Mitä liitteestä tutkitaan
- Virustorjunta: vertailu tunnettuihin haittaohjelmiin. Tehokas jo liikkeellä olevia vastaan, heikompi yhtä kampanjaa varten valmistettua tiedostoa vastaan.
- Office-makrot: Word- tai Excel-asiakirja, joka sisältää koodia ja pyytää ”ottamaan sisällön käyttöön” sen suorittamiseksi. Vanha mutta yhä käytetty kuvio.
- PDF: skriptit, piilotetut linkit ja lomakkeet, jotka ohjaavat väärälle kirjautumissivulle.
- HTML-tiedostot: selaimessa avautuva liite, joka jäljittelee kirjautumissivua kulkematta sivuston kautta, jonka voisi estää.
- Kuvat: linkin sisältävä QR-koodi tai kuvaan piilotettu teksti, jolla vältetään tekstianalyysi.
Kun liite arvioidaan vaaralliseksi, järkeviä vaihtoehtoja on kaksi: liite poistetaan ja viesti toimitetaan selittävän maininnan kera, tai koko viesti asetetaan karanteeniin. Kummassakaan tapauksessa tiedosto ei päädy työasemalle.
Linkit: toimitushetkellä ja klikkaushetkellä
Linkki analysoidaan viestissä: osoitteen ja verkkotunnuksen maine, samankaltaisuus tunnetun tuotemerkin kanssa, äskettäin luotu verkkotunnus. QR-koodi on erityinen ongelma: se siirtää linkin suojatulta tietokoneelta henkilökohtaiseen puhelimeen, joka on usein heikommin suojattu. Kun koodi luetaan kuvasta, linkki palaa tarkistuksen piiriin.
Kello 9 puhdas linkki voi kuitenkin olla haitallinen kello 14. Huijarit lähettävät ensin linkin vaarattomalle sivulle ja vaihtavat sivun, kun viesti on toimitettu. Tästä syystä tarvitaan suojaus klikkaushetkellä: linkki kirjoitetaan uudelleen niin, että se kulkee tarkistuksen kautta sillä hetkellä, kun käyttäjä klikkaa. Jos sivu on muuttunut vaaralliseksi, klikkaus pysäytetään, vaikka viesti on jo toimitettu.
Jakolinkit
Yhä useammassa haitallisessa viestissä ei ole liitettä lainkaan: ne ohjaavat tunnettuun tiedostonjakopalveluun tallennettuun asiakirjaan. Linkin verkkotunnuksella on silloin erinomainen maine, koska se kuuluu suurelle palvelulle. Analyysin on kohdistuttava muuhun: onko lähettäjä tavallinen, muistuttaako viesti kampanjaa, pyytääkö avattu sivu salasanaa? Tässä tarkistus klikkaushetkellä ja epätavallisen käyttäytymisen tunnistus painavat enemmän kuin vaarallisten verkkotunnusten luettelo.
Kiristyshaittaohjelma: mitä yhdyskäytävä voi tehdä ja mitä ei
Cybermalveillance.gouv.fr kuvaa kiristyshaittaohjelman hyökkäykseksi, joka estää pääsyn järjestelmään tai salaa tiedot ja joskus uhkaa julkaista ne lunnaita vastaan. Palvelu toteaa, että tunkeutuminen tapahtuu yleensä haavoittuvuuden tai huonosti suojatun etäyhteyden kautta tai tilin tai laitteen kaappaamisella tietojenkalastelun tai haittaohjelman avulla.
Sähköposti ei ole ainoa sisäänkäynti, mutta ANSSI nimeää sen ”työaseman tärkeimmäksi tartuntareitiksi”. Sama organisaatio mainitsee ”haitallisten liitteiden lähettämisen työaseman haavoittuvuuksien hyödyntämiseksi kiristys- tai vakoilutarkoituksessa”. Se on myös sisäänkäynti, jonka voi suodattaa ennen kuin se saavuttaa postilaatikon. Tyypillinen kulku sähköpostitse:
- viesti, jossa on liite tai linkki;
- käyttöön otettu makro tai väärälle sivulle syötetty salasana;
- pääsy verkkoon tai tileihin;
- myöhemmin, joskus viikkoja myöhemmin, tiedostojen salaus.
