Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — nämä ovat vain ne murrot, jotka päätyivät otsikoihin. Niitä on tuhansia muita, jotka eivät koskaan päätyneet. Yritykset, joille uskoimme sähköpostiosoitteemme, salasanamme, joskus luottokorttinumeromme ja kotiosoitteemme, ovat saaneet tietokantansa varastetuiksi ja myydyiksi. Ja lähes joka tapauksessa sähköpostiosoite on saaliin arvokkain tieto, koska se on yleisavain kaikkeen muuhun digitaalisessa elämässäsi.

Useimpien reaktio, kun he kuulevat murrosta, on vaihtaa salasana kyseiseen yhteen palveluun ja jatkaa eteenpäin. Se reaktio on järkevä, mutta se sivuuttaa isomman kuvan. Murron aiheuttama vahinko ei pysähdy hakkeroituun palveluun. Se leviää ulospäin tavoilla, jotka jatkuvat kuukausia, joskus vuosia. Koko ketjun ymmärtäminen muuttaa sitä, miten ajattelet sähköpostisi jakamista ylipäätään.

Tämä artikkeli käy tuon ketjun läpi yksityiskohtaisesti — mitä tapahtuu välittömästi murron jälkeen, mitä tapahtuu viikkoja ja kuukausia myöhemmin, miksi sähköpostiosoitteesi on erityisen arvokas hyökkääjille, ja mitä voit käytännössä tehdä asialle. Tarkoitus ei ole pelotella sinua. Tarkoitus on antaa sinulle selkeä kuva, jotta voit tehdä fiksumpia päätöksiä siitä, missä oikean sähköpostiosoitteesi todella tarvitsee olla olemassa.

Ongelman mittakaava

Ennen mekaniikkaan syventymistä auttaa ymmärtää, kuinka suuri tämä ongelma todella on. Have I Been Pwned, tietoturvatutkija Troy Huntin rakentama ilmainen murtojen tarkistuspalvelu, seuraa tällä hetkellä yli 13 miljardia vaarantunutta tiliä tuhansien yksittäisten tietomurtojen kesken. Tuo luku ei ole 13 miljoonaa. Se on 13 miljardia. Maailman aikuisväestö on noin 6,5 miljardia ihmistä. Monet noista 13 miljardista tietueesta ovat kaksoiskappaleita — sama sähköposti esiintyy useissa murroissa — mutta mittakaava on silti tyrmistyttävä.

Statistan roskapostiliikennettä koskevien tietojen mukaan noin 45–50 % kaikesta maailmanlaajuisesti lähetetystä sähköpostista on roskapostia. Merkittävä osa tuosta roskapostista perustuu tietomurroista kerättyihin varastettuihin sähköpostilistoihin. Tämä ei ole harvinainen ongelma, joka koskee vain epäonnisia yksittäisiä henkilöitä — jos sinulla on ollut sähköpostiosoite yli muutaman vuoden ajan ja olet käyttänyt sitä verkkopalveluihin rekisteröitymiseen, on todellinen mahdollisuus, että se on esiintynyt vähintään yhdessä murrossa.

Kannustaisin sinua pysähtymään juuri nyt ja tarkistamaan oman osoitteesi Have I Been Pwned -palvelusta ennen kuin luet eteenpäin. Tulokset saavat tämän artikkelin loppuosan tuntumaan paljon konkreettisemmalta. Useimmat löytävät sähköpostinsa listattuna kahden ja kahdeksan murron väliltä. Jotkut löytävät enemmän. Jos omasi tulee takaisin puhtaana, hienoa — mutta silti kannattaa ymmärtää, mitä vastaan suojaudut.

Mitä hyökkääjät tekevät sähköpostillasi — koko ketju

Tässä on se, minkä useimmat murtoja koskevat uutiset sivuuttavat: yhden murron aiheuttama vahinko ei tapahdu kerralla, eikä se pysähdy yhdentyyppiseen hyökkäykseen. On tapahtumasarja, joista jokaisen mahdollistaa edellinen, ja tuon järjestyksen ymmärtäminen on se, mikä saa ongelman tuntumaan todelliselta abstraktin sijaan.

