Miten Google pitää datasi turvassa
Verkkorikolliset kaappaavat käyttäjätilejä monilla eri tavoilla, esim. hakkeroinnin, tietojenkalastelun ja haittaohjelmien avulla. Googlen Stephan Micklitz ja Tadek Pietraszek varmistavat, etteivät rikolliset onnistu siinä.
Tadek Pietraszek
on työskennellyt vuodesta 2006 yhtiön Zürichin-toimistolla, jossa hän johtaa suurta asiantuntijatiimiä. Pietraszek suoritti tietojenkäsittelytieteen tohtorintutkinnon Freiburgin Albert Ludwig ‑yliopistossa vuonna 2006.
Herra Pietraszek, olet tiimisi kanssa vastuussa käyttäjätilien suojaamisesta. Miten estätte hakkereita pääsemästä tileille?
Tadek Pietraszek, Principal Software Engineer, käyttäjätilien suojaus: Ensinnäkin on tärkeää havaita alkuperäinen hyökkäys. Käytämme yli sataa muuttujaa epäilyttävän toiminnan tunnistamiseen. Jos esimerkiksi asut Saksassa, matkustat harvoin ulkomaille ja joku yrittää päästä tilillesi toisesta maasta – tämä saa hälytyskellot soimaan.
Stephan Micklitz, Googlen yksityisyys- ja tietoturvatiimin Director of Engineering: Tämän vuoksi pyydämme sinua joskus vahvistamaan antamasi puhelinnumeron tai muita tietoja, joita vain sinä tilin omistajana voit tietää.
Tadek Pietraszek (vasemmalla) pitää tietojenkalastelua yhtenä verkon suurimmista verkkoturvallisuusriskeistä.
Miten usein tämäntyyppisiä hyökkäyksiä tapahtuu?
Pietraszek: Joka päivä tehdään satojatuhansia verkkohyökkäyksiä. Suurin ongelmamme on se, että internetissä on lukemattomia listoja täynnä käyttäjänimiä ja salasanoja hakkeroiduilta sivustoilta. Koska monet käyttävät samaa salasanaa eri tileillä, nämä listat sisältävät myös Google-tilin kirjautumisdataa.
Ovatko nämä listat suurin tietoturvauhka?
Pietraszek: Kyllä, ehdottomasti. Ne ja klassiset tietojenkalasteluhyökkäykset. Lähes jokainen on saanut sähköposteja rikollisilta, jotka yrittävät saada tietoonsa tilin salasanan. Me teemme tietenkin parhaamme varmistaaksemme, etteivät rikolliset onnistu tässä. Jos Gmail-postilaatikkoosi matkalla oleva sähköposti näyttää mielestämme epäilyttävältä, voimme lisätä siihen varoituksen, jotta voit katsoa sitä tarkemmin tai voimme suodattaa sen pois automaattisesti. Chrome-selain myös lähettää ilmoituksia, kun yrität siirtyä sivustolle, jonka tiedämme tietojenkalastelusivustoksi.
Micklitz: Tietojenkalastelua on kahta päätyyppiä. Ensimmäinen on massasähköpostit, joiden avulla rikolliset keräävät mahdollisimman paljon kirjautumisdataa. Toinen on kohdennettu tietojenkalastelu, joka kohdistetaan tietyn ihmisen tiliin. Nämä voivat olla melko pitkälle vietyjä, useita kuukausia kestäviä operaatioita, joiden aikana rikollinen tutkii uhrin elämää tarkasti ja käynnistää hyvin kohdennetun hyökkäyksen.
"Jos Gmail-postilaatikkoosi matkalla oleva sähköposti näyttää mielestämme epäilyttävältä, voimme lisätä siihen varoituksen."
Tadek Pietraszek
Miten Google auttaa käyttäjiään estämään tällaiset hyökkäykset?
Pietraszek: Yksi esimerkki on kaksivaiheinen vahvistusjärjestelmä. Monet käyttäjät ovat tottuneita tämänkaltaisiin järjestelmiin verkkopankkitilinsä kautta. Jos haluat esimerkiksi siirtää rahaa, saatat joutua lisäämään sekä salasanasi että tekstiviestinä lähetetyn koodin. Google otti käyttöön kaksivaiheisen vahvistuksen vuonna 2009 eli aiemmin kuin useimmat muut suositut sähköpostipalvelut. Tämän lisäksi Googlen käyttäjät, jotka ovat rekisteröineet puhelinnumeronsa, saavat automaattisesti samantyyppisen suojaustason epäilyttäviä kirjautumisyrityksiä vastaan.
