Sähköpostin yksityisyys ei tarkoita vainoharhaisuutta — kyse on harkitsevaisuudesta. Sähköpostiosoitteesi on yksi laajimmin jaetuista henkilökohtaisen tiedon palasista verkossa, ja muutama johdonmukainen tapa tekee todellisen eron siihen, kuinka paljon tietojasi päätyy vääriin käsiin. Tämä ei ole tekninen opas tietoturvatutkijoille. Tämä on käytännöllisiä neuvoja kenelle tahansa sähköpostin käyttäjälle, kirjoitettu siinä toivossa, että ainakin muutama näistä tavoista jää elin.

Statistan sähköpostitilastojen mukaan miljardeja roskaposteja lähetetään joka ikinen päivä — ja suurin osa niistä saavuttaa ihmisten postilaatikot, koska heidän sähköpostiosoitteensa päätyivät listoille, joihin he eivät koskaan antaneet suostumustaan. Sen ymmärtäminen, miten se tapahtuu, on ensimmäinen askel sen estämiseen. Hyvä uutinen on, että tehokkaimmat suojaukset ovat myös yksinkertaisimpia toteuttaa.

Ymmärrä, mitä suojaat ja miksi

Sähköpostiosoitteesi on henkilöllisyytesi ankkuri verkossa. Jokainen "unohtunut salasana" -prosessi kulkee sen kautta. Kaksivaiheisen tunnistautumisen koodit saapuvat sinne. Tili-ilmoitukset, tiliotteet, viranomaiskirjeenvaihto, potilastiedot — kaikki on sidottu postilaatikkoosi. Tämä ei ole abstraktia: jos joku saa pääsyn ensisijaiseen sähköpostitiliisi, hänellä on käytännössä avaimet suureen osaan digitaalista elämääsi. Hän voi nollata muiden tiliesi salasanat, siepata vahvistuskoodit ja esiintyä sinuna henkilöille ja instituutioille, jotka luottavat sähköpostiin henkilöllisyyden todisteena.

Sen todellisuuden tulisi ohjata sitä, kuinka huolellisesti jaat osoitteesi. Useimmat kohtelevat sähköpostiosoitettaan jonakin, jonka he antavat vapaasti — jokainen rekisteröitymislomake, jokainen uutiskirje, jokainen kilpailuosallistuminen. Mutta joka kerta kun jaat sen, lisäät taas yhden merkinnän taas yhteen tietokantaan, ja jokainen näistä tietokannoista on mahdollinen tietomurron kohde. Mitä useammassa paikassa sähköpostisi on, sitä enemmän on mahdollisuuksia sille päätyä jonnekin, mihin et tarkoittanut.

Electronic Frontier Foundation on korostanut tätä seikkaa jo vuosia: sähköpostisi on digitaalisen henkilöllisyytesi selkäranka. Sen kohteleminen samalla huolellisuudella, jonka antaisit puhelinnumerolle tai kotiosoitteelle, ei ole liioittelua — se on oikeassa suhteessa siihen, kuinka paljon vahinkoa vaarantuminen voi aiheuttaa.

Käytä eri sähköpostiosoitteita eri tarkoituksiin

Yksittäinen vaikuttavin tapa, jonka voit omaksua, on sähköpostin segmentointi — eri osoitteiden käyttäminen eri toimintakategorioihin. Ajattele sitä digitaalisen elämäsi lokerointina. Jos yksi lokero vaarantuu, muut pysyvät turvassa. Tässä on käytännöllinen kolmiportainen lähestymistapa, joka toimii hyvin useimmille:

Taso 1 — Ensisijainen sähköposti: Tämä on pankkiasioita, julkisia palveluita, terveydenhuoltoa, matkavarauksia, työnantajaasi ja kaikkea aidosti tärkeää viestintää varten. Tämä osoite tulisi jakaa niin harvoille palveluille kuin inhimillisesti on mahdollista. Se on osoite, joka on liitetty arkaluonteisimpiin tileihisi, ja sen suojaaminen tarkoittaa sen pitämistä poissa niin monesta tietokannasta kuin voit.

