Antud peatükk annab ülevaate:

• Kes-keda-miks-mida ründab?
• Ründevektoritest
• Pettustest ja küberkuritegudest ning kahjust, mida see põhjustab
• Piraatlusest ja autorikaitsest

Ole kodus ja tööl turvaline!

Kes, miks, kuidas ja mida ründab?

Küberkurjategijaid on mitut liiki:

• Küberkurjategijad ehk tavalised kurjategijad, nende eesmärk ründamisel on eelkõige mingit liiki isikliku kasu saamine: rahaline, tähelepanu või reklaam. Küberkurjategijad ründavad nii tavakasutajaid, ettevõtteid kui ka riigiaparaati – kui leitakse, et on võimalik oma isikliku kasu saamiseks vajalikku tulemust saavutada, siis otsitakse, kas otsene sihtmärk või muu viis oma eesmärkide saavutamiseks.
• Häktivistid – isikud, kes soovivad eelkõige tähelepanu saavutada mingisuguse tegevuse või eesmärgi esile tõstmiseks või selle saavutamiseks. Häktivistid otsivad endale sihtmärgi vastavalt oma tegevuse soovitud lõppeesmärgile – selleks võivad olla nii ettevõtted kui riigiaparaat, aga teatud juhtudel ka tavakasutaja.
• Riigid, kes ründavad teisi riike (riigi ametnikke/sõjaväelasi jt) küberruumis ja kübervahenditega ning nende eesmärgiks on saada teatud liiki poliitilist või sõjalist kasu.

Küberkuritegevus võib tekitada peamiselt kolme liiki kahju: küberkurjategijad võivad varastada informatsiooni, väärkasutada identiteete ja informatsiooni või väärkasutada ressursse (arvutusvõimsust).

Ründevektorid

Kõik ülal loetletud ründajad kasutavad oma tegevuses erinevaid ründevektoreid. Ründevektor on arvutisüsteemi tungimiseks ja/või sinna kahjustava lasti (troojani, nuhkvara vms) paigutamiseks süsteemi nõrkuse ärakasutamise tee või vahend.

Ründevektoreid on äärmiselt palju, sest praktiliselt iga süsteemi osa on võimalik (vähemalt teoreetiliselt) erinevat moodi rünnata. Kui süsteemis on avastatud turvaauk, siis saab seda nõrkust kasutada ründevektorina. Turvaauk võib olla viga süsteemis või ka süsteemi loogikas. Näiteks võib juhtuda (kuigi ei tohiks), et netipoes saab tellida kaupa negatiivses koguses, näiteks -4 (miinus neli) telekat. Kui selline nõrkus on netipoe süsteemis avastatud, siis saab seda ära kasutada ründevektorina oma eesmärkide saavutamiseks. Võib-olla on süsteem ehitatud nii, et negatiivse koguse korral kantakse kauba n-ö ostmisel raha hoopis ostja kontole.

Tehniliste ründevektorite leidmisel otsitakse sageli viise süsteemi kasutamiseks, mille peale süsteemi loojad pole mõelnud. Näiteks võib olla võimalik droonide abil toimetada pealtkuulamisseadmed rünnatava organisatsiooni sisevõrku. Veel on võimalik nakatada kahjurvaraga mõni veebileht, mida potentsiaalne ohver suure tõenäosusega külastab. Kui vastav kahjurvara ohvri käest täiendavat tegevust (nt OK nupu vajutamist) ei nõua, siis on tegu vaatenakkusega (drive-by attack), mis toimub lihtsalt mingi selleks häkitud veebisaidi külastamisel või e-kirja (kirja enda, mitte enam manuse või lingi) avamisel (või isegi ühekordsel meiliteate rea klõpsamisel). Kahjurkoodi peitmiseks veebilehele on levinud märkamatu (peaaegu nähtamatu) alampaneeli loomine elemendina iFrame

