Taas huijausyritys, nyt Apple ID:n nimissä

Sain täl­laisen viestin sähkö­posti­i­ni. Se oli ulkoa­sul­taan parem­pi, kuin tähän kopi­oitu­na. Jos siinä ei ole­si ollut yhtä ilmeistä kään­nösvirfhet­tä (click) olisin voin­ut men­nä vipu­unkin. Link­ki johtu täs­melleen saman­laiselle sivulle kuin on Applel­la Apple ID:n hal­lit­semista, mut­ta osoite oli jotain aivan muu­ta. Varokaa näitä. Tässä yritet­ti­in kalas­taa nykyi­nen salasana, näin ainakin oletan.m

Hyvä asi­akas
Pyysit äsket­täin Apple ID:si salasanan nol­laus­ta. Suori­ta pros­es­si lop­pu­un klikkaa­mal­la alla ole­vaa linkkiä.
Nol­laa nyt
Jos et tehnyt tätä muu­tos­ta tai uskot val­tu­ut­ta­mat­toman henkilön käyt­täneen tiliäsi, click välit­tömästi osoit­teessa appleid.apple.com.  Tark­ista ja päiv­itä tilisi tur­val­lisu­ustiedot kir­jau­tu­mal­la sisään Apple ID.
Ystäväl­lisin terveisin
Apple-tuki

16 vastausta artikkeliin “Taas huijausyritys, nyt Apple ID:n nimissä”

  1. Tämä nimeno­mainen kalastelukam­pan­ja on ollut käyn­nis­sä jo ainakin 27.10.2016 läh­tien. Sil­loin Viestin­tävi­ras­ton Kyber­tur­val­lisu­uskeskus varoit­ti asi­as­ta. Min­ulle näitä on tul­lut yhteen osoit­teis­tani läh­es päivit­täin viime aikoina.

    Vastaa

  3. Uudelleen, pidän tavat­toman vaar­al­lise­na Nordean kam­pan­jaa luop­ua pahvi­sista tun­nus­lukuko­rteista ja kor­va­ta ne äly­puhe­linsovel­luk­sel­la. Pahviko­rt­te­ja ei voi varas­taa mas­soit­tain, mut­ta phish­ing-keinoil­la tai silkko­ja haavoit­tuvuuk­sia hyö­dyn­tämäl­lä onnistuu.

    Nordea voi toki päät­tää ottaako se riskin menet­tää rahansa, mut­ta mielestäni Val­tion pitäisi harki­ta kelpu­ut­taako se yhä Nordean pankki­tun­nuk­set vah­vak­si tun­nistau­tu­misek­si ja allekir­joituk­sen veroisek­si oikeustoimis­sa. Jos sähköis­es­ti allekir­joitet­tu­ja ja vahvis­tet­tu­ja tes­ta­ment­te­ja tai kiin­teistökaup­po­ja alkaa esi­in­tyä laa­join mitoin, se on omi­aan aiheut­ta­maan paljon epäjärjestys­tä ja hor­jut­taisi val­tion legit­imi­teet­tiä.

    Varsinkin nyt kun Oba­ma hark­it­see kyber-vas­ta­toimia ja Venäjä vas­ta-vas­ta­toimia, maail­mal­la voi alkaa hait­tao­hjel­mat lentelemään sem­moi­seen tahti­in että että siitä selviävät vain yhteiskun­nat jot­ka eivät ole ehdoin tah­doin mak­si­moi­neet omaa haavoittuvuuttaan.