Vaihe 1: Murtotietokanta myydään

Tuntien tai päivien kuluessa suuresta murrosta varastetut tiedot ilmestyvät pimeän verkon markkinoille. Tietokantoja ostetaan ja myydään suurina erinä — joskus yllättävän pienillä rahasummilla. Tiedosto, joka sisältää miljoonia sähköpostiosoitteita ja tiivistettyjä salasanoja, saattaa myydä muutamasta sadasta dollarista. Hyökkääjän näkökulmasta tämä on vain raaka-aineen hankkimista työstettäväksi.

Vaihe 2: Roskapostikampanjat alkavat välittömästi

Murron välittömin ja näkyvin vaikutus on äkillinen roskapostin lisääntyminen. Sähköpostiosoitteesi lisätään massapostituslistoille, ja Federal Trade Commission arvioi, että joka päivä lähetetään miljardeja roskapostiviestejä, ja varastetut sähköpostilistat ovat yksi ensisijaisista lähteistä. Saatat huomata uuden roskapostiaallon alkavan päiviä tai viikkoja sen jälkeen, kun käyttämäsi palvelu ilmoittaa murrosta. Se ei ole sattumaa — osoitteesi juuri päätyi uudelle listalle.

Vaihe 3: Tunnusten täyttöhyökkäykset

Jos murto sisälsi salasanoja — jopa tiivistettyjä — uhka kasvaa merkittävästi. Automatisoidut työkalut, joita kutsutaan credential stuffereiksi, ottavat murron sähköposti- ja salasanayhdistelmät ja kokeilevat niitä järjestelmällisesti kymmeniä tai satoja muita palveluja vastaan. Netflix-kirjautumisesi. Amazon-tilisi. Pankkisi. Sähköpostipalveluntarjoajasi itse. Troy Hunt on dokumentoinut perusteellisesti, kuinka tunnusten täyttöhyökkäykset vastaavat valtavasta osasta tilikaappauksia. Salasanojen uudelleenkäyttö on se, mikä tekee tästä hyökkäyksestä niin tehokkaan — ihmiset, jotka käyttävät samaa salasanaa useissa palveluissa, ovat erityisen haavoittuvia. Tämän vuoksi pelkän yhden vaikutuksen alaisen salasanan vaihtaminen ei riitä.

Vaihe 4: Kohdennettu tietojenkalastelu, joka tietää asioita sinusta

Yleiset tietojenkalasteluviestit — »Napsauta tästä vahvistaaksesi tilisi» — on helppo tunnistaa. Mutta hienostuneempi hyökkääjä käyttää murtotietoja laatiakseen kohdennettuja viestejä, jotka viittaavat asioihin, joita he todella tietävät sinusta. He tietävät, minkä palvelun asiakas olit. Joskus he tietävät käyttäjänimesi, nimesi tai maksukorttisi neljä viimeistä numeroa. Tietojenkalasteluviesti, jossa sanotaan »[oikean palvelun nimi] -tilisi vaatii vahvistuksen — tässä on käyttäjänimesi [todellinen käyttäjänimesi]», on huomattavasti vakuuttavampi kuin yleinen massaviesti. Tätä hyökkäysluokkaa kutsutaan joskus kohdistetuksi tietojenkalasteluksi, ja murtotiedot ovat juuri se, mikä tekee sen mahdolliseksi.

Vaihe 5: Profiilin rakentaminen useiden murtojen kesken

Hienostunein murtotietojen käyttö on korrelointi. Hyökkääjät kokoavat tietueita useista murroista rakentaakseen yksityiskohtaisia profiileja yksittäisistä henkilöistä. Ilmestyikö sähköpostisi pelifoorumin murrossa, kuntoilusovelluksen murrossa ja verkkokaupan murrossa? Nyt joku tietää, että pelaat pelejä, kuinka usein liikut, missä ostoksesi teet ja mahdollisesti likimääräisen sijaintisi toimitustietojen perusteella. Electronic Frontier Foundation on kirjoittanut perusteellisesti siitä, kuinka tietojen kokoaminen muuttaa yksittäin harmittomat tietopalaset joksikin paljon tunkeilevammaksi. Tämä profilointi ruokkii kohdennetumpaa tietojenkalastelua, sosiaalista manipulointia ja äärimmäisissä tapauksissa identiteettivarkautta.