Lisaks on mitmeid ründevektoreid, mis on seotud inimestega. Nimelt on sageli lihtsam inimest mõjutada, kui hakata masinatest turvaauke otsima ning see on ka küberkurjategijatele märksa odavam viis oma rünnakuid läbi viia. Üle 90% rünnetest toimub inimeste, mitte masinate vastu. Näiteks saab inimeselt küsida tundlikke andmeid e-maili teel (kalastus ehk phishing). Kui e-mail on loodud spetsiaalselt ühele kindlale inimesele, siis on tegu harpuunimisega (spearphishing). Muidugi on ka lihtsalt võimalik inimestele palju reklaamkirju saata, mida nad ei ole tellinud ega soovi saada (rämpspost ehk spam). Vaadake täpsemalt videost!

Nagu eelnevalt öeldud, on erinevaid ründevektoreid ja -meetmeid väga palju, täpsemalt tutvu nende kirjeldustega siin.

Pettused ja küberkuriteod

Erinevatel hinnangutel läheb küberkuritegevus maailmale maksma 600 miljardit dollarit aastas (info, jpm), s.o 1% ülemaailmsest SKP-st. Küberkuriteod on kuriteod, mis on pandud toime sidevõrkude ja infosüsteemide abil või nende vastu.

Küberkurjategijate tegevuse peamine eesmärk on teenida raha ning küberkuritegevus möödus hiljuti oma “kasumlikkuse” poolest narkokuritegevusest ja tõusis sellega esikohale kuriteoliikide seas. Kui kõige suurema osa küberkuritegudest moodustavad tänapäeval raha teenimise eesmärgil toime pandud kuriteod, ei ole see ainus motivatsioon – kuritegusid pannakse toime ka uudishimust või huligaansusest. Lisaks varalise kasu saamise eesmärgil toime pandud kuritegudele toimub küberruumis ka ebaseadusliku materjali levitamine, ahistamine, kelmus, inimeste mõjutamine, intellektuaalse omandi vargus jne.

Kõige üldisemalt võib küberkuritegusid liigitada kolmeks: 1) isikuvastased küberkuriteod; 2) omandivastased küberkuriteod; 3) riigivastased küberkuriteod.

Isikuvastased küberkuriteod sisaldavad endas erinevat liiki ahistamist, ebaseaduslikku ligipääsu seadmetele, finantskuritegusid, identiteedivargust jne. Omandivastased küberkuriteod on pahavara levitamine, intellektuaalomandi vargus, arvutiressursi vargus, arvutiressursi ebaseaduslik kasutamine jne. Riigivastased küberkuriteod on küberterrorism, rahapesu jne.

Videost näete, milline kuritegevus toimub Tumeveebis. Paljastusi jagab Radar (2018).

Mis on küberpettus? Missugust kahju see põhjustab?

Küberpettuse puhul on enamasti tegu kindlaks ülesandeks loodud ja disainitud pahavaraga. Selleks võib olla näiteks tarkvara, mis loob ebavajalikke võrguühendusi, et serverit koormata või tarkvara, mis kopeerib illegaalselt konfidentsiaalset informatsiooni ja saadab selle võrku. Lisaks võib küberpettusena käsitleda ka käsklust, mille sisestamisel käsureale või veebivormi midagi negatiivset ja ootamatud juhtub. Näiteks käsk, millega saab veebi kaudu andmebaasi ära kustutada. Samuti kasutatakse küberpettusena terminit “sotsiaalne manipulatsioon” (social engineering), mis on viis inimesi manipuleerida, eesmärgiga saada ohvritelt konfidentsiaalset infot või suunata neid tegema teatud kindlaid tegevusi. Enamikel juhtudel ei puutu ohver kunagi ründajaga näost-näkku kokku.

Näiteks Eesti Pangaliit on avanud eestikeelse lehe, kus nad tutvustavad enimlevinud pettuseid: https://pettuseinfo.ee/ 

Ülesanne

Avage veebileht https://www.scamwatch.gov.au/types-of-scams ja uurige:

• Millist liiki pettuseid on olemas ja tehke sellest ülevaade teistele (iga grupp valib erineva teema).
• Milliste pettustega olete ise või on sinu tuttavad kokku puutunud?
• Millest ei ole varem kuulnud? 

