Ensimmäinen valtiollinen kyberhyökkäys Suomea vastaan?

Tällä viikolla rävähti todellinen megaluokan tietoturvauutinen: Nordean mukaan sitä vastaan tehdyt palvelunestohyökkäykset ovat niin kehittyneitä ja pitkäkestoisia, että niiden toteuttaminen on maksanut kymmeniä miljoonia euroja. Koska pankilta ei ole kiristetty rahaa, taustalla täytyy olla valtiollinen toimija - ilmeisesti Venäjä? Lyhytkestoisia palvelunestohyökkäyksiä on ollut aina, mutta ne ovat lähinnä pr-toimintaa ja kiusantekoa. Tämä on jotain muuta.

Jos Nordean arvelut ovat totta, Suomen historiassa kääntyy uusi luku. Edellisestä valtiollisesta hyökkäyksestä Suomea vastaan on yli 80 vuotta.

Toisaalta tätä on osattu odottaa. Helmikuusta 2022 lähtien viranomaiset ovat valmistelleet suomalaisia itärajan takaa tulevaan kiusantekoon ja kyberhäirintään. Jos se nyt on vihdoin alkanut, miksi viranomaiset nyt ovat hiljaa? Pankkijärjestelmän jälkeen hyökkääjä saattaa iskeä muihin kansallisesti tärkeisiin kohteisiin.

Miksei kukaan sano mitään? Miksei Suomi reagoi millään tavalla ulospäin?

On vaikea uskoa, että pankki kertoisi tällaisia asioita ilman, että tiedottamisesta on sovittu viranomaisten kanssa. Nordean edustajat kävivät myös eduskunnan maanalaisessa turvahuoneessa kertomassa havainnoistaan kansanedustajille. Vaikka attribuutio ja syyllisen osoittaminen on vaikeaa, viranomaiset tietävät varmasti enemmän kuin haluavat kertoa. Nyt ilmassa on paljon kysymyksiä.

Sivujuonteena tähän liittyvät kotien älylaitteet, joiden tietoturvariskeistä mm. suojelupoliisi on varoittanut ainakin kahdesti.

Pankki on kertonut vain, että hyökkäysliikenteen volyymi on ollut 15-kertaista aiempaan nähden, ja että liikennettä on tullut Suomen ja Ruotsin sisältä niin, ettei tavanomaisia maaestoja liikenteen blokkaamiseen ole voinut käyttää.

Nyt olisi kiinnostavaa tietää, mitä tekniikkaa hyökkääjät ovat käyttäneet. Onko liikennettä luotu monistamalla sitä suojaamattomien kotireitittimien kautta vai ovatko hyökkääjät päässeet jotenkin käsiksi pilven kautta etäohjattaviin älylaitteisiin? Jälkimmäinen kuulostaa hankalalta, koska jokaisella älylaitteella on oma ohjaustapansa. 

Tiedot olisivat kuitenkin oleellisia suojautumisen kannalta. Jos Nordean syyttävä sormi osoittaa meihin suomalaisiin, pitäisi kertoa tarkemmin, miten toimitaan. Mitä laitteita hyökkäyksiin on valjastettu ja miten? Voisivatko operaattorit tunnistaa tällaisia laitteita myös hyökkäysten välillä ja informoida niistä kotitalouksia?

Tavanomainen "päivitä kaikki älylaitteet" on niin yleinen fraasi, ettei se aiheuta kodeissa mitään uusia toimia. Suoran hyökkäyksen alla tarvitaan täsmällisiä vastatoimia. Uutisoinnissa pankkia pommitettiin pesukoneilla, mutta tästä ei tietääkseni ole mitään näyttöä. Mistä siis pesukoneet tulivat otsikkoon?

Myös se mietityttää, onko kohteena tässä Suomi vai Ruotsi? Mikseivät edes Ruotsin viranomaiset sano mitään, vaikka heillä on FRA-urkinnan ansiosta paljon Suomea pidempi kokemus verkkoliikenteen seurannasta ja jäljittämisestä?

Nordean ulostulo ja viittaaminen kansalliseen turvallisuuteen jäi tasolle, jossa se lähinnä lisää huolta ja epävarmuutta. Juuri sitä, mihin hyökkääjä ehkä pyrkiikin.