Näin tarkistat nykyisen altistumisesi

Paras lähtökohta on Have I Been Pwned. Syötä sähköpostiosoitteesi, niin se etsii tunnettujen murtojen tietokannastaan. Jokaisesta listatusta murrosta näet murtuneen palvelun nimen, murron päivämäärän ja mitä tietokategorioita paljastui (sähköposti, salasana, käyttäjänimi, nimi, puhelinnumero jne.). Tämä kertoo sinulle tarkalleen, missä tietosi ovat vaarantuneet ja mitä erityisiä riskejä koskee.

Ratkaisevaa on, että Have I Been Pwned tarjoaa ilmaisia murtoilmoituksia. Syötät sähköpostiosoitteesi, vahvistat sen, ja siitä hetkestä eteenpäin, jos sähköpostisi ilmestyy mihin tahansa tulevaan murtoon, joka lisätään tietokantaan, saat sähköposti-ilmoituksen välittömästi. Tämä on yksi arvokkaimmista saatavilla olevista ilmaisista tietoturvatyökaluista — se muuttaa sinut jostakusta, joka saa tietää murtoaltistumisesta kuukausia myöhemmin (jos koskaan), joksikuksi, joka saa tietää siitä päivien sisällä ja voi toimia nopeasti.

Kun käyt tuloksiasi läpi, kiinnitä erityistä huomiota murtoihin, jotka sisälsivät salasanoja. Ne ovat suurimmat riskisi edellä kuvattujen tunnusten täyttöhyökkäysten vuoksi. Juuri noiden murtojen osalta varmista, että olet vaihtanut sen salasanan jokaisessa palvelussa, jossa käytit samaa — ja lopeta sitten salasanojen uudelleenkäyttö käyttämällä salasananhallintaa jatkossa.

Miksi sähköpostisi on murron arvokkain tieto

Tässä on jotain, minkä äärellä kannattaa pysähtyä: varastettu luottokortti voidaan sulkea minuuteissa. Vuotanut salasana voidaan vaihtaa. Mutta sähköpostiosoitteesi? Se on lähes pysyvä. Sinulla on ollut se vuosia, mahdollisesti vuosikymmeniä. Kymmeniä tai satoja palveluja on rekisteröity siihen. Se on avain salasanojesi nollauksiin, pankki-ilmoituksiisi, kaksivaiheisen tunnistautumisen koodeihisi. Se on sidottu identiteettiisi tavalla, jota on hyvin vaikea purkaa.

GDPR antaa EU:n asukkaille lailliset oikeudet pyytää henkilötietojensa, mukaan lukien sähköpostiosoitteensa, poistamista miltä tahansa palvelulta, jolla se on. Käytännössä monilla yrityksillä on nykyään automatisoidut järjestelmät tähän, ja voit lähettää poistopyynnön jopa palveluille, joita et ole käyttänyt vuosiin. Mutta GDPR-poistopyynnöt vaikuttavat vain yritykseen, joka vastaanotti pyynnön — ne eivät kosketa tietoja, jotka on jo myyty tai kopioitu kolmansien osapuolten murtotietokantoihin. Kun sähköpostisi on kerran ulkona luonnossa, mikään lainsäädäntö ei tuo sitä takaisin. Ennaltaehkäisy on ainoa täysin luotettava strategia.

OWASPin tietoturvaohjeistus korostaa johdonmukaisesti, että sähköpostiosoitteet ovat korkean arvon tietoja, jotka ansaitsevat saman suojan kuin salasanat. Silti useimmat jakavat sähköpostiosoitteensa paljon vähemmällä huolella kuin salasanansa, koska sähköpostiosoitteet tuntuvat vähemmän arkaluontoisilta. Todellisuus on päinvastainen — sähköpostisi on pysyvämpi, keskeisempi ja vaikeampi vaihtaa kuin salasanasi.

