kyberrikollisen työkalupakki.

Poliisiaiheisten kiristysohjelmien kulta-aikaa olivat vuodet 2012–2015, ja ajanjakso oli tärkeä virstanpylväs haittaohjelmien historiassa. Kyseessä eivät olleet ensimmäiset kiristyshaittaohjelmat eivätkä ensimmäiset pääasiassa psykologiaan perustuvat haittaohjelmat. Mutta ne olivat silti mullistavia laajan levinneisyyden ja suuren tuoton takia.

Poliisikiristysohjelma on teknisesti hyvin yksinkertainen. Se näyttää koko ruudun täyttävän viestin ja vaikeuttaa siirtymistä pois ohjelmasta. Tämä luo mielikuvan, että tietokone on lukittu. Viesti on kirjoitettu jonkun poliisiorganisaation nimissä. Käyttäjää syytetään rikoksesta ja määrätään maksamaan parinsadan euron sakot. Vaihtoehtona on, huijauksen mukaan, pitkä vankilatuomio. "Sakot" maksetaan esimerkiksi paysafecardin tapaisella maksuvälineellä. Halutulla summalla lunastetaan PIN-koodi, joka voidaan välittää rikolliselle netin kautta. Rahat voidaan lunastaa koodilla missä päin maailmaa tahansa.

Alkuaikojen tietokonevirukset olivat teknisesti kehittyneitä, ja niiden luominen vaatii syvällistä tietoa koneen toiminnasta. Poliisitroijalaiset taas edustavat toista ääripäätä. Teknisesti hyvin yksinkertainen ohjelma voi tuottaa suuria summia rikoshyötynä, jos huijauksen viesti vaan on hiottu tarpeeksi pelottavaksi ja uskottavaksi. Romanssihuijaukset puolestaan edustavat vanhaa rikollisuutta, joka on löytänyt uuden tuottoisan alustan internetistä. Tämä huijauksen muoto perustu täysin psykologiaan, eikä siihen liity lainkaan haitallisia ohjelmia.

Kyberrikollisen työkalupakki

Miten uusi psykologiaan perustuva kyberrikollisuusaalto sitten toimii? Miltä kyberrikollisten uusi työkalupakki näyttää? Avataan kansi ja käydään läpi tärkeimmät työkalut:

Kiire. Valtaosa huijauksista on helposti paljastettavissa loogisella ajattelulla. Sen takia on tärkeää saada uhri toimimaan ennen kuin hän on ehtinyt ajatella liikaa. Tiukka aikaraja kuuluu lähes jokaiseen huijaukseen, ja sitä tehostetaan usein näytöllä olevalla laskurilla. Uhkana voi olla esimerkiksi edun menettäminen, vakava rangaistus tai nolo paljastuminen, jos uhri ei toimi aikarajan puitteissa.

Olet valikoitu. Kyseessä on ainutlaatuinen tarjous juuri sinulle. Älä epäröi, koska jonossa on monta muuta, jotka todella haluaisivat saada sen edun, jota nyt tarjotaan sinulle. Moni huijaus näyttää tekaistun laskurin, joka ilmaisee, montako muuta on jonossa saman edun saamiseksi.

Luottamuksellisuus. Varsinkin business-ehdotusten yhteydessä on hyvin yleistä painottaa tarjouksen luottamuksellisuutta. Tämä on täysin loogista, koska mitä useampi ihminen tietää tarjouksesta, sitä suurempi riski on, että joku heistä näkee hujauksen läpi.

Empatia. Kuka ei halusi auttaa, kun kaveri on pulassa? Eräs ennen vanhaan melko yleinen huijaus perustuu siihen, että jonkun henkilön sähköposti kaapataan ja lähetetään viesti hänen yhteystiedoilleen. Hän on viestin mukaan pulassa ulkomailla ja tarvitsee rahaa välittömästi. Empatia ohjaa usein uhrin toimintaa näissä tapauksissa, järjen sijasta. Tarinaan kuuluu tietenkin, että puhelin on kadonnut samalla. Ainoa tapa pitää yhteyttä on siis sähköposti, joka on huijarin hallussa.