Nyt jonkun viranomaistahon pitäisi kertoa lisää. 

Lisäys 18.10.2024: Poikkeuksellisen voimakas hyökkääjä, KRP tutkii asiaa. 

Kansalaisen informaatiopuolustus

Ukrainan traaginen sota on liimannut meidät suomalaiset netin ääreen ja saanut monet ahdistumaan omasta voimattomuudestaan. Pahempaa voi olla tulossa. Siksi muutama sana jokahenkilön informaatiopuolustuksesta.

Ensinnäkin tietoturva kuntoon. Tästä on puhuttu jo kyllästymiseen asti, mutta jos tiedät, että käytät jossain heikkoja salasanoja, kotiverkko on huonosti suojattu, kodin wifi-reititin päivittämättä tai yrityksen tietoturvakoulutus järjestämättä - nyt on viimeinen hetki hoitaa asia kuntoon.

Kyllä, myös kotiverkot. Digitaalisessa maanpuolustuksessa olemme kaikki etulinjassa. 

Anonymous-hakkeriryhmä on iskenyt Venäjälle ja tehnyt säröjä maan sensuurin muuriin. Pietarin pelätty trollitehdas on tähän asti joko talvilomalla tai keskittynyt kotimaansa "palvelemiseen", mutta jonkinlainen vastareaktio on varmasti tulossa. 

Venäläiset ovat hyökkääjiä, joten heillä ei ole uskottavaa tarinaa, jota he voisivat levittää länteen. Propagandan sijaan tulossa voi olla eripuran ja pelon lietsontaa. Siihen kannattaa varautua. 

Sodassa aseena on aina myös väärän tiedon levittäminen ja sen torjunta. Tässä sodassa sosiaalinen media on osoittanut mahtinsa, mutta sekään ei ole ongelmatonta. Älä jaa yhtään some-päivitystä eteenpäin ennen kuin olet pohtinut sen luotettavuutta. Hyvissä uutisissa houkutus on suuri, joten harkinnan säilyttäminen vaatii malttia.

Sisäinen riitely: nyt ei ole oikea aika pilkata ketään takinkääntäjäksi tai arvostella puolueiden vanhoja lausumia. Maailma on muuttunut, eikä vanhoilla virheillä ole nyt merkitystä. Pilkan sijaan tarvitsemme talvisodan yhteishenkeä. Arvioidaan vanhat synnit sitten, kun tilanne on rauhoittunut ja pöly laskeutunut. Nyt katsotaan eteenpäin.

Meillä on myös omat kotimaiset desanttimme, jotka pyrkivät vääristämään tilannekuvaa ja pelottelemaan ihmisiä. Johan Bäckmanin suoritus tällä alalla on kerrassaan hämmentävä. Twitter-viesteissään hän on uhkaillut, miten suomalaisille toimittajille opetetaan kohta käytöstapoja, ja miten Venäjän asevoimien kunnian (minkä?!) loukkaaminen on vakava rikos, joka koskee myös Suomen valtamedian toimittajia. Bäckman toimii vieraan maan puolesta tavalla, josta Venäjällä saisi välittömästi vankeutta.

Tulemme todennäköisesti kokemaan myös tietoturvahyökkäyksiä: kiristysohjelmia ja palvelunestoja. Viime viikolla Nordeaa vaivannut pitkäkestoinen palvelunestohyökkäys oli esimakua siitä, mitä voi olla tulossa.

Nordean verkkopankki etanan vauhdissa.

Verkkomaksut menivät läpi, mutta hitaasti ja vaativat useamman yrityksen.

Tuore uutinen kertoo, etteivät reittikoneet Savonlinnaan ole pystyneet laskeutumaan GPS-häiriöiden vuoksi. Kouvolan seudulla ilmenevä häiriö estää koneen lähestymisen Savonlinnan kentälle. Venäjä on häirinnyt GPS-yhteyksiä sotaharjoitustensa yhteydessä, joten epäilykset kohdistuvat nytkin siihen. Kyse voi olla Utin tai Vekaranjärven omasta toiminnasta, tai laittoman häirintälähettimen hankkineesta yksittäisestä kansalaisesta. 

Epävarmuudesta huolimatta kannattaa pitää pää kylmänä ja välttää hätäisiä johtopäätöksiä. Kaikki epäilyttävä ei johdu Venäjän toiminnasta. 

