Minulle soitti nyt lauantai-iltana eteläsuomalainen 72-vuotias nainen, joka oli tänään joutunut Microsoft huijauspuhelun uhriksi. Ymmärrettyään, mitä oli tapahtunut, hän oli soittanut pankkiin ja sulkenut tilinsä, mutta oli nyt huolissaan henkilötietojensa vuotamisesta ja kysyi neuvoja niiden suojaamiseen.
Huijarit saivat haluamansa, enkä usko että henkilötiedot heitä kiinnostavat. Se olikin sitten ainoa hyvä uutinen tässä tapauksessa.
Uhri osasi varoa Microsoft huijauspuheluita, koska oli saanut jo aiemmin epämääräisiä soittoja. Niissä hän löi luurin korvaan. Työuransa nainen oli tehnyt organisaatiossa, missä tottui käsittelemään suuriakin rahansiirtoja. Hän kertoi olevansa kokenut verkkopankin käyttäjä ja kuulosti kaikin puolin skarpilta.
Nimeä John Watson käyttänyt mies soitti +1 alkuisesta numerosta juuri, kun naisella oli ongelma tietokoneen kanssa. Onnettoman sattuman ansiosta nainen uskoi, että tällä kertaa soitto tuli oikeasti Microsoftilta Kaliforniasta.
Soitto katkesi välillä ja uudet soitot näyttivät tulevan kotimaan numeroista. Yhteensä puhelut kestivät lähes viisi tuntia. Niiden kuluessa huijarit asensivat uhrin koneelle TeamViewer-etäkäyttöohjelman, pääsivät naisen tilille ja saivat jopa kuvan hänen passistaan. Kun nainen lopussa alkoi epäillä ja sanoi soittavansa pankkiin, huijarit kielsivät tekemästä niin. Viimeisestään siinä vaiheessa uhri huomasi, että häntä oli jymäytetty.
Pankin päivystyksessä kävi ilmi, että huijarit olivat tyhjentäneet naisen tilit ja saaneet useita tuhansia euroja. Epäonnisen sattuman vuoksi kuun lopussa maksettava eläke oli tullut tilille eilen perjantaina. Huijarit olivat tyhjentäneet jopa säästötilin siirtämällä sen saldon ensin sisäisenä tilisiirtona toiselle tilille, mikä osoittaa heidän tunteneen Nordean pankkipalvelun ja ehkä jopa osanneen hieman suomea. Toisaalta Nordean pankkipalvelun kielen voi vaihtaa myös englanniksi.
Varastetut rahat oli muunnettu saman tien bitcoineksi ja siirretty eteenpäin, joten pankki ei pystynyt pysäyttämään rahansiirtoja kuten se olisi voinut tehdä, jos varoja olisi siirretty ulkomaisille tileille. Ilmeisesti huijarit olivat perustaneet naisen nimellä tilin johonkin kryptopörssiin ja tarvitsivat sitä varten valokuvan passista.
Huijari oli puhunut englantia, taustalta kuului intialaisten puhujien aksenttia. Nainen kuitenkin arveli, että Microsoftin puhelinpalvelu on Intiassa. Uskottava selitys sekin.
Tapaus on hyvä muistutus siitä, miten kokenutkin käyttäjä voi joutua Microsoft-huijauspuhelujen uhriksi. Jälkikäteen kuultuna on helppo moittia uhreja hyväuskoisuudesta, mutta tekijät ovat ammattilaisia ja osaavat esiintyä vakuuttavasti.
 |
| Huijarin jäljiltä Windowsin työpöydälle jäi TeamViewerin kuvake. |
Vaarassa ovat etenkin vanhemmat ihmiset, jotka ovat kyllä kuulleet huijaussoitoista, mutta uskovat edelleen vanhanaikaiseen asiakaspalveluun, jossa yrityksen edustaja oikeasti soittaisi kotiin ja auttaisi monen tunnin ajan asiakasta.
Suojaavia tekijöitä on oikeastaan vain kaksi: tyhjä tili tai kielitaidon puute.
Jos suojatekijöitä ei ole, tilille pitäisi saada asetettua rajoituksia, jotka estävät suurten rahamäärien siirtämisen kaikilla verukkeilla -- vaikka henkilö itse vahvistaisi ne tunnuksillaan. Hankala rasti, sillä jos rajoituksen voi itse asettaa, huijarit voivat myös poistaa sen käyttäjän puolesta.
Pankkitunnusten käyttö vahvaan todentamiseen pelaa huijarien pussiin. Tunnistaminen pitäisi erottaa pankkipalvelusta. Nykyinen käytäntö, jossa eri palvelut käyttävät pankkitunnuksia henkilöllisyyden tarkistamiseen, tarjoaa huijareille verukkeen tunnusten kysymiseen.
Tärkeintä olisi, että teleyhtiöt oikeasti tekisivät jotain näille numerohuijauksille. Suomalaisen operaattorin pitäisi pystyä tarkistamaan, tuleeko suomalaisen numeron puhelu oikeasti toisen suomalaisen operaattorin verkosta vai ei. Tämä estäisi kotimaisilla numeroilla huijaamisen. Jos tarkistus ei nykytekniikalla onnistu, tällaisen järjestelmän kehittäminen omin voimin ei voi olla mahdotonta, jos vain halua on. Nyt kaikki tuotekehitys tuntuu menevän mobiilipuolelle, koska siellä liikkuvat isommat rahat.
Täydellinen avuttomuus puhelinnumeroiden väärentämisen edessä uhkaa operaattorien bisnestä. Luottamus ja arvostus niitä kohtaan ovat jo mennyttä.
Ehdotus pankeille: jos käyttöliittymän voi vaihtaa englanninkieliseksi, asetus pitäisi lukkiintua niin, että sen voi vaihtaa vain puhelinsoitolla asiakaspalveluun tai vaihdossa tulisi olla esim. 24 tunnin varoaika.
Yksi niksi vielä: jos epäilet puhelun alkuperää, sano soittavasi takaisin näytöllä näkyvään numeroon. Jos soittaja ei hyväksy tätä tai soitto ei mene perille, näkyvä numero on väärennetty. Periaate on sama kuin sähköpostissa: lähettäjän paikalla näkyvä osoite on helppo väärentää, mutta jos siihen vastaa, viesti ei mene huijarille vaan näkyvään osoitteeseen.
Muokattu 6.3.2021
Lisäys 2.3.2021: John Watson soitti uhrille uudestaan. Normaalisti tällaista ei tapahdu, ilmeisesti tällä kerralla jokin huijauksessa meni pieleen. Watson sanoi, ettei hän ollut vienyt rahoja vaan sen olivat tehneet hakkerit. Hän halusi koneen id-numeron, mikä se sitten onkaan. Päivitän sivua, jos asiassa ilmenee vielä uusia käänteitä.
Lisäys 3.3.2021: Moni kritisoi huijausten uhreja huolimattomiksi tai osaamattomiksi. Mutta eivät pankkien tunnistuspalvelutkaan aivan ongelmattomia ole. Viimeksi tänään hieraisin silmiäni, kun kirjauduin palveluun pankkitunnuksilla (yleensä käytän mobiilivarmennetta), ja Nordean tunnuslukusovellus kertoi minun kirjautuvan Osuuspankkiin.
 Nordean tunnuksilla Osuuspankin kautta palveluun. |
Olisi hyvä tiedottaa, koska asiakkaita kehotetaan puheluhuijarien vuoksi tarkkaavaisuuteen ja varovaisuuteen. Samalla voi pohtia, onko näytön yläreunassa näkyvä teksti riittävä kertomaan, mitä oikeasti on tapahtumassa, jos käyttäjän huomio on keskittynyt vain rutiininomaisesti pin-koodin syöttämiseen näytön alareunan painikkeilla.
125 kommenttia:
Su9omajaa se, ettei yksinkertaisesti lähde tuollaiseen mukaan. Kukaan Microsoftilta ei soita sinulle.
En minä nyt ihan allekirjottaisi lausumaa, että nämä puhelut olisivat yhtään mitenkään vakuuttavia.
Youtubesta löytyy "microsoft tech support scam, IRS (jenkkiverottaja), Social security scam yms." hupivideoita, joissa huijataan huijaria (englantia täytyy osata mutta tekee näitä kotimainen pauli matalamäkikin @paulinpelivideot).
Kun noita puheluita kuuntelee, sitä intian aksentin solkotusta kun ne hädin tuskin nekään osaa englantia. Samoin hirveä hälinä taustalla. Sen suoraan sanoen kuulee, että äänimaailma on kuin kanalassa. Sielä on kymmenentuhatta taavettia samaan aikaan. On kyllä todella vaikea uskoa, että asiantuntija-ihminen tuohon lankaan lankeaisi. Tavis kylläkin.
Taktiikkanahan nämä käyttävät etätyöpöytäohjelmistoja, teamviewer yms. Näissä on jonkinlainen ruudun peitto-ominaisuus, jolloin uhri ei näe mitä "tekninen tuki" koneelle tekee. Tämä yleensä tapahtuu siinä vaiheessa kun uhri itse on verkkopankkinsa avannut. Edelleenkin on vähän outoa, miten ne tilisiirrot on voitu tehdä kun se vaatii sen kuittauksenkin siis tunnuslukusovelluksella tai koneella.
Olisi siis todella kiva tietää, miten rouva on hyväksynyt nämä kaikki verkkopankkitilisiirrot kuitenkaan huomaamatta miten "tekninen tuki" on siirtämässä kaikkia näitä tuhansia euroja kerralla. Lukeehan se summa tunnuslukusovelluksessa ihan selvänä tekstinä vaikka tietokoneen ruutu olisikin "mustattu".
Vanhemmat tech support huijaukset taas perustui "tietoturvapalvelun" myyntiin, eli tuolloin oli helpompi ymmärtää miten lankaan voi mennä. Silloin teknisen tuen kanssa höpistiin tarkoista summista. "elinikäinen palvelu maksaa 599 dollaria, joka kattaa kaikki koneet tästä hautaan viidessä sukupolvessa (ja tähänkin lankaan joku menee, eikö kukaan kyseenalaista onko koko firma olemassa sun elinikäs ajan). Tällöin eivät tileille silleen hyökännyt. Vaan varastivat ennemminkin luottokorttien tietoja.
Nordealla riittää pelkkä pin-koodin syöttäminen tunnuslukuohjelmaan, ei näy siirrettävää summaa (kuten OP:lla). Tämä voidaan naamioida esim. vahvaksi tunnistamiseksi; monissa verkkopalveluissa käyttäjän pitää todentaa itsensä pankkitunnuksin.
"tänään joutunut Microsoft huijauspuhelun uhriksi. Ymmärrettyään, mitä oli tapahtunut, hän oli soittanut pankkiin ja sulkenut tilinsä"
Aika vaikea ymmärtää kertomusta kokonaisuudessaan ja mitä on tehty ja miksi. Mitä tilin sulkeminen auttaa? Sehän vain vaikeuttaa asian selvittämistä.
"Näin saadut rahat oli muunnettu saman tien bitcoineksi ja siirretty eteenpäin, joten pankki ei pystynyt pysäyttämään rahansiirtoja kuten se olisi voinut tehdä, jos varoja olisi siirretty ulkomaisille tileille."
Jos rahat on siirretty johonkin bitcoin-pörssiin, ei pankki voi tietää onko ne vaihdettu bitcoineiksi tai onko bitcoinit siirretty eteenpäin.
Voisi kuvitella että viikonlopun aikana vielä ehtisi tehdä jotain. Jos rahat on siirretty johonkin bitcoin-pörssiin, minä ainakin ottaisin yhteyttä sinne.
Tuli joskus kysyttyä aiheesta tilisiirron ylärajan asettaminen. Tässä Nordean vastaus:
"Euromääräisissä tilisiirroissa ei ole ylärajaa eikä niitä voi myöskään asettaa. Suurempi kertasiirto saattaa tosin vaatia lisävahvistuksen."
Että se siitä sitten. Pankkiautomaatilta nostamiselle voi asettaa turvarajoja. Kuvittelisin, että kaikilla pankeilla lienee samalla lailla.
Turvaraja pitäisi käydä asettamassa pankin tiskillä, koska verkkopalvelusta tehtynä se on yhtä helppo myös poistaa. Olisi tärkeää erottaa pankkitunnistaminen rahansiirtojen hyväksynnästä, nyt molemmat menevät samalla tavalla.
Olen tosiaan seurannut näitä "huijataan huijaria"-hupivideoita jo vuosia. Englanninkielisissä maissa tämä riesa on ollut jo viisi vuotta sitten alkaen. Samalla olen ollut hieman kauhuissani asiasta. Pahimpia on olleet nämä arjen sankarit, jotka juoksevat pedofiilien perässä.
Tottakai heidän kertoma konseptinsa on hyvin yksinkertainen. Tuhlataan huijarien aikaa niin paljon, ettei he pysty keskittymään oikeisiin huijauksiin tai pedofiilien tapauksessa oikeiden lapsien kimppuun käymiseen. Asiasta on tehty joskus jopa televisiosarjoja.
Kuitenkin tämä on hieman tekopyhää ollut. Eiköhän nämä tubettajat ole tehnyt asiaa oikeasti ihan vain katselukertojen vuoksi ja rahan vuoksi.
He eivät kuitenkaan ole ilmiselvästi ymmärtänyt mitä oikeasti tekevät. Hehän aiheuttavat nimenomaan tätä ilmiötä, että taktiikat myös varkaiden päässä kehittyy koko ajan. Aluksi asiat oli hyvinkin viattomia. Tech-support scam on jo ikivanha skämmi, joka muinoin pyöri lähinnä muutamissa sadoissa dollareissa. Nykyisin taktiikka tosiaan on jo putsata koko tilit ja ilmeisesti asiat on levinny jo hyvinkin kansainvälisiksi. Ei ollut mikään yllätys, että asia rantautuu tänne suomeenkin. Suomenkieli suojelee mutta jostain syystä ihmiset osaa kuitenkin niin hyvin englantia, että peräti kaksi välttävää englanninkieltä osaavaa osapuolta saa tehtyä sen tilinputsaus prosessin alusta loppuun asti?
Pedofiilihunterit taas ei oikeasti ymmärrä mitä tekevät. Hehän pahimmillaan sotkevat aitoja poliisitutkintoja. Eihän he millään voi tietää, onko taho jo poliisin tarkkailulistalla ja kun tubettaja siihen väliin änkee, saattaa tekijä säikähtää sen verran että ennen kriittistä pistettä laittaa tilanteen jäähylle. Useat aikaisemmat uhrit saattavat jäädä täysin ilman oikeutta, kun tekijä juuri onnettoman sattumuksen vuoksi laittaakin jarrut pohjaan ennen poliisin poliisi ehtii saada tarpeeksi todistusaineistoa viralliseen keissiin.
Jos haluaa tietää miten tilanne tulee suomessa kehittymään, kannattaa tutustua asiaan ulkomailla. Täällähän kaikki tulee vähän jälkijunassa. Nyt ilmeisesti nämäkin ilmiöt. Se tulee pahenemaan.
Perheeseen on tullut soittoja, mutta ollaan laitettu puhelin kiinni. Joitain vuosia sitten soitin Microsoftin tukeen, ja silloin lopulta neuvoi intialaista aksenttia puhuva. Homma ei muistaakseni edennyt ja pyysin apua yhdeltä tutulta.
Jokke
Tuohan se ensimmäinen kriittinen piirre on, joka erottaa huijauspuhelun aidosta. Huijauspuhelussa itse asia ei koskaan etene mihinkään. Kun yrität kysellä, mites tämän ongelman kanssa tehdään, keskustelu siirtyy aina hyvin nopeasti takaisin rahaan. Oli se muoto mitä tahansa (luottokortin tietoja, tilisiirtoa tai lahjakortteja).
Paras ennaltaehkäisijä suomalaiselle on tehdä se kaikkein ilmeisin asia. Puhua suomea. Älä mene mukaan höpisemään englantia näille. Miksi pitää kertoa, että osaat englantia. Ehkäpä jättäisivät koko maan rauhaan aikojen kuluttua kun huomaavat, ettei "kukaan" täällä osaa englantia. Eivät HE ala suomea opettelemaan vaan siirtyvät hyvin nopeasti toisille apajille. Sanoo vain puhelimeen että "ei ummarra" ja luuri kiinni.
Sen vielä ymmärtää että englanninkielisissä maissa voi lankaan mennä, kun kuitenkin puhuvat sujuvasti äidinkielenään englantia. Siksi jenkkilä, kanada ja englanti nimenomaan on näiden intialaisten vaivoin englantia osaavien call centereiden kohteena. Mutta suomalaiset jotka on niin viisaita että osaa englantia on kuitenkin niin tyhmiä, että menevät näiden lankaan. Se kertoo vain tuplatyhmyydestä.
Ei tarvi mitään suomen puhua, Kun sanoo "I use Linux" niin eivät soittele toista kertaa.
Linux-vinkki on ihan hyvä vinkki.
Tosin parasta olisi käyttää ihan oikeasti sitä linuxia.
