Hakkerointiaalto alkoi muutamasta puhelimesta, ja lopulta Twitterin suojaus petti – ”Keskeistä oli teknisen osaamisen lisäksi kyky manipuloida oikeita henkilöitä”, arvioi professori - Talous | HS.fi
Talous|Tietomurrot

Hakkerointiaalto alkoi muutamasta puhelimesta, ja lopulta Twitterin suojaus petti – ”Keskeistä oli teknisen osaamisen lisäksi kyky manipuloida oikeita henkilöitä”, arvioi professori

Tapauksen jälkeen myös muut organisaatiot pystyvät oppimaan tietomurroista ja -vuodoista ja siten parantamaan omaa turvallisuuttaan, sanoo Aalto-yliopiston professori.

Twitteriin kohdistuneen hyökkäyksen suunnittelusta syytetään 17-vuotiasta floridalaista teiniä.

Julkaistu: 1.8. 17:02

Sosiaalisen median yritys Twitteriin kohdistunut hakkerointiaalto, joka alkoi 15. heinäkuuta, kohdistui aluksi muutamiin Twitterin työntekijöihin heidän puhelimiensa kautta, kertoo yritys torstaina päivitetyssä blogissaan.

Onnistunut hyökkäys edellytti, että hyökkääjät pääsivät sekä Twitterin sisäiseen verkkoon että erityisiin työntekijöiden tunnuksiin, jotka antoivat hakkereille pääsyn yrityksen sisäisiin tukityökaluihin.

Kaikilla alun perin hyökkäyksen kohteeksi joutuneilla työntekijöillä ei ollut lupaa käyttää tilinhallintatyökaluja, mutta hyökkääjät käyttivät tunnuksia ymmärtääkseen paremmin Twitterin sisäisiä järjestelmiä ja saadakseen tietoa prosessista.

Näillä tiedoilla he pääsivät etenemään organisaation sisällä ja kohdistivat hyökkäyksen seuraaviin työntekijöihin.

Lopulta verkkohyökkääjät käyttivät näiden työkalujen saaneiden työntekijöiden tunnuksia hakkeroidakseen 130 Twitter-tiliä. Yhteensä he twiittasivat 45:ltä tililtä, pääsivät 36:n profiilin yksityisviestilaatikkoon ja latasivat seitsemän profiilin Twitter-datan.

Hakkerointiaallon kohteeksi joutuivat muun muassa entinen presidentti Barack Obama, entinen varapresidentti ja demokraattipuolueen presidenttiehdokas Joe Biden, teknologiayritys Apple, Microsoftin perustaja Bill Gates, Teslan toimitusjohtaja Elon Musk ja artisti Kanye West.

Huijauksessa hakkeroiduilta tileiltä pyydettiin lähettämään rahaa tietylle kryptovaluuttatilille ja luvattiin, että takaisin saisi kaksinkertaisen määrän bitcoineja.

Hyökkäyksen suunnittelusta syytetään 17-vuotiasta floridalaista teiniä. Hänet pidätettiin Floridan Tampassa perjantaina ja häntä syytetään 30:stä rikoksesta.

Aalto-yliopiston kyberturvallisuuden professori Jarno Limnéll sanoo, että Twitterin tapauksessa hyökkääjät onnistuivat manipuloimaan oikeita henkilöitä organisaation sisällä.

”Keskeistä oli teknisen osaamisen lisäksi kyky manipuloida oikeita henkilöitä kohdeorganisaatiossa. Yksittäisen työntekijän merkitys tietoturvan kannalta on suuri”, Limnéll sanoo.

Limnéll pitää positiivisena asiana sitä, että Twitter on kertonut avoimesti hakkeroinnin kulusta.

”Tätä kautta myös muut organisaatiot pystyvät oppimaan tietomurroista ja -vuodoista ja siten parantamaan omaa turvallisuuttaan. Tietoturvassa ei ole kyse projektista vaan jatkuvasti kehittyvästä ja parannettavasta prosessista.”