Esimerkki havainnollistukseksi. Työntekijä saa Word-muotoisen ”maksamattoman laskun”. Asiakirjassa näkyy sumea palkki, ja se pyytää ottamaan sisällön käyttöön lukemista varten. Jos hän tekee niin, makro lataa ohjelman, joka antaa pääsyn työasemaan. Palvelimen tiedostot salataan vasta myöhemmin. Jos liite poistetaan saapumisvaiheessa, tämä ketju ei ala; jos se pääsee läpi, kaikki riippuu siitä, ettei makroa oteta käyttöön, ja sitten varmuuskopiosta.
Yhdyskäytävä vaikuttaa ensimmäiseen vaiheeseen. Se ei näe etäyhteyden kautta tapahtuvaa tunkeutumista eikä tiliä, joka on jo avattu muualta varastetulla salasanalla. Se ei palauta mitään.
Cybermalveillance.gouv.fr suosittaa säännöllisiä varmuuskopioita, verkosta irrotettuja kopioita, tarkistettuja palautuksia ja viipymättä asennettuja päivityksiä. Se suosittaa myös olemaan maksamatta lunnaita. Tiedostojenne osalta aihetta käsitellään oppaassa dokumenttienhallinnan suojaaminen kiristyshaittaohjelmilta ja palautus.
Mikä jää ihmisen tehtäväksi
- Älä ota käyttöön sähköpostitse saadun asiakirjan makroja, vaikka se pyytäisi kohteliaasti.
- Älä syötä salasanaa sivulle, joka on avattu saadusta linkistä; käytä tavallista osoitetta tai kirjanmerkkiä. Cybermalveillance.gouv.fr neuvoo myös tarkistamaan sivuston osoitteen, jossa yksikin merkki voi olla eri.
- Älä skannaa sähköpostitse saatua QR-koodia ”kirjautuaksesi”.
- Ilmoita epäilyttävästä viestistä mieluummin kuin poistat sen: ilmoitus auttaa suodatinta ja varoittaa kollegoita.
- Älä vapauta karanteenista viestiä, jota et odottanut, vain nähdäksesi sen.
Kaiken analyysin rajat
- Lähettäjän salaama tiedosto: arkisto, joka on suojattu viestissä annetulla salasanalla, on suodattimelle lukukelvoton. Se on tunnettu välttämistekniikka; siihen vastataan säännöllä (karanteeni, varoitus) eikä sisällön analyysilla.
- Ennennäkemätön haitallinen asiakirja, jolla ei ole tunnettua tunnistetta, voi läpäistä virustorjunnan. Muut signaalit (lähettäjä, konteksti, makrot) ottavat silloin vastuun, ilman takuuta.
- Aito murrettu tili, joka lähettää todellisen mutta haitallisen laskun, hyötyy lähettäjän luottamuksesta.
- Jälkikäteen haitalliseksi muutettu linkki menee läpi, jos kukaan ei tarkista sitä uudelleen klikkaushetkellä.
- Sisäinen viesti, joka kulkee saman sähköpostijärjestelmän kahden postilaatikon välillä poistumatta siitä, ei kulje eteen sijoitetun yhdyskäytävän kautta: sen näkee sähköpostin oma suodatin tai ei kukaan.
Karanteeni on olemassa epäselviä tapauksia varten: viestiä ei toimiteta eikä se katoa. Katso Karanteeni, väärät positiiviset ja ilmoitukset.
Usein kysyttyä
Katoaako poistettu liite?
