Vastaamon kryptokiristys | Juho Ranta | Neuvottelija 42

Second Nature Securitiesin teknologiajohtaja Juho Ranta arvioi Vastaamon tietomurtoa ja kiristystä tuoreeltaan. Laajuudessaan tapaus on Suomessa ainutlaatuinen, koska kohteena ovat tavallisten ihmisten kaikkein arkaluontoisimmat tiedot, ja siksi keskustelun kantava kysymys on mitä tästä pitäisi oppia.

Ranta selittää mitä eroa on valkohatuilla ja mustahatuilla, miten kalasteluhyökkäys toimii, mihin Tor-verkkoa ja bitcoinia oikeasti käytetään ja miksi kiristäjälle maksaminen ei poista uhkaa. Mukana ovat myös henkilötunnuksen uusimattomuus identiteettivarkauden mahdollistajana, GDPR:n väärinymmärretyt puolet ja se miksi tietoturva pitäisi johtaa liiketoiminnan eikä yksittäisen järjestelmän ehdoilla.

Aikaleimat

00:00 Kiristäjän bitcoin-lompakot ja operational security
00:29 Vieraana Juho Ranta Second Nature Securitiesista
00:42 Miksi tapaus on Suomessa ainutlaatuinen
02:18 Twitterin kaappaus kesällä ja kalasteluhyökkäys
02:50 Mikä phishing on käytännössä
03:44 Miten Twitter-huijaus toimi
04:45 Valkohattu ja mustahattu erotettuna
06:01 Milloin raja hämärtyy valtiollisessa toiminnassa
06:34 KRP kiitti valkohattuyhteisöä
07:03 Mikä Tor-verkko on ja miksi sitä tarvitaan
08:04 Snowden ja kognitiivinen dissonanssi
08:28 Mahdollistaako bitcoin kiristyksen
09:17 Miten bitcoinit pitäisi vielä realisoida
10:48 GDPR ja sen tuoma harmi yrityksille
12:16 Mitä GDPR:stä ymmärretään väärin
13:04 Tavoitteena sama viiva kaikille EU-maille
13:57 Kansainvälinen sääntelyviidakko ja compliance
15:08 Voiko tragediasta seurata parannusta
16:13 Tietokannat pilvessä ja työpiste heikkona lenkkinä
16:56 Auki jäänyt potilastietojärjestelmä neuvolassa
17:24 Tietoturva kokonaisuutena ja riskienhallintana
18:17 Henkilöstö riskinä ja puhelinhuijaukset
19:00 Salasanojen hallintaohjelmat käytännön vinkkinä
19:57 Kaksivaiheinen tunnistautuminen
20:27 Sähköposti puhelinnumero ja henkilötunnus tunnisteina
21:46 Miksi salaisuuden pitää olla vaihdettavissa
22:31 Henkilötunnuksen uusiminen prioriteettina
23:37 Mitä hetun uudistaminen maksaisi
24:18 Pankkitunnistautuminen ja sen monopoliasema
25:45 Mikä on deepfake
26:13 Todistustaakka deepfakejen maailmassa
26:47 Kiristäjän vaatimuksiin ei pidä suostua
27:28 Mitä yritysten kannattaisi nyt tehdä
28:28 Tietoturvariski on liiketoimintariski
29:09 Pörssiyhtiön tiedonantovelvollisuus ja sisäpiirisäännöt
29:51 Poliisin ohjeistus versus GDPR:n ilmoitusvelvollisuus
30:44 Viranomaisten yhteispeli kaipaa selkeyttä
31:15 Kaikki osapuolet ovat rikoksen uhreja
31:32 Salasanojen vaihtaminen käytännössä
32:32 Miksi täysin satunnainen salasana on paras
33:02 Sanoma uhreille ja inhimillisyys
33:40 Vuodettujen tietojen lukeminen on rikos
33:54 Miksi lukematta jättäminen vie kiristäjän aseen
34:11 Maksaminen ei takaa mitään
35:02 Kriisi mahdollisuutena parantaa
35:33 Ilmailun turvallisuus esimerkkinä oppimisesta
36:05 Lopetus