FBI varoittaa: Rikolliset murtautuvat tileille varastaakseen intiimejä kuvia

Verkkorikolliset kaappaavat aikuisten ja alaikäisten käyttäjätilejä saadakseen haltuunsa intiimejä kuvia ja videoita. FBI:n mukaan hyökkäyksissä käytetään vuotaneita salasanoja, väärennettyjä kirjautumissivuja ja tekaistuja asiakaspalveluviestejä.

Yhdysvaltain liittovaltion poliisi FBI varoittaa verkkorikollisista, jotka murtautuvat sosiaalisen median tileille ja muihin henkilökohtaisiin verkkopalveluihin varastaakseen intiimejä kuvia ja videoita.

Kohteina ovat sekä aikuiset että alaikäiset. Varastettua materiaalia voidaan julkaista keskusteluryhmissä, myydä rikollisilla markkinapaikoilla tai käyttää uhrin kiristämiseen.

TechCrunchin mukaan FBI:n julkinen varoitus voi viitata siihen, että viranomaiset ovat havainneet tapausten lisääntyvän. Vastaavanlaisia rikoksia on kuitenkin tehty jo vuosien ajan.

Hyökkäys voi alkaa viattoman näköisestä viestistä

Rikolliset hyödyntävät teknisten hyökkäysten ohella sosiaalista manipulointia. Uhrille voidaan esimerkiksi lähettää viesti, jossa väitetään hänen sosiaalisen median tilinsä olevan sulkeutumassa tai lukittumassa.

Seuraavaksi rikollinen käynnistää oikean salasanan palautuksen. Palvelu lähettää uhrille kertakäyttöisen vahvistuskoodin, jonka tekaistu asiakaspalvelija pyytää välittämään itselleen.

Koodin saanut hyökkääjä voi vaihtaa salasanan ja ottaa tilin haltuunsa. Oikea asiakaspalvelija ei tarvitse käyttäjälle lähetettyä kirjautumis- tai palautuskoodia.

Toinen yleinen keino on tietojenkalastelu. Sähköpostiin tai tekstiviestiin liitetty linkki johtaa kirjautumissivulle, joka muistuttaa ulkoasultaan oikeaa palvelua mutta luovuttaa käyttäjätunnuksen ja salasanan rikollisille.

Vuotaneita salasanoja kokeillaan suuria määriä

Kaikki hyökkäykset eivät vaadi uhrin huijaamista. Rikolliset kokeilevat tileihin aiemmista tietovuodoista kerättyjä salasanoja, PIN-koodeja ja niiden muunnelmia.

Jos samaa salasanaa on käytetty useassa palvelussa, yhden palvelun tietovuoto voi avata pääsyn myös sähköpostiin, pilvitallennukseen tai sosiaalisen median tileihin.

Tunnetun kohteen salasanaa voidaan yrittää arvata nimen, syntymäajan, läheisten nimien ja muiden verkosta löytyvien henkilötietojen perusteella. Siksi helposti yhdisteltävät tiedot eivät sovi salasanoiksi tai PIN-koodeiksi.

Varastetun kuvan mukana voidaan julkaista henkilötiedot

FBI:n mukaan intiimin materiaalin yhteyteen liitetään usein uhrin nimi, syntymäaika, sähköpostiosoite, puhelinnumero tai sosiaalisen median käyttäjätunnus.

Tämä altistaa uhrin uudelle häirinnälle, vainoamiselle ja seksuaalisella materiaalilla kiristämiselle. Rikolliset ovat jopa mainostaneet varastettua sisältöä uhrin omalla kaapatulla sosiaalisen median tilillä.

SocialProof Security -yhtiön toimitusjohtaja Rachel Tobac arvioi TechCrunchille, että nuoret pojat ovat olleet hyökkäysten erityinen kohderyhmä. FBI on puolestaan kertonut opiskelijaurheilijoiden joutuvan usein kohteiksi näkyvien julkisten profiiliensa vuoksi.

Rikoksen vastuu on aina materiaalin varastajalla ja levittäjällä. Kuvan ottaminen tai tallentaminen ei anna kenellekään oikeutta murtautua käyttäjätilille tai julkaista sisältöä ilman lupaa.

Näin tilejä voi suojata

Jokaisessa palvelussa kannattaa käyttää omaa pitkää ja satunnaista salasanaa. Salasanojen hallintaohjelma helpottaa yksilöllisten tunnusten käyttämistä ilman, että ne täytyy muistaa ulkoa.

Monivaiheinen tunnistautuminen kannattaa ottaa käyttöön erityisesti sähköpostissa, pilvipalveluissa ja sosiaalisen median tileillä. Sovellukseen tai fyysiseen turva-avaimeen perustuva vahvistus suojaa yleensä paremmin kuin pelkkä tekstiviesti.

Jos palvelua koskeva varoitus saapuu yllättäen, asia pitää tarkistaa avaamalla palvelun virallinen sovellus tai kirjoittamalla osoite itse selaimeen. Viestissä olevaa kirjautumislinkkiä ei pidä käyttää.

Odottamatta saapunutta palautuskoodia ei saa välittää kenellekään. Koodi voi tarkoittaa, että joku yrittää parhaillaan vaihtaa tilin salasanaa.

FBI kehottaa harkitsemaan tarkkaan arkaluonteisten kuvien tallentamista internetiin yhdistettyihin palveluihin. Myös vanhojen pilvivarmuuskopioiden ja sosiaalisen median yksityisviestien sisältö kannattaa käydä läpi.

Kaappausyritykseen kannattaa reagoida nopeasti

Jos tilin epäilee joutuneen vääriin käsiin, salasana on vaihdettava puhtaalla ja luotetulla laitteella. Samalla kannattaa kirjata muut istunnot ulos, tarkistaa palautusosoitteet ja varmistaa, ettei tilille ole lisätty tuntemattomia laitteita tai sovelluksia.

Varastetun materiaalin julkaisemisesta, kiristyksestä tai vainoamisesta kannattaa säilyttää viestit, käyttäjätunnukset, ajankohdat ja osoitteet. Suomessa asiasta voi tehdä rikosilmoituksen poliisille. Välittömässä vaarassa pitää soittaa hätänumeroon 112.

Varoituksen keskeinen opetus koskee kaikkia käyttäjätilejä: kiireeseen, pelkoon ja auktoriteetin vaikutelmaan perustuva viesti on syytä pysäyttää ennen linkin avaamista tai vahvistuskoodin luovuttamista.