Taso 2 — Toissijainen sähköposti: Tämä on tavallista verkkokauppaa, sovellustilauksia, sosiaalista mediaa ja viikoittain käyttämiäsi palveluita varten. Se on yhä aito osoite, joka kuuluu sinulle, mutta se on erillinen tasosta 1. Jos tämä osoite ilmestyy tietomurrossa — mikä on ajan mittaan todennäköistä, kun otetaan huomioon kuinka monelle palvelulle sen jaat — vahinko ei kaskadoidu pankki- ja viranomaistileillesi. Vaihdat toissijaisen osoitteen ja jatkat eteenpäin. Ensisijainen osoitteesi pysyy koskemattomana.

Taso 3 — Väliaikainen sähköposti: Tämä on kertaluonteisia rekisteröitymisiä, ilmaisia kokeiluja, lukitun sisällön lataamista, kehittäjätestausta ja kaikkea sellaista varten, missä et tarvitse jatkuvaa viestintää. Kaikkeen tällä tasolla väliaikainen sähköposti vie viisi sekuntia ja pitää ensisijaisen osoitteesi täysin yhtälön ulkopuolella. Osoite on olemassa tunnin ajan, hoitaa sen mitä tarvitsit, ja katoaa sitten. Ei seurantasähköposteja, ei markkinointikampanjoita, ei dataa, joka voisi vaarantua tietomurrossa.

Ota kaksivaiheinen tunnistautuminen käyttöön sähköpostitililläsi

Tämä on yksittäinen vaikuttavin turvatoimi, jonka voit tehdä. Kaksivaiheinen tunnistautuminen tarkoittaa, että vaikka joku saisi salasanasi — tietomurron, tietojenkalastelun tai raa’an voiman kautta — hän ei silti pääse tilillesi ilman toista tekijää. Se muuttaa sähköpostisi yksittäisestä vikapisteestä joksikin, jota on merkittävästi vaikeampi vaarantaa.

Käytä tunnistussovellusta SMS:n sijaan aina kun mahdollista. SIM-vaihto — jossa hyökkääjä saa mobiilioperaattorisi vakuuttuneeksi siirtämään puhelinnumerosi heidän SIM-kortilleen — on todellinen ja dokumentoitu hyökkäysvektori. Tunnistussovellukset kuten Google Authenticator, Authy tai Microsoft Authenticator luovat koodit paikallisesti laitteellasi eivätkä ole alttiita SIM-vaihdolle. Jos sähköpostipalveluntarjoajasi tukee laitteistopohjaisia turva-avaimia, se on vielä parempi.

Syy siihen, miksi tällä on merkitystä nimenomaan sähköpostille — enemmän kuin melkein mille tahansa muulle tilille — on se, että sähköposti on palautusmekanismi kaikelle muulle. Jos joku vaarantaa sosiaalisen median tilisi, palautat sen sähköpostin kautta. Jos joku pääsee ostostilillesi, salasanan nollaus menee sähköpostiin. Sähköpostitilisi on pääavain. Sen suojaaminen kaksivaiheisella tunnistautumisella ei ole valinnaista, jos vähäänkään välität turvallisuudesta.

Käytä vahvaa, ainutlaatuista salasanaa

Älä koskaan käytä sähköpostisalasanaasi missään muualla uudelleen. Tämä on kaikkein toistetuin turvaneuvo, mitä on olemassa, ja se toistetaan siksi, että ihmiset jättävät sen jatkuvasti huomiotta. Jos sama salasana esiintyy jollakin toisella palvelulla, joka joutuu tietomurron kohteeksi, hyökkääjät kokeilevat sitä sähköpostitililläsi välittömästi. Tätä kutsutaan credential stuffingiksi, ja se on yksi nykyisin yleisimmin käytetyistä hyökkäysmenetelmistä. Automatisoidut työkalut kokeilevat vuodettuja käyttäjätunnus–salasana-pareja tuhansia palveluita vastaan tuntien sisällä siitä, kun tietomurto tulee julkiseksi.

