Taas huijausyritys, nyt Apple ID:n nimissä

19.12.2016 · Aihe: _ 

Sain tällaisen viestin sähköpostiini. Se oli ulkoasultaan parempi, kuin tähän kopioituna. Jos siinä ei olesi ollut yhtä ilmeistä käännösvirfhettä (click) olisin voinut mennä vipuunkin. Linkki johtu täsmelleen samanlaiselle sivulle kuin on Applella Apple ID:n hallitsemista, mutta osoite oli jotain aivan muuta. Varokaa näitä. Tässä yritettiin kalastaa nykyinen salasana, näin ainakin oletan.m

Hyvä asiakas
Pyysit äskettäin Apple ID:si salasanan nollausta. Suorita prosessi loppuun klikkaamalla alla olevaa linkkiä.
Nollaa nyt
Jos et tehnyt tätä muutosta tai uskot valtuuttamattoman henkilön käyttäneen tiliäsi, click välittömästi osoitteessa appleid.apple.com.  Tarkista ja päivitä tilisi turvallisuustiedot kirjautumalla sisään Apple ID.
Ystävällisin terveisin
Apple-tuki

Kommentit

16 Vastausta artikkeliin “Taas huijausyritys, nyt Apple ID:n nimissä”

  1. Ilari kirjoitti 19.12.2016 kello 11:55

    Tämä nimenomainen kalastelukampanja on ollut käynnissä jo ainakin 27.10.2016 lähtien. Silloin Viestintäviraston Kyberturvallisuuskeskus varoitti asiasta. Minulle näitä on tullut yhteen osoitteistani lähes päivittäin viime aikoina.

      (lainaa tätä viestiä vastaukseesi)

  2. psteknyo kirjoitti 19.12.2016 kello 12:02

    Poista tuo toimiva hyperlinkki, joka johtaa huijaussivulle.

      (lainaa tätä viestiä vastaukseesi)

  3. Osmo Soininvaara kirjoitti 19.12.2016 kello 12:16

    Poistin linkin. Olin mielestäni kokeillut, ettei linkki toimi, mutta perhana, toimi kuitenkin.

      (lainaa tätä viestiä vastaukseesi)

  4. Mikko Kiviranta kirjoitti 19.12.2016 kello 12:49

    Uudelleen, pidän tavattoman vaarallisena Nordean kampanjaa luopua pahvisista tunnuslukukorteista ja korvata ne älypuhelinsovelluksella. Pahvikortteja ei voi varastaa massoittain, mutta phishing-keinoilla tai silkkoja haavoittuvuuksia hyödyntämällä onnistuu.

    Nordea voi toki päättää ottaako se riskin menettää rahansa, mutta mielestäni Valtion pitäisi harkita kelpuuttaako se yhä Nordean pankkitunnukset vahvaksi tunnistautumiseksi ja allekirjoituksen veroiseksi oikeustoimissa. Jos sähköisesti allekirjoitettuja ja vahvistettuja testamentteja tai kiinteistökauppoja alkaa esiintyä laajoin mitoin, se on omiaan aiheuttamaan paljon epäjärjestystä ja horjuttaisi valtion legitimiteettiä.

    Varsinkin nyt kun Obama harkitsee kyber-vastatoimia ja Venäjä vasta-vastatoimia, maailmalla voi alkaa haittaohjelmat lentelemään semmoiseen tahtiin että että siitä selviävät vain yhteiskunnat jotka eivät ole ehdoin tahdoin maksimoineet omaa haavoittuvuuttaan.

      (lainaa tätä viestiä vastaukseesi)

  5. Olavi Heinonen kirjoitti 19.12.2016 kello 20:21

    Mielestäni Suomen ehdottomasti arvostetuin tietotekniikkaguru on monesti varoittanut tästä asiasta. Mutta iso raha puhuu ja kun se on saanut jotain päähänsä, niin härkäpäisesti ajetaan asiaa, vaikka kansalaisetkin näkevät atk-tekniikan haavoittuvuuden. Syykin on selvä, esim pankit rahastavat helpommalla voittojaan, kun asiakkaat itse hoitavat kaikki raha-asiansa mobiililaitteella, eikä pankin siksi kustannuksia säästäen tarvitse lähettää postitse pankkitunnuksia. Seuraava askel on ehkä, näiden Otto-automaattien vähentäminen ja lopulta poistaminen. Kuitenkin pankit perivät palvelumaksun asiakkaan itse tekemästä työstä. Pankkitoiminnanhan pitäisi olla palvelualan toimintaa! “Mistä löytyy vihdoin viisas, joka suuttuu”? Tämän viisauden lauloi jo Reijo Tani ja taisivat sanat olla Junnu Vainion kynästä, tosin kyse oli eri asiasta, mutta hyvin sopii nykypäivän pankkitoiminnan monopoliin!

