# Käyttäjän manipulointi

**Käyttäjän manipulointi** eli **sosiaalinen manipulointi** (engl. *social engineering*) tarkoittaa sellaisia epärehellisiä keinoja, joiden avulla rikollinen saa uhrin paljastamaan arkaluonteista tietoa tai toimimaan omien etujensa vastaisesti. Tällaisia tekoja voivat olla esimerkiksi rahan lähettäminen tai luottamuksellisten tietojen paljastaminen (kuten salasanan tai yrityssalaisuuden). Käyttäjän manipulointi ei ole täysin vakiintunut termi.

Sosiaalinen manipulaatio käyttää hyväksi inhimillisiä heikkouksia, kuten ahneutta, turhamaisuutta, empatiaa tai auttamisen halua. Rikollinen voi esiintyä luotettavana tahona, kuten valtiollisena palveluna, pankkina tai yrityksen teknisenä tukena, saavuttaakseen tavoitteensa. Saatuja tietoja voidaan käyttää toisessa rikoksessa.

Manipuloinnilla voidaan pyrkiä saamaan joko henkilökohtaisia tai organisaatioon (kuten työpaikkaan) liittyviä tietoja. Käyttäjän manipulaatiossa uhria käytetään salatun tiedon lähteenä. Kuuluisa tietomurtautuja Kevin Mitnick kertoo saaneensa paljon tärkeitä tietoja käyttämällä sosiaalista manipulointia.

## Huijauksen toimintatapa

Sosiaalinen manipulaatio perustuu ihmisten luontaiselle auttamisen halulle, ahneudelle, luottamukselle, velvollisuudentunnolle ja uteliaisuudelle. Sosiaalinen manipulaatio käyttää psykologisen manipulaation tekniikoita. Ihmisten kiire ja tietämättömyys parantavat rikollisten mahdollisuuksia onnistua manipuloinnissa. Monesti ihmiset eivät myöskään ajattele hallussaan olevan tiedon olevan arvokasta. Rikollinen voi myös painostaa uhria tai pelotella tekemään haluttuja asioita. Uhrille voidaan uskotella, että jokin ainutlaatuinen tilaisuus lipuu ohi suun, mikäli hän ei auta.

Käyttäjän manipulaatiossa uhria pyydetään tekemään palvelus tai tehtävä. Pyynnöt voivat liittyä salasanoihin ja tietojen päivitykseen tai olla pyyntöjä laskun kiireelliseen ja/tai luottamukselliseen maksamiseen.

Sosiaalinen media on manipuloinnin yleisin tapahtumapaikka, mutta sosiaalista manipulaatiota tapahtuu myös puhelimitse, tekstiviestitse ja kasvotusten. Netin käyttäjiltä jää koko ajan jälkiä toiminnastaan sosiaaliseen mediaan, kuten tietoa henkilön tavoitteista ja kiinnostuksen kohteista. Tiedonkalasteluviestejä lähetetään myös massapostituksena, toivoen että joku lankeaisi ansaan. Viestejä voidaan kohdistaa tiettyyn organisaatioon, ja huijausyritystä voi edeltää muuta tiedonhankintaa.

## Erilaisia huijaustapoja

### Tekeytyminen toiseksi ihmiseksi

Rikollinen tekeytyy toiseksi ihmiseksi, kuten ystäväksi, sukulaiseksi tai valta-asemassa olevaksi ihmiseksi. Huijari esittää ottavansa yhteyttä uhria koskettavalla oikealla asialla, esimerkiksi huijari esittää soittavansa pankista ja toivoo että uhri uskoo häntä. Yhteyttä voidaan ottaa myös sosiaalisessa mediassa.

Kasvotusten tapahtuvassa huijauksessa henkilö voi tekeytyä esimerkiksi työntekijäksi. Eräässä tapauksessa huijari pukeutui pukuun, piti kuuloketta korvallaan ja kantoi kansiota. Muut luulivat henkilön olevan töissä vartijana, eivätkä pysäyttäneet huijaria, kun hän kulki henkilökunnalle tarkoitetuissa tiloissa. Toisessa tapauksessa huijari pukeutui tapahtumassa kokiksi ja kuljetti kallista ruokalajia ja pääsi näin kulkemaan tiloissa ilman ongelmia.

Arkisessa yritysmaailmassa huijari voi tekeytyä esimerkiksi tuholaistorjujaksi. Eräässä tapauksessa huijari oli lähettänyt edellisellä viikolla sähköpostia tekeytyen tuholaistorjujaksi, ja hänet päästettiin näiden sosiaalisen manipulaation tekniikoiden avulla henkilökunnan tiloihin. Huijari voi tekeytyä tärkeäksi johtajaksi ja hyödyntää ihmisten kuuliaisuutta johtajia kohtaan. Näin voi tehdä esimerkiksi silloin, kun kaikki työntekijät eivät tunne toisiaan.

### Tietojenkalastelu (phishing)

*Pääartikkeli: Tietojenkalastelu*
Tekniikassa huijari lähettää uhrille aidolta näyttäviä viestejä ja asiakirjoja tai ohjaa aidolta näyttävälle verkkosivulle. Huijattu käyttäjä luovuttaa henkilötietojaan tai maksaa rahaa huijarille uskoen että hän tai verkkosivu on aito. Tietojenkalastelija huijaa olevansa esimerkiksi pankki tai posti.

### Tietomurto ja saatujen tietojen hyväksikäyttö

Rikollinen murtautuu sähköpostiin tai yrityksen tietojärjestelmään saadakseen yritystä koskevaa tietoa. Huijari tällöin ottaa yhteyttä ja käyttää hyväksi hankittuja tietoja ja manipuloi uhrin luovuttamaan lisää tietoa tai siirtämään rahaa.