Have I Been Pwned — jonka loi tietoturvatutkija Troy Hunt — seuraa miljardeja vuodettuja tunnistetietoja. Mittakaava on huikea: useimpien ihmisten sähköpostiosoitteet esiintyvät useissa tietomurroissa. Jos sähköpostisalasanasi on sama kuin salasanasi jollakin näistä murtuneista palveluista, sähköpostitilisi on välittömässä vaarassa.

Käytä salasananhallintaohjelmaa. Sähköpostisalasanasi tulisi olla pisin, satunnaisin salasana, joka sinulla on — jotain, mitä et mitenkään voisi muistaa, salasananhallintaohjelman luoma ja turvallisesti tallennettu. Sinun tarvitsee muistaa vain yksi salasana: se, joka avaa salasananhallintaohjelmasi. Kaiken muun tulisi olla ainutlaatuista ja satunnaista.

Tarkista tietomurtoaltistuksesi säännöllisesti

Have I Been Pwned antaa sinun tarkistaa, onko sähköpostiosoitteesi esiintynyt tunnetuissa tietomurroissa. Se on ilmainen, se on luotettava, ja se vie noin kymmenen sekuntia. Syötät sähköpostiosoitteesi, ja se kertoo sinulle, missä tietomurroissa se on esiintynyt, mitä tietoja paljastettiin ja milloin tietomurto tapahtui.

Vielä tärkeämpää on, että voit ottaa käyttöön ilmaisen tietomurtojen valvonnan. Syötä sähköpostiosoitteesi kerran, vahvista se, ja palvelu ilmoittaa sinulle automaattisesti, jos osoitteesi esiintyy tulevissa tietomurroissa. Tämä on aidosti arvokasta — monet saavat tietomurroista tiedon vasta kuukausia tai vuosia niiden tapahtumisen jälkeen, jolloin vahinko on jo tapahtunut. Varhainen ilmoitus antaa sinulle aikaikkunan salasanojen vaihtamiseen ja tilien turvaamiseen ennen kuin hyökkääjät ehtivät hyödyntää tietomurtoa.

Kun löydät sähköpostisi tietomurrosta, reagointi on suoraviivaista: vaihda salasana murtuneessa palvelussa välittömästi, ja jos käytit samaa salasanaa muualla (mitä sinun ei olisi pitänyt tehdä, mutta ollaan realistisia), vaihda se kaikkialla. Ota kaksivaiheinen tunnistautuminen käyttöön, jos et ole vielä tehnyt sitä. Tarkista tililtäsi mahdollinen luvaton toiminta. Ja harkitse, tarvitsetko enää lainkaan tiliä kyseisessä palvelussa.

Tarkista, millä sovelluksilla on OAuth-pääsy sähköpostiisi

"Kirjaudu Googlella" ja vastaavat OAuth-prosessit ovat käteviä, mutta ne myöntävät sovelluksille vaihtelevia pääsyn tasoja tiliisi. Jotkin sovellukset saavat vain nimesi ja sähköpostiosoitteesi, mikä on ihan hyvä. Toiset pyytävät lupaa lukea sähköpostejasi, käyttää yhteystietojasi tai hallita kalenteriasi — paljon enemmän oikeuksia kuin ne tarvitsevat tarjoamaansa palveluun. Painoit nopeasti "Salli" rekisteröitymisprosessin aikana, ja nyt kolmannen osapuolen sovelluksella on pääsy postilaatikkoosi.