Ironisesti, vaikka nämä ovat "tech supportista", eivät kyllä pääasiallisesti yhtään mitään tekniikasta tiedä. Siten tämä teamweaverin tai vastaavan asennusongelmatkin jos ei tapahdu sillä klassisella "seuraava seuraava"-napin rämpytyksellä tarkan ohjerungon mukaisesti, menee "tech supportillakin" hyvin nopeasti sormi suuhun. Mitään käsitystä näillä ei linux-asentamisesta ole. Hauskasti, eivät ole edes suoranaisesti mac-asiakkaidenkaan kimpussa vaikka teamweaverit ja vastaavat macille onkin. Onkohan se jäämistöä ajoilta kun huijaukset keskittyi ennemminkin vale-tietoturvapalveluiden myyntiin. Macissa kun ei ollut komentoriviä, jossa muinaisella dos:n tree komennolla näyttivät "skannausta" ja kolkuttelivat näppäimistöllä samaan aikaan "you have a virus" juttuja.
Voihan vanhan äitin suojaamiseksi ihan palomuuriinkin laittaa eston etäkäyttöohjelmien käyttämille porteille. On valtava määrä ihan teknisiäkin asioita, joita voi tehdä estääkseen tällaisten tapahtumisia.
Voihan vanhan äitin suojaamiseksi ihan palomuuriinkin laittaa eston etäkäyttöohjelmien käyttämille porteille.
Palomuuriestoista ei ole apua, sillä tällaiset ohjelmat käyttävät porttia 443, joka on aina auki https-surffauksen vuoksi.
Tosin parasta olisi käyttää ihan oikeasti sitä linuxia.
Mihin Linux auttaisi? Ei tässä ole kyse käyttöjärjestelmän haavoittuvuuksista vaan ihmisen huijaamisesta (social engineering), ja se on täysin käyttöjärjestelmäriippumatonta.
Sitä paitsi Team Vieweristä on myös Linux-versio.
En aivan ymmärrä, miten pelkällä etäkäyttöohjelmalla pääsee mellastamaan toisen henkilön verkkopankkiin. Jos jostain kumman syystä uskoisin soittajaa ja antaisin hänen asentaa etäkäyttöohjelman läppärilleni, niin se ei vielä suinkaan mahdollistaisi verkkopankkini käyttöä. Lisäksi minun pitäisi antaa soittajalle (tai näppäillä itse) verkkopankin käyttäjätunnus ja sitten kun käyttäjätunnus olisi syötetty läppärillä Nordean kirjautumissivulle, niin vielä senkin jälkeen minun pitäisi näppäillä pin-koodi omaan kännykkääni (kun käytän mobiilitunnuslukusovellusta). Tässä vaiheessa luulisi epäilysten jo heräävän: Miksi ihmeessä Microsoftin teknisen tuen henkilö haluaa päästä verkkopankkiini???
Jos soittaja kaikesta tästä huolimatta pääsisi verkkopankkiini, niin jokainen maksu täytyy vielä erikseen (tai yhdessä) vahvistaa kännykkään syötettävällä pin-koodilla. Toisin kuin Petteri kirjoittaa, Nordean tunnuslukusovellus näyttää vahvistettavan maksun summan ja maksun saajan. Miksi siis vahvistaisin sellaisen maksun, joka on luultavasti hyvin suuri ja menossa täysin tuntemattomalle taholle??? Ja kaikki tämä puhelimitse yhteyttä ottaneen englanninkielisen "Microsoftin tukihenkilön" pyynnöstä.
Huijarit ovat epäilemättä taitavia, mutta silti nämä jutut ihmetyttävät kerta toisensa jälkeen.
Minähän kirjoitin jo mitä linux auttaa.
Nämä Intialaiset eivät ole kovinkaan tietoteknisesti taitavia, joten he yksinkertaisesti eivät pysty puhelimitse neuvomaan miten teamviewerin linuxiin voisi asentaa (pakettienhallinta yms).
He pystyvät juuri hädintuskin neuvomaan sen windows-asennuksen. Senkin vain siinä tapauksessa, jos joka ikinen dialogi-ikkuna on juuri sellainen kuin heidän manuskassaan jossain lukee. Heilläkin menee sormi suuhun, jos mitä tahansa poikkeavaa tapahtuu.
Tämänhän voisi Petterikin todentaa, jos oikeasti katsoisi niitä youtube-videoita, joissa prosessia esitellään. Youtubessa on tuhansia esimerkkivideoita jo vuosien ajalta, miten nämä eri huijaukset toimii.
Samoin Petterikin huomaisi hyvin nopeasti, että täytyy olla todella yksinkertainen ihminen, jotta näihin lankaan menisi. Ei kukaan vähänkään teknisesti valveutunut ihminen kuuntelisi moista hölinää minuuttia kauempaa, puhumattakaan että tekisi ihan kaiken sen mitä Anonyymikin tuossa ylempänä juuri esittää. Se nordean tunnuslukusovellus KERTOO SUMMAN. Saa olla todella tyhmä muori jos vielä siihen menee pin-koodinsa kirjoittamaan.
Homma menee juuri niinkuin anonyymi kirjoitti. Sen käyttäjän pitää avata se verkkopankki. Ei ne huijarit sitä pysty avaamaan koska eivät tiedä tunnuksia. Kun käyttäjä on verkkopankin avannut hän on niin rikkonut pankin kanssa kirjoittamaansa palvelusopimusta (ei korvauksia) kuin avannut portin ensimmäisen vaiheen huijareille, jotka sitten jatkavat "koneen korjaamista" siitä alkaen peittämällä ruudun mustalla laatikolla. Tätä tietysti selitellään jollain teknisen kuuloisella höpinällä "nyt tulee sellainen vaihe ettet näe ruutua, älä ihmettele". Mutta silti kuitenkin se maksu pitäisi kuitata ja miten tämä esimerkin rautarouva sen on tehnyt. Ruutuhan on ollut mustana? Se on pitänyt tehdä jollain ulkoisella kapineella kuten varmaan kännykällä.
Täällä on nyt jostain syystä käsitys, että nämä huijarit olisivat samaa sorttia kuin "vuoriset". Ei ole. Nämä on ihan kadulta revittyjä "puhelinmyyjiä". Niille on annettu valmiit speakit, miten asiakasta koitetaan huijata, mutta älykkyyttä ja teknistä tietämystä ei ole kovin paljoa. Eikä tarvitsekaan olla, koska potentiaalisella huijattavalla sitä oletetaan olevan vielä vähemmän. Homma perustuu valtavaan volyymiin. Tuhannen puhelun päästä löytyy se yksi mummo, jonka saa jekutettua. Microsoft-huijaus on vain yksi muoto tuhannesta.
IRS-scämmit yhdysvalloissa on hyvin yleistä nekin. Ne on helpompia kun niissä ei tarvita tietokonetta eikä sen säätämistä ollenkaan. Niissä asia perustuu uhkailuun, että on verot maksamatta ja poliisiauto on juuri lähdössä hakemaan sua, jos et hae "google gift card" walmartista nyt ja heti. Tietysti puhelin täytyy olla koko aika päällä eikä myyjälle saa kertoa että lataa kortille "verottajalle" paritonnia rahaa. Sitten vain pyydetään kortin numeroa ja putsataan "pankki".
Oli kuitenkin odotettavissa, että alkavat rantautua eurooppaan. Englanninkielisissä maissa nämä ovat jo vitsejä. Homma on vain yksinkertaisesti kulunut loppuun. Tietoisuus on kasvanut. Pikkulapsetkin jekuttaa näitä intialaisia. Uutisissa on jatkuvia tietoiskuja aiheesta. "Verottaja soitti virassa olevan poliisin työpuhelimeen, että poliisi tulee hakemaan".
Käytän Linuxia ja yllättäen minullekin on soitettu Microsoft tuesta, joten meikäläiseen ei mene läpi sellainen juttu, että Microsoftin tuki väittää tietokonneessani olevan jotain ongelmaa tai vikaa... johon kuhun toiseen voi mennä, mut ei meikälle.
@Petteri
Palomuuriestoista ei ole apua, sillä tällaiset ohjelmat käyttävät porttia 443, joka on aina auki https-surffauksen vuoksi.
Tuota noin, sinulla taitaa olla hieman rajoittunut käsitys siitä mitä palomuurit ovat jo pitkään osanneet tehdä ja niitä on hyvin erilaisilla ominaisuuksilla.
Monissa palomuureissa on FQDN:n perustuvat estot olleet jo pitkään, mutta kotikäyttöönkin sopivat palomuurit kuten vaikkapa pfSense, jossa on mahdollista käyttää DNS resolveria voivat helposti estää esim. juuri teamviewerin käytön seuraavasti:
1) Selvitetään mikä domain halutaan blokata
- https://www.teamviewer.com/en/trust-center/security/ sivulla lukee
"Destination IP Addresses
The TeamViewer software will connect you to your partner via the most suitable router. The location of the router depends on many parameters, mainly on availability and performance. Our master server infrastructure is located in Germany. These servers use a number of different IP address ranges, which are also frequently changing. As such, we are unable to provide a list of our server IPs. However, all of our IP addresses have PTR records that resolve to *.teamviewer.com. You can use this to restrict the destination IP addresses that you allow through your firewall or proxy server."
OK, no siinä oli kaikki tarvittava tieto. IP osoitteilla estäminen ei ole kovin järkevä ja toimiva vaihtoehto koska TeamViewer näkyy käyttävän MS Azure pilveä ja samalla tulisi estettyä pääsy useisiin muihinkin palveluihin joita siellä on ja jota kenties käyttäjä haluaa käyttää.
2) pfSense palomuuriin DNS resolverin, joka siis pitää olla päällä, Custom options kohtaan kirjoitetaan, ohjeen mukaan:
- https://docs.netgate.com/pfsense/en/latest/recipes/block-websites.html
server:
local-zone: "teamviewer.com" static
Painetaan "Save" alta ja "Apply" sivun yläreunasta.
3) Nyt mikään DNS osoite ei siinä verkossa, jossa palomuuri on ja jonka takana olevat koneet käyttävät sen DHCP:n antamaa DNS-palvelua eivät enää pääse lataamaan teamviewriä heidän siuviltaan ja vaikka tieamviewerin saisi jostain ladattua, niin se ei saa yhteyttä toisiin koneisiin kun TeamViewerin STUN palvelimiin ei saada yhteyttä.
pfSensen tilalle käy yhtä hyvin joku muu, vaikka opnsense, joka pohjautuu pfSensen aiempiin versioihin. Molemmat on edelleen avoimia ohjelmistoja vaikka pfSense onkin nyt tuonut rinnalle kaupallisen pfSense+ version vuoden alussa. Myös pihole -proxy kykenee estämään pääsyn johonkin domainiin.
Isommissa kaupallisissa palomuureissa joskus näistä (UTM) ominaisuuksista joutuu maksamaan erikseen, mutta useimmat niistä osaavat palomuurisäännöissä jo sentään hyödyntää FQDN muotoisia nimiiä, joka edellyttää sitä että palomuuri osaa tehdä DNS-kyselyitä ennen päätöksen tekoa. Mikäli tämä on käytettävissä, voi käyttää ulkosta DNS-resolveria, joka ei palauta IP:tä ja esto toimii sitä kautta.
Mahdollisuuskia on useita, eikä ratkaisujen tarvitse olla mitään kalliita. Toki täysin ummikko näissä asioissa ei osaa asiaa ratkaista, mutta esimerkiksi tuon yllä olevaan löytyi ohjeet suoraan valmistajan (pfsense) sivuilta.
Käsitys, että palomuurit estävät ja sallivat liikennettä vain IP-osoite pohjaisesti on vanhentunut käisitys jo kauan asitten. Palomuureilla voi tehdä kaikenlaista. Itse hallituissa koneissa myös TLS:n purkaminen onnistuu läpinäkyvästi, eikä juuri hidasta käyttöä.
Niin ja tuli vielä mieleen, että monet PC/Mac/Linux laitekohtaisetkin palomuurit voi konfiguorida tekemään samat asiat, ei tarvita edes ulkoista palomuuria. Mäkissä Little Snitch sopii siihen, varmaan Windowsiin löytyy vastaava tai vastaavia. Linuxissaa voi asentaa unbound resolverin ja tehdä sinne käsin sama konfiguratio mikä tuossa yllä pfsensessä on.
"Suojaavia tekijöitä on oikeastaan vain kaksi: tyhjä tili tai kielitaidon puute." Tai sitten kieltäytyminen englannin kielen käytöstä. Itse en ostaisi tai sopisi mitään englanniksi puhelimitse, en edes vieraalla korostuksella puhutulla suomella.
Minä ymmärrän tuon "Kevin Mitnick" - social engineering asian.
Minä ymmärtäisin, että ne olisi tässä jutun juoni, jos tilanne oikeasti olisi mitenkään sosiaalinen.
Mutta näiden kälättävien, kiroilevien, huutavien, auttavasti englantia osaavien intialaisten kanssa se "sosiaalinen rakenne" ei sovi samaan lauseeseen.
Sehän tässä se oudoin asia on, että miten asiakas voi mennä lankaan sosiaalisesti jos toisessa päässä luuria on intialaisia kirosanoja sadatteleva "money money money" tyyppi tai viisi tyyppiä mukamas "microsoft tuesta"
Minä ymmärtäisin jos se olisi tosiaan "vuorinen". Tarkkaan hallittu siluetti. Kalliissa hotellissa. Sliipattuna...
Petteri. Ennenkuin kommentoit. Katso niitä videoita. Sinä et nyt tiedä mistä puhut.
Nämä intialaishuijarit EI OLE VUORISIA. Nämä ei ole teknologianeroja. Nämä on raakalaisia. Ne on intian kaikkein köyhintä ja alinta kastia, jotka joutuvat pakon edestä tekemään niinkuin täällä suomessakin puhelinmyyjät tekee. Yrittää hädintuskin pysyä epätoivoissaan hengissä. Ei sellasessa tilanteessa ole mitään social engineeringiä vaan siinä tilanteessa luurin toisessa päässä oleva on vain yksinkertaisesti pirun tyhmä - jos lankaan menee.
Edelleenkin. Voisit sinäkin vaikka tietotekniikkavelhona keksiä teknisiä ratkaisuja näiden estämiseksi. Etkä tyrmätä niitä. Ei se jälkiviisastelu auta kun nyt tarvitaan etukäteisviisastelua. Mitä me voimme sitten vanhalle äidille tehdä (no osta vaikka ipad - näppiksellä. Siihenkin saa teamveawerin mutta ei voi käyttää samaan aikaan verkkopankin kanssa).
Tämä on ratkaisu. Ei ongelman toteamista. Näitä ratkaisuja on satoja aivan varmasti.
Verkkopankin kielen lukitseminen vaikka suomeksi ei ole vaihtoehto, sillä syystä tai toisesta huijarien suosima Google Chrome selain osaa kääntää sen verkkopankin sivun lennosta englanniksi tai vaikka hindiksi. Voisihan sen verkkopankin sivun toteuttaa vaikka kuvina jolloin tekstintunnistus siitä olisi vaikeaa, mutta se taas iskisi kipeästi esimerkiksi näkövammaisiin kun verkkopankissa ei voisi käyttää omaa tekstistä puheeksi ohjelmaa.
Pitäisi ihmisille vain taottu päähän, että ikinä ei taatusti pankin tai Microsoftin tai minkään muunkaan tekninen tuki soita sinulle yllättämättä ja pyytämättä ja vieläpä ilmaiseksi ilman että olet tilannut ja maksat jostakin teknisestä tuesta. Aika himskatin vaikea se on nykyaikana saada Microsoftilta, Googlelta, Facebookilta ja muilta IT-jäteiltä ketään kiinni edes puhelimella neuvomaan tai auttamaan missään itse soittamalla ja vaikka maksamalla siitä avusta. Vielä vaikeampaa sellaisessa onnistuminen on suomen kielellä.
Itse olen ratkaissut tämän ongelman ihan windowsin omilla työkaluilla.
Vanhalle äitille tärkeintä on, että se mitä hän haluaa koneellaan tehdä - toimii.
Kuitenkin tämä kaikki on hyvin ennalta arvattavaa. On tietyt verkkosivut. Ehkä jokin videopalvelu (studio 55 maikkarilla).
Tämä kaikki toimii windowsin vieraskäyttäjätilillä (ja gpeditillä). Eli rakentaa käyttäjätilin, jossa uusia ohjelmia ei voi asentaa. Jos jotain uutta tarvitaan, silloin äiti joka tapauksessa kutsuu luokseen ja vain sinä tiedät ne admin-tunnukset.
Tulee kuitenkin muistaa, että teamweaver ei ole ainoa ohjelmisto joita nämä käyttää. Niitäkin maailmaan mahtuu jos jonkinlaista etäkäyttösoftaa. Itse asiassa joillain on käytössä useampia eri ohjelmia vain senkin varalta, jos sen yhden yhteys ei onnistu. Joka tapauksessa tärkeää on muistaa, että intian päässäkään se väki ei ole niin osaavaa. Ne yrittää tietyn ennalta-arvattavan hyvin yksinkertaisen rungon noudattamista (Windows installer on se yhdistävä tekijä) ja jos se ei toimi, silloin ne luovuttaa. Ottavat seuraavaan yhteyttä.
Parasta on siis estää ohjelmien asennus kokonaan. Onnistuu ihan joka alustalla.