Petukirjad ja nende näited Eestist ja mujalt

Petukirjad võivad välja näha täiesti tavaliste kirjadena, kuid nad on tavaliselt lühikesed, sisaldavad kirjavigu või vale keelekasutust. Pettusele viitavad veel ka näiteks imelik saatja aadress, saatja nime ja aadressi erinevus, kirjavead saatja aadressis või kirjavead kirja sees. Samuti nõuavad petukirjad tavaliselt kiiret reageerimist ja sisaldavad mingit ähvardust (kui sa kohe kontot ei kinnita vajutades siia lingile, siis see suletakse; maksa raha, muidu avaldame video).

Kuidas pettusi ära tunda? Petukirjade puhul tuleb kindlasti pöörata tähelepanu saatja nimele ja aadressile. Kas need on korrektsed ning kas üks vastab teisele? Samuti tuleb tähelepanu pöörata õigekirjale – kuigi küberkurjategijad on muutunud ka eesti keeles professionaalsemaks, võib neis enamasti ikka leida õigekirja- või loogikavigu. Veel tuleks mõelda, kas kirja saatja (isegi, kui kiri tundub olevat legitiimsest allikast) ikka tõesti küsiks sellist informatsiooni e-kirja teel? Ka petulehtede puhul tuleb pöörata tähelepanu lehe aadressile, isegi täiesti õigena tunduva petulehe puhul võivad olla kirjavead (“o” või “0”, “1” või “l” jne). Samuti tuleb loogiliselt mõelda, kas üks või teine leht päriselt küsib infot, mida vastaval lehel küsitakse?

Üks levinud petukirjade alaliike on õngitsemine (ingl k phishing) ehk andmepüük. See on selline küberpettuse viis, millega üritatakse kasutajalt saada isiklikku või finantsilist informatsiooni. Õngitsemise eesmärk on teenida raha, võtta üle kasutaja konto või arvuti/nutiseade. Õngitsemine võib toimuda e-kirja, sotsiaalmeedia, veebilehtede või foorumite kaudu. Tavaliselt saadetakse ohvrile e-kirja manusena fail või veebilehe link, mida avades nakatub kasutaja arvuti pahavaraga või satub nakatunud veebilehele. E-kiri ja selle saatja (või lingi saatja sotsiaalvõrgustikus) sarnanevad tavaliselt usaldusväärsele allikale või isikule (nt pank, veebipood, ettevõte, aga ka tuttavad inimesed).

Petulehed

Petulehed võivad välja näha täiesti tavaliste veebilehtedena, kuid vaadeldes aadressiriba, esinevad selles tavaliselt vead või on aadressireal hoopis erinev aadress sellest, mis on kirjas lehel endal. Pettusele viitab ka see, kui selles küsitakse liiga palju detaile või nõutakse viivitamatut tegutsemist.

Kuidas pettusi ära tunda? Petulehtede puhul tuleb pöörata tähelepanu lehe aadressile, isegi õigena tunduva petulehe puhul võivad olla kirjavead (“o” või “0”, “1” või “l” jne). Samuti tuleb loogiliselt mõelda, kas üks või teine leht küsib ka kogu seda infot, mida vastaval lehel teilt küsitakse?

Ülesanne

Disaini petuleht. Ülesande eesmärk on analüüsida läbi erinevaid veebilehti (e-poode) ja nende alusel disainida kokku näide ühest kujundusest.