    Vastaa

  4. Mielestäni Suomen ehdot­tomasti arvoste­tu­in tietotekni­ikk­agu­ru on mon­esti varoit­tanut tästä asi­as­ta. Mut­ta iso raha puhuu ja kun se on saanut jotain päähän­sä, niin härkäpäis­es­ti aje­taan asi­aa, vaik­ka kansalaisetkin näkevät atk-tekni­ikan haavoit­tuvu­u­den. Syykin on selvä, esim pankit rahas­ta­vat helpom­mal­la voit­to­jaan, kun asi­akkaat itse hoita­vat kaik­ki raha-asiansa mobi­ililait­teel­la, eikä pankin sik­si kus­tan­nuk­sia säästäen tarvitse lähet­tää pos­titse pankki­tun­nuk­sia. Seu­raa­va askel on ehkä, näi­den Otto-automaat­tien vähen­tämi­nen ja lop­ul­ta pois­t­a­mi­nen. Kuitenkin pankit perivät palvelumak­sun asi­akkaan itse tekemästä työstä. Pankki­toimin­nan­han pitäisi olla palvelu­alan toim­intaa! “Mis­tä löy­tyy vih­doin viisas, joka suut­tuu”? Tämän viisauden lauloi jo Rei­jo Tani ja taisi­vat sanat olla Jun­nu Vain­ion kynästä, tosin kyse oli eri asi­as­ta, mut­ta hyvin sopii nykypäivän pankki­toimin­nan monopoliin!

    Vastaa

  5. Mikko Kivi­ran­ta:
    Uudelleen, pidän tavat­toman vaar­al­lise­na Nordean kam­pan­jaa luop­ua pahvi­sista tun­nus­lukuko­rteista ja kor­va­ta ne äly­puhe­linsovel­luk­sel­la. Pahviko­rt­te­ja ei voi varas­taa mas­soit­tain, mut­ta phish­ing-keinoil­la tai silkko­ja haavoit­tuvuuk­sia hyö­dyn­tämäl­lä onnistuu.

    Nordea voi toki päät­tää ottaako se riskin menet­tää rahansa, mut­ta mielestäni Val­tion pitäisi harki­ta kelpu­ut­taako se yhä Nordean pankki­tun­nuk­set vah­vak­si tun­nistau­tu­misek­si ja allekir­joituk­sen veroisek­si oikeustoimis­sa. Jos sähköis­es­ti allekir­joitet­tu­ja ja vahvis­tet­tu­ja tes­ta­ment­te­ja tai kiin­teistökaup­po­ja alkaa esi­in­tyä laa­join mitoin, se on omi­aan aiheut­ta­maan paljon epäjärjestys­tä ja hor­jut­taisi val­tion legit­imi­teet­tiä.

    Varsinkin nyt kun Oba­ma hark­it­see kyber-vas­ta­toimia ja Venäjä vas­ta-vas­ta­toimia, maail­mal­la voi alkaa hait­tao­hjel­mat lentelemään sem­moi­seen tahti­in että että siitä selviävät vain yhteiskun­nat jot­ka eivät ole ehdoin tah­doin mak­si­moi­neet omaa haavoittuvuuttaan.

    menen osit­tain mukavu­us alueen ulkop­uolelle tässä kommentissa.

    en ole itsekään vaku­ut­tunut nordean tun­nus­lukusovel­luk­sen tieto­tur­vas­ta, android ja muut voidaan kaa­p­a­ta hait­tao­hjel­mal­la ja jos hait­tao­hjel­ma tietää että äly­puhe­limes­sa on tun­nus­lukusovel­lus niin sitä voi jotenkin väärin käyt­tää. tosin tämän voi kiertää tun­nus­luku­lait­teel­la jos­sa min­un tieto­jen mukaan ei ole mitään nettiyhteyttä.

    tun­nus­lukusovel­lus on täl­lä het­kel­lä pääsyy mik­si en tykkää nordeas­ta, on suun­nitelmis­sa vai­h­taa pankkia mut­ta tilanne on mon­imutkainen. täl­lä het­kel­lä olen ns pakotet­tu käyt­tämään tun­nus­lukusovel­lus­ta jos­ta siis en tykkää. kos­ka tun­nus­lukusovel­lus on saatavil­la vain google play kau­pas­ta (android) niin tämä pakot­taa käyt­tämään google-tiliä joka on yksi mas­si­ivi­nen tieto­jen keräys fan­ta­sia. olin jok­seenkin het­ken aikaa onnis­tunut käyt­tämään android laitet­ta ilman google-tiliä (en suosit­tele peruskäyttäjille)

    Vastaa

  6. Kan­nat­taa käyt­tää apple id yms palvelui­hin eri sähkö­pos­tiosoitet­ta kuin mitä yleen­sä käyt­tää. Itse keksin joka palvelulle uuden osoit­teen. Jos tulee sit­ten mail­ia ko. palvelus­ta johonkin muuhun osoit­teeseen, niin se on huijausta.

