Artikkeli · s-007
Väärennetty CAPTCHA pyytää suorittamaan komennon: tunnista ClickFix
Eristys- ja lompakkotoimet vaativat tilannekohtaisen tietoturva- ja incident response -asiantuntijan arvion.
Jos verkkosivu pyytää sinua todistamaan ihmisyytesi avaamalla tietokoneen komentoikkunan ja suorittamalla sinne liitettyä tekstiä, pysähdy. Älä suorita sivun ohjeistamaa komentoa. Kyberturvallisuuskeskus varoittaa ClickFix-tekniikasta, jossa käyttäjä houkutellaan itse käynnistämään haitallista sisältöä esimerkiksi ihmistarkistuksen varjolla.1
Mikä tekee pyynnöstä epäilyttävän?
Tavalliseen verkkoselailuun kuuluvia tarkistuksia voidaan jäljitellä. ClickFixissä sivu voi esittää ensin ongelman ja tarjota sitten kiireelliseltä tuntuvan ratkaisun. Haitallinen sisältö saattaa päätyä laitteen leikepöydälle jo painiketta napsauttamalla, minkä jälkeen sivu houkuttelee käyttäjän liittämään ja suorittamaan sen erillisessä ikkunassa.1
Varoitusmerkki ei siis ole yksin se, että näet rastin tai ihmistarkistuksen. Olennaista on pyyntö poistua tavallisesta sivun toiminnasta ja suorittaa sivun antamaa tekstiä omalla laitteella. Samanlainen houkutin voi esiintyä myös korjaus- tai päivitysilmoituksena.1
Jos esimerkiksi kuvitteellinen kryptoon liittyvä keskustelusivu väittää, että viestien lukeminen vaatii laitteen komentoikkunan avaamista, sulje pyyntö sen sijaan, että seuraat ohjeita. Sivun kryptoteema ei osoita, kuka hyökkääjä on tai mitä haittaohjelma yrittää tehdä. ClickFix on yleinen hyökkäystapa, ei vain kryptopalveluihin kohdistuva ilmiö.1
Entä jos vain avasin sivun?
Erota sivun näkeminen ja painikkeen painaminen varsinaisesta komennon suorittamisesta. Älä päättele kummastakaan yksin varmasti, että laite on puhdas tai saastunut. Sulje epäilyttävä sivu, älä jatka sen ohjeita ja selvitä, mitä todella ehdit tehdä. Älä liitä leikepöydällä olevaa epäilyttävää sisältöä mihinkään. Kyberturvallisuuskeskukselle voi ilmoittaa havainnosta.1
Kirjaa muistiin esimerkiksi sivun osoite turvallisesti tekstinä, havaintoajankohta ja vaiheet, joihin osallistuit. Älä lähetä salasanoja, palautuslauseita tai muuta salaista aineistoa ilmoituksen mukana. Jos kyse on työpaikan laitteesta, ota heti yhteyttä organisaation tietotukeen ja noudata sen ohjeita.1
Jos suoritit tekstin
Käsittele laitetta mahdollisesti vaarantuneena: suoritus ei yksin kerro, mitä tietoja on lähtenyt tai ovatko varat kadonneet. Lopeta kirjautuminen ja lompakon käyttö epäillyllä laitteella.
Työ- tai organisaation hallitsema laite: ota viipymättä yhteys organisaation tietoturvapäivystykseen tai tietotukeen toisella, luotettavalla välineellä. Noudata organisaation poikkeamaohjeita, myös mahdollista välitöntä eristysohjetta; älä viivytä ohjeistettua eristämistä apua odottaessasi. Hallittu eristys voi säilyttää yhteyden valvontapalveluun, joten fyysinen irrottaminen ei ole kaikissa ympäristöissä sama ratkaisu.11
Oma laite: rajoita altistusta viipymättä irrottamalla epäilty laite verkosta ja hanki osaavaa apua toisella laitteella. Älä toista komentoa, kirjaudu epäillyllä laitteella, tyhjennä sitä tai käynnistä sitä uudelleen omin päin ennen tilannekohtaista arviota. Pelkkä tarkistus tai uudelleenkäynnistys ei osoita laitetta turvalliseksi. Tämä on varovainen toimintasuositus, ei ClickFix-lähteen yksityiskohtainen laitekohtainen toipumisohje.