Tietysti tämä ei auta sellaisiin, joilla ei ole tuttavia tai sukulaisia jotka ovat niin pystyviä. Mutta tämä on kuitenkin ainakin jotain konkreettista, jota voi tehdä tässä ja nyt sitä uutta maailmaa odotellessa kun intiakin rikastuu ja puhelinoperaattoreita, tai poliisia alkaa asiat kiinnostamaan. Sitä odotellessa ehtii äiti jo poistua. Tarvitaan ratkaisuja nyt ja heti.
Voisit sinäkin vaikka tietotekniikkavelhona keksiä teknisiä ratkaisuja näiden estämiseksi. Etkä tyrmätä niitä.
Tekninen ratkaisu on operaattorien käsissä. Heidän pitää pystyä torjumaan numeroidensa väärentäminen ja tunnistamaan, milloin puhelu tulee ulkomaisen operaattorin verkosta vs. suomalaisen operaattorin verkosta.
Kaikki muut suojaukset ovat vajaatehoisia, koska ihminen on huijattavissa. Jos Microsoft-tukipuhelut saadaan tukittua, he keksivät jotain muuta.
Melkein kuka tahansa voi joutua huijatuksi. On vaarallista sanoa, että kaikki uhrit ovat olleet tyhmiä tai (verkostomarkkinoinnin, kuten Onecoin) tapauksessa erityisen ahneita.
En väheksyisi myöskään intialaisia soittajia. Tuhansien eurojen saaliit mahdollistavat hyvin soittajien palkkaamisen. Ilmeisesti soittajilla on bonuspalkka, joten uhreille huutavat eivät kauaa alalla menesty.
Tuokin on totta. Siitähän tullaankin varinaiseen asiaan. Microsoft-huijaukset intialaisten tekeminä on vain yksi huijauksen muoto.
Huijauksissa on juuri se ongelma, että ihmiset näkee asian hyvin mustavalkoisesti. On rikollinen ja rehellinen. Musta - valkoinen.
Mutta unohtuu, että ei oikeastaan ole sitä rehellistä. Se on äärimmäisen harvinaista. Mutta se ei ole rikollistakaan ainakaan tarkassa juridisessa mielessä. Mutta moraalisessa mielessä hyvinkin arveluttavaa. Näitä esimerkkejä riittää ihan täällä kotosuomessakin. On kattomyyjää ja viemärinkuvaajaa. Niitä puhelinsoittelijoitakin riittää. Ne siis tekevät näennäisen rehellistä työtä ja poliisi ei asiaan puutu, koska asia on juridisesti tehty juuri siinä ja siinä lain rajat ylittäen tai ainakin on todella hankala todistaa että se olisi rima alitettu.
Microsoft-huijarit on siis vain jäävuoren huippu.
Olen myös samaa mieltä siitä social engineering-asiasta mutta kuitenkin käänteisesti. Eivät ne käytä samanlaista manipulointia kuin vuoriset. Sellaista lähes uskonnollista hypeä. Ne käyttää ihan eri taktiikkaa. Pelottelua. Ne mummot yksinkertaisesti pelotellaan lähes pissat housuun. Se on se "social engineering". Mutta taas kerran. Tätä taktiikkaa käyttää niin ne kattomyyjät kuin microsoft/irs-huijaritkin.
Ei se soittoestojärjestelmäkään auta. Ei se poista niitä kierteleviä "kauppiaita". Päinvastoin. Se lisää sitä suoraa kontaktia.
Mistä tiedän tämän kaiken? Hersyvän hauskasti. Minulla itselläni on "kymmenen mummia". Kotitienoilta on jostain aikojen kuluessa takertunut sen kymmenen mummia jotka soittaa minulle apua pyytääkseen. Minä olen juonut tuhannet pullakahvit kun on näitä asioita joutunut selvittelemään. Mummot sinänsä on täysin tuntemattomia naapureita.
Kun kattokauppias on paikalla, minä menen sinne. Kattokauppias katoaa horisonttiin nopeammin kuin kerkeää sanoa "kattokauppias". Ei edes päivää sano, kun minä - iso mies ilmestyn paikalle. Samoin peruutan elisan digiboksi sporttipaketteja joita jostain syystä mummolle lähetetty vaikka sen piti vain saada edukkaampi liittymätarjous. Mummeli nyyhkien nyyhkyttää, että ei hän tuollasia tartte hän kattoo vain emmerdalea. Sohvalla kolme isoa pahvilaatikkoa täynnä tavaraa. Peruuttaminen on niin helppoa, että voisi kuvitella asiassa olevan todella jotain hämärää... Mutta hei se on sitä rehellistä kaupankäyntiä!
Tämä on se oikea ratkaisu. Auttaa niitä. Siinä kahvia juodessa pitää pienen oppitunnin. En minäkään kuitenkaan voi kaikkia maailman mummoja auttaa vaan jokainen äijä tarvitaan tekemään sitä. Yhteisöllisyyttä. Samalla voi hieman katsoa ympärille, että ei ainakaan ole liian helppoa asennella niitä teamviewereitä sun muita.
Kun mummo tietää, että voi soittaa mulle. Se ei tarvitse microsoft-huijaria. Se sanoo niille vain että "mulla on tuolla naapurissa kyllä kaikki tarvittava apu, kutsun sen paikalle".
Alin tietämäni tilisiirron maksimiraja on Säästöpankissa, muistaakseni 20000 euroa. Myös Nordeassa on ilmeisesti joku maksimiraja ulkomaansiirroille, ainakin sen mukaan mitä asiaa kerran kysyin.
Osa finanssialan firmoista pyytää passin kuvan lisäksi myös selfien, jolloin pelkkä passin kuva ei riitä tilin avaamiseen.
Minä en sano siinä mielessä uhreja tyhmiksi, koska näiden rouvien tarinoista tulee hyvin ilmi, että he itsekin tietävät vajavaisuutensa tässä nykyisessä maailmassa. Kutsutaan siis ennemminkin "tyhmiksi". He pelkää tätä maailmaa. Ei he ole tottuneet tällaiseen. He on itse elänyt elämänsä toisenlaisessa suomessa. Se on muuttunut kuin varkain huomaamatta tällaiseksi eikä he ymmärrä mitä on tapahtunut. En ymmärrä kyllä minäkään.
Sitä pelkoa, "tyhmyyttä" (eli tietämättömyyttä) ja yksinäisyyttä nämä kaikki niin kotimaiset, virolaiset kuin intialaisetkin huijarit käyttää hyväksi. Korostaen vielä sitä. Tilanteista tehdään painostavia, uhkaavia ja pelottavia.
Ainoa oikeasti auttava asia on poistaa sitä yksinäisyyttä. Kun heillä on luotettava tuki ja turva, heillekin tulee sitä itsetuntoa sanoa rosvoille suorat sanat.
Silloin niin intilainen kuin "kotimaisen elisa oy:n alihankkija" eivät pääse niskan päälle. He tietää sen oikean tukinumeron mistä kysyä ensin, ennen mitään hankintaa tai korjaamista. Mun numeron.
Olen puhelinteknisestä puolesta kommentoinut jo muissakin Petterin kirjoituksissa, joten ei siitä tässä enempää. Operaattoreita patistellessa pitää kuitenkin muistaa, että vaikka operaattorit voisivat estää väärien suomalaisten numeroiden käytön, eivät ne millään voi estää sitä, jos soittaja käyttää oikeaa numeroaan, oli se sitten vaikka Intiasta.
Operaattoreilla on siis mahdollista pienentää todennäköisyyttä, että näihin puheluihin vastataan, koska useampi vastaa tuntemattomaan +358 numeroon kuin jos numeron alku onkin joku muu. Kun joku sitten kuitenkin siihen +91 numerostakin tulevaan puheluun vastaa, ei operaattorilla ole asiaan enää oikein mitään roolia, puhelun aikaiset tapahtumat ovat täysin soittajan ja vastaanottajan välisiä.
Jos on ei-julkinen puhelinnumero ja markkinointiesto päällä, ei epämääräisiä soittoja edes tule, ei ainakaan minulle.
Myös todellisella asialla olevien firmojen puhelinkeskusteluja voisi hieman kehittää. Jostain syystä puhelun alussa minun tarvisi kertoa heille nimeni. Se on juuri se asia, joka heidän pitäisi tietää jos heillä on jotain todellista asiaa eivätkä ole huijareita. En myöskään tarvitse heti puhelun alussa tietoa että siellä soittaa Matti Möttönen Oulusta jos he soittavat jonkun firman asioilla.
Huijauspuhelut ovat tehokkaita juuri siksi, että ne näyttävät tulevan kotimaisista numeroista. Tämä on suhteellisen uusi asia. Ei siitä ole kovin kauaa kun uutisessa ihmeteltiin, miten huijarit olivat onnistuneet soittamaan muka suomalaisesta numerosta . En tiedä, mikä kansainvälisessä televerkossa on yhtäkkiä pettänyt, kun numerohuijauksia ei aiemmin Suomessa tarvinnut pelätä (paitsi tekstiviesteissä, joissa näkyvän numeron on aina voinut valita itse).
Jos numero olisi todellinen, useimmat osaisivat olla vastaamatta ulkomaisiin puheluihin - aivan kuten eivät nyt vastaa, jos soittajana näkyy "tuntematon". Lisäksi olisi mahdolliste tehdä ainakin vanhuksille esto, joka karsisi kaikki ulkomaanpuhelut. Sama ulkomaanliikenteen suodattamisperiaate on pelastanut suomalaisia nettipalveluita DDoS-hyökkäyksiltä.
Huijaussoittoja tulee myös salaisiin numeroihin. Tiedot vuotavat joko osoitekirjoista tai sitten niitä arvotaan ihan satunnaisesti. Satunnaisuus ei kuitenkaan selitä sitä, miksi jotkut saavat puheluita toistuvasti ja toiset eivät koskaan. Jostain niiden täytyy vuotaa.
Näissä on vielä yksi ongelma, josta ei paljoa puhuttu ole.
Kysessä on kansainvälinen rajat ylittävä rikollisuus, jonka globaali tietoverkko on mahdollistanut, tulee myös lakiongelmia. Jokaisessa maassa on kuitenkin erilaiset lait.
Eikä toisen maan poliisi/oikeus voi mennä toisen maan tontille sanelemaan tai tekemään oikeastaan yhtään mitään. Mutta ei se paikallinenkaan poliisi tee sellaisille asioille mitään, jota kyseisessä maassa ei rikolliseksi asiaksi mielletä. Tai se mielletään pikkurikokseksi, maassa, jossa poliisilla on paljon muitakin murheita (se intia).
Tätä ongelmaa on jopa yhdysvaltojen kanssa. Sieläkin kulttuurina on lähinnä omien asioiden hoitaminen ja rajat ylittävissä rikoksissa, jos rikollinen on kaukana ja teko on pieni, ei ne sielä kovin helpolla aktivoidu. Vielä vähemmän niitä kiinnostaa jos uhrikin on joku "ei heikäläinen". Jenkkien "suojelukoneisto" koskee vain jenkkejä itseään.
Vaikka asia suomessa olisikin suomen lain mukaan rikos. Ei se sitä ole venäjällä. Siten venäläiset saa tehdä kyseistä "ei rikosta" ihan rauhassa eikä venäläisen poliisin apua ole saatavilla. Eikä täältäkään poliisilla ole mitään asiaa mennä sinne sähläilemään.
Joo, periaatteessa näin mutta siihen olisi helppo lisätä pieni viive että poisto tulisi voimaan vaikka seuraavana yönä. Pienikin viivästys auttaisi koska huijareiden pitää saada kaikki tehtyä yhden puhelun aikana. Samaa mieltä että tunnistautuminen ei saisi olla pankkitunnareitten takana. Tää olis tärkeetä. Mutta avaimet estää näitä on pankeilla. Ja lisättäköön vielä että ei tarvita mitään Bitcoin virityksiä, riittää että huijarit saavat rahat Eestiläiseen pankkiin niin sieltä niitä ei enää takaisin saada.
Huijarit voisivat kokeilla satunnaisia verkkopankin käyttäjätunnuksia sen sijaan että soittavat mihinkään. Ehkä tälläkin tavalla löytyisi ihmisiä jotka ovat valmiita kuittaamaan kaikki tunnuslukusovellukseen tulevat viestit.
Jos puhelinoperaattorit tekisivät jonkin hienon tukkisoperaation että estäisivät puhelut jollain taikasauvalla, ei se estä mitään. Hidastaa ehkä joksikin aikaa - lähinnä siksi että jos vaikka Suomessa moinen blokki tulee päälle niin huijarit voivat hetkeksi siirtyä muihin maihin jossa estoja ei olisi. Joka tapauksessa, vastaava toimenpide tehtäisiin varmasti hyvin pian muualla.
Lopputulos on että kohta meille tulee huijauspuheluita Skypellä. Tai Whatsappilla. Tai Facebookin kautta. Tai....
Kanava on merkityksetön. Nigerialaiskirjeet ovat olleet alunperin postissa lähetettäviä kirjeitä. Ei se ole postilaitoksen vika että niitä kulki.
Ainoa oikea tapa on valistaminen, tai jos tuntee olevansa vaarassa niin päätäntävallastaan luopuminen. Ihminen voi halutessaan pyytää itselleen edunvalvojan. Tämä ei vaadi sitä että todetaan kokonaan oikeustoimikelvottomaksi, mutta jos kaikki isommat rahankäytöt menevät maistraatin nimittämän asiainhoitajan kautta ei muutaman minuutin panoksella tehdyt tilinsiirtotoimeksiannot mene läpi.
Sillä hetkellä kun alaikäisen varallisuus kasvaa yli 15000 euron, maistraatti tulee valvomaan rahankäyttöä, vaikka holhooja huolehtisikin varallisuudesta. Et esimerkiksi saa pistää mihinkään epämääräisempiin sijoituksiin ilman erillistä lupaa. Miksei moista palvelua voisi tarjota muillekin ihmisille?
Itsekin mietin, että onhan kaiken maailman huijauksia ollut jo vuosisatoja.
Muinoin myytiin pilaantunutta ruokaa tai muunneltua ruokaa. "Käärmeöljyjä".
Nigerialaiskirjeet edustaa omaa aikaansa samaa aikaa kun muitakin ketjukirjeitä kierteli.
Faxiroska, sähköpostiroska kaikki edustaa omaa maailmansa mutta on nykyaikana pelkkiä vitsejä, joihin ei usko enää se vanha mummokaan. Valitus on toiminut ja tappanut metodin mutta se vie aikansa. Itse asiassa myös tekijät tappaa metodinsa sillä aina samalla tavalla. Sitä tehdään niin paljon, että ihmiset hukkuu siihen ja siten ei enää ota asiaa vastaan.
Nykyisin ollaan tässä maailmassa tämän maailman tekniikassa. Ehkä nämä huijaukset eivät koske nykyaikana edes kovin kummoisesti suurempaa ihmismassaa. Media vain tekee asian näkyvämmäksi ja kansainvälisetkin asiat "tulee kotiin", toisin kuin siinä vanhassa maailmassa.
Kuitenkaan perinteisiä pankkiryöstöjä ei enää ole. Tai arvokuljetusryöstöjä. Ei edes koruliikeiden. Viimeisimmistä tuntuu olevan vuosikymmenen? Ei niiden häviämistä edes muista koska on tapahtunut.
Tilalle on tullut "tori-ryöstöt". Ei käydä enää ison instituution kimppuun vaan pienen ihmisen - vähän joka suunnasta.
Kuitenkin on aistimus, että kokonaisväkivaltaisuuden aste ainakin on laskenut vaikka hävittävät rahasummat on kiistämättä noussut. Tosin tämäkin saattaa olla inflaation aiheuttamaa harhaa. Nykyisin kaikessa liikkuu isommat rahat kuin vanhassa maailmassa, mutta ei se välttämättä tarkoita mitään. Vanha raha oli pienempänä summana arvokkaampaa.
Sähköinen maailma vei pankkikonttorit ja rosvouksen mahikset sieltä. Rosvoukset siirtyi pankin asiakkaisiin suoraan ja pääasiallisesti sähköisessä maailmassa.
Näitä wiselingejä ja onecoineja on kuitenkin ollut niin kauan kuin minä muistan. Amwayta sun muita verkostomarkkinointifirmoja jo vuosikymmenien takaa.
Microsoftilla, samoin kuin vaikkapa Applella, on suomenkielinen asiakaspalvelu ja tuki. Englannin kielen käyttö itsessään on jo varoitusmerkki.
Ihan oikeasti.
Suomea hyvin puhuva huijari esiintyi pankin virkailijana ja huijasi 10t e vanhemmaltani, joka nuorempi kuin jutussa ollut henkilö.
Liittyikö 10 000 euron tapaukseen etäkäyttöohjelman asentaminen ja tilin tyhjentäminen, vai millä tavalla vanhempaasi huijattiin?
https://jtalous.blogspot.com/2021/03/huijareiden-suomi.html
Joitakin vuosia sitten kysyin Nordealta voiko eräälle tilille asettaa eri vahvistuspuhelinnumeron kuin muille tileilleni. Neuvoja ei ymmärtänyt koko kysymystä mutta mielestäni se oli hyvä ja on edelleen. Voisi siis saada vaikka muulle kuin päivittäisten käyttörahojen tileille toisen tai parikin tilisiirron vahvistajaa. Ei ssitten riittäisi kännykän ja tilinumeron kähveltäminen tai tämä verkkohuijaus.
