Title: Sähköposti
Course: Digiturvastartti > Section: Opiskele ja tee

Sähköpostia käytetään päivittäin opiskelussa ja työssä.

Sähköposti on tärkeä työkalu

Sähköpostin turvallisessa käytössä on muutamia perusperiaatteita:

- Erota eri roolisi eri sähköpostiosoitteisiin ja käyttäjätileihin.
  - Työ-, opiskelu- ja yksityiselämän roolit on suositeltavaa pitää erillään.
  - Nykyisin useamman sähköpostiosoitteen hallinta on helppoa päätelaitteessa – riittää, että valitset oikean lähetystilin.
- Sähköpostin tietoturva on verrattavissa postikorttiin:
  - Viestien sisältö voi teoriassa päätyä vääriin käsiin, jos yhteys ei ole suojattu.
  - Liitetiedostot ovat yleinen keino levittää haittaohjelmia – avaa vain luotettavista lähteistä tulevia liitteitä.
- Älä yritä poistua roskapostilistoilta.
  - ”Unsubscribe”-linkin klikkaaminen voi vain vahvistaa roskapostittajalle, että osoite on aktiivinen.
- Korkeakoulun järjestelmät suojaavat viestintää automaattisesti:
  - Roskapostit ja haittaohjelmat suodatetaan automaattisesti, mutta käyttäjän oma valppaus on edelleen tärkeää.

Kolmen laatikon käytäntö

Työ- ja opiskelutehtävät on hyvä erottaa yksityiselämästä. Näin voit rajata esimerkiksi loma-aikaan tulevista viesteistä pois työhön liittyvät viestit. Myös arvontoihin ja muuhun kevyempään sisältöön voi olla käytössäsi erillinen osoite, jottei roska- ja mainosposteista tule liikaa vaivaa.

Sähköpostiosoite toimii usein myös käyttäjätunnuksena pilvipalveluihin. Käytät eri elämäntilanteissa eri organisaatioiden palveluita, ja on hyvä erottaa ne selkeästi toisistaan:

- Opiskelu ja työ:
  - etunimi.sukunimi@koulusi.fi
- Henkilökohtainen:
  - etunimi.sukunimi@hyväpalvelu.fi
- Muut:
  - nimimerkki@tusinapalvelu.com

Tätä käytäntöä voi soveltaa myös muihin palveluihin, kuten sosiaaliseen mediaan.

Sähköpostin tietoturva

Sähköpostin tietoturva on käytännössä verrattavissa postikorttiin. Älä siis luota sokeasti siihen, että viesti on aidosti sen lähettäjän lähettämä, jonka nimi näkyy lähettäjäkentässä – ei yksittäisen henkilön, organisaation eikä laitteen.

Erityisesti kaikki rahaan liittyvät viestit kannattaa varmistaa toista viestintäkanavaa käyttäen ennen toimenpiteitä.

Roskapostien ja haittaohjelmien levitys onnistuu usein kahden asian takia:

1. Lähettäjätiedot on helppo väärentää.
2. Arjen työtehtävien hoitamiseksi viestejä on pakko avata ja lukea – emme voi jättää niitä huomiotta.

Kalastelu

Sinäkin tulet saamaan - ellet ole jo saanut - kalasteluviestejä, joissa yritetään houkutella sinua luovuttamaan käyttäjätunnuksesi, salasanasi tai luottokorttitietosi epäilyttävälle verkkosivulle tai vastausviestissä.

Kalastelun tavoite on saada rikollisten haltuun käyttäjätunnuksia. Niiden avulla voidaan päästä käsiksi organisaation järjestelmiin ja verkkoihin, puhumattakaan yksityisistä tiedoistasi.

Kalastelun torjunnassa sinä olet tärkein lenkki. On hyvä muistaa, ettei kukaan hyvässä tarkoituksessa pyydä sinulta käyttäjätunnustasi tai salasanaasi sähköpostitse, puhelimitse, kasvokkain tai millään muullakaan tavalla. Tämä pätee sekä työelämässä että yksityiselämässä, sillä käyttäjätunnuksesi on aina henkilökohtainen.

Miksi kalastelu onnistuu?

Kalasteluviestien suurin onnistumisen tekijä on kiire. Kiireessä ihminen lukee viestin nopeasti, ajattelematta sen sisältöä tarkemmin ja saattaa reagoida vaatimukseen toimia heti.

Onnistuneilla kalasteluviesteillä on usein tunnistettavia piirteitä. Ne:

- lähetetään ajankohtaan, jolloin olet kiireinen tai poissa, esimerkiksi juuri ennen lomaa tai heti sen jälkeen
- vaativat nopeaa toimintaa ja väittävät, että toimimattomuus aiheuttaa sinulle haittaa tai seurauksia
- näyttävät tulevan tutulta henkilöltä tai luotettavalta organisaatiolta
- jäljittelevät visuaalisesti aitoja viestejä tai kirjautumissivuja
- kohdistuvat suoraan sinuun, esimerkiksi työroolisi, nimesi tai tehtäväsi perusteella
- ohjaavat sinut aidolta vaikuttavalle, mutta väärennetylle sivustolle, jossa pyydetään kirjautumaan

Muista: mitä aidommalta viesti näyttää ja mitä kiireellisempi sen sävy on, sitä tarkemmin sitä kannattaa tarkastella.

