SIM-kaappaus: miksi tekstiviestikoodi ei suojaa kaikilta hyökkäyksiltä?

Jos puhelin menettää yllättäen yhteyden mobiiliverkkoon ja epäilet numerosi kaappausta, ota heti yhteys operaattoriin toisella, luotettavalla laitteella. Kerro, ettet ole pyytänyt liittymän siirtoa tai uutta SIM-korttia, jos näin on. Tarkista samalla sähköposti ja ne palvelut, joissa numeroa käytetään kirjautumiseen tai tilin palautukseen.

SIM-kaappauksessa hyökkääjä pyrkii saamaan puhelinnumeron hallintaansa esimerkiksi huijaamalla operaattoria siirtämään sen toiselle SIM-kortille. Tämän jälkeen numeroon lähetetyt viestit ja puhelut voivat päätyä hyökkääjälle. Tekstiviestillä tuleva kirjautumiskoodi ei tällöin välttämättä päädy vain oikealle omistajalle.2

Miksi kryptotili voi olla vaarassa?

Kryptopalvelun salasana ja tekstiviestikoodi ovat eri asioita. Numeron kaappaus ei sellaisenaan todista, että hyökkääjällä on salasana tai että hän pääsee tilille. Riski syntyy, jos hän saa haltuunsa myös salasanan tai pystyy käyttämään puhelinnumeroa tilin tai salasanan palautusketjussa. Käytännöt vaihtelevat palveluittain.2

Sähköposti on tärkeä tarkistuskohde, koska siihen voi liittyä muiden palvelujen palautusviestejä. Jos sama numero palauttaa sekä sähköpostin että kryptopalvelun tilin, yhden liittymän menetys voi vaikuttaa useampaan paikkaan. Selvitä, mihin numero on liitetty, myös silloin kun et yleensä käytä sitä tavalliseen kirjautumiseen.

Puhelinnumeron hallinta ei ole sama asia kuin itse hallinnoidun kryptolompakon palautuslauseen hallinta. Silti myös erilliseen lompakkoon liittyviä palveluja tai sähköpostia voidaan yrittää käyttää hyökkäyksessä. Älä anna palautuslausetta, yksityistä avainta tai salasanaa kenellekään, joka ottaa yhteyttä tukihenkilönä.3

Kuvitteellinen esimerkki

Kuvitteellinen esimerkki: Ainon puhelin lakkaa saamasta verkkoyhteyttä. Hän saa toisessa laitteessa ilmoituksen sähköpostitilin palautusyrityksestä, jota hän ei tehnyt. Aino soittaa operaattorille itse etsimästään numerosta ja pyytää tarkistamaan, onko liittymään tehty hänen tietämättään muutos.

Samalla hän avaa kryptopalvelunsa kirjoittamalla sen osoitteen itse ja ilmoittaa epäillystä tilikaappauksesta. Hän ei vastaa tekstiviestiin, jossa pyydetään vahvistamaan tilanne linkin kautta. Esimerkissä yhteyden katkeaminen ja palautusyritys ovat hälytysmerkkejä, eivät yksin todiste siitä, mitä on tapahtunut.

Toimi, jos epäilet kaappausta

• Operaattori ensin: käytä viralliselta sivulta tai sopimuksesta itse tarkistamaasi yhteystietoa. Pyydä selvittämään liittymän tila ja estämään luvattomat muutokset heidän ohjeidensa mukaan. Kysy, miten saat numeron takaisin hallintaasi.
• Ota yhteys palveluihin: ilmoita pankille, sähköpostipalvelulle ja kryptopalvelulle, jos tileihin voi liittyä luvaton käyttö. Pyydä tarvittaessa tilin väliaikaista suojaamista palvelun omien käytäntöjen mukaan. Rikosuhripäivystys neuvoo kryptohuijausta epäilevää ottamaan ensimmäiseksi yhteyttä pankkiin.10
• Tarkista tilit luotettavalla laitteella: katso kirjautumisilmoitukset, palautustiedot, laitteet ja mahdolliset uudet tapahtumat. Vaihda vaarantuneet salasanat ja noudata palvelun omaa tilin palautusohjetta.
• Säilytä tiedot: ota talteen ilmoitukset, kellonajat, tapahtumatunnisteet ja operaattorin tai palvelun antama asianumero. Älä tallenna palautuslausetta kuvakaappaukseen tai lähetä sitä tuelle.
• Tee rikosilmoitus, jos epäilet rikosta, ja pyydä tarvittaessa apua Rikosuhripäivystyksestä. Ilmoituksen voi tehdä, vaikka tapahtumien koko kulku ei vielä olisi selvillä.10