    Samal­la tulee myös sekin etu että jos hakker­it saa sähkö­pos­tiosoit­teen jostain mur­tau­tu­mal­la, niin samaista osoitet­ta ei ole muual­la käytössä, joten sen voi huo­let­ta suo­dat­taa roskiin.

    Vastaa

  7. Kivi­ran­nal­la on tärkeä point­ti! Inhot­taa että ensin älykän­ny oli vain uusi mah­dol­lisu­us ja muu­ta­ma vuosi ja koh­ta se on pakkokeino. Siis varsinkin meille joille ei ole älykän­nyä vaan älykkäämpi tietokone …

    Vastaa

  8. tai uskot val­tu­ut­ta­mat­toman henkilön käyt­täneen tiliäsi, click välit­tömästi osoit­teessa appleid.apple.com, Tark­ista ja päiv­itä tilisi tur­val­lisu­ustiedot kir­jau­tu­mal­la sisään Apple ID

    Outo tek­sti. “Val­tu­ut­tam­a­ton henkilö” kai ker­too, että kään­täjä osaa suomea suvereenisti mut­ta ei ole paljon välit­tänyt kään­nök­sen laadus­ta. Unau­tho­rized ei oikeasti kään­ny val­tu­ut­tam­a­ton vaan luva­ton. Apple ID:stä on jäänyt sijapääte pois ja click on jätet­ty kääntämättä.

    Usein net­ti­hui­jauk­si­in jätetään virheitä kar­si­maan nor­maal­iä­lyiset pois. Hui­jar­it eivät halua käyt­tää resursse­ja ihmisi­in, jot­ka toden­näköis­es­ti hais­ta­vat hui­jausyri­tyk­sen jos­sain vaiheessa. 

    Mut­ta jos joku menee hal­paan hui­jarei­den jät­tämistä ilmei­sistä virheistä, vih­jeistä, huoli­mat­ta, on toden­näköisem­pää, että hui­jaus onnis­tuu. Heikkoä­lyi­nen uskoo hui­jauk­sen seu­raa­vatkin, muille usko­mat­tomat vaiheet. 

    Tässä tapauk­ses­sa hui­jarei­den tarkoi­tus on kalas­taa AppleID:n lisäk­si muitakin henkilöko­htaisia tieto­ja, eri­tyis­es­ti luot­toko­rtin tiedot (ker­too nopea googlaus). 

    Tosin epä­selväk­si min­ulle jää, mik­si väl­tel­lä täyspäisiä tässä hui­jauk­ses­sa. Eihän AppleID:n tai luot­toko­rtin tieto­jen kalastelu vaa­di paljon mitään resursse­ja sen jäl­keen, kun hui­jaus­sivus­to on tehty. Ehkä tarkoi­tus on löytää ihmisiä, joi­ta hujar­it voivat joh­datel­la yhä syvem­mälle hui­jarei­den lon­keroi­hin. Ehkä toiv­otaan hui­jaus­sivus­toille pidem­pää elinikää, kun hui­jatuk­si tule­vat ovat hitaam­min regoivaa porukkaa.

    Englan­ninkielisessä ver­sios­sa on myös virheitä (hyvä asi­aka­som­e­na, välilyön­ti puut­tuu ja virke alkaa pienellä):

    Dear Cus­tomer Apple,

    You recent­ly ini­ti­at­ed a pass­word reset for your Apple ID.to com­plete the process, click the link below and log in using your user­name and password.

    Reset now >

    This link will expire three hours after this email was sent.