### Romanssihuijaus

*Pääartikkeli: Romanssihuijaus*
Huijauksessa rikollinen tekeytyy uhrista kiinnostuneeksi kumppaniksi. Huijari rakentaa ihmissuhdetta uhrin kanssa ja manipuloi tätä lähettämään rahaa.

### Kuvamateriaalilla kiristys

Sextortion–kiristyksessä puoleensa vetävä henkilö houkuttelee uhrin alastomiin videopuheluihin, joiden sisällön hän nauhoittaa. Myöhemmin puoleensa vetävä henkilö kiristää uhria nauhoitetun alastonmateriaalin levittämisellä. Yleensä uhri on mies.

Joissain tapauksissa rikollinen voi myös kaapata uhrin tietokoneen kameran ja nauhottaa uhria seksuaalisissa toimissa kiristystarkoitukseen. Videomateriaalia ei välttämättä ole koskaan ollutkaan, mutta huijari haluaa uhrin uskovan näin ja maksavan paljastumisen pelosta tai häpeästä.

### Tekosyy

Tekosyy on keksitty perustelu, jonka verukkeella yritetään saada kohde paljastamaan haluttuja tietoja. Todellisessa tilanteessa, jossa hyökkääjä on suorassa yhteydessä uhriin, tekniikan toimivuus riippuu pitkälti hyökkääjän uskottavuudesta. Hyökkääjältä vaaditaan hyviä näyttelijän lahjoja, jos huijaus tapahtuu kasvokkain. Vastaava luottamus saavutetaan puhelinsoitolla, joka ei myöskään altista hyökkääjän identiteettiä paljastumiselle. Luottamukselle kerätään pohjaa etsimällä uhrista tietoja etukäteen.

### Huijaus

Sähköpostin otsikkotietoja muokkaamalla voi vaihtaa lähettäjäksi luotetun tahon. Tekemällä viestistä virallisen näköisen voi saada uhrin uskomaan, että viesti on luotettavasta lähteestä. Viesteissä on myös käytetty sähköpostiohjelmien tietoturva-aukkoja hyväksi, jolloin on saatu linkki naamioitua niin, että todellinen osoite ei paljastu käyttäjälle.

Uhrille voidaan myös ujuttaa haitallinen ohjelma naamioimalla siitä houkutteleva. Ajattelematon tai tietämätön uhri voi asentaa itselleen troijalaisen luullen sitä eroottiseksi näytönsäästäjäksi tai tärkeäksi tietoturvapäivitykseksi.

## Kohdennettu huijausyritys

Esimerkki on yhdistelmä sekä huijaus- että tekosyymenetelmiä. Kohteena on keskisuuri yritys, jonka toimintaan liittyy myynti ja asiakaspalvelu. Hyökkäys aloitetaan ottamalla selvää etukäteen kaikki mahdollinen mitä kohteesta on tiedossa. Liikevaihdosta aina suurimpiin asiakkaisiin. Pelkästään yrityksen kotisivuihin tutustumalla voi saada tarpeeksi informaatiota.

Hyökkääjä esiintyy laskutus- ja reskontraohjelman ylläpitäjänä. Lähestyminen aloitetaan puhelinsoitolla, jonka tarkoituksena on kysellä ohjelman toimivuudesta ja kerätä käyttökokemuksia eri toiminnoista. Hyökkäystä alustetaan useamalla luottamusta keräävällä yhteydenotolla, jotka tehdään sopivin aikavälein kuitenkaan kuormittamatta kohdetta. Hyökkääjä voi kalastella lisää tärkeitä tietoja ottamalla yhteyttä edustamaansa ohjelmistotaloon. Tässä niin kutsutussa mies välissä -hyökkäyksessä kaikki viestintä kulkee hyökkääjän kautta.

Luottamuksen synnyttyä hyökkääjä voi yrittää kalastella kohteelta käyttäjätunnus-salasanapareja eri verukkein. Sopivin verukkein voi hyökkääjä huijata kohdeyritystä antamaan pääsy yrityksen sisäverkkoon. Toinen mahdollinen vaihtoehto on lähettää laskutusohjelman päivitys postissa cd-levyllä. Hyökkäyksen onnistuminen on kiinni pienistä yksityiskohdista varsinkin jos käytetään muitakin kuin sähköisiä kommunikaatiovälineitä.

## Suojautuminen toiminnalta

Parempi tietoisuus toiminnan luonteesta auttaa suojautumaan huijausyritykseltä.

Keinoja huijatuksi tulemisen todennäköisyyttä ovat esimerkiksi VPN-ohjelmat, monivaiheinen tunnistautuminen sekä tuntemattomien fyysisten laitteiden kytkemättä jättäminen. Lisäksi käyttöoikeuksia on syytä pienentää.

Huijauksista tiedottavan CYBEREDI-hankkeen mukaan tärkeitä seikkoja ovat:

* Muistaa, etteivät palveluntarjoat pyydä sähköpostilinkkien kautta käyttäjänimiä, salasanoja tai luottamuksellisia tietoja.
* Muutokset tulee tehdä aina palvelun omilla sivuilla, vahvan kirjautumisen jälkeen. Ei viestien välityksellä.
* Epäilyttävien yhteydenottojen lähettäjä ja sisältö on syytä tarkistaa.
* Jos tuttava kehottaa yllättävään rahansiirtoon, on syytä varmistaa asia puhelimitse.
* Normaaleista käytännöistä poikkeavat pyynnöt ja kehotukset on aina hyvä tutkia ja tarkistaa.
* On syytä arvioida, mitä tietoa itsestään, läheisistään ja edustamastaan organisaatiosta laittaa digitaaliseen maailmaan.

## Katso myös

* Identiteettihuijaus
* Identiteettivarkaus

## Lähteet