Jos pankkitunnukset tai korttitiedot ovat voineet paljastua, tilillä näkyy epäilyttäviä tapahtumia tai huijaus on saanut sinut maksamaan, ota heti yhteys pankkiin sen itse varmistamasi yhteystiedon kautta toisella luotettavalla laitteella. Pyydä pankkia arvioimaan sulku- ja muut kiireelliset toimet; palautusta ei voi luvata. Traficomin erillinen ohje koskee puhelinhaittaohjelmaa ja neuvoo pankkiyhteyteen, jos saastuneella puhelimella on käytetty pankkisovellusta tai korttitietoja; tässä sovelletaan sen varovaisuusperiaatetta mahdolliseen muuhun laitekompromissiin.6, 9
Suojaa käytettyjen palveluiden tilit toisella, luotettavalla laitteella. Traficom neuvoo kyseisessä puhelinhaittaohjelmatilanteessa vaihtamaan salasanat toisella laitteella tai vasta haittaohjelman poistamisen jälkeen.6
Tarkista erilliseltä luotettavalta laitteelta tärkeiden tilien tapahtumat ja käytä itse varmistamiasi virallisia yhteystietoja. Jos palautuslauseen tai yksityisen avaimen paljastuminen on uskottavasti mahdollista ja varoja on jäljellä, tilanne on kiireellinen: hae välittömästi luotettavaa, tilanteen tuntevaa apua toisella laitteella. Älä paljasta salaisuutta auttajalle tai syötä sitä epäillyllä laitteella. Pelkkä palvelusalasanan vaihto ei ratkaise avaimen paljastumista.8
Erota palvelun hallinnoima tili, lompakon antama käyttöoikeus ja oman avaimen paljastuminen: niiden jatkotoimet voivat olla erilaisia. EU-viranomaiset suosittelevat vaarantuneen lompakon varojen välitöntä siirtämistä uuteen turvalliseen lompakkoon, mutta eivät käsittele juuri tätä ClickFix-tilannetta tai esimerkiksi automaattista varojen kaappausta. Älä tee siirtoa epäillyllä laitteella tai lisää varoja vaarantuneeseen lompakkoon ohjeen perusteella; turvallinen toteutus vaatii kiireellisen tilannekohtaisen arvion.8
Mitä selvitykseen kannattaa ottaa mukaan?
Kerro auttajalle, mitä sivu pyysi tekemään, missä vaiheessa keskeytit ja mitä havaitsit sen jälkeen. Jos komento suoritettiin, kerro myös, milloin se tapahtui ja mitä palveluja laitteella käytettiin. Näistä tiedoista voi olla apua oikean toimenpiteen valinnassa, vaikka et itse osaisi tunnistaa haittaohjelmaa. Älä toista komentoa tai jaa sitä epävirallisesti kokeiltavaksi. Jos valtuutettu tutkija pyytää sisältöä, kysy miten se säilytetään ja välitetään turvallisesti hänen ilmoittamassaan kanavassa; älä sisällytä salaisuuksia.
Haittaohjelmat voivat varastaa kirjautumistietoja, mutta mahdollisia seurauksia ei voi päätellä pelkästä ponnahdusikkunasta.1 Varmista laitteen jatkokäyttö ja mahdollinen uudelleenasennus tilanteen tuntevan asiantuntijan kanssa; älä luota siihen, että samanlaisen näköinen ohje verkossa sopii juuri sinun laitteellesi.
Jos epäilet rikosta, tee rikosilmoitus poliisille. Kyberturvallisuuskeskuksen puhelinhaittaohjelmaohje neuvoo ilmoittamaan rahallisista menetyksistä; tavallinen kaupankäyntitappio ei yksin todista rikosta.6 Varo maksua vastaan varojen palauttamista lupaavia jatkohuijauksia.8