"Ilmiannoit minut vahingossa" – näin Reddit- ja Discord-käyttäjä huijataan lukemaan oma kertakoodinsa hyökkääjälle

Yksityisviesti kolahtaa Redditissä tai Discordissa. Tuntematon käyttäjä tai kaapattu kaveri syyttää sinua siitä, että olet ilmiantanut hänet sääntörikkomuksesta. Vahingossa tai tahallaan, sillä ei väitteen mukaan ole väliä, koska hänen tilinsä on nyt vaarassa.

Sitten tulee ratkaisu. Sinut ohjataan "moderaattorin", "Redditin työntekijän" tai "Discordin tukihenkilön" yksityisviestiin, joka lupaa selvittää sotkun puolestasi. Ainoa mitä sinun tarvitsee tehdä on lukea takaisin vahvistuskoodi, jonka saat hetken kuluttua.

Juuri sillä hetkellä huijari painaa toista nappia. Hän käynnistää salasanan nollauksen sinun tilillesi. Sähköpostiin tai tekstiviestillä saapuva koodi ei siis vahvista mitään moderointiasiaa vaan tilisi palautuksen. Kun luet koodin ääneen, rikollinen syöttää sen, vaihtaa salasanan ja lukitsee sinut ulos.

Malwarebytes ja Bitdefender kuvaavat saman kaavan itsenäisesti. Kyse ei ole autentikointisovelluksen koodista vaan aidosta palautuskoodista, jonka alusta oikeasti lähettää, koska hyökkääjä pyysi nollausta sinun tililläsi.

Tunnistusmerkit

Rekvisiitta on todella huoliteltua. Uhrille näytetään kuvakaappaus valeviestistä, joka jäljittelee Redditin tai Discordin sähköpostia: virallinen sävy, tikettinumero, maininta "muodollisesta tutkinnasta" ja kellonaika, johon mennessä tili suljetaan. Aikaraja on tavallisesti 12 tuntia.

Discord-versiossa uhkaillaan, että tili ja IP-osoite bannataan.

Kiire ei ole sattumaa. Palautuskoodit vanhenevat nopeasti, joten uhria hoputetaan lukemaan koodi ennen kuin ehtii miettiä.

Varoitusmerkit tiivistyvät muutamaan asiaan:

• Yllättävä yhteydenotto väitetystä ilmiannosta
• Tiukka aikaraja, tyypillisesti muutama tunti
• Pyyntö lukea tai välittää koodi, jonka juuri sait
• Ohjaus tunnetun palvelun sijaan jonkun henkilön yksityisviestiin

Miksi koodi ylipäätään saapui, jos et itse yrittänyt kirjautua mihinkään? Se on koko huijauksen paljastava kysymys.

Sama perhe kuin "Hei äiti"

Tekniikka ei ole uusi, vain uudessa kuoressa, eikä se ole väistymässä ainakaan vielä. Kyberturvallisuuskeskus varoittaa toistuvasti, ettei kertakoodia tai vahvistuskoodia anneta kenellekään.

– Kertakoodia ei anneta koskaan kenellekään, Kyberturvallisuuskeskus toteaa ohjeissaan.

KTK:n dokumentoima Signal- ja Telegram-tilien kaappaus toimii mekaanisesti täsmälleen samoin. Uhria pyydetään lähettämään saamansa koodi, ja sen jälkeen rikollinen rekisteröi tilin omalle laitteelleen. Perhe on sama kuin tutussa "Hei äiti" -tekeytymisessä, jossa hädällä ja kiireellä ohitetaan terve epäluulo.

Aito alusta ei koskaan pyydä lukemaan koodia takaisin. Reddit ei myöskään laita ilmiannettua henkilöä ottamaan yhteyttä ilmiantajaan, eikä valituksia käsitellä työntekijän henkilökohtaisessa yksityisviestissä.

Mitä tehdä

Älä koskaan lue tai välitä kertakoodia. Jos koodi saapuu pyytämättä, joku yrittää juuri nyt murtautua tilillesi.

Kirjaudu vain suoraan sovelluksesta tai sivustolta, älä koskaan viestin linkistä. Ota käyttöön sovelluspohjainen kaksivaiheinen tunnistautuminen tai passkey, jolloin pelkkä sähköpostikoodi ei riitä tilin nollaukseen.

Jos tili ehti jo viedä, käytä heti palvelun "salasana unohtunut" -toimintoa tai kaapatun tilin palautuslomaketta. Sekä Redditillä että Discordilla on tähän oma prosessinsa. Ilmianna huijari alustan raportointityökalulla ja varoita kontaktejasi, sillä kaapatulla tilillä esiinnytään usein sinuna.

Miksi tähän kannattaa reagoida nopeasti? Ulos lukittu käyttäjä menettää pahimmillaan tallennetut maksutiedot, ja Bitdefenderin mukaan tili voidaan myydä eteenpäin tai käyttää kryptohuijausten levittämiseen kaverilistalle.

Huijauksesta voi ilmoittaa osoitteessa ilmoita.kyberturvallisuuskeskus.fi. Rikoksen uhri saa tukea Rikosuhripäivystyksestä numerossa 116 006.

Koodin lukeminen ääneen tuntuu ihan pieneltä palvelukselta hädässä olevalle. Se on kuitenkin ainoa asia, jota huijari sinulta tarvitsee, ja siksi juuri sitä ei tehdä koskaan.