Seuraavaksi: Katsotaan esimerkkejä onnistuneista kalasteluista meidän organisaatiossa  sekä mitä niissä tapahtui ja miten niihin reagoitiin.

Helposti tunnistettavia kalasteluviestejä

Helposti tunnistettavissa kalasteluviesteissä kysytään aina jotain henkilökohtaista tietoa, kuten salasanaa ja tunnusta, tai muuta vastaavaa. Usein myös heikko kieliasu paljastaa viestin huijaukseksi.

Esimerkki 1:

Esimerkki 2:

Vaikeasti tunnistettavia kalasteluviestejä

Nykyisin kalastelua tehdään pääsääntöisesti viesteillä, joissa viestin ulkoasu sekä lähettäjä ovat uskottavia. Viesti sisältää linkin, joka sekin on oikean näköinen ja vaatii huolellista lukemista jotta selviää ettei linkki olekaan se mihin käyttäjä on tottunut.

Esimerkki hankalasti tunnistettavasta kalasteluviestistä, jonka linkki ohjautuu tunnustenkeruusivulle. Teksti on jo hyvää suomenkieltä.

Toinen esimerkki, jonka tunnistaa, jos katsoo sähköpostiosoitteen tarkasti. Valitettavan usein sähköpostiohjelmat pyrkivät piilottamaan varsinaisen osoitteen ja näyttävät vain nimen.

Suurin vaara?

Yksi merkittävimmistä tietoturvauhista on tiedostoja salaava haittaohjelma eli kiristysohjelma. Tällainen ohjelma estää sinua pääsemästä omiin tai muiden tietoihin salaamalla ne, ja vaatii usein lunnaita salauksen purkamisesta.

Vaikka ajantasainen haittaohjelmasuojaus on tärkeä osa puolustusta, sinä itse olet tärkein suojakeino. Kiristysohjelmat eivät tarvitse toimiakseen pääkäyttäjäoikeuksia, sillä ne voivat toimia aivan kuten tavalliset, asennusta vaatimattomat ohjelmat, ja siksi ne pääsevät helposti yllättämään varomattoman käyttäjän.

Paras varotoimi tällaisia hyökkäyksiä vastaan on säännöllinen ja luotettava varmuuskopiointi. Metropoliassa korkeakoulun verkkolevyillä olevista tiedoista otetaan automaattisesti varmuuskopiot. Esimerkiksi OneDrive mahdollistaa tiedostojen aiempien versioiden palauttamisen, mutta se ei tarjoa varsinaista varmuuskopiointia. Muista ettei tiedostojen synkronointi ole sama asia kuin varmuuskopio.

Muista: Varmuuskopioi tärkeät tiedostot säännöllisesti erilliseen ja turvalliseen paikkaan, joka ei ole jatkuvasti kytketty laitteeseesi.
https://www.youtube.com/watch?v=D_yAYhjNE-0&list=PL7QHbjPSF0r6qJonaROIxVaMLzwDnZyOL&index=4

Tunnistatko kalastelusivut 1?

Esittääkö alla oleva kuva mielestäsi korkeakouluyhteisön palveluihin liittyvää kirjautumissivua? Valitse kuvan alta "-Ei" tai "-Kyllä".

- - Ei
Feedback: Ei Aivan oikein. Tunnistat sivun kalasteluviestiksi siitä, että sivulla kysytään käyttäjätunnuksen ja salasanan lisäksi puhelinnumeroa. Jos näkisit lisäksi sivun osoitteen, myös se paljastaisi sivun olevan huijausta.
- - Kyllä
Feedback: Kyllä Väärin! Tunnistat sivun kalasteluviestiksi siitä, että sivulla kysytään käyttäjätunnuksen ja salasanan lisäksi puhelinnumeroa. Jos näkisit lisäksi sivun osoitteen, myös se paljastaisi sivun olevan huijausta.

Tunnistatko kalastelusivut 2?

Esittääkö alla oleva kuva mielestäsi korkeakouluyhteisön palveluihin liittyvää kirjautumissivua?

- - Kyllä
Feedback: Kyllä Aivan oikein. Tämä sivu on käytössä, esimerkiksi Metropolian MS Office-ympäristöön kirjauduttaessa.
- - Ei
Feedback: Ei Kylläpä vain esittääkin oikeaa kirjautumissivua. Nykyisin on valitettavan hankalaa tunnistaa aina oikea kirjautumissivu, koska uusia palveluja tulee ja vanhoja lähtee. On hyvä tapa pyrkiä kirjoittamaan sisäänkirjautumista edellyttävä verkkosivu selaimen osoitekenttään sen sijaan että hakisit sivun Googlesta tai klikkaisit miettimättä sähköpostissa tullutta linkkiä. Näin pystyt usein välttämään mahdolliset sähköpostissa tulevat linkit kalastelusivuihin tai Googlen hakua väärinkäyttävien rikollisten kalastelusivut.