      (lainaa tätä viestiä vastaukseesi)

  6. nsaspy kirjoitti 19.12.2016 kello 20:33

    Mikko Kiviranta:
    Uudelleen, pidän tavattoman vaarallisena Nordean kampanjaa luopua pahvisista tunnuslukukorteista ja korvata ne älypuhelinsovelluksella. Pahvikortteja ei voi varastaa massoittain, mutta phishing-keinoilla tai silkkoja haavoittuvuuksia hyödyntämällä onnistuu.

    Nordea voi toki päättää ottaako se riskin menettää rahansa, mutta mielestäni Valtion pitäisi harkita kelpuuttaako se yhä Nordean pankkitunnukset vahvaksi tunnistautumiseksi ja allekirjoituksen veroiseksi oikeustoimissa. Jos sähköisesti allekirjoitettuja ja vahvistettuja testamentteja tai kiinteistökauppoja alkaa esiintyä laajoin mitoin, se on omiaan aiheuttamaan paljon epäjärjestystä ja horjuttaisi valtion legitimiteettiä.

    Varsinkin nyt kun Obama harkitsee kyber-vastatoimia ja Venäjä vasta-vastatoimia, maailmalla voi alkaa haittaohjelmat lentelemään semmoiseen tahtiin että että siitä selviävät vain yhteiskunnat jotka eivät ole ehdoin tahdoin maksimoineet omaa haavoittuvuuttaan.

    menen osittain mukavuus alueen ulkopuolelle tässä kommentissa.

    en ole itsekään vakuuttunut nordean tunnuslukusovelluksen tietoturvasta, android ja muut voidaan kaapata haittaohjelmalla ja jos haittaohjelma tietää että älypuhelimessa on tunnuslukusovellus niin sitä voi jotenkin väärin käyttää. tosin tämän voi kiertää tunnuslukulaitteella jossa minun tietojen mukaan ei ole mitään nettiyhteyttä.

    tunnuslukusovellus on tällä hetkellä pääsyy miksi en tykkää nordeasta, on suunnitelmissa vaihtaa pankkia mutta tilanne on monimutkainen. tällä hetkellä olen ns pakotettu käyttämään tunnuslukusovellusta josta siis en tykkää. koska tunnuslukusovellus on saatavilla vain google play kaupasta (android) niin tämä pakottaa käyttämään google-tiliä joka on yksi massiivinen tietojen keräys fantasia. olin jokseenkin hetken aikaa onnistunut käyttämään android laitetta ilman google-tiliä (en suosittele peruskäyttäjille)

      (lainaa tätä viestiä vastaukseesi)

  7. Lauri R kirjoitti 20.12.2016 kello 0:42

    Kannattaa käyttää apple id yms palveluihin eri sähköpostiosoitetta kuin mitä yleensä käyttää. Itse keksin joka palvelulle uuden osoitteen. Jos tulee sitten mailia ko. palvelusta johonkin muuhun osoitteeseen, niin se on huijausta.

    Samalla tulee myös sekin etu että jos hakkerit saa sähköpostiosoitteen jostain murtautumalla, niin samaista osoitetta ei ole muualla käytössä, joten sen voi huoletta suodattaa roskiin.

      (lainaa tätä viestiä vastaukseesi)

  8. MrrKAT kirjoitti 20.12.2016 kello 1:05

    Kivirannalla on tärkeä pointti! Inhottaa että ensin älykänny oli vain uusi mahdollisuus ja muutama vuosi ja kohta se on pakkokeino. Siis varsinkin meille joille ei ole älykännyä vaan älykkäämpi tietokone …

      (lainaa tätä viestiä vastaukseesi)

  9. Ahistaa kirjoitti 20.12.2016 kello 8:40

    tai uskot valtuuttamattoman henkilön käyttäneen tiliäsi, click välittömästi osoitteessa appleid.apple.com, Tarkista ja päivitä tilisi turvallisuustiedot kirjautumalla sisään Apple ID

    Outo teksti. “Valtuuttamaton henkilö” kai kertoo, että kääntäjä osaa suomea suvereenisti mutta ei ole paljon välittänyt käännöksen laadusta. Unauthorized ei oikeasti käänny valtuuttamaton vaan luvaton. Apple ID:stä on jäänyt sijapääte pois ja click on jätetty kääntämättä.