Käy liitetyt sovelluksesi läpi säännöllisesti. Google-tileille: siirry osoitteeseen myaccount.google.com, sitten Turvallisuus ja sitten "Kolmannen osapuolen sovellukset, joilla on tilin käyttöoikeus". Löydät todennäköisesti sovelluksia, jotka olit unohtanut, sovelluksia palveluista, joita et enää käytä, ja mahdollisesti sovelluksia, joita et tunnista lainkaan. Peru käyttöoikeus kaikelta, mikä kuuluu näihin kategorioihin. Tämä vie viisi minuuttia ja on tekemisen arvoista muutaman kuukauden välein.

Periaate tässä on yksinkertainen: minimoi niiden palveluiden määrä, jotka voivat käyttää sähköpostiasi. Jokainen sovellus, jolla on pääsy, on ylimääräinen hyökkäyspinta. Jos kyseinen sovellus joutuu tietomurron kohteeksi, sähköpostitietosi voivat paljastua, vaikka itse sähköpostitiliäsi ei olisi vaarannettu.

Peru tilaus kunnolla — älä vain suodata

Ei-toivottujen sähköpostien suodattaminen piilottaa ongelman samalla kun postituslista jatkaa kasvamistaan. Sähköpostiosoitteesi pysyy sen yrityksen listalla ja sitä jaetaan, myydään tai altistetaan tietomurroissa edelleen. Tilauksen peruminen todella poistaa sinut listalta. Käytä markkinointisähköpostien alaosassa olevaa peruutuslinkkiä — lailliset lähettäjät ovat useimmilla lainkäytöalueilla lakisääteisesti velvollisia noudattamaan peruutuspyyntöjä kymmenen päivän kuluessa. Tämä on FTC:n vaatimus Yhdysvalloissa ja vastaavasti määrätty GDPR:n nojalla Euroopan unionissa.

Roskapostille lähettäjiltä, joita et alun perin koskaan tilannut, käytä sähköpostipalveluntarjoajasi "ilmoita roskapostiksi" -painiketta sen sijaan, että vain poistaisit viestin. Ilmoittaminen auttaa sähköpostipalveluntarjoajaasi parantamaan roskapostin suodatusta kaikille ja voi laukaista toimia lähettäjää vastaan. Roskapostin pelkkä poistaminen ei tee mitään tulevien viestien estämiseksi.

Väliaikaisen sähköpostin tapa

Ennen kuin rekisteröidyt mihinkään, kysy itseltäsi yksi kysymys: "Tarvitsenko todella tämän tulevan oikeaan postilaatikkooni?" Jos vastaus on ei — ja yllättävässä määrässä rekisteröitymisiä se on — käytä sen sijaan väliaikaista osoitetta. Kokeilujakso palvelulle, jota arvioit, kertalataus, webinaari-ilmoittautuminen, lomake, joka vaatii sähköpostin pelkästään sisältöön pääsemiseksi, kehittäjätestaus uusilla tileillä — mikään näistä ei tarvitse oikeaa sähköpostiosoitettasi.

Tapa on yksinkertainen: avaa väliaikainen sähköposti -postilaatikko, kopioi osoite, käytä sitä mihin tarvitset, ja sulje välilehti. Postilaatikko ja kaikki sen sisällä oleva katoaa automaattisesti tunnin kuluttua. Ei siivousta, ei tilausten peruuttamista, ei uusia merkintöjä roskapostikansiossasi. Oikea osoitteesi ei ollut koskaan mukana, joten myöhemmin ei ole mitään hallittavaa.

Pelkästään tämä tapa johdonmukaisesti sovellettuna vähentää merkittävästi sitä, kuinka monessa paikassa oikea sähköpostiosoitteesi on. Vähemmän merkintöjä vähemmissä tietokannoissa tarkoittaa vähemmän tietomurtomahdollisuuksia. Se on yksi yksinkertaisimmista ja tehokkaimmista postilaatikon hygieniakäytännöistä, ja se ei maksa mitään — ei rahaa, ei aikaa, ei mukavuutta. Viiden sekunnin asetus säästää mahdollisesti vuosikausien roskapostin.