Yksinkertainen ratkaisu, ilmaiseksi käyttöön, ATKpelle rakentaa päivässä jos pankin järjestelmät ovat kunnolliset.
Petteri Järvinen sanoi...
Nordealla riittää pelkkä pin-koodin syöttäminen tunnuslukuohjelmaan, ei näy siirrettävää summaa (kuten OP:lla). Tämä voidaan naamioida esim. vahvaksi tunnistamiseksi; monissa verkkopalveluissa käyttäjän pitää todentaa itsensä pankkitunnuksin.
Kyllä Nordea tunnuslukusovellus näyttää vahvistettavan maksun määrän.
Nimetön sanoi...
Jos puhelinoperaattorit tekisivät jonkin hienon tukkisoperaation että estäisivät puhelut jollain taikasauvalla, ei se estä mitään. Hidastaa ehkä joksikin aikaa - lähinnä siksi että jos vaikka Suomessa moinen blokki tulee päälle niin huijarit voivat hetkeksi siirtyä muihin maihin jossa estoja ei olisi.
Ei kai suomalaisten operaattorien tehtävä olekaan suojella muita kuin suomalaisia. Sen tekee paikalliset operaattorit siinä maassa missä ongelma ilmenee.
Kyllä Nordea tunnuslukusovellus näyttää vahvistettavan maksun määrän.
Totta, mutta pienellä tekstillä puhelimen yläreunassa, kun käyttäjän huomio kiintyy PIN-koodin naputtelemiseen numeronäppäimistöltä näytön alareunasta. Teksti on muutenkin epämääräinen, sillä esim. Omakantaan kirjautuessa Nordea kysyy (pienellä näytön yläreunassa) "Haluatko kirjautua Osuuspankin palveluun?". Hämmentävää.
Tuo on ihan totta, että tunnuslukusovellus sinällään on käyttöliittymältään pikkasen kökkö. Teksti saisi olla iso niinkuin maksupäätteissäkin usein on. Tilaa ruudulla ainakin on. Ei voi kuitenkaan sanoa, että summaa ei näy kun se siinä näkyy. Tilisiirroissa näkyy myös tarkka saajan nimi. Sekin tosin pienellä tekstillä mutta edelleenkin näkyy. Siten rouva hyväksyi tilisiiron tilanteessa jossa summa ja kohde näkyy.
Taasen op-tunnistus juttu tuli vuodenvaihteessa muistaakseni, ironisesti myös nordean palveluun koska valtio entisestään erkaantui kansalaisten tunnistamisesta ja entinen teksti "suomi.fi" korvautui ihan kaikilla runkona osuuspankin ylläpitämään palveluun. Siksi niin kanta kuin jopa nordean omatkin kirjautumiset menevät osuuspankin kautta. Se no se valtion palvelukumppani nyt tällä kilpailutuskierroksella. Yhtäläisesti koko tekstin voisi vaikka poistaa. Tai ennemmin sen tilalle pitäisi saada se oikea kohde johon kirjaudutaan.
Olen ihan samaa mieltä petterin kanssa, että valtion kuuluisi huolehtia kansalaisistaan ja myös ottaa koppi näistä kirjautumis ja henkilötiedon säilytysasioista kokonaan. Mutta suomen valtio laittaa kaiken aina bisnes edellä jotta voi luistaa vastuustaan - IHAN KAIKESSA. Suomen valtiolle kansalainen on vain kävelevä kukkaro eikä yhtään mitään muuta.
Se vain tulee niin monessa eri tapahtumassa ilmi. Se on se asia mikä silmille jokapuolella räjähtää. Meillä ei ole valtiota joka puolustaa meitä. Valtio kyllä odottaa meidän puolustavan sitä.
Mutta tämä on ihan eri keskustelu.
Tiedon puute on myös hyvin yleistä.
Harva tietää, että applen maceissa ei tarvitse asentaa mitään etäkäyttöohjelmia, kun virallinen applen tuki saa työpöydän haltuun ihan vain apple id:n tietämällä. Tuki-etäkäyttö on rakennettu macos-käyttöjärjestelmän sisään.
Palvelut on selvästi suomenkielisiä. Ne voi soittaa sinullekin päin mutta ei ne automaattisesti soita. Soittavat jos aikaisemmassa palvelutapahtumassa niin on sovittu.
Molempien pelikonsolivalmistajien tuki on suomenkielinen. Niin xboxin kuin playstationinkin. Taitaa olla jopa ihan ilmainen 0800-numerokin mutta en ole ihan varma.
Netflixin ios-appsissa on jopa sisäinen puhelin! Ei tarvitse etsiä mitään puhelinnumeroa kun soittomahdollisuus löytyy appsin sisältä netflixin itsensä rakentamana. Palvelu ihan suomenkielistä.
Tarvitsisi järjestää aikuisille/senioreille entistä tehokkaampia tietotekniikkakursseja, jotta voisivat oppia näitä asioita. Itse olen joitain pitänyt.
Samoin koululaitoksen pitäisi opettaa lapsille asioita kansalaistaidon tunneilla (mahtaako enää olla yhteiskuntaoppia tjsp?). Lapsille pitää tietysti opettaa myös niitä toisenlaisia paljon vakavampia asioita, joita tämä teknologia on tuonut joka taskuun.
Sanottiin että hävinnyt 4t pankista rahaa. Meni paniikkiin siitä ja asia piti kuulemma selvittää. Kysyi siis pankkitietoja. Edellisellä viikolla ollut ulkomaanmaksu jossa hankaluuksia, yhdisti siihen.
Itse asiassa summa näkyy vain, jos vahvistettavia maksuja on yksi. Jos niitä on useita niin ei näy kuin vahvistettavien maksujen määrä. Tuossa pitäisi ilman muuta näkyä maksujen kokonaissumma.
Myös Windowsissa on sisäänrakennettu etätuki-ominaisuus, mutta se vaatii omaa aktiivisuutta. Windows 10:ssä sitä on vielä kehitetty aiemmasta.
Jos niitä on useita niin ei näy kuin vahvistettavien maksujen määrä.
Totta, hyvä pointti. On siis helpompi siirtää salaa 3x1000 maksua kuin 3000 euron maksu, vaikka kaikki menevätkin yhdellä pin-koodin kuittauksella.
Edellisellä viikolla ollut ulkomaanmaksu jossa hankaluuksia, yhdisti siihen.
Moniin huijauksiin liittyy tällainen onneton sattuma. Itsekin olin kerran vähällä mennä halpaan, kun olin ostanut lentolipun jenkkiyhtiöstä ja sähköpostiin tuli pdf-lippu. Onneksi oli kuitenkin väärä yhtiö, niin tajusin olla avaamatta.
Lähitulevaisuudessa ongelmat osittain ratkeaa itsekseen.
Se vain vaatii uutta ajattelua. Vanha on jo hieman mädäntynyttä. Vaikka windows 10 on ihan eri käyttöjärjestelmä kuin vanhat windowsit, se silti pohjautuu ikivanhoihin windowseihin ja DOS-aikaisiin käytänteisiin. Eli siis esimerkiksi "exe", "installer" yms ajattelu.
Microsoft on jo useaan otteseen yrittänyt ja yrittää taas kerran päästä näistä eroon. Sekin haluaa "store-apajille", joilla apple ja google jo on. Silloin se vaatii koko käyttiksen ajattelua uudelleen. Samalla kuitenkin tämä muinainen ajattelu on se suurin uhka, joka uudella käyttiksellä myös poistuu. Kestää aikansa ennen kuin tihutöiden tekijät saa uuteen paljon kontrolloidumpaan alustaan tehtyä vihulaisia.
On selvää, että jos rouva ei olisi voinut teamveaweria helposti asentaa, ei koko ongelmaa olisi ollut. Tietysti rikolliset keksivät aina uusia keinoja, sitä ei kiistä kukaan. Mutta sillä on myös rajansa, miten puhelimella voi asiaa selitellä (varsinkin, jos molemmat osapuolet selittää asiaa toisillensa huonolla englannintaidolla). Jossain vaiheessa jos rikoksen tekeminen on vain yksinkertaisesti liian vaikeaa, silloin sitä ei tapahdu.
Voi olla, etteivät intialaiset ole mac-puolen ihmisten kimpussa pelkästään siitä syystä, että ohjelmien asennus on liian helppoa! Se on helpompaa kuin windowsissa (kuvake ladataan ja raahataan ohjelmat-kansioon), mutta kun miettii miten vaikea tuo asia on selittää puhelimessa jollekulle täysin noviisille. Kuvakkeet ja asiat on aina pikkasen eri järjestyksessä eri koneissa, ne ei näe työpöytää ennen kuin se ohjelma on asennettu jne. Ja varsinkin verrattuna nykyiseen windowsiin "paina next sitten paina next ...".
Tällä tarkoitin myös sitä linuxin turvallisuutta. Intilainen huonoa englantia puhuva alkaa selitellä suomalaiselle vanhalle mummolle "aloitetaan mikäs pääteohjelma sulla onkaan bash vai? no sellanen musta kuvake on sielä jossain mikäs työpöytä sulla onkaan gnome vai xfce vai kde ? Onkohan sulla apk vai snap ..." Menee aika hankalaksi puhelimessa.
Windowsin vika tällä hetkellä on, että tietoturvattomuuden lisäksi sen käyttö on helppo selittää puhelimessa. Start nappula on aina samassa paikassa.
On selvää, että jos rouva ei olisi voinut teamveaweria helposti asentaa, ei koko ongelmaa olisi ollut.
Öh. Storethan nimenomaan tekevät tuollaisten softien asennukset entistä helpommiksi. On aika paljon helpompaa sanoa uhrille että avaa microsoft store ja typota sisään "teamviewer" ja klikkaa asenna, kuin alkaa installereita tunkemaan.
https://www.microsoft.com/en-us/p/teamviewer-remote-control/9wzdncrfj0rh?activetab=pivot:overviewtab
Installereitten lataaminen ja käynnistäminen on itse asiassa *hankalaa* kun pitää latailla niitä epämääräisiä exejä ja kliksutella UAC-promptista läpi. Vrt storessa asenna-napin painaminen tai vaikka Linuxissa apt-get install teamviewer.
"Olen Linux- käyttäjä" ei välttämättä toimi. Minulle tarjottiin ensin Windows apua.
Sanoessani olevani Linux- käyttäjä lupasi soittaja yhdistää minut Linux- osastolle.
En jäänyt odottamaan.
Toisella kertaa kun soittivat puhuin vain suomea ja puhelu loppui lyhyeen. Eikä myöskään tullut uusia soittoja.
AA juu. Unohdin kirjoittaa. Jäi ajatus kesken.
Tottakai tiedän, että storesta saa installoitua helpommalla. Mutta storen saa myös lukittua. Eli näin saa ohjelmien asentamisen estettyä keskitetysti.
Linuxissa sama onkin jo ihan vakiona. Salasana tarvitaan jokaikiseen asennukseen. Voin kertoa tälleen empiirisellä kokemuspohjalla, että nämä mummelit ei sellasia salasanoja muista. Se on suurin riesa kun auttamassa on "En minä tiedä, siskonpoika sen laittoi ......" Nopeassa "microsoft-puhelu-tilanteessa" rouva ei sillä hetkellä saa hommaa mitenkään tehtyä.
Ongelmien ydin on siis vapaa ohjelmien asennus.
Eli odotelkaamme innoissamme ARM-aikaa (applella M1 ja microsoftillakin oma prosessori jo kehitteillä). Eiköhän se store-pakotus tule ihan joka rakkineelle.
Sitä odotellessa jo kirjoittamani vinkki Nyky-Windows-vierastilistä. Tämäkin on tehty nykyisin tarpeettoman vaikeaksi kun windowsinkin oletuslähtökohta on microsoft-tili paikallisen tilin sijaan. Mutta kikkailulla (ja windows prolla vähintään) onnistuu.
Nordean login-ruutua voi verrata vaikka Transferwisen vastaavaan, joka kertoo mistä maasta login tapahtuu ja jossa on kaksi samankokoista nappia: "Yes, it's me" ja "No, it's not me". Nordean käyttöliittymässä mikään ei kerro että vasemman yläkulman rastia voi painaa ja että sitä pitää painaa jos kyseessä ei ole oma login.
Uhri on tässä tapauksessa mielestäni melkein velvollinen ilmoittamaan passi varastetuksi. Nyt hänen nimellään on jo avattu yksi tili ja lisää voidaan avata. Aika ikävää joutua kuulusteluun rahanpesusta ja näyttää sama henkilöllisyystodistus kuin millä tilit on avattu.
Myös pankin konttorissa voi asioda maskin takana melkein kuka tahansa.
On aika paljon helpompaa sanoa uhrille että avaa microsoft store ja typota sisään "teamviewer" ja klikkaa asenna, kuin alkaa installereita tunkemaan.
Totta. Store tekee haittaohjelmien asentamisen liiankin helpoksi: "Remote control Windows, Mac, and Linux computers with TeamViewer: Remote Control within seconds."
Nimetön sanoi...3. maaliskuuta 2021 klo 23.24
"...Myös pankin konttorissa voi asioda maskin takana melkein kuka tahansa."
Kaikissa pankeissa kuuluu yksinkertaisiin rutiineihin pyytää asiakasta tunnistautuessa nostamaan maski pois. Asiointi loppuu sitten heti, jos näin ei tee.
Totta. Store tekee haittaohjelmien asentamisen liiankin helpoksi: "Remote control Windows, Mac, and Linux computers with TeamViewer: Remote Control within seconds."
Mutta, ei se Teamviewer toimi, jos estää palomuurilla pääsyn heidän palvelimilleen. Ihan sama mistä sen ohjelman asentaa, se tarvitsee silti niitä teamviewer.com domainissa olevia palvelimia yhteyden muodostamiseen. Jos Teamvieweriä ei varmasti itse tarvitse, niin ei ole tarvetta sallia liikennettä heidän palvelimilleen.
Toki se on vain yksi etäkäyttöohjelma, mutta helppo ja suositttu siksi sitä nämä huijarit yrittävät käyttävät. Tietoturvaa voi parantaa merkittävästi pelkästään sillä, että poistaa helpot tavat väärinkäyttää asioita ja jos ei voi tehdä väärinkäytöstä mahdotonta niin tekee siitä ainakin mahdollisimman vaikeaa.
Suurin osa väärinkäyttäjistä luopuu ja vaihtaa toiseen pehmeämpään kohteeseen mieluummin kun hakkaa päätään seinään. Tätä samaa ideaa on käytetty spämmereitä vastaan jo pitkään graylisting menetelmässä, joka lyö luurin korvaan ensimmäisellä kerralla kaikille postin lähettäjille tyyliin "ei nyt" (smtp 400 sarjan väliaikainen syy), spämmerit ei käytännössä koskaan tee toista yritystä. Normaali postijärjestelmä yrittää uudestaan jonkin ajan päästä ja saa viestin läpi.
Puhelinjärjestelmässäkin voisi käyttää graelistingiä, siinä ensimmäistä kertaa soittavalle annettaisiiin numero ei varattu/ei-tavoitettavissa/ei-käytössä ja jos yrittää vaikka esim. 15min myöhemmin, niin sitten puhelu yhdistäisi normaalisti. Nämä huijarit vaihtaa numeroja koko ajan mistä soittoja tulee, joten ne ei pääsisi käytännössä lävitse ollenkaan.
Tai siis näin ainakin itselle tulleista yrityksistä voi päätellä, koska työpuhelimeen on tullut tämän vuoden puolella 3 soittoa heiltä ja omaan liittymään jo 7 kertaa.
Ongelmat estää väärillä numeroilla soittaminen on nykytkäytännöillä ja -välineillä käytännössä mahdotonta operaattoreille. Järjestelmiä ja keskinäisen liikenteen vahtamisen sääntöjä pitää muuttaa niin, että oletuksena kaikkialla on käytössä egress-filtterit* ts. vain operaattorille rekisteröidyillä numeroilla pääsee sieltä ulos ja poikkeuksen voi tehdä vain ja ainoastaan vahvasti omalta koti-operaattorilta vavhasti tunnistettu päätelaite. Teknisesti nämä on tietysti mahdollista toteuttaa järjestelmiä kehittämällä, mutta isompi haaste on saada pakottava säännöstö ja hallinnolliset edellytykset niille aikaan.
* Egress-filtering IP-verkossa, jota Suomessa ja monessa muussa maassa viranomaisten ohjeilla IP-verkossa edellytetään, mutta ei valitettavasti vielä kaikissa maissa. Saman kaltainen järjestelmä tarvittaisiin myös puhelinverkkoon ja siitä poikkeaminen pitäisi sallia vain vahvasti tunnistetulta päätelaitteelta tai tunneloida numeron koti-operaattorille. Ja sen perusteella sitten voitaisiin joko pelkästään ilmoittaa vastaanottajalle tuleeko puhelu tunnetusta lähteestä tai jopa olla kytkemättä näitä puheluita kokonaan.