    Usein nettihuijauksiin jätetään virheitä karsimaan normaaliälyiset pois. Huijarit eivät halua käyttää resursseja ihmisiin, jotka todennäköisesti haistavat huijausyrityksen jossain vaiheessa.

    Mutta jos joku menee halpaan huijareiden jättämistä ilmeisistä virheistä, vihjeistä, huolimatta, on todennäköisempää, että huijaus onnistuu. Heikkoälyinen uskoo huijauksen seuraavatkin, muille uskomattomat vaiheet.

    Tässä tapauksessa huijareiden tarkoitus on kalastaa AppleID:n lisäksi muitakin henkilökohtaisia tietoja, erityisesti luottokortin tiedot (kertoo nopea googlaus).

    Tosin epäselväksi minulle jää, miksi vältellä täyspäisiä tässä huijauksessa. Eihän AppleID:n tai luottokortin tietojen kalastelu vaadi paljon mitään resursseja sen jälkeen, kun huijaussivusto on tehty. Ehkä tarkoitus on löytää ihmisiä, joita hujarit voivat johdatella yhä syvemmälle huijareiden lonkeroihin. Ehkä toivotaan huijaussivustoille pidempää elinikää, kun huijatuksi tulevat ovat hitaammin regoivaa porukkaa.

    Englanninkielisessä versiossa on myös virheitä (hyvä asiakasomena, välilyönti puuttuu ja virke alkaa pienellä):

    Dear Customer Apple,

    You recently initiated a password reset for your Apple ID.to complete the process, click the link below and log in using your username and password.

    Reset now >

    This link will expire three hours after this email was sent.

    If you didn’t make this request, it’s likely that another user has entered your email address by mistake and your account is still secure. If you believe an unauthorized person has accessed your account, you can reset your password at My Apple ID.

    Apple Support

      (lainaa tätä viestiä vastaukseesi)

  10. Sepi kirjoitti 21.12.2016 kello 11:23
  11. Mikko Kiviranta kirjoitti 21.12.2016 kello 16:53

    Sepi:
    http://www.nordea.com/fi/media/uutiset-ja-lehdistotiedotteet/News-fi/2016/2016-06-15-tunnistautumisen-vaihtoehdot-sovellus-ja-kortti.html
    Nordea ainakin alkujaan uhkasi tuoda tarjolle erillisen tunnuslukulaitteen. Kysykää pankista.

    Kyllä, ja jos tunnuslukulaite olisi ainoa vaihtoehto, asiat olisivat turvallisemmassa jamassa kuin pahvikorttien kanssa.

    Mikäli en vaihda pankkia, hankin itselleni tuommoisen tunnuslukulaitteen, mutta se ei estä etteikö muista Nordea-asiakkaista yhä löytyisi 50 000 mobiilikäyttäjää kansalaisaloitteita tehtailevan botnetin pohjaksi. Tai pohjaksi botnetille joka tehtailee vääriä testamentteja, kiinteistö- ja autokauppoja semmoisessa laajuudessa että yhteiskunta menee sekaisin.

    Yleisesti ottaen olisikin erittäin fiksua eristää tunnistautumis- ja viestinsalausrutiinit omaan purkkiinsa jota ei netin yli maailman pari miljoonaa wannabe-hakkeria pääse kolkuttelemaan milloin vain ja mistä vain.

    Olen tässä haaveillut älykännykän korvaajaksi kännykänmuotoisesta kotelosta, jossa olisi omissa purkeissaan kameramoduli, puhelinsoittelumoduli, netissäsurffausmoduli ja ehkä GPS-navigaattorimoduli. Ennen vanhaan ne olivatkin eri laitteita, mutta teknologian kehittyminen on kutistanut jokaisen niin pieneksi että nehän hukkuisivat erillisinä taskunpohjalle.

      (lainaa tätä viestiä vastaukseesi)

  12. Osmo Soininvaara kirjoitti 21.12.2016 kello 22:20

    Onhan meillä mobiilitunnistautuminen nytkin kännykässä. Oikein kätevä muuten.