Viesti saapuu poiston selittävän maininnan kera. Jos liite oli aito, pääkäyttäjä tai vastaanottaja käyttää karanteenia: katso Karanteeni, väärät positiiviset ja ilmoitukset.
Voiko PDF todella olla vaarallinen?
Kyllä: se voi sisältää skriptejä tai ohjata väärälle kirjautumissivulle. Siksi se tarkastetaan kuten Office-asiakirja.
Miksi eilen tarkistettu linkki estetään tänään?
Sivu on muuttunut toimituksen jälkeen. Suojaus klikkaushetkellä arvioi sivun sillä hetkellä, kun avaatte sen.
Riittääkö yhdyskäytävä kiristyshaittaohjelmia vastaan?
Ei. Se kaventaa sähköpostin kautta kulkevaa sisäänkäyntiä. Päivitykset, etäyhteydet ja varmuuskopiointi hoitavat loput. Katso dokumenttienhallinnan suojaaminen kiristyshaittaohjelmilta ja palautus.
Klyticin asema
Klytic MTA:n toimintojen jako sen kahden paketin kesken julkaistussa muodossa:
| Analyysi | Essential | Advanced |
|---|
| Virustorjunta ja salattu karanteeni | Kyllä | Kyllä |
| Haitalliset Office-makrot ja PDF-tiedostot | Kyllä | Kyllä |
| Tietojenkalastelun torjunta, tuotemerkin väärentäminen, QR-koodit | Kyllä | Kyllä |
| Vaarallisten liitteiden poisto ja tiedote | Kyllä | Kyllä |
| Suojattu vapautus karanteenista ja ilmoitukset | Kyllä | Kyllä |
| Haitalliset HTML-tiedostot ja kuviin piilotettu teksti | Ei | Kyllä |
| Linkkien uudelleenanalyysi klikkaushetkellä | Ei | Kyllä |
Klytic MTA toimii minkä tahansa sähköpostin edessä ilman Klytic Mailia. Se ei korvaa tiedostojenne ja postilaatikoidenne varmuuskopiointia: Klyticillä siitä huolehtivat itse palvelujen varmuuskopiot, joita kuvataan sivulla Tietoturva ja varmuuskopiointi.
Lähteet
Tarkistettu lokakuussa 2026.
- Cybermalveillance.gouv.fr, ”Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?”: määritelmä, tunkeutumistavat (haavoittuvuudet, etäyhteydet, tietojenkalastelu, haittaohjelma), verkosta irrotetut ja testatut varmuuskopiot, päivitykset, lunnaiden maksamatta jättäminen. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, ”Que faire en cas de phishing ou hameçonnage ?”: linkin ja sivuston osoitteen tarkistaminen ennen tietojen syöttämistä. cybermalveillance.gouv.fr
- Klytic, Klytic MTA -sivu: liitteiden ja linkkien analyysit Essential- ja Advanced-paketeissa, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta. klytic.com
- ANSSI, ”Guide d’hygiène informatique”, versio 2.0, syyskuu 2017, toimenpide 24 ”Protéger sa messagerie professionnelle”: ”Sähköposti on työaseman tärkein tartuntareitti.” messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, toimenpideluettelo, toimenpide ”Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage”: ”Sähköpostijärjestelmät ovat yksi tärkeimmistä hyökkäysreiteistä, koska ne ovat hyvin laajasti käytössä ja alttiina internetille.” monservicesecurise.cyber.gouv.fr
- ANSSI, ”Recommandations relatives à l’interconnexion d’un système d’information à Internet”, ANSSI-PA-066, versio 3.0, 19. kesäkuuta 2020, luku 5 ”Sécurisation du service de messagerie électronique”: sähköpostista ”on tullut yksi tärkeimmistä tietoteknisten hyökkäysten reiteistä” (tietojenkalastelu, haitalliset liitteet); § 5.2.3, roskapostin torjunnan ja haitallisen sisällön etsinnän mekanismit ”on otettava käyttöön”. messervices.cyber.gouv.fr
