Vahvista olevasi ihminen
Julkaistu 2026-09-12
Harvinaiseksi ovat käyneet nettisivut, jotka eivät pyytäisi vierailijaa vahvistamaan, ettei tämä ole robotti. Olen tunnistanut kuvista siltoja, liikennevaloja ja moottoripyöriä, liu’uttanut säätimiä ja kohdistanut palapelin palasia kyllästymiseen asti, joten tässä vaiheessa, kaikkien onnistumisten ja elettyjen vuosien jälkeen, olisi kurjaa saada tietää olevani botti. Harmittavampaa olisi ainoastaan se, että testi olisikin kiero huijaus, joka voi käynnistää haittaohjelman.
Kyberrikolliset ovat onnistuneet ujuttamaan haavoittuneille – siis ohjelmistoltaan päivittämättömille – nettisivuille Captcha- tai Cloudflare-tarkastusten näköisiä ClickFix-huijauksia, jotka muka erottavat ihmiset automaatiosta, vaikka niiden todellinen tarkoitus on varastaa arvokasta tietoa juksaamalla käyttäjä suorittamaan haitallista koodia. ClickFix ohjeistaa sivulle saapunutta toimimaan seuraavasti:
- Paina Win + R (tai Cmd + R) [Avaa suoritusikkunan.]
- Paina Ctrl + V (tai Cmd + V) [Liittää leikepöydälle tallentuneen haittakoodin.]
- Paina Enter [Suorittaa haittakoodin.]
Mitä haittakoodi tekee?
Käyttäjän suorittama koodi lataa hyökkääjän palvelimelta varsinaisen haittaohjelman, joka lähettää hyökkääjälle käyttäjän laitteelta löytyvät salasanat, evästeet ja tekoälyn kanssa käydyt keskustelut. Evästeet varastamalla hyökkääjä saa kloonattua pahaa aavistamattoman uhrinsa istunnot ja siten avattua ohituskaistan palveluihin ilman tarvetta syöttää salasanaa tai kaksivaiheisen tunnistautumisen koodeja. Kaapattuja tunnuksia voidaan hyödyntää sellaisenaan esimerkiksi tietojenkalasteluun ja identiteettivarkauksiin, ja sopivaa vipuvartta saattaa löytyä yrityssalaisuuksista tai terveystietoa sisältävistä keskusteluista chattibotin kanssa.
Suojautuminen ja tapahtuneen vahingon korjaaminen
Jos haittatoimija yrittäisi vastaavaa hyökkäystä suoraan omalta palvelimeltaan käsin, kohdelaitteen tai -verkon palomuuri todennäköisesti estäisi teon, mutta koska palomuuri on usein asetettu sallimaan kaikki lähtevä liikenne ja estämään kaikki saapuva liikenne, se ei ymmärrä huolestua, kun käyttäjän laite ottaakin itse yhteyttä hyökkääjään. Tekniset suojaukset ovat monesti niin vahvoja, ettei niiden murtamiseen kannata tuhlata aikaa, koska on paljon helpompaa saada käyttäjä tekemään virhe, esimerkiksi asentamaan yhteyksiä availevan takaportin. Käyttäjän suorittaessa toimet itse ja mahdollisesti vahvistaessa ne syöttämällä salasanansa ei pahiksen tarvitse tehdä muuta kuin nostaa jalat pöydälle ja nauraa matkalla verkkopankkiin. Käyttäjä on juuri todistanut olevansa tietoturvan heikoin lenkki: ihminen.
On mahdollista, ettei uhri saa koskaan tietää laitteellaan asuvasta haittaohjelmasta, mutta tunnusten hyväksikäyttö paljastunee tavalla tai toisella, vaikka ei silloinkaan välttämättä koko laajuudessaan. Jos on edes epäily infostealerin kohteeksi joutumisesta, kannattaa vaihtaa kaikki koneelle tallennetut salasanat sekä asentaa tietokoneen käyttöjärjestelmä uudestaan. Suosittelen lisäksi kirjautumaan kaikki mieleen muistuvat tunnukset ulos muilta laitteilta, mikä heittää kyberroiston ulos kyseisiltä tileiltä. Vain järeillä toimenpiteillä voidaan varmistaa, ettei tietomurtovarkaalla ole edelleen jalka takaoven välissä eikä myöskään ajantasaisia salasanoja taskussaan.
Osa huijauksista on toteutettu niin etevästi, että niiden tunnistaminen voi olla vaikeaa harjaantuneemmallekin silmälle. On kuitenkin yllättävän helppoa olla syöttämättä tuntematonta koodia koskaan ja minnekään, ja mikäli mahdollista, suoritusikkunan käyttö kannattaa estää kaikilta sellaisilta käyttäjiltä, jotka eivät sitä tarvitse. Väärinkäyttöä voi ehkäistä myös luomalla erillisen pääkäyttäjätunnuksen ja poistamalla omalta tunnukselta oikeudet esimerkiksi ohjelmien asentamiseen.
Ihmisyyden vakuutteleminen koneelle kerta toisensa jälkeen tuntuu turhauttavalta, mutta ainakaan se ei aiheuta vahinkoa samalla tavalla kuin ClickFixiin lankeaminen. Kannattaa siis oppia tunnistamaan huijaukset sen sijaan, että tottelisi ohjeita orjallisesti kuin robotti.