Harkitse sähköpostin edelleenlähetystä huolellisesti

Kaiken sähköpostisi edelleenlähettäminen kolmannen osapuolen palveluun tarkoittaa, että sähköpostisi kulkevat heidän palvelimiensa kautta. Useimmille arkikäyttäjille tämä on ihan hyvä — mukavuus voittaa teoreettisen riskin. Mutta ole tietoinen siitä, mitä reitität edelleenlähetyspalvelun kautta. Salasanan nollausviestit, kaksivaiheisen tunnistautumisen koodit, taloudelliset ilmoitukset, luottamukselliset viestit työnantajaltasi tai lakimieheltäsi — kaikki nämä kulkevat edelleenlähetyspalveluntarjoajan infrastruktuurin läpi.

Jos käytät sähköpostin edelleenlähetystä, ymmärrä, minkä pääsyn myönnät. Lue edelleenlähetyspalvelun tietosuojakäytäntö. Tarkista, salaavatko he sähköpostin siirron aikana ja levossa. Ja harkitse, tarvitsevatko elämäsi arkaluonteisimmat sähköpostit todella kulkea ylimääräisen kolmannen osapuolen läpi. Monille suora toimitus on yksinkertaisempi ja turvallisempi valinta heidän ensisijaiselle sähköpostilleen.

Yksityisyyteen keskittyvät sähköpostipalveluntarjoajat

ProtonMail tarjoaa päästä päähän salattua sähköpostia, mikä tarkoittaa, että edes sähköpostipalveluntarjoaja itse ei voi lukea viestejäsi. Arkiviestintään — illallissuunnitelmien vahvistamiseen, toimitusilmoitusten vastaanottamiseen, ystävien kanssa jutteluun — nykyinen sähköpostipalveluntarjoajasi on todennäköisesti ihan hyvä. Mutta arkaluonteiseen viestintään — oikeudelliseen kirjeenvaihtoon, taloudellisiin keskusteluihin, lääketieteelliseen tietoon, mihin tahansa, minkä haluat aidosti pitää yksityisenä — salattu sähköpostipalveluntarjoaja kannattaa harkita vakavasti.

GDPR antaa myös EU-kansalaisille erityisiä oikeuksia henkilötietojensa suhteen, mukaan lukien oikeuden pyytää sähköpostiosoitteensa ja siihen liittyvien tietojen poistamista miltä tahansa palvelulta, joka niitä säilyttää. Oikeuksiesi ymmärtäminen sovellettavan tietosuojalainsäädännön nojalla on myös osa sähköpostin yksityisyyttä — sen tietäminen, mitä voit pyytää yrityksiä poistamaan, ja sen todella pyytäminen, on merkittävä suojauksen muoto.

Kaiken kokoaminen yhteen

Mikään näistä käytännöistä ei vaadi teknistä asiantuntemusta. Ota kaksivaiheinen tunnistautuminen käyttöön — se on suurin yksittäinen parannus. Käytä salasananhallintaohjelmaa, jossa on ainutlaatuinen, pitkä salasana sähköpostillesi. Tarkista tietomurtoaltistuksesi Have I Been Pwned -palvelussa ja ota valvonta käyttöön. Käy liitetyt sovelluksesi läpi. Peru tilaukset listoilta, joita et lue. Ja käytä väliaikaista sähköpostiosoitetta kaikkeen, minkä ei tarvitse tulla oikeaan postilaatikkoosi.

Electronic Frontier Foundation hahmottaa yksityisyyden perusoikeutena, ei ylellisyytenä. Se hahmotus merkitsee, koska se muistuttaa meitä siitä, että askelten ottaminen henkilötietojemme suojaamiseksi ei ole vainoharhaisuutta — se on kohtuullinen, oikeasuhtainen vastaus siihen, miten internet nykyään todella toimii. Sähköpostiosoitteesi ei tarvitse olla kaikkialla. Muutamalla johdonmukaisella tavalla sen ei tarvitse olla missään, missä sen ei aidosti tarvitse olla.