• Õpilased otsivad internetis erinevaid e-poode ja tutvuvad nende turvalisusega 5-10 minutit.
• Õpilased avavad enda oskustega vastavuses disainivahendi (Paint, tekstiredaktor, Inkscape, GIMP) Pixlr (Online) vms).
• Print Screen, lõikamise jt disainitööriistade kasutamise abil luuakse disain veebipoe esilehest, mis on ebaturvaline, aga püüab näida turvaline.
• Postitage loodud esilehe pilt foorumisse vastuseks.
• Kirjutage selgituseks, mis on loodud pildi-veebilehe juurde, mis tekitab võltsturvalisust ja mille järgi aru saab, et tegelikult see nii ei ole.

Ülesande sooritamisel on abiks:

• Näide veebilehest, mis tundub ja arvatavasti ka on ebaturvaline.
• Vihjed: https puudumine, toodete hinnad, “piiratud/limited” pakkumine jne.

Ülesanne

E-poodide lehekülgede turvalisuse testimine. Ülesande eesmärk on analüüsida ja testida erinevate e-poodide lehekülgede turvalisust järgneva lehekülje abil: https://www.scamadviser.com/

• Otsige internetis erinevaid e-poodide veebilehekülgi.
• Sisestage leitud e-poodide URL https://www.scamadviser.com/ veebliheküljele ja testi e-poe lehekülje turvalisust.
• Tutvustage tulemusi teistele.

Mida teha kui oled õngitsuslehele oma info sisestanud?

Kui oled seda teinud, siis vaheta kindlasti kohe ära oma vastava konto salasõna ja kui sul veel ei ole, aktiveeri kaheastmeline autentimine. Samuti mõtle, kas sul on sama salasõna kasutusel mõnes teises keskkonnas ning sellisel juhul vaheta ka sealsed salasõnad. Üldise märkusena: väldi samade salasõnade kasutamist erinevates keskkondades!

Kontode kaaperdamine

Ükskõik, millise konto  (e-postkast, sotsiaalmeedia vm) võivad kurjategijad varastada ning sellel on nende jaoks väärtus. Konto võidakse kaaperdada kas kasutaja poolt millegi tegemise võ millegi tegemata jätmise tagajärjel või teenusepakkuja küberründe ohvriks langemise tagajärjel. Kuidas aru saada, et sinu konto on kaaperdatud? Sotsiaalmeediakonto kaaperdamise puhul võivad sinu seinale ilmuda teated, mida sa ise kirjutanud pole või su tuttavad võivad saada teateid, mida sa ise kirjutanud ei ole. Samuti võid kuulda oma sõpradelt-tuttavatelt, et nad on saanud sinult teateid, linke või e-kirju, mida sa tead, et pole ise saatnud.

Kui avastad, et sinu konto on kaaperdatud, siis kõige esimese sammuna peaks kindlasti muutma ära vastava teenuse salasõna. Samuti tuleks muuta kõikide teiste keskkondade salasõnad, kui oled sama salasõna kasutanud ka mujal. Järgmise sammuna võiks teavitada sõpru-tuttavaid juhtunust ning seejärel eemaldada kõik postitused, mida sa ise pole teinud. Lisaks, kui sa seda juba teinud ei ole, on soovitatav võtta kasutusele kaheastmeline autentimine, mida paljud e-posti ja sotsiaalmeedia platvormid pakuvad.

Kui sulle tundub, et kellegi teise konto on kaaperdatud sealt saabuvate imelike sõnumite tõttu, tuleb kindlasti enne linkidele klõpsamist või manuste avamist järele mõelda, kas see inimene päriselt teeks selliseid postitusi, kas ta jagaks selliseid linke, kas postitus või e-kiri tundub õige olevat või kas inimene on tõesti reisil ja rahahädas. Kui kahtled, tasub võtta inimesega ühendust ja küsida järele. Ning igal juhul on mõistlik inimesele teada anda, et tema kontolt saabub imelikke teateid.

Mida saavad kurjategijad teha kaaperdatud meilikontoga?