Tunnistatko kalastelusivut 3?

Esittääkö alla oleva kuva mielestäsi korkeakouluyhteisön palveluihin liittyvää kirjautumissivua?

- - Kyllä
Feedback: Kyllä Oikein. Tässä tapauksessa osoiterivillä oleva osoite helpottaa tulkintaa.
- - Ei
Feedback: Ei Kylläpäs vain esittääkin. Tässä tapauksessa myös osoiterivillä oleva osoite helpottaa tulkintaa. Valitettavasti kaikki kirjautumissivut eivät ole samanlaisia, joten väärän havaitseminen on joskus hieman hankalaa.

Miten voit tunnistaa haitallisen viestin

Mitkä alla olevista helpottavat haitallisten viestin tunnistamista? Valitse mielestäsi sopivat tavat.

- - Kysyn Helpdeskistä
- - Luen huolellisesti osoitteen mihin linkki johtaa
- - Klikkaan linkkiä ja syötän sivulle käyttäjätunnuksen ja salalauseen
- - Kysyn kaverilta

Älä koskaan syötä tunnuksiasi epäilyttäville sivuille.

Kysyn Helpdeskistä

Hyvä! Helpdesk on sitä varten, että heiltä voi kysyä myös tällaisia asioita. Jos hekään eivät tiedän, niin he ottavat selvää. On kuitenkin aina parempi kysyä kuin olettaa. Helpdeskistä kysymisessä on se hyöty, että saadaan selville, millaisia kohdennettuja viestejä on liikkeellä.

ÄLÄ kuitenkaan lähetä saamaasi viestiä ilman, että kerrot jo viestin otsikossa viestin sisältävän mahdollisen haittaohjelman!

Luen huolellisesti osoitteen, mihin linkki johtaa

Mainiota! Linkin osoite on usein paras vihje haitallisesta linkistä. Korkeakouluyhteisön kirjautumissivusto ei sijaitse .com, .eu tai muissa vastaavissa osoitteissa.

Klikkaan linkkiä ja syötän sivulle käyttäjätunnuksen ja salasanan

EI EI! ÄLÄ MISSÄÄN TAPAUKSESSA syötä käyttäjätunnustasi ja salalausettasi epäilyttävälle sivulle! Internetissä on sivustoja, jotka kertovat tarkistavansa onko sinun tunnuksesi ja salalauseesi vuotanut. Näidenkin kohdalla salalause on tarpeeton mahdollisen vuodon varmistamiseksi. Jos olet epävarma linkistä, niin kysy aina.

Kysyn kaverilta

Hyvä tämäkin. Kaverit ovat usein hyvä tietolähde, mutta heidänkään tietämykseensä ei kannata sokeasti luottaa.

Mitä vastaamisesta voi seurata sinulle?

Jos lankeat tunnuskalastelijan virittämään ansaan, usein varastettua tunnustasi käytetään roskapostin lähettämiseen. Mitä tästä voi seurata sinulle? Valitse mielestäsi sopivimmat.

- - Ei mitään
- - Oma käyttöni estyy
- - OneDriveen tallentamani tiedot vaarantuvat
- - Joudun vaihtamaan salasanani

Päätöksillä on seurauksia

Ei mitään

Toiveajattelua. Onnistunut kalastelu aiheuttaa aina jotain harmia käyttäjälle. Harmi ei välttämättä tule heti, vaan voi tulla vasta parin kuukauden kuluttua. Tästä syystä on hyvä vaihtaa salasanat sopivin välein. Mikä on sopiva riippuu tietenkin palvelusta ja salasanasi laadusta.

Oma käyttöni estyy

Aivan oikein. Jos tunnuksellasi lähetetään roskapostia, niin tämä usein huomataan automaattisesti ja sen seurauksena tunnuksesi suljetaan. Onnistunut kalastelu aiheuttaa siis usein tunnuksen käytön estymisen.

OneDriveen tallentamani tiedot vaarantuvat

Ilman muuta! Jos antamallasi tunnuksella ja salasanalla pääsee OneDrive- ja DropBox-palveluun, näiden palvelujen sisältämät tiedot vaarantuvat. Lisäksi, jos olet sykronoinut OneDrive tai DropBox koneesi paikalliselle levylle, niin tunkeilijan pilvipalveluun tekemät muutokset synkronoituvat huomaamattasi myös omalla koneellasi oleviin tietoihin. Pahimmassa tapauksessa menetät kaikki pilveen tallettamasi tiedot sekä pilvestä että koneeltasi.

Joudun vaihtamaan salasanani

Kyllä! Jos tunnustasi käytetään väärin niin se huomataan usein automaattisesti ja sinut pakotetaan vaihtamaan salasanasi.