Limnéllin mukaan Twitter varmasti oppii tapauksesta ja yksi syy hyökkäyksen etenemisen taustalla on se, että liian monella ihmisellä on ollut pääsy tiettyihin järjestelmiin.

”Kaikki organisaatiot voivat ennaltaehkäistä näitä tapauksia kouluttamalla henkilöstöä. Hakkerointimenetelmät kehittyvät jatkuvasti ja ovat ajoittain hyvin innovatiivisia, ja innovatiivinen tulee puolustautujankin olla. Organisaatioissa on varauduttava siihen mahdollisuuteen, että ulkopuolinen pääsee käsiksi luottamuksellisiin tietoihin, jolloin korostuu organisaation kyky toimia ongelmatilanteessa.”

Twitter-hakkerointi muistuttaa lähdekriittisyyden merkityksestä, Limnéll sanoo.

”Jopa tunnetuilta ja luotettaviksi koetuilta henkilöiltä tuleviin viesteihin ja some-päivityksiin kannattaa suhtautua sopivalla epäileväisyydellä.”

Teknologiayritys Reaktorin turvallisuusyksikön turvallisuusjohtaja Miso Korkiakoski sanoo, että Twitterin tapauksen tyyppinen verkkourkinta on valitettavan yleistä.

”Sitä tapahtuu yllättävän paljon, että yksittäisten työntekijöiden puhelimia urkitaan. Mutta paljon vaihtelua on siinä, kuinka kohdennettua urkinta on. Twitterin tapauksessa se on ollut todella kohdennettua. Yleistä on se, että kerätään yksittäisiä tietoja ja koitetaan sen avulla saada lisää jalansijaa yrityksen sisällä. Usein kysellään esimerkiksi kollegoiden nimiä”, Korkiakoski sanoo.

Twitterin tapauksessa tietoa on saatu kerättyä ja sitten sitä on kohdennettu tiettyihin henkilöihin.

”Sellaisiakin tapauksia voi olla, jossa esimerkiksi esimiehen nimellä soitetaan ja sanotaan, että kohta soittaa kollega, jota pitäisi auttaa. Tätä kautta kerätään uskottavuutta urkintasoitolle.”

Urkkijoita kiinnostavat yrityksen prosessit, organisaatiorakenne ja henkilöiden nimet, Korkiakoski sanoo.

”Ne antavat uskottavuutta seuraavalle kierrokselle, kun urkintaa jatketaan.”

Ongelma verkkourkinnassa on Korkiakosken mukaan se, että ihmiset haluavat lähtökohtaisesti auttaa työkavereita.

”Twitterin tapauksessa ensimmäiset henkilöt eivät ole menneet lankaan, mutta heidän nimiään on käytetty siihen, että on pyritty ymmärtämään, miten järjestelmä toimii.”

Hyökkäyksiltä voi suojautua lisäämällä ihmisten tietoisuutta organisaatiossa.

”Varmasti koulutuksia ja harjoituksia on Twitterinkin sisällä, mutta tietoturvatiimin pitää lähteä siitä, että kaikilla tietotaito ei ole hyvällä tasolla”, Korkiakoski sanoo.

”Tietenkin jokaisen työntekijän pitää olla huolellinen. Mutta tällaisia hyökkäyksiä on myös vaikeaa estää. Twitterin tapauksessa useampi työntekijä on varmasti myös ymmärtänyt, että kyseessä on ollut erikoinen pyyntö ja sitä kautta ei ole mennyt lankaan.”

Limnéll sanoo, että oikea asenne tietoturvaan koskettaa jokaista.

”Jokainen yritys on tänä päivänä digitaalinen yritys, ja tällöin myös tietoturvaan liittyvät asiat koskettavat jokaista työntekijää. Parhaimmillaan ihminen on tietoturvassa vahvin lenkki. Onnistuneet tietomurrot tulevat yrityksille ja organisaatioille tänä päivänä koko ajan kalliimmiksi.”

Luitko jo nämä?

Luetuimmat - Talous