Useimmat meistä mieltävät tilin haltuunoton tilanteeksi, jossa joku arvaa tai varastaa salasanan. Mutta useissa viimeaikaisissa tapauksissa toistuva kaava toimii toisin: hyökkääjä ei kosketa salasanaasi lainkaan. Sen sijaan hän saa sinut luovuttamaan jotain, joka toimii varavälineenä tiliin, johon olet jo kirjautunut — linkitetyn laitteen, valtuutustunnuksen tai istunnon — ja kävelee suoraan niiden lukkojen ohi, joihin yleensä luotat.

Kaksi esimerkkiä havainnollistaa mekanismia konkreettisesti. Tietoturvatutkijat kuvasivat äskettäin WhatsApp-huijauksen, joka leviää jo kaapatuista tileistä: viesti pyytää sinua "äänestämään" ystävää kilpailussa. Se ohjaa sinut sivulle, joka jäljittelee WhatsAppin "linkitetyn laitteen" asetusnäkymää, tai kehottaa sinua syöttämään koodin omaan linkitettyjen laitteiden valikkoosi. Kun tämän kulun suorittaa loppuun, hyökkääjän puhelin lisätään tilillesi toisena, täysin valtuutettuna laitteena — täydet luku- ja lähetysoikeudet — ilman että hän koskaan syöttää salasanaa. Koska salasanaa ei koskettu, et saa salasanan palautussähköpostia etkä epäonnistuneen kirjautumisen hälytystä. Väärä istunto jää hiljaa laiteluetteloosi yhtenä rivinä muiden joukkoon.

Erikseen Microsoft on varoittanut kampanjasta, jossa käytetään väärin hotellien ja konferenssien Wi-Fi-verkkojen kirjautumisportaaleja — sitä "hyväksy käyttöehdot" -sivua, jonka näet muodostaessasi yhteyden. Verkkopolulla olevat hyökkääjät ohjaavat uhrit väärennetyille kirjautumissivuille tai väärennettyihin "laitekoodi"-kehotteisiin, jotka suoritettuaan luovuttavat valtuutustunnuksia salasanojen sijaan. Lopputulos on sama: istunto, joka näyttää palvelun silmissä lailliselta, koska teknisesti se onkin sellainen — se vain kuuluu nyt jollekin toiselle.

Miksi tavanomaiset suojauksesi eivät huomaa tätä

Salasananhallinta suojaa salasanaa. Kaksivaiheinen tunnistautuminen suojaa kirjautumishetkeä. Kumpikaan ei valvo, mitä tapahtuu sen jälkeen kun istunto tai laite on valtuutettu — ja juuri tähän aukkoon nämä hyökkäykset on rakennettu. Ainoa luotettava tapa havaita tämän tyyppinen tietomurto on tarkistaa säännöllisesti ja käsin, millä laitteilla ja sovelluksilla on tällä hetkellä pysyvä pääsy tileihisi — ei odottaa hälytystä, jonka laukeamattomuus on juuri näiden hyökkäysten suunnitteluperiaate.

15 minuutin istuntotarkastus

Tee tämä tärkeimmille tileillesi (sähköposti, WhatsApp/Telegram, pankkiasiointi ja kaikki identiteettiisi tai rahaasi liittyvä) ja aseta toistuva muistutus tehdäksesi sen uudelleen. Jos valikkojen nimet muuttuvat ajan myötä, etsi sanamuotoja kuten "laitteet", "istunnot" tai "yhdistetyt sovellukset":

  • WhatsApp: Asetukset → Linkitetyt laitteet. Jos näet jotain, jota et tunnista, napauta sitä ja kirjaudu heti ulos.
  • Google: myaccount.google.com/security → "Your devices" ja erikseen "Third-party apps & services" (joskus nimellä "Sign in with Google"). Peruuta pääsy kaikelta, mitä et aktiivisesti käytä.
  • Microsoft-tili: account.microsoft.com/devices laiteluetteloa varten; account.microsoft.com/activity kirjautumishistoriaa varten.
  • Apple ID: Asetukset → [nimesi] iPhonessa/iPadissa tai Järjestelmäasetukset Macissa näyttää jokaisen laitteen, joka on kirjautuneena Apple ID:hesi.
  • Facebook/Instagram (Meta): Asetukset → Tilikeskus → Salasana ja suojaus → Missä olet kirjautuneena.
  • Pankki- ja talousapplikaatiot: useimmissa on "hallitse laitteita" tai "aktiiviset istunnot" -näkymä turva-asetusten alla, vaikka sanamuoto vaihtelee laitoksittain — tarkista oma tilisi jo nyt, jotta tiedät missä se sijaitsee ennen kuin tarvitset sitä.