Eilen minulta kysyttiin, onko Venäjä iskenyt pääkaupunkiseudun Reittioppaaseen, koska se näytti Helsingistä olemattomia venäläisiä kadunnimiä. 

Vladimirinkatu, Helsinki

Kyse ei kuitenkaan ole informaatio-operaatiosta, vaan vanhoista kadun nimistä, jotka bugin vuoksi tulevat näkyviin HSL:n palvelussa. Toisaalta, juuri tällaisia temppuja saatamme jatkossa nähdä.

Jos koordinoit Ukraina-myönteistä toimintaa, kuten mielenosoituksia tai keräyksiä, älä tee sitä yksinomaan Facebookissa. Sen sivut voivat sulkeutua milloin tahansa tietoturvahyökkäyksen tai valheellisen ilmiannon vuoksi. Perusta sivut jollekin blogialustalle ja vain mainosta niitä Facebookissa. 

Lopuksi kannattaa vielä muistuttaa omasta henkisestä kestämisestä. Vaikka voimattomuus ahdistaa ja ihmisiä kuolee, elämä jatkuu muualla. Toivoa ei ole menetetty. Liiallinen doomscrolling (huonojen uutisten ahmiminen) lisää omaa pahoinvointia, mutta ei auta mitään. Sulje uutiset ja huolehdi sekä omasta että lähipiirin jaksamisesta. Vaarassa ovat varsinkin lapset ja nuoret, joilta ilmastonmuutos, kahden vuoden koronaeristys ja nyt lähelle tuleva sota uhkaavat viedä tulevaisuudenuskon ja elämänilon. Silloin Venäjä olisi voittanut meidätkin.

Tämä ei ole vielä ohi, ei lähimainkaan.

Lisäys klo 20.50: Spotify ei toimi. 

Spotify ei toimi, ei web eikä sovellus.

Mielenkiintoista. Stay tuned.

Lisäys 9.3.2022: Monien palveluiden yhtäaikaiset ongelmat johtuivat ilmeisesti Googlen pilven kuormantasausjärjestelmän ongelmista. Tämäkään ei siis ollut pelätty kyberhyökkäys länttä vastaan.

Lahden kyberhyökkäys ja torjunnan kustannukset

Kohta tulee kuluneeksi vuosi Lahden kaupunkia kohdanneesta tietoturvaongelmasta, jota hienommin kutsutaan kyberhyökkäykseksi. Onhan se paljon dramaattisempi kuin tietoverkkoon tunkeutuminen, tietomurto tai sähköinen vahingonteko.

Mitä Lahdessa tapahtui, on edelleen arvailujen varassa. KRP vetoaa tutkinnan keskeneräisyyteen eikä kerro yksityiskohtia. Emme siis tiedä, mikä haittaohjelma Lahdessa oli ja miten "kyberhyökkäys" toteutettiin. Emme voi siten myöskään ottaa oppia Lahden kokemuksista muutoin kuin yleisellä tasolla: laittakaa tietoturva ajoissa kuntoon. Jep.

Tutkinta on ollut kesken jo vuoden ajan, eikä KRP ole päässyt selville tekijän motiiveista, tuskin tekijöistäkään. Aktiivista tutkintaa tuskin on enää käynnissä, joten miksi tietoja pantataan edelleen? Milloin KRP aikoo kertoa sen vähän, mitä on saanut selville?

Ei ottanut kokemuksista oppia Lahti itsekään. Vähän aikaisemmin (helmikuu 2018) kunnan verkkopalvelimelle oli ujutettu Monero-kryptovaluutan louhintaohjelma. Ylläpito joutui katkaisemaan varotoimenpiteenä verkkoyhteydet, mikä tuotti suuria vaikeuksia mm. terveydenhuollon ja kirjastojen it-järjestelmille.

Siksi hämmästyin, kun MTV oli tänään kutsunut Lahden kaupunginjohtajan aamutelevisioon ja tehnyt viime kesän hyökkäyksestä uutisen. Sen mukaan hyökkäys ja sen selvittely aiheuttivat kaupungille miljoonan euron vahingot:

"Olemme jälkikäteen arvioineet, että noin 300 000 – 400 000 eurolla hyökkäys olisi estetty. Tämä sisältää vakavan opetuksen kaikille suomalaisille kunnille siitä, mikä merkitys tietoturvalla ja turvallisella yhteiskunnalla on."