"Kaikissa pankeissa kuuluu yksinkertaisiin rutiineihin pyytää asiakasta tunnistautuessa nostamaan maski pois."
Oletko käynyt konttorissa? Kommenttini perustui omaan kokemukseeni.
Mulla on vähän sellainen ongelma, että tämä ongelma ei ratkea kuin kahdella tavalla.
Yksi on odotella, että koko muinainen puhelinverkkojärjestelmä kadotetaan olemasta. Puhelinnumero ilmiönä jätetään sinne 1900-luvulle, jolta ilmiö alkunsakin on saanut (sentraalisandrojen jälkeen). Eiköhän nykyisten muinaisten puhelinverkkoprotokollien, käytäntöjen ja laitteiden olekin jo aika kadota. Jossain vaiheessa järjestelmässä on vain se fakta, että uusi korvaava järjestelmä on aina kaikissa tilanteissa halvempi, järkevämpi ja parempi kuin purkkaviritystä purkkavirityksen päälle vanhaan järjestelmään.
Tilallehan on ehdokkaita jo valtavasti. Kuten ihan whatsapp-puhelut erotuksena, että whatsappikin tarvitsee puhelinnumeroa toimiakseen - mutta se sentään on muutettavissa.
Eli uusi tilalle tuleva järjestelmä on ip-puhelupohjainen automaattisesti kuvapuheluilla tai vasta julkistetulla microsoft mesh kolmiulotteisella järjestelmällä ja yhdistäminen tapahtuu aidoilla henkilötiedoilla (käyttäjätili luodaan vahvalla tunnistautumisella).
Toinen vaihtoehto on odotella, että ihmiset viisastuu.
Kumpi mahtaa tapahtua ensin.
eka "ongelma" on "olo"
Tietysti tuossa minun ajattelemassa skenaariossa myös puhelinoperaattori katoaa olemasta ja tilalla on pelkkä verkko-operaattori joka pitää huolta verkko-infrasta (niinkuin se käytännössä nykyisin jo tekeekin)
Eli paketeista katoaa erikseen puhelut, tekstarit ja mms sun muut höpötykset ja jäljelle jää vain verkkoyhteys, sekä siihen kytkettävät palvelut (esimerkiksi broadcast-kaapelitelevisio). Itse puhelut vaihtuvat jonkin toisen operaattorin ylläpitämäksi (esimerkiksi juuri whatsapp tai apple jne).
Eiköhän tämä sitä tulevaisuuden maailmaa ole. Nykyinen on hybridi vanhaa ja uutta. Kukaan edes enää oikeastaan käytä sitä vanhaa muuta kuin "asioinnissa". Sen takia ne "paketit" onkin rajattomia.
Uudessa systeemissä on kuitenkin mahdollisuus "pelkät tunnistautuneet soittajat saa soittaa" mahdollisiin palveluihin. Käyttäjälle jätetään mahdollisuus niin kuin monessa "käyttäjätili" palvelussa nykyisin on. Voithan sinä pleikkarissakin päättää ketkä kaikki sinulle saa viestejä kirjoitella. Kaverit vai koko maailma.
Ainakin uudemmissa iPhoneissa ja Androideissa, voi rajoittaa puheluiden vastaanoton vain tunnetuista (osoitekirjan) numeroista. Näin se on ollut jo jonkin aikaa, ei tarvitse koko vanhan puhelinjärjestelmän uusimista odotella.
Puheluiden rajoittaminen vain tuttuihin numeroihin on yksi keino, mutta sitten ongelmana on takaisinsoitto terveyskeskuksesta, lääkäristä, sairaalasta, Kelasta tai kaukaiselta sukulaiselta, josta ei ole pitkään aikaan kuulunut mitään.
Mutta, ei se Teamviewer toimi, jos estää palomuurilla pääsyn heidän palvelimilleen. Ihan sama mistä sen ohjelman asentaa, se tarvitsee silti niitä teamviewer.com domainissa olevia palvelimia yhteyden muodostamiseen. Jos Teamvieweriä ei varmasti itse tarvitse, niin ei ole tarvetta sallia liikennettä heidän palvelimilleen.
Blokkaamalla Teamviewerin palvelimet palomuurissa voisi ehkä saada suojan ohjelmalta, mutta portteja estämällä se ei onnistu. Eli kuten ohjelma itse sanoo:
• No configuration --- Effortless access to remote computers even behind firewalls and proxy servers
Vieläköhän vanha hosts-kikka purisi? Eipä ole tullut käytettyä sitä 10+ vuoteen.
@Petteri
Ei, hosts (/etc/hosts) voi käyttää vain yksittäisiä IP:tä ja siellä ei voi käyttää villikortteja. Koko domainin esto ei onnistu, ellet sitten saa zonea jostain ja lisää kaikkia IP:tä, nimiä ja niiden aliaksia myös.
Teamviewerin ohjeessa mainittiin, että palvelinten nimet ja IP:t vaihtuvat vällillä. Se on ymmärrettävää, palvelua hostataan MS Azuressa eli Microsoftin ylläpitotarpeet voi edellyttää heiltä IP:n vaihtoja. Myös ohjelmaversion vaihtumiset ym. usein tehdään sitten, että vanhat ja uudet palvelimet on rinnan käytössä ja kuormaa siirretään vanhoista uusiin vaiheittain. Kun siirto on tehty vanhat ajetaan alas ja puretaan ajan myötä.
Nykyisin ketterät menetelmät, kontit ja CI teettää sitä, että ohjelmaversiot voi vaihtua pilvessä monta kertaa päivässä sitä mukaa kun testit ja katselmoinnit menee läpi, niin ne ajetaan saman tien käyttöön.
Pitäisi sitten blokata Teamviewerin dns-kutsut.
No senhän se tuolla ylempänä oleva esimerkki juuri tekee, se estää clienttiä saamasta teamviewer.com domainissa olevien hostien IP:tä. Eli siis nimenomaisesti estää nimipalvelukyselyt siihen domainiin. Mainitun pfsensen mukana tulee valmiiksi suosittu unbound rekursiiviinen nimipalvelin ja se on helppo ottaa käytöön web hallinnan kautta. Koska sen tapauksessa clientit usein käyttää sitä myös nimipalvelimena, niin jos laitat siihen DNS palvelimeen domainin zonen (zone on domainin implementaario), jonka haluat estää, on niin siitä tulee autoritäärinen sille zonelle, ja se vastaa mitä siellä on sen sijasta, että se ryhtyisi tekemään rekursiota ja selvittäisi nimen normaaliin tapaan. Esimerkissä tehtiin käytännössä tyhjä lokaali zone teamviewer.com ja kun tyhjästä ei voi nyhjästä, niin clientit ei saa osoitteita siitä domainista kysyttäessä.
Siis erillisistä palomuuripolicyä (sääntöä) ei edes tehty, siinä luotettiin siihen, että clientit käyttää sitä nimipalvelimena. Jos on huoli siitä, että joku konfiguroisi jonkun muun, Googlen 8.8.8.8, opendns:n tai vastaavan, niin siellä on ohje miten tehdään palomuurisääntö, joka ohjaa kaikki palomuurin läpi muualle menevät DNS kyselyt sille palomuurin DNS:lle sen sijasta. Vähitellen yleistyvä DoH (DNS over HTTPS) vaatii lisää säätämistä, sen oletuksena käyttämisen saa pois tekemällä Canary domain - use-application-dns.net virityksen, näiltä osin käytännöt varmasti vielä muuttuvat jatkossa.
Palomuurit yleensä ei tue villikortti-nimiä vaan pitää tehdä FQDN yksittäisten nimipalvelunimiin perustuvia osoiteobjekteja, jota säännöissä (policy) käytetään. Jotta FQDN:ia voi käyttää, pitää määritellä DNS palvelimet joita palomuuri käyttää. Nimipalvelu ratkaisee nimen ja palauttaa IP:n. Jos laitat palomuurin kysymään DNS palvelimelta, joka normaalisti ratkaisee osoitteen niin sillä saa aikaiseksi suurinpiirteiden saman minkä sillä hosts tiedostolla, siis jos palauttaa toimimattoman osoitteen. Mutta jos käytät nimipalvelinta apuna joka ei palauta osoitetta ja sinulla on sääntö joka kieltää pääsyn, niin palomuuri ei päästä liikennettä läpi siihen nimeen perustuvaan kohteeseen. Muitakin vaihtoehtoja toki on, voit palauttaa dummy osoitteen ja lisätä palomuuriin reitin sille null deviceen jne. tapoja on monia, tässä vain muutama.
Monimutkaisempia nimiin perustuvia estoja saa tehdyksi kun käyttää joko valmista DNS-forwarderia joka sopisi siihen rekursiivisen resolverin ediåustalla kai jos on ohjelmointitaitoinen, niin niitä on skriptikielilläkin tehty ja niillä voi sitten tehdä vaikka regexec filtteritä tai mitä nyt on tarvetta tai haluaakin.
ps. Pahoittelut alan jargonista, näille,kaikille termeille ei ole hyviä tunnettuja vastineita suomeksi.
Kuinka realistista on olettaa, että 70v henkilö osaa säätää palomuurin asetuksia? Osaako edes tavallinen netin käyttäjä säätää palomuuria? Kuinka moni ikäihminen osaa etukäteen estää jonkin tietyn ohjelman pääsyn nettiin?
Kuinka realistista on olettaa, että 70v henkilö osaa säätää palomuurin asetuksia?
Nämä on ihan valideja kysymyksiä toki. Mutta sen sijaan, että olettaa suoralta kädeltä ettei pysty on syytä miettiä asiaa hetki pidempään.
Ensinnäkin, kirjoittaessani nuo esimerkit nimipalvelun ja palomuurin käytöstä en toki kuvitellut, että ihan kuka tahansa niitä osaisi käyttää. Ne vaativat kiinnostusta asiaan ja perehtymistä, hinnasta asia ei ole enää ollut pitkään aikaan kyse. Kirjallisuutta on ollut pitkään, samoin monista lähteistä verkkosivuilla ja keskustelupalstoilla.
Ensisijaisesti vastasin Petterille että kategorinen väite, ettei Teamviewer estoa voisi tehdä palomuureilla on väärä. Kyllä voi kun on palomuuri, johon voi tehdä sääntöjä DNS nimiin perustuen.
Toiseksi, on myös väärin luulla ettei olisi 70 vuotiaita ja vanhempiakin jotka osaavat käyttää palomuureja. Kyllä heitä on.
Ei tämä Internet ole mistään tähän aivan viime vuosina taivaasta tupsahtanut. Se on ihmisten vuosikymmenten mittaan kehittämä ja rakentama. Ja hyvin suuri osa siitä väestä joka kehitti nykyiset verkkotekniikat on nyt ikäluokkaa yli 70v ja osa heistä on ollut tekemisissä myös palomuurien ja nimipalvelun kanssa jo 10v-15v ennen eläköitymistään noin 63-67 vuotiaina.
Muun muassa yrityksissä palomuureja on käytetty vuosituhannen vaihteesta alkaen Suomessakin ja moni niistä ensimmäisistä palomuurien ja nimipalvelun asentajista on yli 70 nyt.
Eikä palomuurin toimintaperiaate ole perusperiaatteltaan niistä varhaisista Cisco PIX ja Check Point Firewall-1, johon Nokiakin teki rautaa Ipsilonin oston jälkeen noin 15v sitten, ole niin mahdottomasti muuttunut.
Huimasti lisää suoritustehoa, ominaisuuksia ja paljon helpommin hallittavia uuddet toki on sekä parempi raportointi tietysti on kehityksen myötä tullut. Nyt palomuurien käyttämiseen tarvitaan vähemmän taitoja kun niiden varhaisten versioiden käyttöön tarvittiin.
Nykyisistä yli 70v, jotka on eläköityneet ~5v sitten oli maahantuojilla, laitevalmistajilla, operaattoreilla, ISP:llä, IT-palvelusektorilla, julkishallinnossa, korkeakouluissa ja yliopistoissa ollut mukana palomuurien kanssa tekemisissä satoja tai ehkä jopa tuhannen Suomalaista ainakin. Kun he olivat vielä töissä 2000 - 2015, jotkut jopa ehkä 1996 varhaisimmat.
Ja mitä kauemmaksi taaksepäin mennään internetin käytössä, niin sitä kiinnostuneempi piti olla tekniikasta, että yleensäkin sai yhteydet toimimaan. Palomuurien hankinnan este oli lähinnä kallis hinta ja jotka alkoivat laskea vasta 10v sitten joten niitä oli lähinnä isommissa organisaatioissa ja joissa oltiin turvallisuustietoisempia kun PKT sektorilla ja yksityisyrittäjinä. Mutta tiedän kyllä useita joilla palomuuri on ollut kotiverkossakin jo heti sen jälkeen kun ADSL:t yleistyivät 2000 alun jälkeen.
Eli kategorisesti väite, että ei 70 vuotiaat ymmärrä mitään näistä asioista, ei pidä paikkaansa. Kyllä heitä on.
Minullakin 60v päivistä on aikaa ja olen ollut palomuurien kanssa yli 20v tekemisissä, nimipalvelun kanssa jo yli 30v, verkkoihin ja internettiin liittyen lähemmäs 35v.
Olen tekemisissä edelleen jo eläköityneiden kollegoiden kanssa ja eivät he istu kiikkustuolissa iPad sylissä tyytyen pelkkään tiedon kuluttajan rooliin. Ei, kyllä siellä on edelleen harrastuneisuutta, vapaahtoistoimintaa ja kaikenlaista värkkäämistä laitteiden, ohjelmistojen ja ohjelmointiprojektienkin kanssa omaksi huviksi.
... jatko
Osaako edes tavallinen netin käyttäjä säätää palomuuria?
No se mitä kukin pitää tavallisena vaihtelee, mutta kadulta poimittuna ja kysyttynä luultavasti hyvin harva.
Ja miksikö, siksi että asia ei yleisesti kiinnosta, niin kun moni muukaan asia ei kiinnosta ihmisiä ennen kun heillä on siihen hyvä syy kiinnostua.
Joillekin se kiinnostus on työ, joillekin yleinen uteiliaisuus asioita kohtaan jne.
Joillekin kiinnostus tulee sitten kun tapahtuu jotain merkittävää, kuten esim. Snowdenin paljastukset saivat nekin jotka eivät aiemmin mitään tietoturvasta tienneet ja arvelivat, että ei sillä ole heille käyttöä kiinnostumaan asiasta.
Samoin on internetin jättiläisten tietojen keruu, urkkiminen, tietomurrot ja identiteettivarkaudet saaneet ihmiset yhä enemmän kiinnostuneeksi omasta ja läheistensä tietosuojastaan.
Jos ihmiset ymmärtäisivät sen, että ilman kotiverkon ja operaattorin verkon välillä olevaa palomuuria jota he itse hallitsevat, ettei heillä ole teknistä kontrollia siihen miten heidän laitteensa keskustelevat ja jakavat tietoa verkkoon eri tahoille niin se ehkä saisi heidät hankkimaan kotiverkon reunalle palomuurin.
Pieniä, näppäriä ja edullisia, mutta samalla varsin turvallisia ja helposti ylläpidettäviä laitteita on varsin hyvin saatavilla. Näppärä toki rakentaa ja asentaa itsekin, esim. pfSense, OPNsense, IPfire tai OpenBSD:stä, mutta kaupasta saa muutamalla satasella valmiin purkin joka kestää helposti 5-7 vuotta ja on pienellä opettelulla varsin helppo käyttää. Sen jälkeen voit tietää mihin laitteet juttelevat ja voit halutessasi estää liikenteen, mikäli se on tarpeen tai huolestuttaa.
Kuinka moni ikäihminen osaa etukäteen estää jonkin tietyn ohjelman pääsyn nettiin?
Kuten tuolla ylempänä kirjoitin, niin ikäihmiset eivät ole yksi homogeeninen joukko joka joko osaa tai ei osaa. Heissä on osaavia, sellaisia jotka osaavat opetella ja on myös niitä jotka eivät viitsi kuin myös niitä jotka eivät opi vaikka kuinka yrittäisivät tai haluaisivat.
Aivan niin kuin on nuoremmissakin ikäluokissa. Meillä on työpaikalla eri ikäisiä ihmisiä, joissa tilanne on aivan sama. Kategorinen yleistäminen on perusteetonta.
Tämä on tietysti se miten minä näen asiat, jonkun muun näkemä todellisuus on toisenlainen. Halusin vain tuoda, esiin että meitä on moneksi, myös ikääntyvissä.
On aika paljon helpompaa sanoa uhrille että avaa microsoft store ja typota sisään "teamviewer" ja klikkaa asenna, kuin alkaa installereita tunkemaan.
Microsoft Storen TeamViewer-versio on niin rajoitettu, ettei sitä voi käyttää yhteyden vastaanottamiseen. Uhri on saatava asentamaan ohjelman laajempi versio.
Petteri Järvinen sanoi...
Microsoft Storen TeamViewer-versio on niin rajoitettu, ettei sitä voi käyttää yhteyden vastaanottamiseen. Uhri on saatava asentamaan ohjelman laajempi versio.
Uhrin ei tarvitse asentaa mitään, koska yhteyteen riittää TeamViewerin Quicksupport. Riittää että ohjelman lataa ja käynnistää ja kertoo yhteyden tiedot huijarille.
