Tietovuoto tarkoittaa tilannetta, jossa luottamuksellisia tietoja päätyy ulkopuolisten tietoon luvatta. Kyse voi olla asiakasrekisteristä, joka on vuotanut verkkoon, väärin konfiguroidusta pilvipalvelusta, kadonneesta laitteesta tai yksinkertaisesti väärälle vastaanottajalle lähetetystä viestistä. Koska lähes kaikkien tietoja löytyy lukemattomista verkkopalveluista, tietovuoto koskettaa jossain vaiheessa lähes jokaista. Tämä artikkeli käsittelee, mitä vuodoissa tyypillisesti vuotaa, mitä riskejä niihin liittyy, miten voit tarkistaa oman tilanteesi ja miten toimit, jos tietosi ovat päätyneet vääriin käsiin.
Tietovuoto, tietomurto ja tietoturvaloukkaus – mitkä ovat erot?
Termejä käytetään joskus ristiin, mutta niillä on omat merkityksensä. Tietomurto tarkoittaa järjestelmään tunkeutumista – esimerkiksi sitä, että hyökkääjä murtautuu yrityksen verkkoon. Tietovuoto puolestaan kuvaa lopputulosta: tietoja lekkaa ulos, olivatpa ne varastettu murtoa apuna käyttäen tai paljastuneet esimerkiksi huolimattomuuden vuoksi. Vuoto voi siis tapahtua ilman varsinaista murtoakin.
Kun kyse on henkilötiedoista, EU:n yleinen tietosuoja-asetus (GDPR) puhuu henkilötietojen tietoturvaloukkauksesta. Sillä tarkoitetaan tietoturvan loukkaamista, joka johtaa henkilötietojen vahingolliseen tai luvattomaan käsittelyyn, katoamiseen, muuttamiseen tai luvattomaan luovutukseen.
Mitä tietoja vuotoihin tyypillisesti sisältyy?
Vuotaneissa aineistoissa esiintyy yleisimmin:
- sähköpostiosoitteita ja käyttäjätunnuksia
- salasanoja, joko selkokielisinä tai kryptattuina (hasheina)
- puhelinnumeroita ja osoitetietoja
- syntymäaikoja ja muita profiilitietoja
- ostoshistoriaa, viestejä tai asiakasvuoropuhelua
- joissakin tapauksissa maksukorttitietoja tai henkilötunnuksia
Ongelmana on, että vuotaneet aineistot eivät katoa mihinkään. Ne kiertävät verkossa vuosia, yhdistyvät toisiinsa ja muodostavat ajan myötä yhä kattavampia kokonaisuuksia yksittäisestä ihmisestä. Yhden vanhan foorumitilin vuoto voi siis nakerrella tietoturvaasi vielä vuosien päästä.
Mitä riskejä tietovuotosta seuraa?
Moni aliarvioi vuodon merkityksen ajattelemalla, ettei omilla tileillä ole mitään arvokasta. Riskit ovat kuitenkin konkreettisia:
Tietojenkalastelu tehostuu. Kun huijari tietää nimesi, ostoshistoriasi tai tilauksesi, hänen viestinsä uskottavuus kasvaa huomattavasti. "Tilauksesi toimituksessa on ongelma" on paljon vakuuttavampi, kun viesti osuu kohdalle juuri silloin, kun olet oikeasti tehnyt tilauksen.
Salasanojen uudelleenkäyttö leviää vahinkoa. Jos sama salasana on käytössä useassa palvelussa, yhden palvelun vuoto voi johtaa siihen, että hyökkääjä pääsee kirjautumaan myös muihin tileihisi. Tätä kutsutaan tunnistetietojen automatisoiduksi kokeiluksiksi, ja se on yksi yleisimmistä tilikaappausten syistä.
Identiteetin väärinkäyttö. Jos vuotaneisiin tietoihin kuuluu esimerkiksi henkilötunnus tai riittävästi muita tietoja, niitä voidaan käyttää asiointiin sinun nimissäsi tai lainojen ja tilausten hankkimiseen.
Yrityksille maine- ja taloudelliset vahingot. Organisaatiolle vuoto voi merkitä asiakasluottamuksen romahtamista, korvausvaatimuksia ja tietosuojasakkoja.
Näin tarkistat, ovatko omat tietosi vuotaneet
Helpoin tapa on käyttää ilmaista Have I Been Pwned -palvelua (haveibeenpwned.com). Kirjoitat sähköpostiosoitteesi hakukenttään, ja palvelu kertoo, esiintyykö osoite tunnetuissa julkisuuteen päätyneissä tietovuodoissa. Palvelu on toiminut vuosia ja sitä suositellaan laajasti tietoturva-alalla.
Myös monet salasananhallintaohjelmat sisältävät valvontatoiminnon, joka ilmoittaa, jos tallentamasi tunnukset näkyvät vuotaneissa aineistoissa. Lisäksi jotkin palvelut lähettävät itse ilmoituksen, jos niiden tietokanta on vuotanut.
Varo kuitenkin huijausviestejä. Jos saat sähköpostin, jossa kerrotaan tietovuodosta ja pyydetään klikkaamaan linkkiä tai syöttämään salasana, älä toimi viestin kautta. Mene aina suoraan palvelun omalle sivustolle tai tarkista asia riippumattomalla työkalulla. Juuri tietovuotoilmoituksia hyödynnetään tietojenkalastelussa.