Uskottavuutta varastetulla tiedolla. Huijari voi yrittää parantaa tarinan uskottavuutta esittämällä jotain henkilökohtaista tietoa uhrista. Kaveri pulassa -huijausten viestit tulevat aidon kaverin sähköpostista, henkilön aidolla viestipohjalla. Tämä on mahdollista, koska huijarilla on henkilön sähköpostitili hallussa. Toinen hyvä esimerkki on äskettäin yleistynyt pornokiristys. Viestissä väitetään, että huijari on murtautunut uhrin koneeseen, varastanut salasanoja ja muuta tietoa sekä nauhoittanut nettikameralla, kun uhri katsoo aikuisviihdesivustoja. Viestiin on myös lisätty käyttäjän salasana luomaan lisää uskottavuutta. Tarina hakkeroinnista on kuitenkin keksitty, eikä salasana ole peräisin käyttäjän koneesta. Viestissä mainittu salasana on peräisin vanhasta tietovuodosta; se on siis oikea salasana, jota uhri todella joko käyttää tai on käyttänyt.

Haaveet. Haaveilemme monesta asiasta, esimerkiksi suuresta omaisuudesta, luksuspuhelimesta tai uudesta partnerista. Huijarit osaavat hyödyntää näitä yleisiä haaveita ja iskeä juuri niihin. Halu niiden saavuttamiseen saattaa olla liian suuri, kun mahdollisuus siihen tarjoutuu huijausviestin muodossa. Järki sumenee, kun haave yhtäkkiä vaikuttaa olevan saavutettavissa.

Pelko. Pelko voi olla huijauksen ydin, esimerkiksi pelko rangaistuksesta tai häpeällisestä paljastuksesta. Mutta myös muita huijauksia viimeistellään usein pelolla. Ainutlaatuisen tilaisuuden menettämisen pelko ajaa uhria toimimaan.

Häpeä. On luonnollista, että uhrin syyttäminen jostain häpeällisestä, kuten lapsipornon hallussapidosta, on erityisen tehokasta. Se korottaa kynnystä pyytää apua muilta ja voi jopa johtaa maksamiseen, vaikka uhri tietää olevansa syytön. Pedofilia ja lapsiporno ovat niin stigmatisoivia, että pelkkä rikostutkinta tai perätön väite syyllisyydestä voisi vahingoittaa mainetta kohtalokkaasti. Surullinen esimerkki tästä on 36-vuotias romanilainen mies, joka hirtti itsensä ja neljävuotiaan poikansa vuonna 2014, kun ei pystynyt maksamaan poliisikiristyksen vaatimia rahoja. Huijari syytti häntä lapsipornon hallussapidosta ja vaati poikkeuksellisen kovat sakot, peräti yli $20 000. Vaimolle jätetyn itsemurhaviestin mukaan romanialaismies tiesi olevansa syytön, mutta hän luuli, että kiristyksen takana oli paikallinen korruptoitunut poliisi. Hän oli vakuuttunut, että he pystyvät lavastamaan häntä syylliseksi, eikä halunnut, että hänen poikansa elää elämänsä häpeällisesti tuomitun pedofiilin poikana.

Uudenlaiset rikokset perustuvat tekniikan sijaan ihmiseen

Kyberrikollisuuden muuttuminen tuo uusia haasteita tietoturvateollisuudelle. Uuden aallon rikokset eivät enää hyödynnä laitteiden teknisiä heikkouksia samassa määrin kuin perinteiset haittaohjelmat. Ne hyökkäävät sen sijasta heikompaan lenkkiin, ihmiseen. Tämä on luonnollinen kehitys, koska tietotekniikka on kypsynyt merkittävästi viime vuosikymmenten aikana. Henkilökohtaiset tietokoneet olivat alun perin suorastaan sinisilmäisen huonosti suojattuja. Asennetulla ohjelmalla oli täysi pääsy kaikkiin tietoihin ilman rajoituksia. Nykyaikaisilla alustoilla on tarkemmat rajoitukset ja käyttäjällä on mahdollisuus tarkistaa ja rajata sitä, mitä sovellus pääsee tekemään. Maksut ja muut tärkeät toimenpiteet vaativat myös käyttäjän hyväksynnän.

Mutta tämä edellyttää tietenkin, että käyttäjä osaa tehdä oikeita päätöksiä. On vaikeata estää käyttäjää tekemästä asioita, joita hän itse haluaa tehdä. Kyberrikolliset ovat valitettavasti oivaltaneet tämän ja kehittäneet uuden työkalupakin vastaamaan paremmin suojatun IT-ympäristön haasteisiin.

 
Julkaistu 14.12.2018
Sivun alkuun |