Itä-Suomen yliopisto joutui kuluneen kesän aikana poikkeuksellisen laajan sähköpostikalastelun kohteeksi. Verkkourkintaan tähtääviä sähköposteja lähetettiin muun muassa yliopiston tietotekniikkapalveluiden nimissä väärennetyin lähettäjätiedoin ja allekirjoituksin.
”Kalastelijat pyrkivät saamaan tunnuksia ja sähköpostiosoitteita haltuunsa käyttääkseen niitä massaroskapostitukseen”, yliopiston tietoturvapäällikkö Olavi Manninen kertoo.
Mannisen mukaan heinä-elokuussa lähetetyt viestit oli selvästi kohdennettu juuri Itä-Suomen yliopistoon.
”Käyttäjät saivat kolmen viikon aikana monia erilaisia kalasteluviestejä eri otsikoin. Kalastelun aikana tietoturvaan liittyvien yhteydenottojen määrä nousi uusiin ennätyslukemiin, saimme käyttäjiltä lähes tuhat yhteydenottoa tai ilmoitusta.”
Ensimmäiset viestit tulivat ulkomaalaisesta sähköpostipalvelusta, jonka sähköpostiosoitteita oli todennäköisesti saatu haltuun aiemmalla verkkourkinnalla. Mannisen mukaan haittaa koitui lähinnä niille käyttäjille, jotka klikkasivat viesteissä ollutta linkkiä ja kirjoittivat sivulle tunnuksensa.
”Olemme vaihtaneet heidän tunnustensa salasanat tai sulkeneet tunnuksen väliaikaisesti. Lisäksi sähköpostin asetukset on jouduttu palauttamaan, ja heillä voi olla sähköpostissa satoja roskapostitukseen liittyviä virheilmoituksia tai valituksia roskapostia saaneilta henkilöiltä.”
Yliopiston tietoturvasta todetaan, että tällä kertaa tilanne näyttää olevan hallinnassa. Manninen kuitenkin muistuttaa, että kaikkia kalasteluviestejä ei pystytä koskaan estämään teknisin keinon.
”Olemme jonkinlaisessa kilpajuoksussa verkkorikollisten kanssa. Sitä mukaa kun ylläpitäjät kehittävät suojauskeinoja, rikolliset kehittävät omia menetelmiään. On tärkeää olla huolellinen ja varovainen, kun saat yllättävän tai epäilyttävän viestin.”
Manninen painottaa, että yliopiston tietotekniikkapalvelut ei koskaan lähetä käyttäjille viestejä, joissa pyydetään käyttäjiä kirjautumaan ulkopuolisiin osoitteisiin.
”Älä klikkaa viestissä olevaa linkkiä ennen kuin olet varmistanut viestin aiheellisuuden. Se, että viesti on lähetetty yliopiston sähköpostiosoitteesta ei takaa, että viesti on aiheellinen. Kyseessä voi olla kalasteltu yliopiston käyttäjän tunnus”, ohjeistaa Manninen.