Miten tämä pitäisi ymmärtää? Kaupungin pitää joka tapauksessa varmistaa tietojärjestelmiensä turvallisuus. Kyse ei ole mistään "estosta", vaan normaalista koulutuksesta, ohjeistuksesta ja tietoturvasta, jonka jokainen yritys ja organisaatio joutuu huomioimaan. Ei tämä voi tulla yllätyksenä.

Erityisen noloa esto on Lahdelle, joka ei ilmeisesti oppinut helmikuun 2018 tapahtumista riittävästi.

Jos viime kesän hyökkäyksessä oli jotain uutta ja erikoista (olihan se oikein kyberhyökkäys), tuntuu kohtuuttomalta panostaa torjuntaan 30-40 prosenttia vahingon hinnasta. Ottaisitko sinä 10 000 euron autoon 3-4 000 euron vakuutuksen? Joka kolmannen suomalaisen kunnan pitäisi joutua hyökkäyksen uhriksi, jotta 30-40 % panostus vahingon arvosta olisi kansantaloudellisesti perusteltua.

Emme tiedä, oliko Lahden tietoturvassa puutteita, vai oliko hyökkäys todella niin kehittynyt, että sen torjunta olisi vaatinut erityistoimia. Emme tiedä, mihin 300 000 - 400 000 euroa olisi pitänyt panostaa ja miksei Lahti tehnyt niin. Summa kuulostaa todella korkealta, etenkin kun haastattelussa mainitut keinot olivat yksinkertaisia ja halpoja, kuten salasanojen vahvistaminen. Eikö käyttäjiä oltu aiemmin varoitettu ja koulutettu lainkaan? Keksittiinkö Lahdessa tietoturva vasta nyt?

Emme tiedä muuta kuin että shit happened.

Rakenna tässä nyt sitten luottamusta suomalaiseen it-osaamiseen ja sähköiseen asiointiin. Sitä luodaan avoimuudella, ei salailulla.

Lisäys 22.6.2020: Australiassa on ollut oikea kyberhyökkäys. Näkisin hyvänä, että termi säästettäisiin tällaiseen käyttöön. 

Kuinka pakottaa Suomi polvilleen?

Puolustusasiat ovat niin tärkeitä, ettei niihin kaivata maallikoiden mielipiteitä. Sotilaat tietävät parhaiten, mitä vastapuolen sotilaat ajattelevat. Siksi kansanedustajatkin ovat asiasta poikkeuksellisen yksimielisiä.

Kaikesta huolimatta annan nyt mielikuvituksen lentää. Pontimena oli viime viikon A-talkin keskustelu. Hävittäjäkauppaa analysoimaan studioon oli kutsuttu neljä mieskansanedustajaa, jotka kaikki olivat samaa mieltä: uudet hävittäjät tarvitaan, eikä taloustilanne saa vaikuttaa.

Sotilaalliset uhkakuvat tulevat historiasta. Jos Suomea vielä joskus kohtaa aseellinen konflikti, se on todennäköisesti aivan erilainen kuin mihin olemme valmistautuneet. Digitalisaatio on mullistanut myös sodankäynnin. Uusia hävittäjiä tarvitaan tunnistustehtäviin, elektronisen sodankäynnin ja tiedustelun alustaksi ja kansaa hurmaaviin lentonäytöksiin, mutta lentokone lentokonetta vastaan (dog-fight) on äärimmäisen epätodennäköinen. Viimeksi sellainen nähtiin kai 1990-luvun lopulla Balkanin sodassa.

Hyökkääjän kannalta paras sota on sellainen, jota ei tarvitse käydä, tai ainakin joka voitetaan ilman aseellista yhteenottoa. Miksi lähettää armeija taisteluun, joka tulee kalliiksi ja uhraa sotilaita, jos vihollinen saadaan taipumaan tahtoon muilla keinoilla?

Näiden keinojen torjumiseen pitäisi panostaa huomattavasti nykyistä enemmän. Kyse on tietenkin kyberturvallisuudesta ja nettivaikuttamisesta, karkeimmillaan trollauksesta mutta myös sen monista hienostuneemmista muodoista, joita emme useinkaan edes havaitse.