Micklitz: Kaksivaiheinen vahvistus on hyvä keino, mutta tekstiviestikooditkin voidaan siepata. Rikolliset voivat esimerkiksi ottaa yhteyttä operaattoriisi ja pyytää lähettämään toisen SIM-kortin heille. Todennus fyysisellä suojausavaimella, esim. Bluetooth-lähettimellä tai USB-tikulla, on vielä turvallisempaa.
Pietraszek: Käytämme tätä resurssia osana Lisäsuojaus-ohjelmaa.
Mikä se on?
Pietraszek: Google lanseerasi vuonna 2017 Lisäsuojaus-ohjelman, joka on tarkoitettu ihmisille, joilla on suurempi riski joutua hakkeroinnin uhriksi. Tällaisia ovat esim. journalistit, toimitusjohtajat, poliittiset toisinajattelijat ja poliitikot.
Micklitz: Fyysisen suojausavaimen lisäksi rajoitamme kolmannen osapuolen sovellusten pääsyä dataan ottamalla käyttöön lisävaiheita, joissa henkilön pitää vahvistaa henkilöllisyytensä, jos hän kadottaa avaimen.
Director of Engineering Stephan Micklitz on vastuussa maailmanlaajuisesta yksityisyydestä ja tietoturvasta Googlella. Hän opiskeli tietojenkäsittelytiedettä Münchenin TUM-yliopistossa ja on työskennellyt Googlen Münchenin-toimistolla vuoden 2007 lopusta lähtien.
Voitteko kertoa meille vakavasta verkkohyökkäyksestä ja omista reaktioistanne siihen?
Pietraszek: Yksi tällainen hyökkäys tapahtui alkuvuodesta 2017. Hakkerit olivat luoneet haittaohjelman päästääkseen uhrien Google-tileille ja lähettivät valesähköposteja käyttäjien kontakteille. Näissä sähköposteissa vastaanottajia pyydettiin sallimaan pääsy tekaistuun Google-dokumenttiin. Tähän suostuneet antoivat vahingossa pääsyn haittaohjelmalle ja lähettivät näin saman valesähköpostin omille kontakteilleen. Virus levisi nopeasti. Meillä on suunnitelmia tällaisten tilanteiden varalta.
Micklitz: Esimerkiksi tässä kyseisessä tapauksessa estimme näiden sähköpostien jakelun Gmailissa, estimme ohjelman pääsyn ja suojasimme tilit. Olemme tietysti myös lisänneet järjestelmällisiä turvatoimia, jotta samankaltaisia hyökkäyksiä on vaikeampi toteuttaa tulevaisuudessa. Google-tilit ovat jatkuvasti hyökkäyksen kohteena, ja automaattiset järjestelmämme tarjoavat tehokkaimman suojan niitä vastaan. Tämä riippuu tietysti siitä, saammeko yhteyden käyttäjiin muilla tavoilla kuin heidän Google-tilinsä kautta – esimerkiksi toisen sähköpostiosoitteen tai matkapuhelinnumeron kautta.
"Itse asiassa muutaman perussäännön noudattaminen yleensä riittää."
Stephan Micklitz
Miten tärkeää tietoturva on keskivertokäyttäjälle?
Pietraszek: Monet pitävät sitä hyvin tärkeänä, mutta tarvittavien varotoimien tekeminen voi olla tylsää. Tämä selittää esimerkiksi sen, miksi ihmiset käyttävät usein samaa salasanaa usealla tilillä – mikä on suurin mahdollinen virhe. Meidän tehtävämme on kertoa käyttäjille, miten he voivat suojata tilejään mahdollisimman pienellä vaivalla. Siksi tarjoamme Tietoturvatarkistus-toiminnon Google-tilillä. Sen avulla käyttäjät voivat tarkistaa asetuksensa helposti.
Micklitz: Itse asiassa muutaman perussäännön noudattaminen yleensä riittää.
Mitä nämä säännöt ovat?
Micklitz: Älä käytä samaa salasanaa useissa palveluissa, asenna suojauspäivitykset ja vältä epäilyttäviä ohjelmistoja. Lisää puhelinnumero tai vaihtoehtoinen sähköpostiosoite, jotta sinuun saadaan yhteyttä muilla keinoin. Laita lisäksi puhelimen näytön lukitus päälle, jotta sen luvaton käyttö vaikeutuu. Nämä ovat jo hyvä alku.
Valokuvat: Conny Mirbach
Näin kyberturvallisuutta on parannettu
Tutustu siihen, miten pidämme huolta ihmisten verkkoturvallisuudesta maailmanlaajuisesti.
Lue lisää