    If you didn’t make this request, it’s like­ly that anoth­er user has entered your email address by mis­take and your account is still secure. If you believe an unau­tho­rized per­son has accessed your account, you can reset your pass­word at My Apple ID.

    Apple Sup­port

    Vastaa

  10. Sepi:
    http://www.nordea.com/fi/media/uutiset-ja-lehdistotiedotteet/News-fi/2016/2016–06-15-tunnistautumisen-vaihtoehdot-sovellus-ja-kortti.html
    Nordea ainakin alku­jaan uhkasi tuo­da tar­jolle eril­lisen tun­nus­luku­lait­teen. Kysykää pankista. 

    Kyl­lä, ja jos tun­nus­luku­laite olisi ain­oa vai­h­toe­hto, asi­at oli­si­vat tur­val­lisem­mas­sa jamas­sa kuin pahviko­rt­tien kanssa. 

    Mikäli en vai­h­da pankkia, han­kin itsel­leni tuom­moi­sen tun­nus­luku­lait­teen, mut­ta se ei estä etteikö muista Nordea-asi­akkaista yhä löy­ty­isi 50 000 mobi­ilikäyt­täjää kansalaisa­loit­tei­ta tehtail­e­van bot­netin poh­jak­si. Tai poh­jak­si bot­netille joka tehtailee vääriä tes­ta­ment­te­ja, kiin­teistö- ja autokaup­po­ja sem­moi­ses­sa laa­ju­udessa että yhteiskun­ta menee sekaisin.

    Yleis­es­ti ottaen olisikin erit­täin fik­sua eristää tun­nistau­tu­mis- ja viestin­salaus­ru­ti­init omaan purkki­in­sa jota ei netin yli maail­man pari miljoon­aa wannabe-hakke­ria pääse kolkut­tele­maan mil­loin vain ja mis­tä vain.

    Olen tässä haaveil­lut älykän­nykän kor­vaa­jak­si kän­nykän­muo­tois­es­ta kotelosta, jos­sa olisi omis­sa purkeis­saan kam­er­amod­uli, puhe­lin­soit­telu­mod­uli, netis­sä­surf­faus­mod­uli ja ehkä GPS-nav­i­gaat­to­ri­mod­uli. Ennen van­haan ne oli­vatkin eri lait­tei­ta, mut­ta teknolo­gian kehit­tymi­nen on kutis­tanut jokaisen niin pienek­si että nehän hukkuisi­vat eril­lis­inä taskunpohjalle.

    Vastaa

  11. Mikko Kivi­ran­ta: Olen tässä haaveil­lut älykän­nykän kor­vaa­jak­si kän­nykän­muo­tois­es­ta kotelosta, jos­sa olisi omis­sa purkeis­saan kam­er­amod­uli, puhe­lin­soit­telu­mod­uli, netis­sä­surf­faus­mod­uli ja ehkä GPS-nav­i­gaat­to­ri­mod­uli. Ennen van­haan ne oli­vatkin eri lait­tei­ta, mut­ta teknolo­gian kehit­tymi­nen on kutis­tanut jokaisen niin pienek­si että nehän hukkuisi­vat eril­lis­inä taskunpohjalle.

    Minä taas olen pohdiskel­lut, että mobi­ililait­teen käyt­töjär­jestelmä pitäisi voi­da vir­tu­al­isoi­da lait­teen sisäl­lä kaikkine sen­sor­ei­neen täysin skrip­tat­tavaan hiekkalaatikkoon, jol­loin voisi viihdyt­tää itseään ker­toile­mal­la googlen ja muiden algo­rit­meille tari­noi­ta, jos­sa ensin vietän aikaa pääasi­as­sa mona­con ranta­lai­turin lähistöl­lä, sit­ten vähän aikaa yllät­tävän lähel­lä tiet­tyjä vankein­hoito­laitok­sia, kunnes alan viet­tämään Kou­volan Pris­mas­sa n. 8 tun­tia päivässä.