Hyökkäyspinta-ongelma

Jokainen palvelu, jolla on oikea sähköpostiosoitteesi, on mahdollinen murtokohta. Mitä useammassa paikassa sähköpostisi on tietokannoissa ympäri internetiä, sitä enemmän on mahdollisuuksia sen varastamiselle. Ajattele matematiikkaa: jos olet rekisteröitynyt 50 verkkopalveluun vuosien varrella ja jokaisella on 2 %:n vuotuinen todennäköisyys kokea murto (konservatiivinen arvio nykyisen maiseman perusteella), todennäköisyys sille, että vähintään yksi niistä murtautuu jonakin vuonna, on hyvin korkea. Mitä enemmän palveluja, sitä suurempi altistuminen.

Palvelu, johon rekisteröidyit kolme vuotta sitten ladataksesi ilmaisen mallipohjan, käytit kerran ja unohdit täysin — se on edelleen elävä tietokantatietue jossakin. Kyseinen yritys on saatettu ostaa, sillä on saattanut olla tietoturvatapahtuma, se on saattanut myydä sähköpostilistansa kulujensa kattamiseksi. Sinulla ei ole näkyvyyttä siihen, mitä tiedoillesi on tapahtunut sen jälkeen, kun syötit ne.

Tässä kohtaa tilapäisen sähköpostin käyttö ei-välttämättömiin rekisteröitymisiin muuttaa perusteellisesti yhtälön. Jos tuon mallipohjan latauspalvelun takana oleva tietokanta murtautuu kaksi vuotta myöhemmin, oikeaa sähköpostiosoitettasi ei ole siinä. Käytetty tilapäinen osoite ei enää ole olemassa. Ei ole mitään varastettavaa, ei mitään myytävää eikä seurausten ketjua, jota seurata. Oikean sähköpostisi hyökkäyspinta pysyy pienenä — vain ne palvelut, jotka aidosti tarvitsevat sitä tärkeään jatkuvaan viestintään.

Mitä tehdä, jos sähköpostisi joutui murron kohteeksi

Jos huomaat, että sähköpostisi on ilmestynyt murrossa, tässä on käytännöllinen toimenpidesarja, karkeasti tärkeysjärjestyksessä:

1. Tarkista tarkalleen, missä murrossa se ilmestyi Have I Been Pwned -palvelusta, ja pane merkille, mitä tietoja sisältyi (vain sähköposti, vai myös salasana, nimi jne.)
2. Vaihda salasanasi kyseisessä palvelussa välittömästi — mieluiten johonkin pitkään ja ainutlaatuiseen, jonka salasananhallinta on luonut
3. Tarkista salasanojen uudelleenkäyttö — jos käytit samaa salasanaa muualla, vaihda se kaikkialla aloittaen arkaluontoisimmista tileistä (sähköposti, pankki, kaikki rahoituspalvelut)
4. Ota käyttöön kaksivaiheinen tunnistautuminen kaikilla vaikutuksen alaisilla tileillä, jotka tukevat sitä — vaikka hyökkääjillä olisi salasanasi, he eivät voi kirjautua sisään ilman toista tekijää
5. Ota käyttöön murtojen valvonta Have I Been Pwned -palvelussa, jotta saat ilmoituksen välittömästi mistä tahansa tulevasta altistumisesta
6. Seuraa postilaatikkoasi tarkasti tietojenkalasteluyritysten varalta, jotka viittaavat murtuneeseen palveluun — hyökkääjät tietävät, että olit siellä asiakas, ja saattavat käyttää tuota tietoa
7. Ilmoita roskaposti sähköpostipalveluntarjoajallesi — useimmat sähköpostipalvelut antavat merkitä viestejä roskapostiksi, mikä opettaa niiden suodattimia nappaamaan lisää sitä
8. Harkitse, tarvitsetko vielä tiliä — jos et enää käytä murtunutta palvelua, tilin poistaminen poistaa tietosi heidän tietokannastaan

Parempien tapojen rakentaminen jatkossa

Kaiken tämän tärkein oivallus on, että sähköpostisi hyökkäyspinnan pienentäminen on tehokkain käytettävissäsi oleva ennaltaehkäisevä toimenpide. Ei vain salasanojen vaihtaminen murtojen jälkeen, ei vain kaksivaiheisen tunnistautumisen käyttö (vaikka molemmilla on merkitystä) — vaan sen rajoittaminen, missä oikea sähköpostiosoitteesi ylipäätään on. Murto ei voi paljastaa tietoja, joita ei koskaan annettu murtuneelle palvelulle.