Piraatlusest

Piraatlus on seotud autorlusega. Igal autoril on õigus saada oma loodu kasutamise eest tasu – tööandjalt või muud moodi, kui autor ei ole just andnud oma loomingut teistmoodi edasi jagamiseks. Näiteks võib autor loobuda oma teose autoriõigusest ja anda selle rahva ühisomandiks. Enamasti see nii aga ei ole, kuigi paljud autorid on nõus, et nende loodut kasutatakse tasu maksmata hariduses, näiteks õpetamisel või vahel ka äri tegemiseks, kui nende autorlusele on selgelt viidatud. Üks laiemalt levinud võimalus oma loodud sisu jagamise selgitamiseks on Creative Commons.

Uurige antud veebilehelt, millist liiki teose jagamise võimalusi on? Mida tähendavad pildil ära toodud märgendid  – kliki siia

 

Enamik inimesi kasutab tehnikat mõtlemata, kuskohast see tuleb, kes on selle loonud ja kas selle eest on ka keegi makstud. Paljud arvavad, et kui riistvara ehk seadme enda eest on makstud, siis sellest piisab. Tegelikkuses tuleb maksta ka tarkvara kasutuslitsentsi eest. Pea liiva alla peitmine ei ole lahendus! Ehk seda teemat ei tasu ignoreerida.

Näiteks Windows kuulub ettevõttele Microsoft ja kõik inimesed, kes seda kasutavad peaksid, olema litsentsi eest tasunud. Litsents annab teile õiguse seda kasutada just ainult selles konkreetses arvutis, mitte laenata seda oma sõpradele, müüa või kui te enam seda ei kasuta, siis ära kinkida. Täpselt sama lugu on Microsoft Office´ga, PhotoShop´ga kui ka paljude teiste asjadega, mida armastatakse kasutada.

Kui me teadlikult levitame või müüme autoriõigusega kaitstud teost (kirjandus-, kunsti– või teadusteos), siis on tegemist piraatlusega. Kõige sagedamini langevad piraatluse ohvriks muusikateosed, filmid, videomängud, arvutitarkvara. Piraatlus on õigusvastane tegevus ning on karistatav.

Laialdaselt on levinud selline piraatluse vorm, et üks tarbija ostab sisu ja 10 sõpra laevad endale sellest koopia. Tuleb tunnistada, et mida kallim on toote hind, seda suurem on kiusatus seda ka edasi jagada. See ei ole aga legaalne tegevus.

 

Kuidas valida legaalselt tarkvara:

• On olemas prooviversioone tarkvarast, mida saate kasutada näiteks 30 päeva tasuta. Samas te ei või kasutada seda tarkvara peale 30 päeva möödumist.
• On võimalus tarkvara osta, näiteks mitmetel toodetel on kooliversioonid, mis maksavad tunduvalt vähem kui täiskarbitoode. Vaata hindu siit: http://www.soft.ee/
• On võimalus kasuta tasuta tarkvara, nt MS Office asemel kasutatakse koolides sageli Libre Office´t või Windowsi asemel kasutatakse Linuxit.
• On võimalus osta legaalselt tasulist tarkvara.

Tarkvarapiraatluse varjuküljed on:

• tarkvaratootja ei saa oma toote eest raha = ta ei saa oma toodet edasi arendada, seega, kui ta läheb pankrotti, siis ei ole kellelgi enam võimalus antud toodet kasutada,
• allatõmmatav piraatkoopia on 99% tõenäosusega juba mõne viirusega nakatatud – seega annate ise kurikaeladele võimaluse oma arvutis tegutseda. Tasuta lõunaid ei ole olemas!
• teil endal on oht saada seaduse poolt karistatud ja jääda ilma oma arvutist (kontrolle teostatakse nt lennujaamas või merepiiril) või kui keegi kaebab teie peale, siis politsei tuleb koos BSAga kontrollima. Eriti kerge on jääda vahele, kui kuulutate avalikult, et kasutate teatud programme.