    Vastaa

  12. tcrown: Minä taas olen pohdiskel­lut, että mobi­ililait­teen käyt­töjär­jestelmä pitäisi voi­da vir­tu­al­isoi­da lait­teen sisäl­lä kaikkine sen­sor­ei­neen täysin skrip­tat­tavaan hiekkalaatikkoon, jol­loin voisi viihdyt­tää itseään ker­toile­mal­la googlen ja muiden algo­rit­meille tarinoita..

    Tai keräil­lä poke­monit emu­laat­to­ril­la sohvan­nurkas­ta käsin.

    Vastaa

  13. Onhan meil­lä mobi­il­i­tun­nistau­tu­mi­nen nytkin kän­nykässä. Oikein kätevä muuten.

    Mobi­ili­var­menne on oper­aat­torin toimit­ta­mal­la SIM-kor­tilla, joten siinä on sen­tään mukana käyt­täjän henkilöl­lisyy­teen sidot­tua rautaa jota ei kon­na pysty net­tiy­htey­den yli muuttamaan. 

    En tunne kuin­ka var­menne on toteutet­tu teknis­es­ti, mut­ta siinäkään en ymmär­rä että jos legi­t­i­i­mi käyt­täjä pystyy tun­nistau­tu­maan palvelun­tar­joa­jalle X joka-ker­ta-saman PIN-kood­in syöt­tämäl­lä, mik­sei kon­na joka on orju­ut­tanut Android-jär­jestelmän voisi saa­da PIN-kood­ia key­log­ger­il­la ja saa­da sit­ten kän­nykän esit­tämään lop­pukäyt­täjää ihan minkä palvelun­ta­joa­jan suun­taan hyvänsä?

    Juuri plarailin ESET-tieto­tur­vafir­man valkoistapa­pe­ria Xagent- ja Down­delph-hait­tao­hjelmista, joi­ta ilmeis­es­ti Venäjä käyt­ti USAn vaalien hakkeroin­nis­sa, eikä plarailu lainkaan ole hyväk­si para­noidin tun­neti­lan torjunnassa.

    Vastaa

  14. Onhan meil­lä mobi­il­i­tun­nistau­tu­mi­nen nytkin 

    Mobi­ili­var­menne on oper­aat­torin toimit­ta­mal­la SIM-kortilla…

    Vielä jäi mainit­se­mat­ta että mobi­ili­var­menne on tek­stivi­estipo­h­jainen, ja toimii myös van­hois­sa patukka­puhe­limis­sa joi­hin ei (käsit­tääk­seni) kon­na pysty haavoit­tuvu­ut­ta lisäämään pääsemät­tä fyy­sis­es­ti puhe­limeen käsik­si. Tai se toimisi kuvaa­mas­sani mon­en mod­ulin kotelos­sa. Nordean tun­nus­lukusovel­lus on …öö… sovel­lus, joka etäasen­netaan Play- tai Apple-kaupasta.

    Ongel­ma on taaskin se että äly­puhe­limes­sa pyörivät samas­sa rau­das­sa toinen tois­t­en­sa seassa pait­si jykevää tieto­tur­vaa vaa­ti­va tun­nistau­tu­mi­nen, myös ties mitkä haavoit­tuvat videokood­ek­it, kam­erasovel­luk­set, net­tise­laimet ja käyt­täjän latailemat kat­so-kissavideoita ‑appletit. Ja kaikkia noi­ta päivit­televät ties mitkä ohjelmis­ton­toimit­ta­jat netin yli, ynnä kolkut­tel­e­vat miljoonat wannabe-crakker­it. Poten­ti­aa­li­nen pin­ta-ala johon kohdis­taa hyökkäyk­set on niin laa­ja että käy yhä mah­dot­tomam­mak­si varmis­taa etteikö jostain kohtaa jotain haavoit­tuvu­ut­ta löytyisi.

    Vastaa

Vastaa käyttäjälle nsaspy Peruuta vastaus

Sähköpostiosoitettasi ei julkaista. Pakolliset kentät on merkitty *

Notify me of followup comments via e-mail. You can also subscribe without commenting.