Yhdysvallat on hyökännyt useita kertoja häpeilemättä ja avoimesti mainostaen Iranin tietojärjestelmiin. Hiljattain Iran iski vuorostaan Israeliin ja päinvastoin. Financial Timesin juttu tapahtumista on kiinnostava. Molemminpuolisista hyökkäyksistä huolimatta en huomannut, että asiaa olisi Suomen mediassa noteerattu lainkaan.

Kyse olikin lähinnä koputtelusta: tiedämme, missä asut -- käyttäydy siivosti. Muuten iskemme oikeasti.

Harva ymmärtää, miten haavoittuva nykypäivän Suomi on. Yhteiskunnan ja talouden toiminnot ovat erittäin keskittyneitä. Esimerkiksi lääkehuolto on kahden yhtiön varassa. Niistä toisen varasto on Espoossa, toisen Tampereella. Viimeksi kun kävin paikalla, oli vielä rauhallista:

Puolet Suomen lääkehuollosta.

Matalalla lentävät risteilyohjukset, räjähteillä lastatut lennokkiparvet tai ballistiset ohjukset ovat liki mahdottomia torjua uusimmillakaan hävittäjillä (esim. tämä 10-kertaisella äänennopeudella lentävä hypersoninen Kinzhal). Syksyllä 2017 saimme esimakua siitä, mitä lääkehuollon katkeaminen voi aiheuttaa. Silloin kyseessä oli vain tahaton tietojärjestelmähäiriö Oriolan tehtaalla, mutta sen vaikutukset kestivät kuukausia ja Suomi pelastui vain, koska Tamro pystyi paikkaamaan osan kilpailijansa jakelusta.

Sähkönjakelu on toinen herkkä kohta. Muutama keskeinen runkolinja tai ison voimalan tuhoaminen syöksisi Suomen kaaokseen. Kotirintama ei kestäisi lääkehuollon ja sähkön loppumista. Toisin kuin talvi- ja jatkosodissa, maalle ei voi enää paeta.

Päivittäistavarakauppa on sekin kahden suuren keskusliikkeen hallussa. Yhden jättivaraston lamauttaminen saisi vessapaperin oikeasti hupenemaan kaupoista. Maaliskuussa näimme, mitä pelkkä epäily wc-paperin saatavuudesta riittää aiheuttamaan.

Maaliskuussa hamstrattiin wc-paperia Triplan City-Marketissa.

Jos tilanne kiristyisi ja Suomi haluttaisiin polvilleen, vihollinen voisi tuhota aluksi yhden voimalan tai varaston, ja kysyä sen jälkeen, vieläkö halutaan jatkaa. Mitä vastaisimme? Olisiko miljardien sotakoneista apua?

Some-keskustelussa sain kuulla, että tällainen skenaario on ihan typerää, eihän Syyriaa tai Irakia ole lannistettu muutamalla ohjuksella. Ei, koska ne eivät olleet kehittyneitä länsimaita, joissa kaikki toiminta on keskitetty ja riippuvuus sähköstä/nettiyhteyksistä täydellistä. Syyria, Irak ja muut kriisialueet ovat resilienttejä, koska väestö on tottunut kestämään kovia. Siksi Yhdysvallat ja Venäjä käyttävät aluetta oman sotatekniikkansa myyntinäyttelynä.

Suomen tilanne olisi pahan päivän tullen aivan erilainen.

Suomalaisten turvallisuusajattelua ohjaavat talvi- ja jatkosodan muistot. Venäjällä historian painolastina ovat niin mongolien, Napoleonin kuin Natsi-Saksankin hyökkäykset; nykyisin pelko Naton piirittämästä karhulinnakkeesta. Tämän muistaen parantaisiko USA:n uusimpien hävittäjien tuominen rajalle todella Suomen turvallisuutta?

Toivottavasti pahaa päivää ei koskaan tule. Toivottavasti osaamme varautua oikeanlaisiin uhkiin, emmekä tuijota yksinomaan peräpeiliin.

Jk. Fingridin sivu (grafiikka aivan sivun lopussa) antaa reaaliaikaisen tilannekuvan Suomen sähköntuotannosta. Nytkin, kesäkuun alussa, olemme täysin tuontisähkön varassa.