Kun olet näissä valikoissa, vilkaise myös mahdollista "yhdistetyt sovellukset"- tai OAuth-valtuutuslistaa — vuosia sitten valtuuttamasi ja unohtamasi vanhat sovellukset ja selainlaajennukset ovat juuri sellaista pysyvää pääsyä, jota tämän tyyppiset hyökkäykset yrittävät luoda uutena.

Jos löydät jotain, jota et tunnista

Poista tai kirjaa ulos tuntematon laite tai sovellus ensin — älä odota. Vaihda sen jälkeen salasana joka tapauksessa ylimääräisenä varotoimena, vaikka hyökkääjä ei olisikaan tarvinnut sitä, ja ota kaksivaiheinen tunnistautuminen uudelleen käyttöön, jos se on kytketty pois päältä (jotkin kaappaukset poistavat sen käytöstä, jotta tilille pääsee helpommin takaisin). Tarkista, onko hyökkääjä asettanut mitään pysyvyyttä varten, kuten uusia edelleenlähetyssääntöjä sähköpostiin, uusia palautuspuhelinnumeroita tai -sähköposteja, tai uusia muualle lisättyjä laitteita — kaapattua istuntoa käytetään usein toisen jalansijan luomiseen ennen kuin ensimmäinen huomataan. Lopuksi, jos vaarantunut tili on sellainen, johon kontaktisi luottavat (kuten WhatsApp), varoita heitä siitä, etteivät viimeaikaiset sinulta tulleet viestit — varsinkaan rahaa, ääniä tai koodeja pyytävät — välttämättä olleet sinulta.

Matkustamiseen liittyvä ansa, josta kannattaa tietää

Jos muodostat yhteyttä hotellin, lentokentän tai konferenssin Wi-Fi-verkkoon ja kirjautumisportaalin sivu pyytää sinua "kirjautumaan sisään" Microsoft-, Google- tai vastaavaan tiliin, tai näyttää sinulle syötettävän laitekoodin, suhtaudu siihen lähtökohtaisesti epäillen — laillinen hotellin Wi-Fi ei lähes koskaan edellytä henkilökohtaisen pilvitilin todentamista päästäkseen verkkoon. Sulje selain, muodosta yhteys sen sijaan puhelimesi mobiilijakoyhteyden tai VPN:n kautta, ja jos sinun on pakko käyttää hotellin Wi-Fiä, vältä kirjautumasta sen kautta mihinkään arkaluontoiseen.

Vielä yksi vinkki, jos kirjoitat tai julkaiset koodia

Sama "kyse ei ole salasanastasi, vaan istunnostasi/tunnuksestasi" -logiikka pätee myös kehittäjien tunnuksiin. Eräässä äskettäisessä toimitusketjuun kohdistuneessa tapauksessa myrkytetty npm-paketti seurasi nimenomaan tunnusten kierrättämistä ja saattoi laueta siitä — eli vaistomainen ensimmäinen toimenpide (tunnusten kierrättäminen) oli tässä tapauksessa väärä ensiaskel. Jos epäilet koskaan, että build- tai CI-tunnus on paljastunut, tarkista ensin, mitä vaarantunut paketti tosiasiassa teki, äläkä oleta, että pelkkä kierrättäminen sulkee oven.

Merkitse se kalenteriin

Mikään tästä ei ole kertaluonteinen korjaus — se on tapa, aivan kuten pankkitiliotteen tarkistaminenkin on tapa. Valitse toistuva ajankohta (kuukauden ensimmäinen päivä toimii hyvin) ja käy läpi yllä olevat laite-/istuntolistat. Kyseessä on viidentoista minuutin tarkistus, joka nimenomaan havaitsee sellaisen hiljaisen, salasanattoman haltuunoton, jonka ohittamiseen kaikki muu turva-asetuksissasi on rakennettu.