Jos olet antanut jollekulle etäkäyttöoikeuden tai huomaat laitteen toimivan oudosti, kerro siitä pankille ja palvelulle. Älä jatka arkaluonteista kirjautumista epäilyttävällä laitteella ennen kuin sen turvallisuus on selvitetty.

Vähennä riippuvuutta puhelinnumerosta

Katso kunkin tärkeän palvelun asetuksista sekä kirjautumisen että palautuksen vaihtoehdot. Jos palvelu tarjoaa vahvistussovelluksen tai fyysisen turva-avaimen, tarkista niiden käyttöönotto ja turvallinen varamenetelmä palvelun virallisista ohjeista. Tekstiviestiin perustuva vahvistus altistuu SIM-kaappaukselle.2

Kysy operaattorilta, mitä lisäsuojauksia liittymän muutoksille on saatavilla. SIM-kortin oma PIN ja operaattorin tilille tai liittymän muutoksille asettama suoja eivät välttämättä ole sama asia. Mikään yksittäinen PIN ei ole lupaus siitä, ettei numeroa voi kaapata.

Muista myös palautustilanne: jos vahvin kirjautumistapa voidaan ohittaa pelkällä numerolla, numeron merkitys voi jäädä suureksi. Saatavilla olevat vaihtoehdot riippuvat palvelusta. Käy siksi läpi koko ketju sen sijaan, että tarkistaisit vain yhden asetuksen.

Valmistaudu ennen ongelmaa

Tee itsellesi lista tärkeistä palveluista ja niiden palautustavoista. Kirjaa esimerkiksi, missä sähköpostiosoitteessa saat turvailmoitukset ja missä palvelussa numeroa käytetään palautukseen. Älä kuitenkaan kirjoita listaan salasanoja, kertakäyttökoodeja tai lompakon palautuslausetta. Tarkoitus on löytää nopeasti oikeat yhteydenottopaikat, ei koota kaikkia salaisuuksia samaan tiedostoon.

Tarkista myös, miten saat yhteyden operaattoriin, jos oma puhelinnumero ei toimi. Varalaitteesta tai luotettavan läheisen puhelimesta voi olla apua yhteydenotossa. Jos käytössäsi on palautuskoodeja, säilytä ne palvelun ohjeen mukaan poissa ulkopuolisten saatavilta.

Äkillinen kuuluvuuden katoaminen voi johtua myös tavallisesta verkkohäiriöstä, laitteen viasta tai liittymän ongelmasta. Älä siis tee varmaa diagnoosia oireesta yksin. Operaattori voi auttaa selvittämään, mitä liittymälle on tapahtunut. Jos samaan aikaan näkyy tuntemattomia kirjautumisyrityksiä, ilmoita niistä asianomaisille palveluille viivyttelemättä.

Sources

[2] Ledger, The State of Crypto Scams: https://www.ledger.com/academy/topics/security/the-state-of-crypto-scams

[3] Ethereum.org, Wallet security: https://ethereum.org/en/wallets/security

[10] Rikosuhripäivystys, Jouduitko kryptohuijauksen uhriksi?: https://www.riku.fi/nettihuijaus/sijoituspetos/kryptohuijaus/