Sähkön tuonti ja vienti perjantaina 5.6.2020 klo 16.30

Petya näyttää olevan oikea kyberhyökkäys

Media viljelee mielellään kyberhyökkäys-sanaa, koska sen avulla otsikoista saa dramaattisempia. Tuore Petya (Petja) kiristysohjelma vaikuttaa kuitenkin olevan aito kyberhyökkäys, jonka toimintaa ja vaikutuksia kannattaa seurata tarkasti.

Monet seikat viittaavat siihen, ettei kiristyksen takana tällä kertaa ole pelkkiä rikollisia, vaan ohjelmalla haetaan jotain muuta:

• Petya laitettiin levitykseen murtautumalla Ukrainassa yritysten käyttämän verosovelluksen valmistajan verkkoon. Näin ohjelma saatiin levitettyä nopeasti yrityksiin. Murto tehtiin niin taitavasti, että päivitykset levittivät sen uhreille ennen kuin yhtiö itse huomasi tapahtunutta.
• Yrityskäyttäjien näkökulmasta vaadittu 300 euron lunnassumma on mitättömän pieni. Aiemmat kiristäjät ovat vaatineet 1-3 bitcoinia, mikä vastaisi nykykurssilla 2000-6000 euroa. Miksi rikollinen kiristäjä tyytyisi näin pieneen summaan?
• Maksaminen on tehty vaikeaksi, koska käytössä on vain yksi bitcoin-osoite ja yhteystietona annetaan ilmainen sähköpostiosoite (joka on jo suljettu). Oikeat rosvot tekevät maksamisesta mahdollisimman helppoa. 
• Vaikka uhri maksaisi, siitä ei ole apua, sillä alkuperäisestä Petya-kiristäjästä poiketen uusi versio tuhoaa kiintolevyn alun pysyvästi. 

Petya leviää tekniikoilla, joita käytetään vain yritysverkoissa. Sen tavoitteena näyttää siis olevan puhtaasti yritysten liiketoiminnan vahingoittaminen. Lunnasvaatimus on pelkkää kosmetiikkaa, jolla häivytetään hyökkääjien todellisia tarkoitusperiä.

Kaiken lisäksi samana aamuna, jolloin Petya alkoi levitä, Ukrainan sotilastiedustelun eversti surmattiin autopommilla.

Ukrainalainen softavalmistaja ja kansallisesti käytetty ohjelmisto, ukrainalaiset yritykset, ukrainalainen eversti... en usko kaiken olevan sattumaa. Petya on oikea kyberhyökkäys, jonka tavoitteena on vahingoittaa yhtä maata. Tästä voi päätellä sen, millaiset voimat ovat hyökkäyksen takana.

Meille muille Petya on erinomainen oppitunti kyberturvallisuuden merkityksestä. Entä jos hyökkäys olisi tehty suomalaisten yritysten käyttämän softan kautta? Miten paljon Suomen talous ja kansalaisten arki olisivat kärsineet? Panostammeko tarpeeksi digitaaliseen maanpuolustukseen, vai ovatko uhkakuvamme edelleen talvisodan vankeja?

Yksi tärkeä oppi liittyy päivityksiin. Petya osoittaa, että ne voivat olla myös vaaraksi. Asiakkaat luottavat, että päivityksen koneeseen tuoma koodi on turvallista ja sallivat sen ajamisen (toisin kuin sähköpostin tuomien tiedostoliitteiden!), mutta jos softan tekijän omiin järjestelmiin on murtauduttu, päivitykset itsessään ovat haittaohjelma. Tunnollinenkaan päivittäminen ei siten takaa tietoturvaa.

Lisäys klo 23: F-Securen tutkija varoittaa tekemästä hätäisiä johtopäätöksiä kyberhyökkäysteoriasta. Tällainen harkinta ja varovaisuus on esimerkillistä ja alan yhtiöille aivan liian harvinaista. Mutta olipa tässä kyse todellisesta hyökkäyksestä tai ei, tapaus on erittäin opettavainen, sillä juuri näin hyökkäys kannattaisi tehdä (ja kääntäen juuri tällaisiin yritysten/yhteiskunnan pitäisi pystyä varautumaan).