PS! Kui teil ei ole ostutšekki, siis on potentsiaalselt tegemist piraatlusega, sest kui tuleb kontroll ja teil ei ole tšekki ette näidata, siis eeldatakse, et te ei ole selle asja eest maksnud. Kui arvuti ostsite, siis peab olema ostutšeki peal märgitud, mille eest olete tasunud.

Mida teha, kui avastate, et teie arvutis on piraattarkvara? Võimalusi on erinevaid: a. legaliseerida ehk osta vajalik tarkvara; b. mitte kuulutada, et teie arvutis on illegaalne tarkvara (sh ei tasu kuulutada ka, et “oskan ja kasutan Photoshop´i”, sest see võib saada aluseks, et teie arvutit tuleb BSA kontrollima).

………………..

Üsna vähe räägitakse Eestis aga piraatlusest muusika või filmide allalaadimise võtmes. Tegelikkuses on tegemist täpselt samalaadse tegevusega, mis tarkvara (sh mängudega) seoses. Kui olete “koguja” ehk laete alla hulganisti muusikat, filme, seriaale ning jagate neid ka edasi teistele, siis hakkab teie tegevuse kohta politsei kindlasti huvi tundma. Soovitame muuta oma harjumust asju alla laadida ja kasutada pigem striimi ehk online-vaatamise võimalusi. Kui vaatate asja mõnelt veebilehelt, teenusest või Youtubest, siis see tegevus on legaalne. Saate kogeda kõiki asju nagu varem, aga ei sea ennast ohtu. Muidugi, kui antud teenus veebis on tasuline, siis tuleks selle eest ka maksta, mitte otsida viise, kuidas tasu maksmist vältida.

Näide: Taanis ja Inglismaal on ühe faili (pilt, video, helifail vm) puhul trahvi suuruseks ~2000 eurot. See oleneb kohtuotsusest. Mõned isikud on saanud trahvi vähem, mõned maksimumsumma ulatuses. Fakt on aga see, et failid tuleb koos trahvi tasumisega arvutist eemaldada. Kuna tegemist ei ole automatiseeritud protsessiga, siis enamasti võetakse teie arvuti politsei poolt ära ja kontrollitakse, kontrolli ajal te oma arvutit kasutada ei saa, samuti ei maksta kompensatsiooni (et te ei saa arvutit kasutada). Seega ei ole teil erilist kasu arvutist, mis seisab 1-2 aastat kusagil politseis arvel kui asitõend teie kohtujuhtumis.

Ülesanne

Võrrelge erinevaid tarkvarasid: Microsoft Office, Google Chrome, Microsoft Windows 10 OS, VLC media player, Adobe Acrobat Reader, iTunes, WhatsApp. 

• Mis litsents neile kehtib?
• Kust on võimalik neid legaalselt alla laadida?

Ülesanne

Tutvuge materjaliga “Autoriõigused?”: https://sisu.ut.ee/autorioigused

Lahendage e-testid, mis on antud lehel.

Vastake küsimustele:

• Kuidas võin teiste autorite töid kasutada?
• Millised on minu õigused autorina?
• Mis on avatud sisulitentsid?

 

Lisalugemiseks

• Ria blogi: https://blog.ria.ee/kuberturvalisuse-abc/
• Inforgaafik “Mis on sinu kodu nõrkused”: http://www.visualcapitalist.com/stop-home-iot-hacking/
• Internetipettuste kohta saab täpsemalt lugeda siit: https://et.wikipedia.org/wiki/Internetipettus 
• Autor ja tema õigused: https://eau.org/mis-on-autorioigus/
• BSA – The Software Alliance: https://www.bsa.org/
• Geenius, 2018 : BSA: 41% Eestis kasutatavast tarkvarast on piraattarkvara: https://geenius.ee/uudis/bsa-41-eestis-kasutatavast-tarkvarast-on-piraattarkvara/

Lisavaatamiseks

https://www.youtube.com/watch?v=_QdPW8JrYzQ&t=2s

Tagasiside on meile oluline

Andke oma kommentaar antud sisulehe kohta siin – kliki siia