"Olen nauhoittanut sinut" – seksikiristysaalto vaatii 1 490 dollaria bitcoineina
Kiristysviesti lukee kuin tunkeutujan tunnustus, mutta sen jokainen uhkaus on yleispätevä eikä yhtäkään todisteta. Juuri siitä bluffin tunnistaa: kun rikollinen ei näytä mitään sinusta, hänellä ei ole mitään.
Tiivistelma
Kansainvälisessä seksikiristysaallossa sähköposti väittää tunkeutuneen kaikkiin laitteisiisi ja nauhoittaneen sinut, ja vaatii 1 490 dollaria bitcoineina 48 tunnissa. Viestissä ei kuitenkaan ole yhtään todistetta, ja Kyberturvallisuuskeskuksen ohje on selvä: älä maksa, älä vastaa, kukaan ei ole murtautunut laitteellesi. Suomessa sama viesti väärentää usein lähettäjäksi uhrin oman osoitteen ja lainaa vanhaa, vuotanutta salasanaa uskottavuuden vuoksi.
Viesti aloittaa kovaa. Lähettäjä väittää saaneensa "täyden pääsyn kaikkiin laitteisiisi" ja kertoo ostaneensa "hakkereilta yksinoikeudella pitkän listan sähköpostitilejä". Sitten tulee varsinainen uhkaus: koneeseen on muka asennettu troijalainen, joka hallitsee kameraa, näppäimistöä ja mikrofonia, ja sinut on nauhoitettu pornoa katsellessasi.
Malwarebytes raportoi 24. kesäkuuta uudesta seksikiristysaallosta, jossa juuri tällaisia viestejä lähetetään massana. Kaava on tuttu, mutta kannattaa lukea se kuin tutkija lukisi. Jokainen kohta on tarkoituksella ympäripyöreä.
Painostus rakennetaan kahdella tempulla. Ensin kello käy.
– Sinulla on 48 tuntia aikaa, ja lähtölaskenta alkaa heti kun tämä viesti avataan.
Toiseksi viesti yrittää sulkea uhrin tavallisimmat reaktiot pois. Poliisille soittaminen "ei kannata", eikä asiasta saa "edes uskaltaa" kertoa kenellekään. Lopuksi tulee vaatimus: 1 490 dollaria bitcoineina, joita rikollinen mainostaa "anonyymeiksi ja jäljittämättömiksi".
Miksi tämä on bluffi
Miten aidon uhkauksen erottaa bluffista? Lue viesti uudelleen ja etsi yksi asia: todiste. Sitä ei ole.
Ei vuotanutta salasanaa näkyvissä. Ei näytettä videosta. Ei kuvakaappausta, ei kirjautumistietoa, ei IP-osoitetta. Ei mitään, mikä koskisi juuri sinua. Aito tunkeutuja todistaisi pääsynsä, koska se on hänen ainoa valttinsa saada maksu.
Massaviestissä todisteita ei ole. Sama viesti lähtee sadoilletuhansille osoitteille kerrallaan, ja se toimii ilman yhtäkään oikeaa yksityiskohtaa, koska rikollisella ei niitä ole. Pelko hoitaa loput.
Suomalainen muunnelma
Suomessa Kyberturvallisuuskeskus on varoittanut tästä toistuvasti, otsikoilla kuten "Aggressiivinen kiristysviestikampanja käynnissä". Kotimaiset versiot lisäävät usein kaksi uskottavuuselementtiä, jotka säikäyttävät enemmän kuin pelkkä uhkaus.
Ensimmäinen on lähettäjä. Viesti näyttää tulevan omasta sähköpostiosoitteestasi, ikään kuin tili olisi kaapattu. Toinen on salasana. Viestissä lainataan vanhaa, oikeaa salasanaa, jonka tunnistat joskus käyttäneeksesi.
Molemmat ovat teknisiä temppuja, eivät todiste pääsystä laitteellesi. Väärennetyn lähettäjäosoitteen tekeminen on ihan helppoa, eikä se kerro mitään tilisi tilasta. Vanha salasana taas on vuotanut jostain tietomurrosta vuosia sitten, ja sitä myydään rikollisten listoilla. Jos käytät sitä yhä jossain, vaihda se, mutta se ei ole todiste valvonnasta. Keskuksen ohje on pysynyt samana: älä maksa, älä vastaa, huijari ei ole murtautunut laitteellesi.
Tunnistusmerkit
- Lähettäjäksi näkyy oma osoitteesi, ikään kuin tilisi olisi vallattu.
- Vanha, tunnistamasi salasana esitetään "todisteena" pääsystä.
- Tiukka 24–48 tunnin lähtölaskenta, joka muka käynnistyy viestin avaamisesta.
- Vaatimus maksaa bitcoineina, koska siirto on lopullinen.
- Nimenomainen kielto ottaa yhteyttä poliisiin tai kertoa kenellekään.
- Ei yhtäkään kuvaa, videota tai sinua koskevaa yksityiskohtaa missään vaiheessa.
Mitä tehdä
Älä maksa ja älä vastaa. Vastaaminen vahvistaa rikollisille, että osoitteesi on aktiivinen, ja maksaminen poikii vain lisää vaatimuksia.
Älä avaa viestin liitteitä äläkä klikkaa sen linkkejä. Jos viestissä lainattu salasana on yhä käytössä jossain palvelussa, vaihda se heti ja ota kaksivaiheinen tunnistautuminen käyttöön.
Säilytä viesti ja talteen myös bitcoin-lompakon osoite. Lompakon voi ilmoittaa Chainabuse-palveluun, ja tapauksesta kannattaa tehdä rikosilmoitus poliisi.fi-palvelussa sekä ilmoitus osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Yksi asia on hyvä sanoa ääneen. Tällainen viesti on tehty herättämään häpeää, ja häpeä saa maksamaan. Jos viesti jää vaivaamaan, Rikosuhripäivystys auttaa numerossa 116 006.
Aaltoja tulee ja menee, ja summat sekä sanamuodot vaihtuvat. Sääntö pysyy ainakaan vielä muuttumatta. Kun viesti uhkaa, mutta ei näytä sinusta mitään, näyttämättä jää siksi, ettei näytettävää ole.