Käytännöllinen tapa toteuttaa tämä on porrastettu sähköpostinkäyttö. Oikea sähköpostiosoitteesi menee palveluihin, jotka aidosti tarvitsevat sitä: pankkiisi, työnantajaasi, lähimpiin yhteyshenkilöihisi, palveluihin, joita käytät säännöllisesti ja joihin luotat. Kaikkeen muuhun — lataukseen, webinaariin, foorumiviestiin, SaaS-kokeiluun — kertakäyttöinen osoite pitää oikean sähköpostisi ulkona yhtälöstä. Yksityisyyteen keskittyvät sähköpostipalvelut kuten Proton Mail ovat harkitsemisen arvoisia ensisijaiseen sähköpostiisi, ja aliaspalvelut kuten SimpleLogin voivat auttaa sinua hallitsemaan edelleenlähetysosoitteita pidempiaikaisiin suhteisiin.

Todella kertaluonteisiin vuorovaikutuksiin tilapäinen sähköposti on siistein ratkaisu — ei mitään asetettavaa, ei tiliä vaadittavan, ei oikeaa identiteettiä mukana. Kun tuo palvelu lopulta joutuu murron kohteeksi (ja tilastollisesti monet palvelut joutuvat), oikeaa osoitettasi ei yksinkertaisesti ole heidän tietokannassaan. Olet vetäytynyt ketjusta ennen kuin se ehti alkaa.

Huomautus GDPR-oikeuksistasi

Jos olet EU:ssa (tai olet tekemisissä EU-asiakkaita palvelevien yritysten kanssa), GDPR antaa sinulle todelliset, täytäntöönpanokelpoiset oikeudet. Voit ottaa yhteyttä mihin tahansa yritykseen, jolla on tietosi, ja pyytää niiden poistamista artiklan 17 (»oikeus tulla unohdetuksi») nojalla. Monilla yrityksillä on nyt automatisoituja tietosuojapyyntöportaaleja — hae yrityksen nimeä sekä "privacy request" tai "data deletion". Tämä kannattaa tehdä palveluille, joita et enää käytä, sillä se poistaa tietosi heidän aktiivisesta tietokannastaan ja vähentää altistumistasi, jos heidät koskaan murretaan.

Rajoitukset ovat todellisia: poistopyyntö vaikuttaa vain siihen, mitä yrityksellä tällä hetkellä on. Tietoja, jotka on jo myyty kolmansille osapuolille, jo kopioitu murtotietokantoihin tai jo roskapostioperaattoreiden käsissä, ei voida tavoittaa GDPR-pyynnöllä. Tämä on toinen syy siihen, miksi sähköpostisi tarpeettoman leviämisen estäminen on paljon tehokkaampaa kuin sen siivoaminen jälkikäteen.

Loppuajatuksia

Kaiken tämän ymmärtämisen tarkoitus ei ole tehdä sinusta vainoharhaista internetin käytön suhteen. Tarkoitus on auttaa sinua näkemään, että päätöksilläsi siitä, missä jaat sähköpostiosoitteesi, on todellisia, pysyviä seurauksia — ja että pienet muutokset tavoissa voivat merkittävästi vähentää altistumistasi ajan myötä. Oikea sähköpostiosoitteesi on arvokas. Kohtele sitä sen mukaisesti. Anna se vain palveluille, jotka aidosti ansaitsevat sen, ja anna kertakäyttöisten osoitteiden imeä kaikki muu.

Jos et ole vielä tehnyt niin, tarkista sähköpostisi Have I Been Pwned -palvelusta tänään. Ota käyttöön murtoilmoitukset. Ja kun jokin seuraavan kerran pyytää sähköpostiosoitettasi etkä ole varma, onko se sen arvoista, harkitse, tekisikö tilapäinen sähköposti työn yhtä hyvin — asettamatta oikeaa osoitettasi vaaraan.