Phishing eli tietojenkalastelu tarkoittaa huijausyritystä, jossa hyökkääjä yrittää saada käyttäjän luovuttamaan esimerkiksi käyttäjätunnuksia, salasanoja, maksutietoja tai muuta luottamuksellista tietoa.
Tietojenkalastelu tapahtuu usein sähköpostin, tekstiviestin, puhelun tai verkkosivun avulla. Viesti voi näyttää tulevan luotettavalta taholta, kuten pankilta, viranomaiselta, yhteistyökumppanilta tai yrityksen IT-tuelta.
Tavoitteena on saada käyttäjä toimimaan nopeasti ja huomaamatta huijausta.
Tärkeintä on muistaa: älä koskaan luovuta salasanoja tai hyväksy kirjautumisia pelkän viestin perusteella. Tarkista aina lähettäjä ja palvelun aitous.
Pienikin huolimattomuus voi antaa hyökkääjälle pääsyn tärkeisiin tietoihin.
Roskaposti (spam) on yleensä ei-toivottua markkinointia tai massalähetyksiä, joiden tarkoitus on mainostaa tuotteita tai palveluita.
Phishing eli tietojenkalastelu puolestaan pyrkii varastamaan tietoja tai saamaan käyttäjän tekemään jotain hyökkääjän hyödyksi.
Vaikka tietojenkalasteluviesti voi näyttää tavalliselta sähköpostilta, sen tarkoituksena on yleensä hankkia luottamuksellisia tietoja tai päästä käsiksi järjestelmiin
Tietojenkalastelu on yksi yleisimmistä tavoista, joilla hyökkääjät pyrkivät saamaan pääsyn yritysten tietoihin ja järjestelmiin.
Kalasteluviestin avulla hyökkääjä voi yrittää saada haltuunsa käyttäjätunnuksia, salasanoja, maksutietoja tai muuta luottamuksellista tietoa. Jo yhden käyttäjän erehdys voi johtaa tietovuotoon, tilien kaappaamiseen tai haittaohjelman leviämiseen yrityksen ympäristössä.
Yrityksissä tietojenkalastelun kohteena ovat usein sähköposti, Microsoft 365 -ympäristöt, pilvipalvelut, verkkopalvelut sekä muut liiketoiminnan kannalta tärkeät järjestelmät.
Tietojenkalastelu ei välttämättä vaadi teknisiä heikkouksia järjestelmissä, sillä hyökkäyksen kohteena on usein ihminen.
Ei aina.
Tietojenkalasteluviestit ovat kehittyneet huomattavasti, ja ne voivat muistuttaa hyvin aidon näköisiä viestejä. Hyökkääjät voivat käyttää yritysten logoja, oikeita verkkosivujen ulkoasuja ja uskottavia lähettäjätietoja.
Tämän vuoksi huijausviestin tunnistaminen ei aina ole helppoa, vaikka käyttäjä toimisi huolellisesti.
Siksi teknisten suojausratkaisujen lisäksi tarvitaan käyttäjien koulutusta ja jatkuvaa tietoisuuden ylläpitämistä.
Tärkeä käytännön sääntö: jos viesti pyytää kirjautumaan palveluun, avaamaan liitteen tai luovuttamaan tietoja kiireellisesti, pysähdy hetkeksi ja varmista viestin aitous ennen toimimista.
Monet yritykset hyödyntävät tietojenkalastelusimulaatioita ja tietoturvakoulutuksia kehittääkseen henkilöstön kykyä tunnistaa huijausyrityksiä.
Koulutuksessa kannattaa huomioida esimerkiksi:
miten epäilyttävät viestit tunnistetaan
miten linkkejä ja liitteitä käsitellään turvallisesti
miten epäillyistä huijauksista ilmoitetaan
miten kirjautumispyynnöt tarkistetaan
miten monivaiheista tunnistautumista hyödynnetään
miten henkilöstön tietoturvatietoisuutta ylläpidetään säännöllisesti
Teknisten suojausten lisäksi on tärkeää, että työntekijät ymmärtävät, miten tietojenkalasteluyritykset toimivat ja miten niihin tulee reagoida.
Tietojenkalastelu on yksi merkittävimmistä yrityksiin kohdistuvista tietoturvauhista, mutta ei ainoa.
Yrityksen tietoturva muodostuu useista eri osa-alueista, kuten monivaiheisesta tunnistautumisesta, käyttöoikeuksien hallinnasta, laitteiden tietoturvasta, tietoturvakoulutuksista ja turvallisista toimintatavoista.
Siksi tietojenkalastelulta suojautumista kannattaa tarkastella osana yrityksen kokonaisvaltaista tietoturvaa eikä pelkästään yksittäisenä uhkana.