      (lainaa tätä viestiä vastaukseesi)

  13. tcrown kirjoitti 22.12.2016 kello 1:09

    Mikko Kiviranta: Olen tässä haaveillut älykännykän korvaajaksi kännykänmuotoisesta kotelosta, jossa olisi omissa purkeissaan kameramoduli, puhelinsoittelumoduli, netissäsurffausmoduli ja ehkä GPS-navigaattorimoduli. Ennen vanhaan ne olivatkin eri laitteita, mutta teknologian kehittyminen on kutistanut jokaisen niin pieneksi että nehän hukkuisivat erillisinä taskunpohjalle.

    Minä taas olen pohdiskellut, että mobiililaitteen käyttöjärjestelmä pitäisi voida virtualisoida laitteen sisällä kaikkine sensoreineen täysin skriptattavaan hiekkalaatikkoon, jolloin voisi viihdyttää itseään kertoilemalla googlen ja muiden algoritmeille tarinoita, jossa ensin vietän aikaa pääasiassa monacon rantalaiturin lähistöllä, sitten vähän aikaa yllättävän lähellä tiettyjä vankeinhoitolaitoksia, kunnes alan viettämään Kouvolan Prismassa n. 8 tuntia päivässä.

      (lainaa tätä viestiä vastaukseesi)

  14. spottu kirjoitti 22.12.2016 kello 11:17

    tcrown: Minä taas olen pohdiskellut, että mobiililaitteen käyttöjärjestelmä pitäisi voida virtualisoida laitteen sisällä kaikkine sensoreineen täysin skriptattavaan hiekkalaatikkoon, jolloin voisi viihdyttää itseään kertoilemalla googlen ja muiden algoritmeille tarinoita..

    Tai keräillä pokemonit emulaattorilla sohvannurkasta käsin.

      (lainaa tätä viestiä vastaukseesi)

  15. Mikko Kiviranta kirjoitti 2.1.2017 kello 14:27

    Onhan meillä mobiilitunnistautuminen nytkin kännykässä. Oikein kätevä muuten.

    Mobiilivarmenne on operaattorin toimittamalla SIM-kortilla, joten siinä on sentään mukana käyttäjän henkilöllisyyteen sidottua rautaa jota ei konna pysty nettiyhteyden yli muuttamaan.

    En tunne kuinka varmenne on toteutettu teknisesti, mutta siinäkään en ymmärrä että jos legitiimi käyttäjä pystyy tunnistautumaan palveluntarjoajalle X joka-kerta-saman PIN-koodin syöttämällä, miksei konna joka on orjuuttanut Android-järjestelmän voisi saada PIN-koodia keyloggerilla ja saada sitten kännykän esittämään loppukäyttäjää ihan minkä palveluntajoajan suuntaan hyvänsä?

    Juuri plarailin ESET-tietoturvafirman valkoistapaperia Xagent- ja Downdelph-haittaohjelmista, joita ilmeisesti Venäjä käytti USAn vaalien hakkeroinnissa, eikä plarailu lainkaan ole hyväksi paranoidin tunnetilan torjunnassa.

      (lainaa tätä viestiä vastaukseesi)

  16. Mikko Kiviranta kirjoitti 2.1.2017 kello 14:47

    Onhan meillä mobiilitunnistautuminen nytkin

    Mobiilivarmenne on operaattorin toimittamalla SIM-kortilla…

    Vielä jäi mainitsematta että mobiilivarmenne on tekstiviestipohjainen, ja toimii myös vanhoissa patukkapuhelimissa joihin ei (käsittääkseni) konna pysty haavoittuvuutta lisäämään pääsemättä fyysisesti puhelimeen käsiksi. Tai se toimisi kuvaamassani monen modulin kotelossa. Nordean tunnuslukusovellus on …öö… sovellus, joka etäasennetaan Play- tai Apple-kaupasta.

    Ongelma on taaskin se että älypuhelimessa pyörivät samassa raudassa toinen toistensa seassa paitsi jykevää tietoturvaa vaativa tunnistautuminen, myös ties mitkä haavoittuvat videokoodekit, kamerasovellukset, nettiselaimet ja käyttäjän latailemat katso-kissavideoita -appletit. Ja kaikkia noita päivittelevät ties mitkä ohjelmistontoimittajat netin yli, ynnä kolkuttelevat miljoonat wannabe-crakkerit. Potentiaalinen pinta-ala johon kohdistaa hyökkäykset on niin laaja että käy yhä mahdottomammaksi varmistaa etteikö jostain kohtaa jotain haavoittuvuutta löytyisi.

      (lainaa tätä viestiä vastaukseesi)

Jätä vastaus