TeamViewer QS asentaa itsensä samalla tavalla kuin varsinainen sovellus silloin, kun käyttäjällä on vain perusoikeudet: ohjelma toimii käyttäjän omassa temp-hakemistossa. Tämä on eräänlainen asennus, vaikka sovellusta ei näy asennettujen ohjelmien listassa eikä työpöydälle tule sen kuvaketta. Se jää temp-hakemistoon pysyvästi ja voidaan käynnistää ohjelmatiedostona sieltä uudelleen.
Ei se QS varsinaisesti mitään asenna vaan kirjoittelee vain jotain temppi- ja lokitiedostoja. Sen tarkoitus on juuri nimen omaan olla sellainen, että sitä voi jakaa ihmisille joiden itse ei tarvitse ottaa mitään yhteyttä mihinkään ja samalla ohjelman käyttö olisi mahdollisimman helppo, kun sitä ei tarvitse asentaa.
Maksullisen version ostaneet saavat mahdollisuuden räätälöidä tuota QS:ia omalla logolla ja väreillä. Esim. operaattorien helpdesk-palvelut käyttävät juuri tuota etätuessa.
Petteri Järvinen sanoi...
TeamViewer QS asentaa itsensä samalla tavalla kuin varsinainen sovellus... Se jää temp-hakemistoon pysyvästi ja voidaan käynnistää ohjelmatiedostona sieltä uudelleen.
Ei se varsinaista asennusta tee mutta, kun mainitsit niin huomasin, että sinnehän QS:n käynnistys tosiaan kirjoittelee noita tiedostoja. Tosin, jos on ladannut tuon QS:n niin AppData\Local\Temp\TeamViewer -kansiossa oleva TeamViewer.exe käynnistää vain sen QS:n eli täysversiota sen mukana ei kuitenkaan tule. Tuossahan tarkoituksena on, että käyttäjä lataa sen QS-verson ja tallentaa sen vaikka työpöydälle ja saa siitä sitten avattua etäyhteyden tukihenkilölle.
Windowsin Group Policyillä on voinut rajoittaaa (kieltää) ohjelmien suorittamisen mistään mihin käyttäjällä on kirjoitusoikeus jo XP SP2 ajoista lähtien. Ominaisuutta on pitkään käyetty yrityksissä.
Apple Configurator 2 mahdollistaa MDM ominaisuuksilla asentaa vain käyttöjärjestelmän ja Settingsjo asennettujen ohjelmien päivityksiä. iPhone ja iPad puolella saman voi tehdä vastaavat asetukset Settings alta, ohjeet löytyy helposti hakukoneella.
Tarkennus, käyttäjältä voi poistaa kirjoitusoikeudet ja jättää vain kotihakemistoon, profiiliin ja sitten kieltää näistä ohjelmien ajaminen.
Nimetön sanoi...
Tarkennus, käyttäjältä voi poistaa kirjoitusoikeudet ja jättää vain kotihakemistoon, profiiliin ja sitten kieltää näistä ohjelmien ajaminen.
TeamViewer QuickSupport toimii silti, koska se ei välttämättä tarvitse sitä kirjoitusoikeutta.
Rekisteripuukotuksella tuon voisi estää mutta sekään ei ihan aukoton ole, koska muuttamalla tiedoston nimeä saa sen eston ohitettua.
Nimetön sanoi...
Windowsin Group Policyillä...
Rajaa kaikki Windows Home versiota käyttävät käyttäjät ulkopuolelle.
@teemu
https://www.itechtics.com/enable-gpedit-windows-10-home/
Edelleenkin toistan jo aikaisemmin kirjoittamani.
Storeissa on lukitusmahdollisuus. Toisekseen kyseiset clientit on niin rampoja, etteivät aja asiaa. Täytyy elää siinä maailmassa, miten nämä intialaiset toimii, eikä yhdessäkään katsomassani "huumorivideossa" ole käytetty mitään muuta tapaa kuin windowsin "exe" installeria.
Tulee muistaa nyt ihan maalaisjärjelläkin, että ne "intialaiset" eivät näe ruutua ennenkuin etäohjelma on asennettu ja se toimii. Täten he joutuvat neuvomaan asiaa täysin sokkona. He eivät tiedä mikä käyttöjärjestelmä asiakkaalla edes on. Mikä versio (se voi olla jopa ikivanha XP). Useimmiten asiaa ei tiedä asiakaskaan. Täällä foorumilla ihmiset on tietysti teknisen taustan omaavia, eivätkä osaa asettua sen "tavallisen mummon asemaan". Ei se tiedä mikä on windows.
Mutta kuitenkin tarkoilla ohjeilla he pystyvät asentamaan etäohjelmiston koneellensa. Tämä on myös se akilleen kantapää. Tarkoilla ohjeilla. Ennalta kirjoitetulla manuaalilla. Intialaisten päässä asioita vain OLETETAAN suurimman konemassan oletuksella. Oletuksena on, että käynnistä-nappi on vasemmassa alakulmassa. Jo se riittää sotkemaan pakkaa, että siirrät koko käynnistä-palkin ylös.
Ei tässä tarvitse kokonaista koulun ATK-luokkaa perustaa, jossa tiedetään olevan kolmekymmentä apinaa, jotka rikkovat kaiken heti kun koneen äärelle pääsee jos "suojelua" ei ole tehty tarkasti ja järeästi.
Suurin akilleen kantapää on se, että he eivät näe ruutua ja siten he joutuvat arvailemaan asioita oletuksien perusteella ja kun tähän iskee ihan pieninkin muutoksin "isoon massaan nähden", se jo riittää. Ei tarvitse miettiä miten saa pomminvarmasti exe-installoinnin estettyä tai ohjelmien ajamisen temp-kansioista tai henkilökohtaisista vieraskansioista. Se vain riittää, että tulee jokin virheilmoitus ja siinä jo intilaisten kyvyt ja mahdollisuudet sotkeutuu. On hurjan hankalaa olla luurin toisessa päässä näkemättä ruutua ja puhua henkilön kanssa joka tietää tietokoneista vielä vähemmän kuin he.
Siinä nopeasti linja tulee katkeamaan ja siirrytään suosiolla seuraavaan. "pienet kivet kenkään" riittää.
Tätä tarkoitin kun kirjoitin aiemmin, että mac-maailmassa kun ohjelmien asennus perustuu paketin lataamiseen ja "Drag-dropiin", se asia on paljon vaikeampi neuvoa sokeana puhelimessa uhrille, joille useimmille tavallinen kaksoisklikkauksen suorittaminenkin on hurjan hankalaa.
Miten kerrot "drag-dropin" puhelimessa täysin ummikolle? "siihen johonkin työpöydälle ilmestyi "teamvwr344m.app - paketti tai siis sellanen kuvake ja nyt otat siitä hiirellä kiinni (eka iso ongelma mitä tarkoittaa otat siitä hiirellä kiinni)" ja sitten sielä jossain on avaa sieltä jostain ohjelmat kansio.... tuossa vaiheessa mummolla pää hakkaa jo ylikuormituksessa... Sitten sun pitää siirtää se ottamalla hiirellä kiinni sinne ohjelmat kansioon jota intialainen ei edes tiedä onko mummo saanut sen kansion avattua esille. Puhumattakaan että osaa "tarrata hiirellä kuvakkeeseen" eli suorittaa drag dropin.
On paljon helpompi puhelimessa neuvoa "nyt näet seuraava nappulan ihan keskellä ruutua paina sitä yhden kerran"...
Tätä minä tarkoitin. Mutta tuo on se asia joka täytyy sotkea. Jos sen jälkeen tulee jokin ilmoitus tai verkkoyhteys ei toimi, se sormi taas kerran menee suuhun sielä langan toisessa päässä. Kun eivät edes ruutua näe.
Markus sanoi...
Edelleenkin toistan jo aikaisemmin kirjoittamani.
Itselleni tulee aika ajoin samanlainen tarve selostaa henkilölle puhelimessa miten ja mistä he lataavat tuon TeamViewer Quicksupportin. Keskimäärin se onnistuu jokaisen kohdalla helposti. "Mene sinne ja sinne sivulle, klikkaa lataa TVQS, mene latauskansioon ja käynnistä se ja kerro id ja salasana".
Ei siinä tarvitse tietää käynnistävalikon sijaintia eikä edes käyttöjärjestelmää, koska ko. lataussivu muuttuu käytettävän käyttöjärjestelmän mukaan ts. se tarjoilee aina sopivaa versiota sovelluksesta. Ainoastaan Mac-käyttäjillä se on hiukan hankalampaa, koska yhteyden avaamisen jälkeen joutuu vielä opastamaan sokkona miten levynkäyttö ja näytönjako sallitaan, koska itsellä ei ole Mac-laitteita.
Muistakaa tässä kaikessa myös, että intian päässä asia pitää vielä neuvoa englannin kielellä ja sen mummon pitää jokainen ohje myös ymmärtää englannin kielellä sekä jotenkin kertoa englannin kielellä että asia joko toimii tai ei toimi. Kumpikin osapuoli oletettavasti ei kovin hyvin edes osaa sitä englantia.
Suomessa vielä pakkaa sotkee fakta, että suurin osa windowsista sitä installeria lukuunottamatta on suomeksi, jota intialaiset ei osaa eikä heidän manuaalinsa.
Hehän on tottuneet tekemään näitä kusetuksia aitojen englanninkielisten maiden asukkaiden kanssa. Sekin on jo ontunut. Eli jo se suomenkielikin on iso asia. Vaikka puhelimessa puhuja osaa englantia, se ei kuitenkaan tiedä eikä näe miltä nappulat näyttää suomenkielisessä windowsissa. Teamviewer oletuksena asennetaan ilmeisesti enkunkielisenä jolloin se installeri näyttää enkkulaiselta. Sen verran he osaa neuvoa mutta ei ymmärrä mitään windowsin dialogeista. Tämä on iso puute heille suhteessa miten aikaisemmin asiaa on voinut edes auttavasti purkaa jos ongelmia on tullut.
Eli Teemu. He voivat sanoa, että hae asennuspaketti latauskansiosta. Mutta he eivät tiedä, että suomenkielisessä Windowsissa kansio on "ladatut" kansio sen sijaan kun enkunkielisessä se on "download" ja kun he yrittää mummolle sanoa että hae asia sieltä download-kansiosta mummo ihmettelee missä sellainen on? He eivät pysty sitä neuvomaan kun eivät tiedä suomenkielistä sanaa lataukselle.
Sitten vielä empiirisellä kokemuksella voin sanoa, ettei se ole noin yksinkertaista senkään vuoksi että useimmiten maalikko-asiakkailla latauskansio on täynnä ihan kaikkea. Sen yhden paketin löytäminen sieltä tuhannen kuorolaulu(1) kuorolaulu(2) flashinstaller(1) flashinstaller(2) flashinstaller(3) joukosta...
Te oletatte että windows asennus on aina tuore ja puhdas mutta todennäköisesti kone on jokin halpa markettiläppäri. Se on syötävän hidas. Se on täynnä kaikkea tauhkaa. Sen kosketuslevy on yleensä niin surkea, ettei se drag drop onnistu edes sen vuoksi. Ja tämä on se paras ase jota voi käyttää.
Sotkee pakkaa.
Nimetön Markus sanoi...
Muistakaa tässä kaikessa myös, että intian päässä...
Ihmettelen kyllä tuota, että jotain pitäisi asentaa ja miksei heillä ole jotain keskitettyä lataussivua niin ei tarvitsisi opastaa muiden sivujen toimintaa. Eikä suomenkieli ole ennenkään ongelmana ollut. Ehkä tuo toimintatapa toisaalta kertoo heistä jotain tai sitten ei.
Ehkä kannattaisi katsoa tuolta youtubesta niitä videoita, miten nuo toimii ja miten alkeellista se kaikki loppujenlopuksi on.
Se on vuosien varrella jopa muuttunut, aikaisemmin käyttivät hyväkseen windowsin "ohje" toimintoa, jossa oli jonkinlainen kohta joka avasi internet explorerin. Mutta kun microsoft rampautti IE:n, tämä ei enää toiminut. Nämä huijarit siis kyllä mukautuvat aikoihin, mutta tietyt asiat on aina samoja. Ne ei ole mitään virtuooseja. Ne ei osaa kovin hyvin englantia nekään. Niillä menee sormi suuhun jo enkunkielistenkin käyttisten ja ohjelmien kanssa jos asia ei mene tismalleen niin kuin he neuvovat heidän ilmiselvän jonkin ohjerunkonsa mukaan. Kun päälle lasketaan vielä suomenkieli jota he ei osaa todennäköisesti sanaakaan, se on sillä jo selvä. Kunhan saat sen yhden pienen kiven kenkään, heiltä loppuu keinot. Niin se tapahtui jo englanninkielisten kanssa. Edelleenkin on hurjan hankala neuvoa noviisia hyvin osaavanakin ihmisenä, jos et näe ruutua ja jos se toinen ei osaa.
Itselläni on usko, että nämä microsoft huijaukset on heillekin suomalaisien kanssa niin hankalia, että ei maksa vaivaa. Volyymi ja tuottotavoitteet tuskin täyttyy. Kielimuuri on jo liikaa. Siirtyvät todenäköisesti huijausmuotoihin, joissa se tietokone ei ole asiassa mukana. Eli jotain sijoituskusetuksia tai vastaavia, joilla niillä niitäkin kyllä riittää.
Ei ole mikään ongelma tehdä sellaista Powershell-skriptiä joka lisää tuon suorituksen eston group policyyn. Eri asia on sitten ne Home versiot joihin pitäisi asentaa ensin tuo Group policy - "laajennus".
No nyt näyttää jo paljon paremmalta.
Keksitään jokin helppo ratkaisu minkä voi sille "vanhalle äidille" tehdä (tosin kyllähän uhri voi olla kolmekymppinen kaverikin).
Mikä toimii tavallisessa windows 10-asennuksessa ja jolla pystytään sotkemaan asioita sen verran, ettei se perus puhelurunko toimi.
https://www.youtube.com/watch?v=kMwFhGd8duo
Ohessa linkissä on entinen microsoft-työntekijä, jolle noin viisi vuotta sitten soitti tällainen intialainen huijari (hauskoja videoita tällä sällillä). Silloin perusjuttu oli vale-tietoturvapalvelun myynti ja luottokorttitietojen varastaminen. Nykyajan verkkopankki-pohjaiset huijaukset toimii perusperiaateeltaan samalla tavalla muuten kuin, etteivät enää mitään hämäräperäistä tietoturvapalvelua myy. Kuitenkin tavat on edelleen ihan samat. Se "puhelun olemus".
Tämä entisenä microsoft-työntekijänä kuitenkin tiesi jutun juonen ja perusti virtuaalikoneen ja jallitti huijaria. Englantia osaaville ihan hauskakin video.
Mutta myös opettavainen.
Etätyöpöydässä on toinenkin ongelma ollut kautta aikojen. Niin sanottu "syskey"-dialogi windowsissa, jolla voi asentaa järjestelmänvalvojan salasanan siten, ettei mitään vanhaa salasanaa tarvitse tietää. Näin huijari lukitsee käyttäjän ulos koneeltaan "pysyvästi". Buutin jälkeen käyttäjä ei pääse enää koneelleen. Eli huijareilla on hyvin yleistä, että jos jäävät huijauksesta kiinni (tai joskus ihan huvikseenkin), tekevät "syskeyt" ihan vain kettuillakseen.
Oppaan tekeminen huijauksien välttämiseksi on todella hyvä idea, mutta ennen sen kirjoittamista suosittelisin oikeasti tutustumaan asiaan perinpohjin. Itse olen katsellut näitä huijaus-videoita iltahuviksi jo vuosikausia, joten olen nähnyt miten prosessi kehittyy ja mitkä elementit on samoja sieltä ammoisista ajoista. (Kuten tämä intialaisten kuumaverisyys, tosin ei sillä on niitä haistavittuja saanut kuulla ihan suomalaisiltakin puhelinmyyjiltä).
Syskey ei toimi enää Windows kympissä.
Keskimäärin se onnistuu jokaisen kohdalla helposti. "Mene sinne ja sinne sivulle, klikkaa lataa TVQS, mene latauskansioon ja käynnistä se ja kerro id ja salasana".
Ei latauskansioon tarvitse mennä, ainakin Chrome laittaa ladatatun exe-tiedoston selaimen alarivillä käynnistysvalmiiksi. Ei muuta kuin klikkaus siihen, niin jo on QuickSupport käynnissä ja intialaishuijari pystyy ottamaan koneen haltuunsa.
Tätä Group Policyä voisi kehitellä eteenpäin, varsinkin kun sen pystyy Power Shellillä asentamaan myös Windows Home -koneisiin. Ongelmana on kuitenkin se, että koska temp-hakemistoa käytetään kaikkien ohjelmien asentamiseen, totaalinen käynnistysesto hakemistossa estäisi muidenkin ohjelmien asentamisen ja päivittämisen. Esto pitäisi siten luoda TeamViewerin tiedostonimen perusteella. Se estäisi etätuen myös laillisilla TeamViewer-asiakastuen käyttäjillä.