Mitä tehdä, jos omat tietosi ovat vuotaneet
Toimi näin:
- Vaihda salasana heti kyseisessä palvelussa – ja kaikissa muissa palveluissa, joissa olet käyttänyt samaa tai samankaltaista salasanaa. Tämä on tärkein yksittäinen toimenpide.
- Ota käyttöön kaksivaiheinen tunnistautuminen, jos palvelu sen tukee. Näin salasanan vuotaminenkaan ei yksin riitä tilan kaappaamiseen.
- Tarkista tilin tapahtumat: kirjautumiset, tilaukset, lähetetyt viestit ja tilin asetukset. Jos näet jotain outoa, kyseessä voi olla jo tapahtunut kaappaus.
- Syytä kasvata kalasteluvarovaisuutta. Tietojesi ollessa ulkona odota enemmän huijausyrityksiä sähköpostissa, tekstiviestissä ja puhelimessa. Älä avaa linkkejä epäilyttävistä viesteistä.
- Jos maksukorttitiedot ovat vuotaneet, seuraa tilin tapahtumia tarkasti ja ota tarvittaessa yhteyttä pankkiin kortin sulkemiseksi. Pankit korvaavat yleensä luvattomat korttilaskut, kun asia ilmoitetaan viipyilemättä.
- Jos henkilötunnus tai muut arkaluonteiset tiedot ovat vuotaneet ja epäilet identiteetin väärinkäyttöä, ota yhteyttä poliisiin. Säilytä palvelun lähettämä vuotoilmoitus, sillä se voi olla tarpeen myöhemmin.
Miten suojaudut tulevilta vuodoilta
Et voi estää sitä, että jokin palvelu vuotaa tietosi – se on palveluntarjoajan vastuulla. Voit kuitenkin rajata vahinkoa merkittävästi:
- Käytä joka palvelussa ainutlaatuista salasanaa. Paras tapa hallita tätä on salasananhallintaohjelma, josta sinun tarvitsee muistaa vain yksi pääsalasana.
- Ota kaksivaiheinen tunnistautuminen käyttöön kaikissa tärkeissä palveluissa: sähköpostissa, pankissa, somepalveluissa ja pilvitallennuksessa. Sähköpostitili on erityisen tärkeä suojata, koska sen kautta voidaan usein nollata muiden tilien salasanoja.
- Anna palveluille vain tarpeelliset tiedot. Jokainen rekisteröityminen on yksi mahdollinen vuotopiste tulevaisuudessa.
- Päivitä laitteet ja ohjelmistot, sillä päivitykset korjaavat hyökkääjien hyväksikäyttämiä haavoittuvuuksia.
- Käy silloin tällöin läpi vanhoja tilejä ja poista ne, joita et enää käytä.
Yritysten ilmoitusvelvollisuus tietovuotojen yhteydessä
Vuoto ei ole vain yksityishenkilön ongelma. GDPR:n mukaan organisaation on ilmoitettava henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle – Suomessa tietosuojavaltuutetun toimistolle – viivytyksettä ja viimeistään 72 tunnin kuluessa siitä, kun loukkaauksesta on tullut tietoiseksi. Jos vuoto todennäköisesti aiheuttaa korkean riskin yksityishenkilöille, myös asianomaiset on Informoitava itse. Asiakkaalla on lisäksi oikeus esittää valitus tietosuojavaltuutetulle, jos hän kokee, että palvelu on suhtautunut asiaan huolimattomasti.
Yleisiä väärinkäsityksiä
"Minulla ei ole mitään piilotettavaa." Vuotaneita tietoja ei käytetä vain sinun tileillesi murtautumiseen. Niitä hyödynnetään kohdennetuissa huijauksissa ja ne voivat palvella hyökkäyksiä muihin – esimerkiksi työpaikkasi järjestelmiin.
"Salasanan vaihtaminen kerran riittää." Vain jos et koskaan käytä samaa salasanaa missään muualla. Uudelleenkäyttö on se, mikä muuttaa yhden palvelun vuodon monen tilin ongelmaksi.
"Vuoto tarkoittaa, että rahani ovat jo vaarassa." Kaikki vuodot eivät sisällä maksutietoja, eikä vuoto automaattisesti johda taloudellisiin menetyksiin. Riski on usein pitkäaikainen: vuotaneet tiedot voivat hyödynnettäväksi kalastelussa vielä vuosien päästä. Siksi oikea reagointi on maltillinen mutta johdonmukainen salasanojen vaihto, tunnistautumisen vahvistaminen ja valppaus.
Lopuksi
Tietovuoto on nykyajan tietoturvan arkipäivää, ja todennäköisintä on, että sähköpostiosoitteesi esiintyy jossain vuotaneessa aineistossa. Se ei kuitenkaan ole syy paniikkiin vaan kannustaa hyviin tapoihin: uniikit salasanat, kaksivaiheinen tunnistautuminen ja terve epäluulo tuntemattomia viestejä kohtaan pitävät suurimman osan riskeistä kurissa. Tarkista tilanteesi, korjaa heikot kohdat ja muista, että tietoturva on jatkuvaa pieniä tekoja – ei kertaakaan tehty projekti.