Suurin syy, miksi mä huomaan täältä, ettei useat keskustelijat tiedä edes mistä puhuvat on, että näissä intialais-huijauspuheluissa vuosien saatossa on paljastunut, ettei se intialainen soittajakaan usein tiedä olevansa huijari! Useat (ei kaikki) uskovat itsekin auttavansa asiakasta. Tosin on niitä käänteisiäkin, jotka tuhoavat asiakkaan tiedot, tekevät syskeyt yms.
Se oikeasti uskoo tuohon sontaan. Että jokin netstatsin luettelu auttaa jotenkin asiakasta.
Tämä tietysti paljastaa karun totuuden. Eivät he tiedä tietokoneista yhtään sen enempää kuin se asiakas luurin toisesta päästäkään. Jos he olisivat jotain tietotekniikkaneroja, luulisi heidänkin tietävän, ettei se tree-komento ole mikään virusskanneri. Mutta he ovat vain puhelinmyyjiä ja noudattavat annettua ohjeistusta. Näin he uskovat, että työnantaja on aito.
Jotkut näistä "huijataan huijareista" on havahtunut tähän asiaan jo vuosia sitten, ihan kysymään suoraan että tajuatko sinä intialainen että sinä huijaat ihmisiä ja sinun työnantajasi on pelkkä huijari? Se hämmennys langan toisessa päässä kuulostaa aidolta! "Ei ei ei kyllä me autetaan oikeasti. En minä halua huijata ketään". Tai sitten täysin käänteinen oikea roistojen roisto "me huijataan teitä tyhmiä länsimaalaisia, olette ihan idiootteja, me ei välitetä teidän vanhoista äideistänne pisaraakaan".
Tätä minä tarkoitin, että tällä keskusteluosiolla oikein huokuu, ettei taustatyötä ole nyt tehty. Eikä aiheeseen tutustuttu millään tasolla.
Kaikkein pahimpia kuulemia huijauksia on pahanmaineisen "ICE:n (yhdysvaltojen maahanmuuttoviraston jyrähaara)" tekemät. Yhdysvalloissa soittelevat siirtolaisille. Varsinkin trumpin aikana, nämä pelottelivat siirtolaisia suoraan sanoen hengiltä. Eli huijarit esiintyivät ICE:nä ja kertovat että tiedetään missä olette ja jos nyt ette hae "google gift card" ja maksa - tullaan patteriston kanssa hakemaan teidät, erotellaan lapsista ja lähetetään takaisin kotimaahan. Hätääntyneet siirtolaiset, joilla heilläkin oli kielimuuri oli oikeasti hädissään.
Eli tietyissä tilanteissa tuo huijausten julmuus on ihan käsittämätöntä. Suomessa mitään tämän veroisia ei ole vielä nähty ja ne onecoin-jutut on pikkujuttuja. Niissä liossa on sentään vain rahaa.
Ei tällainen ratkea millään puhelunestoilla. Tämä vaatii todella paljon muutakin.
Blogger Petteri Järvinen sanoi...
Ei latauskansioon tarvitse mennä..7
No, oioin hiukan tuossa kommentissa.
"Tätä Group Policyä voisi kehitellä eteenpäin...Se estäisi etätuen myös laillisilla TeamViewer-asiakastuen käyttäjillä."
Voihan sen tiedostonimen muuttaa sitten niissä tapauksissa joissa etätukisovellusta tarvitaan oikeasti. Ja varsinkin ne rehelliset etätukea tarjoavat voivat nimetä sen ladattavan TeamViewerQS tiedoston muulla nimellä jo alunperin.
Minä en siis pelkäisi, että nämä microsoft-huijaukset, jotka on englanninkielisissä maissa jo kuivunut kasaan ja kulunut juttu ja meidän mailla tuplakielimuurin takia entistä vaikeammin toteutettavissa, windows (niinkuin muutkin käyttikset kuten applen raju rauta/softa muutos juuri nyt), on muuttunut/muuttumassa, liian vähän höynäytettäviä yms. (Voidaan myöntää että pohjoismaalaiset on myös pääsääntöisesti liian älykkäitä jotta voisi saada kriittinen massa pienestä kokonaisväestönpohjasta, "tyhmiä jenkkejä" on suhteessa aivan varmasti enemmän).
Minä pelkäisin enemmän mitä sieltä tulee seuraavaksi. Luovuus näillä on aina toiminut.
Mutta suurin suojelija meillä on edelleenkin kieli.
Mikään ei tietenkään estä huijaria pyytämään nimeämään tiedosto toisella tavalla mutta, jos alunperin hommat noin hukassa niin tuo tuskin onnistuu kovin helposti.
Toivottavasti eivät lue tätä blogia :)
Windowsilla voi myös Group Policyn lisäksi kieltää ajamasta tietyn nimisiä ohjelmia.
https://www.technipages.com/prevent-users-from-running-certain-programs
kuin myös voi estää, tietyn julkaisijan nimen mukaan AppLocker avulla
https://windowsreport.com/prevent-software-install-windows/
riittää, että asentaa tai muuten tutkii esim. TeamVieweristä, allekirjotukseen käytetyn varmenteen Subject: riviltä organisaation nimen ja tekee säännön joka kieltää asentamasta heidän allekirjoittamillaan varmenteilla olevia ohjelmia, ks. kohta 16.
Mä en muista, missä näin artikkelin joskus tässä taannoin, että gpedit ja vanhan tyylinen ohjauspaneelikin olisi poistumassa koti-windowseista. Että nämä jäisivät tässä vaiheessa lähinnä enterprise-tason windowseihin (Prokin lasketaan koti-windowsiksi nykyisin).
gpedit jopa ihan ehkä jo seuraavassa versiossa. Ohjauspaneeli tapahtuu nykytyylillä, yhä enemmän roipetta siirtyy "asetukset". Mutta on selviö, että microsoft haluaa kaiken sinne.
Voin olla väärässäkin, sivusilmällä noita lukenut mutta selviö on, että windows on muuttumassa ("Sun valley", windows 10X erillisenä). Tulevissa juoruissa jopa resurssienhallinta sellaisena kuin sen tunnemme on korvautumassa paljon askeettisemmalla.
Windows alkaa lähentymään jonkinlaisen evoluution kautta mobiilikäyttiksiä (niinkuin macos:kin). Eli asetukset on yhdessä paikassa, tiedostonhallinnalla saa tehtyä välttämättömät asiat, storesta ostetaan ohjelmat ja kaikki nippeli ja nappeli, rekisterit ja gpeditit poistetaan käyttäjien ulottuvilta. Kaikki tämä tietysti turvallisuuden nimissä ;) (niillä storemasseillahan ei ole mitään tekoa asian kanssa eihän?).
Haen vain sitä takaa, että ennen kuin kirjoittaa oppaan ryhmäkäytäntöihin liittyen, kannattaisi selvittää onko sitä edes puolen vuoden päästä enää.
Nimetön sanoi...
Windowsilla voi myös Group Policyn lisäksi kieltää ajamasta tietyn nimisiä ohjelmia
Group Policy estostahan tässä nyt on puhuttu. Laajemmat estot on ongelma, jos sitä sovellusta silti tarvitaan johonkin rehellisen etätuen antamiseen. Tietenkin siinä tapauksessa voi turvautua jonkun muun toimijan sovellukseen esim. Anydesk, etätuki Chromen kautta tai Windowsin oman etätuen käyttämistä.
Nimetön Markus sanoi...
Sitä vartenhan on se Windows 10 S -versio missä ei voi asentaa sovelluksia muualta kuin Storesta. Tuntuisi oudolta, että Pro-versiosta jätettäisiin kaikki yritysmaailmassa tarvittavat ominaisuudet pois tai, että yritykset pakotettaisiin hankkimaan kalliimpi lisenssi (Windows 10 Pro for Workstations tai Windows 10 Enterprise). Eihän se palvele mitään eikä ketään. Omaa oksaansa MS silloin sahaisi.
Missä tuollainen tieto on mainittu ("Prokin lasketaan koti-windowsiksi nykyisin")?
Mistään asetusten poisjättämisestä en ole nähnyt juttua. Ainoastaan, että Ohjauspaneeli jää historiaan ja sen kautta käytetyt asetukset siirtyvät Asetukset -sovellukseen.
Uusi resurssienhallinta on toki kökkö mutta sehän on vasta joku esiversio.
Uskotko ihan oikeasti, että kaikki ohjauspaneelin nippelit siirtyy asetukset-alle?
Ei taida ihan silleen mennä. Kyllä siinä prosessissa viikate käy ja rajusti, sekä vuosikymmenien ajan tuttuja ja turvallisia asetusmahdollisuuksia tulee poistumaan. Nyt jo touhu on sellaista sähläilyä kun pitää lingota edestakasin ohjauspaneeli/asetukset/regedit/gpedit... Tästä sähläilystähän microsoft nimenomaan haluaa eroon. Toisekseen microsoft viimeinkin puuttuu ulkoasun rönsyilyyn. Samoin ydin uusitaan paljon turvallisemmaksi. Ei vielä sun valleyssa mutta esimakua siitäkin nähdään jo windows 10X:ssa. Silloin aletaan lopullisesti luopua vanhasta ohjelma-kansio-ajattelusta ainakin käyttäjälle päin nähden. Ohjelmat eristetään omiin hiekkalaatikoihin ja ohjelmien välinen kommunikointi hoidetaan tiukkojen rajapintojen avulla. joten kyllä. Uusi resurssienhallinta nimenomaan antaa esimakua, jota luvassa tulee olemaan.
Pro on laskettu koti-windowsiksi siitä alkaen kun nimenomaan windows 10S siirtyessä aktivoidaan homen sijaan proksi. Itse asiassa uskoisin, että home on poisjäävä. Niinkuin pro terminäkin. Eiköhän koti-windowseja tulla kutsumaan ihan windowsiksi. Ei "ilmaisessa käyttiksessä" tarvita enää erottelua jollekin halvemmalle karsitulle koti ja pro version välille. Aikoinaan rahalla ostit ominaisuuksia. Microsoft itse sotki asiat nimenomaan julkaisemalla entisajan "pron" lisäksi jonkin oudon pro for workstations (joka antaa kuvan olevan pro-käyttöjärjestelmä, se sama kuva mitä aikaisempi pro-termi viittasi). Mutta kaupassa myytävissä koneissa on todella paljon esiasennettua windows 10 prota mutta saat etsimällä etsiä pro for workstation konetta. Tämä jos mikä kertoo, että pro workstation on ammattilaisille eikä gigantin tiskille.
Mutta se enterprise puoli säilyy varmasti ennallaan.
Ja eikös se windows 10S ole kuollut aikoja sitten? Niinkuin sitä edeltävät RT:kin (joka oli kyllä ARM:n vuoksi mutta ajoi asiansa). En ole nähny uusissa koneissa enää vuosiin. Konsepti oli kyllä hyvä. Se jos mikä oikeasti suojelisi sitä "vanhaa äitiä". Mutta näitä yritelmiä on ollut jo useita. Maailma ei ole vain ollut valmis. Ehkä nyt kiitos applen rajun muutoksen, maailma alkaa olla valmis "karsitulle käyttäjäystävälliselle mobiilikäyttismäiselle windowsille(kin)".
Tietysti me kapinoidaan sitä vastaan, mutta se vanha äiti kyllä kiittää. Sen ehdoilla tätä peliä muutenkin pitää pelata.
Markus sanoi...
Uskotko ihan oikeasti, että kaikki ohjauspaneelin nippelit siirtyy asetukset-alle?
Ei taida ihan silleen mennä.
Kerro toki, jos sinulla on jotain virallista tietoa tästä. Itsellä ei ole mutta en näe syytä miksi jotain jätetään pois. Saattaa olla, että niihin tulee jotain muutoksia mutta ei kovin nopeasti, jos pelkän sovelluksen avauslinkit on vasta pikku hiljaa siirretty Asetuksiin.
"Pro on laskettu koti-windowsiksi siitä alkaen kun nimenomaan windows 10S siirtyessä aktivoidaan homen sijaan proksi."
Sitä ei ole enää erillisenä versiona ollut saatavana mutta silti joissain koneissa voi olla esiasennettuna W10S. Se on sitten ihan lisenssistä kiinni, että kumpaan versioon (Home vai Pro) siitä on mahdollista siirtyä.
@teemu
Group Policy estostahan tässä nyt on puhuttu...
No arvaapa kuka sen nosti esiin, minä olen se joka palomuurin DNS:stä, GPO:n nosti ja vielä tuon AppLockerinkin tuossa yllä.
Vaihtoehtoja on vaikka kuinka, mutta maalitolppia siirtelemällä saa tietysti aikaan sen, että mikään ei ole hyvä eikä kelpaa. Osa tuomitaan "näpertelyksi" kun ne käy yli ymmärryksen ja edes mietitään hosts sopivuutta kuin bogo-sortin käyttöä lajitteluun.
Kakkua ei voi säästää ja syödä. Siksi jos TeamViewerin käytön estäminen eri kelpaa ja se on se ainoa kelpaava etäkäyttöohjelma, niin koska etäkäyttö yhdistetään TeamViewerin palvelimien kautta vaihtoehtoja on kovin vähän mihin ja kuka teknisesti eston voi käytännössä tehdä.
Aivan, eston voi tehdä vain TeamViewer firma itse siihen ohjelmistoon. Vaikka siten, ohjelmistoa asennettaessa voidaan valita vain luotetut ennalta määritellyt yhteysparit eikä muita sallita. Nämä suojataan asiallisesti vahvalla salauksella ja sen jälkeen estetään käyttöjärjestelmän ylläpitäjän toimesta se, ettei käyttäjä poista tai muuta asetuksia.
Jos sellaista ominaisuutta ei ole, eikä sitä tule, on parasta ymmärtää että väline etäylläpitoon on väärä ja estää sen käyttö vaarallisena, ettei sitä myös huijarit käytä.
Sen jälkeen kun on valittu itse käytetty etäyhteysohjelma ja asennettu kaikki ohjelmat muutenkin mitä käyttäjä tarvitsee, sallitaan vain ohjemien päivittminen, ei mitään uusia asennuksia. Ylläpito tekee tarvitavat toimiet etäylläpidon kautta eri tunnuksilla tai piipahtamalla paikalla.
Joskus käy niin, että kaikkea ei voi saada aina yhtä aikaa toimimaan, eikä varsinkaan aina haluamallaan tavalla. Pitää arvoida riskejä ja hallita niitä priorisoimalla asioita, joita valitsee käytettäväksi, rajattava liikaa riskiä sisältävät pois ja kannettava sitten jäännösriskit joista ei pääse eroon.
Nimetön sanoi...
Kakkua ei voi säästää ja syödä.
Ei varmaan mutta pienikin lisäviive sille soittajalle on parempi kuin ei mitään.
Ensimmäinen vinkki on tietysti jo asioita, joita on jätetty pois. Niitä muutoksia pystyy tietysti tekemään vielä epävirallisesti gpeditillä sun muilla (kuten ottaa turhia kelloja ja liukuanimaatioita pois kirjautumisruudusta yms). Mutta jos gpeditkin jää pois, ei niitä pysty kumoamaan enää millään. Toisekseen asian puolesta puhuu asetukset-ikkuna itsessäänkin. Eihän siihen millään ilveellä saa edes mahtumaan kaikkea sitä jota ohjauspaneelissa "vanhantyylisenä" useana aukeavana ikkunana tulee. Sama ilmiö on vaikkapa ubuntussakin nykyisin. Ikkunapohjainen "ohjauspaneeli" on korvattu "vipunappi"-versiona kuten kännyköissäkin, mutta ongelmana on asetusten kovin vähäinen määrä.
Tuo Lay-out on se suurin todiste asiassa. Jos siihen hirveästi vielä asioita lisätään, ei sieltä löydä enää yhtään mitään. Vanhaa ohjauspaneelia sellaisenaan ei yksinkertaisesti saa tuonne mahtumaan. Mutta windows 10X antaa jo vihiä siitä, ettei se ole aikomuskaan. Windowsiin on tulossa aivan samat peruselementit. Kelluva käynnistä-valikko. Tray-kuvakkeet katoaa pois ja tilalle tulee uusi toimintokeskus (applemainen, ubuntumainen).
Hyvä esimerkki tästä on. Tälleen OLED-näyttöjen kanssa tekemisissä ollessaan, yritin etsiä perinteisiä näytönsäästäjän asetuksia. Ohjauspaneelistahan ei löydy enää mitään näyttöön liittyvää eikä enää esimerkiksi "järjestelmään" liittyvääkään (avaa asetukset valikon, joista linkeistä pääsee vielä vanhoihin osiin).
Löysin näytönsäästäjän asetukset asetukset valikosta pitkän etsimisen jälkeen. Löytyi "Mukauttaminen -> Lukitusnäyttö" alaosasta linkkinä siihen, joka vanhasta ohjauspaneelistakin olisi auennut. Jostain syystä microsoft ei ole saanut näytönsäästäjiä vieläkään aikaiseksi asetukset-valikon osaksi, vaikka OLED-näyttöjen kanssa näytönsäästäjä on erittäin tärkeä. Ihan turhaa eestaas rämppäämistä.
Windowsin uudistaminen johtuu osaltaan siitäkin, että microsoft viimeinkin keksi alkaa kopioimaan applea ja on tuottamassa omaa (ARM)-prosessoriaan. Eli tavallaan taas kerran "Windows RT" on pakko tuoda takaisin. Eiköhän microsoftin paras bisnespäätös ole eriyttää "ilmaisen windowsin kotikäyttäjät" helppokäyttöisellä ja käyttömukavalla windowsilla josta puuttuu chrome os/mac os/ios/ubuntu tyylisesti kaikki "turha nippeli" siten, ettei käyttäjä voi mitään mokata. Yrityskäyttöön jätetään sitten ennalleen siten että arkkitehtuurin voi rakentaa miten haluaa. Täytyy muistaa, että prosessorin kehitys on niin kallista, että siinä windowsinkin rampauttaminen kotikäyttö-mukavaksi on halpa hinta. Aikaisemmissa yritelmissä laitteistot tuotti muut firmat kokonaan (nvidia esimerkiksi RT-laitteiden prosessoreja).
Enkä minä ala nyt etsimään mitään uutisia ja artikkeleita erikseen tähän, kun luen niitä joka päivä niin suomalaisia kuin enkkulaisiakin. Näistä kaikista yhteenvetona vain saa päähänsä jonkinlaisen intuition mitä tulee olemaan tekeillä.
Kuitenkin tämä ihan kaikki tekee päänsäryn myös intialais-huijareille. Kyllä tietotekniikan aika mullistuu lähiaikoina todella rajusti ja siinä on mukana niin peli, elokuva, musiikki, käyttikset, rauta. Ihan kaikki osa-alueet.
AppLocker voisi tosiaan toimia paremmin kuin hakemistojen käyttäjäoikeudet. Applocker pystyy estämään sovellusten käynnistämisen niiden nimen, hajautusarvon tai digitaalisen allekirjoituksen perusteella. Viime mainitulla voisi estää kaikkien TeamViewerin versioiden käynnistymisen hakemistosta riippumatta. Tätä täytyy kehitellä eteenpäin.
Petteri Järvinen sanoi...
Viime mainitulla voisi estää kaikkien TeamViewerin versioiden käynnistymisen hakemistosta riippumatta.
Ei se gpeditin estokaan hakemistoon ota kantaa vaan ainoastaan tiedostonimeen.
Markus sanoi...
Vanhaa ohjauspaneelia sellaisenaan ei yksinkertaisesti saa tuonne mahtumaan.
En nyt ymmärrä mikä on mahtumisongelma. Tietenkin Asetukset-sovelluksen "sivumäärä" lisääntyy, mutta ei se mikään ongelma liene. Ongelma on ehkä se, että sieltä ei löydä asioita mutta onhan siinä haku mikä toimii kuten vanhassa ohjauspaneelissa.
Muistakaas nyt että noita etäkäyttöohjelmia on paljon muitakin kuin teamviewer. Teamviewer on itse asiassa noissa intialaispiireissä todella vähän käytetty. Esimerkin rouvalla sattui nyt vain osumaan.
Barnaculesin videossakin on sivusto "support.me" (ilmeisesti sivusto on vieläkin olemassa, ohjaa jollekin logmein123.com) jolle numerokoodin syöttämällä asennetaan jokin appletin viritys joka toimii etäohjelmana.
Yleensä nämä asennukset toimii juuri selaimen avulla varmasti ihan yksinkertaisuus-syistä.
@teemu
Ei varmaan mutta pienikin lisäviive sille soittajalle on parempi kuin ei mitään.
Kyllä kyllä, mutta ymmärsitköhän ihan varmasti mitä yritin kertoa. Toivomaasi tapaa käyttää TeamVieweriä ja estää sen käyttöä huijarien toimesta ei tiettääseni ole. Joten ohjelman käytön esto on turvallisin ratkaisu ainakin siihen asti kun TeamViewer saa tehtyä siitä turvallisemman.
Heille ehkä kannattaa ehdottaa sitä, että lisäävät mahdollisuuden sallia vain ennalta paritettujen koneiden välillä. Ei ole varmasti vaikea ominaisuus tehdä, enemmän kyse on halusta tehdä. Jos asia ei heitä muuten kiinnosta riittävästi, niin kannattaa tuoda esille että he saavat nyt huijarien vuoksi huonoa mainosta asiasta, eikä se tee hyvää bisnekselle pidemmän päälle ja turvallisuustietoiset estävät heidän ohjelmistojensa käytön tavalla tai toisella kunnes sen turvallisuutta parannetaan. Sen luulisi motivoivan heitä parantamaan tuotetta. Huonommalla säkällä, jonkun maan lainsäädäntö mahdollistaa sen, että he saavat korvausvaatimuksia ja puolustautuvat oikeudessa syytteestä avunannosta rikoksiin. Heidän toimintansa mahdollistaa huijarien toiminnan ja etäkäyttöliikenne kulkeen heidän palvelunsa kautta. Vaikka tuomiota ei tulisikaan, niin rahaa palaa oikeudenkäynnissä ja maine tahriintuu.
Epäilemättä Microsoftkin voisi yrittää tehdä jotain asialle, senkin maine likaantuu huijauksissa ja se voisi lisätä esim. painetta juuri TeamViewerin suuntaan niin, että ne kehittäisivät softaa sellaiseksi ettei sitä niin helposti huijarit käytä. Vaikkapa yllä esitetyin keinoin.
Hyvä keino Microsofille olisi uhata heittää TeamViewer ulos sovelluskaupasta ja sen lisäksi antaa takaraja mihin mennessä ongelmat korjataan tai Microsoft peruu TeamViewer Code Signing varmeneteen. Peruminen ei pelkästään estäisi uusien TeamViewer ohjelmien asentamista vaan myös estäisi jo asennettujen ohjelmien käynnistymisen hyvin nopeasti.
Ja vasta uutta korjattua turvallisempaa varten saisivat uuden varmenteen. Toki siitä nousisi meteli, mutta TeamViewerin olisi käytännössä pakko noudattaa välittömästi, muuten sen taru olisi loppu ja se mitä Microsoftilta osakkeen omistajat ehkä saisivat pitkällisen oikeustaistelun jälkeen olisi pelkkiä muruja siihen verrattuna, että tekisivät mitä käskettiin.
Mutta jos nyt itsellä olisi vastaava tilanne väärinkäytöltä suojautuminen, siis vanhempi tms. tietotekniikasta ymmärtämätön jota pitäsi suojella, niin järjestäisin heille kotiin pienen Netgaten palomuurin (löytyy Suomestakin maahantuoja, mutta voi ostaa isoista kansainvälisistä verkkokaupoistakin). Konfiguroisin siihen yllä kerrotut DNS-estot TeamViewerille ym. muille etäkäyttöohjelmille ja hoitaisin itse omat tarpeet etäkäytölle ja -avustamiselle siten, että konfiguroisin palomuuriin VPN:n, jonka kautta pääsen kotiverkkoon kuin olisin siellä itse. Siitä sitten RDP:llä winkkarille, joka on auki vain sisäverkkoon.
DNS-estoa lukuunottamatta saman voi tehdä pienillä yrityspalomuureilla (Cisco, Juniper, FortiNet, mutta säännöissä voi käyttää vain FQDN:ää ilman ulkoista DNS-serverin virittämistä siihen tarkoitukseen. Palo Alto:lla voit tehdä, mutta hinta nousee puoleentoista tonniin pienimmässä purkissa, joten ehkä se ei olisi tarpeen ellei sitten muutakin jota vain siinä on tarvittaisi.
Linksys, Zyxel, D-Link, Buffalo ym. SOHO-routterit ja niiden 'palomuurit' samoin kun mitä on niiden WLAN-routterit jättäisin hyllyyn saman tien. Koska niiden laatu on mitä sattuu, softapäivitykset myös, VPN:t kökköjä eikä niistä näe tehtyjä muutoksia tai saa konfista ulos kun binäärinä, mikä vaikeuttaa migraatiota toiseen laitteesen joskus myöhemmin.
Päätelaitteisiin estävät säädöt GPO:lla, AppLockerilla, iOS MDM:llä ja macOS Configuratorilla, niin että ohjelmia ei voi asentaa. Päivitysten asennus ajastetusti tai vain ylläpitäjän toimesta.
Palomuurimestari
Mites windowsin oma palomuuri (tai laajennettu palomuuri).
Windowsissahan on oletuksena aina päällä ihan päteväksi kehuttu palomuuri. Sitähän voi myös säädellä.
Olisiko noita muutoksia mahdollista tehdä siihen, ilman että tarvitsisi ostaa mitään lisälaitteita?
Linuxissa ainakin onnistuu ihan miten tahansa estot. Eli siis tarkoitan RDP-protokollaan liittyen. Eli jos porttien tai ohjelmien sijaan estäisi protokollan.
Kaikkein yksinkertaisintahan on vain laittaa teamviewer silleensä windowsin palomuuriin estetyksi. Ongelma kuitenkin edelleenkin on, että teamviewer on yksi tuhannesta, joita nämä venkulat käyttää. Siksi pitää tehdä laajempaa estoa. Mahtaisiko windowsin palomuurista löytyä ihan suoraan RDP-esto?
Ilmoitukset pois päältä kyseiseen estoon liittyen niin kukaan ei siinä tilanteessa tiedä, miksi yhteys ei vain muodostu.
Nimetön sanoi...
Kyllä kyllä, mutta ymmärsitköhän ihan varmasti mitä yritin kertoa. Toivomaasi tapaa käyttää TeamVieweriä ja estää sen käyttöä huijarien toimesta ei tiettääseni ole.
Jos gpolla estetään sovelluksen suoritus niin sen voi kiertää muuttamalla sovelluksen nimen toiseksi. Ei tuo toki aukoton ole mutta, jos prosessi on muutenkin hiukan "vajaa" niin millä todennäköisyydelle soittaja oivaltaa heti, että muutetaanpas sovelluksen nimi. Ja jos lähtee sille tielle niin nimen muuttamisen opastukseen menee taas lisäaikaa.
@teemu
GPO:lla voi myös estää sen, että hakemistot johon käyttäjälle jätetään on kirjoitusoikeus ja johon hän voi(si) ladata verkosta yhtään mitään ei voi suorittaa ohjelmia, eikä voi siten asentaa mistään mitään, edes niihin hakemistoihin joihin hänellä on kirjoitusoikeus.
On toiminut jo 15v kun proverbiaalinen junan vessa.
Nimetön sanoi...
GPO:lla voi myös estää sen...
Lienee varmaan sitten makuasia miten eston toteuttaa.
Jos GPO:lla estetään ohjelmien lataaminen ja käynnistäminen, päivitykset vaikeutuvat mikä luo uuden uhkan.
@Peteri ja Teemu
Mahdatteko olla kuulleet hakukoneista? Mitäpä jos etsisitte
auto update gpo
vaikkapa googlen hakukoneella, kokeilkaa vaikka Chrome, Firefox jne. niin pääsette alkuun. Ohjeita löytyy kyllä helposti koska näitä suojauksia on käytetty pitkän yrityksissä ja päivitykset kulkevat hoituvat normaalisti.
Windowsilla on voinut todella pitkään pitää myös erillistä repositoryä, josta käyttäjät voivat oma-aloitteisesti käydä klikkaamssa ohjelmaa jota he tarvitsevat ja se asentuu ilman, että käyttäjällä on oikeuksia itse asentaa muualta yhtään mitään.
Jahas, siitä putosi sanan auto edestä pois ohjelman nimi, jonka bloggeri tulkitsi tägiksi. Joten edellä auto sanan eteen ohjelman nimi.
Nimetön sanoi...
Mahdatteko olla kuulleet hakukoneista? Mitäpä jos etsisitte
Ei sovellusten päivitykset nyt liittyy asiaan, kun kyse oli tietyn sovelluksen suorituksen estämisestä.
AppLocker tehdään Windowsin suojauskäytäntöjen kautta joten sekin pitää sitten ottaa käyttöön erikseen niissä Windows 10 Home koneissa.
https://www.majorgeeks.com/content/page/how_to_enable_local_security_policy_in_windows_10_home.html
Kirjoitin pienen ohjeen Windows Pro -koneen suojaamisesta ryhmäkäytännöllä TeamVieweria vastaan.
https://www.iltalehti.fi/tietoturva/a/4c4fdc57-4aeb-4f66-810e-8acccaee0ea1
Eipä sitä evoluution seuraavaa askelta tarvinnut kauaa odotellakaan.
Ei taida teamviewer kikat enää tuohon auttaa.
Juu, ei:
"BBC:n toimittaja kertoo saaneensa Microsoft-huijauspuhelun, jossa hän yritti saada huijareita kertomaan, mistä nämä olivat hänen numeronsa saaneet. Samalla hän pyysi, että soittajat ottavat hänet pois soittolistalta.
– Anna minulle 1000 puntaa, niin teen sen, huijari vastasi pyyntöön."
Olisiko operaattorien syytä nyt tehdä jotain?
Miiksi kaikkiin puheluihin pitäisi edes vastata. Mikään laki tai asetus ei velvota vastaamaan puhelimeen, ei vaikka kuka soittaisi. Vastaaminen on edelleen täysin vapaaehtoista.
Kannattaa miettiä onko tarvetta vastata vain niihin, joiden numeron on tallettanut. Jos on lääkärin soittoaika tms. vastava tilanne, niin silloin tuntemattomiin sen aikaa että saa sen puhelun, jos on myymässä jotain tuotetta niin sitten pyytää soittajaa tekstaamaan soittoajasta tai sanoo, että vastaan vasta toiseen soittoon kun ensimmäisestä on vaikkapa puoli tuntia. Tämä toteuttaa käytännössä GreyListing periaatteen eikä koijarien kanssa ole tarvetta haaskata aikaansa -- jos ei sitä halua.
Ihmisten tilanteet vaihtelee, jollekin vastaaminen on tärkeämpää kun toisille, mutta olisiko jo aika päästä siitä ajatuksesta että aina vastataan ja kaikille. Sitä sopisi kunkin itse miettiä.
Minä lyön luurin korvaan sen enempää selittelemättä kaikille kauppiaille ja huijareille tasapuolisesti, jos erehdyn jonkun puhelun läpi päästämään. Ja lisään samalla luurissa numeron listaan, joka ei hälytä (ei hälytysääntä eikä värinää). Poistan sitten lokista näitä Puhelimyyjä ja Huijari -soittoja, joskus kun on aikaa.
En minä avaa oveakaan tuntemattomille ovikellon soittelijoille. Ovisilmästä näen, onko sen näköinen että viitsin avata.
Se aika kun luuta oven raossa riitti on mennyttä kauan sitten.
Nimettömälle voisin kommentoida, että nykyisin on mahdollista jopa hieman automatisoida asiaa.
Kun kontaktilistan oikein kunnolla rakentaa, on mahdollista tehdä automatisoitua ja pikanäppäimellä toimivaa blockkia.
iPhonessa on tuntemattomien numeroiden esto, jonka voi kytkeä päälle. Samoin löytyy automaattinen mykistys haluamina kellonaikoina tai pikapainikkeilla. Kuitenkin tämän mykistyksen voi ohjelmoida niin, että "suosikki" soittajien puhelut tulee aina perille. Tietysti läheiset perheenjäsenet ja työasiat on merkitty suosikeiksi.
Illalla klo 23 puhelin menee automaattisesti mykistystilaan (pl nämä suosikit, jotka saa soittaa yötäpäivää vaikka jos jokin hätätapaus tulee). Aamuseitsemältä puhelin palautuu takaisin normaali-tilaan. Kaikki puhelut tulee läpi. Ohjauskeskuksessa on kuitenkin nappi, jolla tämän älykkään mykistystilan saa koska tahansa päälle. Kyljen nappulasta saa tietysti aina mykistettyä ihan kaiken, myös ne suosikit.
Uskoisin, että androidissa on jopa vielä monipuolisempi mahdollisuus tehdä asiaa.
Minulla on hieman uskoa, ettei nämä operaattorit ainakaan saa asioille yhtään mitään aikaiseksi muuta kuin puhuvat päät höpisee "pitäis tehrä jotain" ja sen jälkeen arki jatkuu ja keskittyvät taas siihen 5G:n myyntiin. Se on ainoa asia joka niitä oikeasti kiinnostaa.
Jos ne jotain olisivat tekemässä (muuta kuin selitellyt), ne olisi tehnyt sen jo aikoja sitten.
Ainoa mitä tulee tapahtumaan on kulttuurinmuutos yhdysvaltojen tyyliin. Soittoajat täytyy etukäteen aina sopia ja tähän on tottunut jopa virastot. Mihinkään oudon numeron puheluihin yksinkertaisesti ei vastata, ne kuitataan punaisella luurilla. Kommunikointi ystävien kanssa hoidetaan tekstareilla (kyllä, sielä eniten käytössä on tekstarit ja imessage - ei whatsapp yms). Sielä kulttuuri muuttui juuri tämän ongelman vuoksi ja ihmiset alkoivat yksinkertaisesti pelkäämään puhelimeen vastaamista. Siitä tuli iso ongelma kaikessa päivittäisasioinnissa.
Sain samanlaisen puhelun.
https://jpoli.blogspot.com/2021/03/huijaripuhelu-0527898104.html
Lähetä kommentti