Tietosuojavaltuutettu: murrettujen verkkokauppojen maksusivuilta viedään korttitietoja
Vaara ei rajoitu valekauppoihin, sillä rikolliset muokkaavat aitojen kauppojen maksusivuja, eikä ostaja näe eroa.
Tiivistelmä
Tietosuojavaltuutetun toimisto on saanut tänä vuonna aiempaa enemmän ilmoituksia tietomurroista, joissa aidon verkkokaupan maksusivulta on viety asiakkaiden korttitietoja. Yrityksiä toimisto varoittaa murretuista Microsoft 365 -tileistä, joiden kautta laskujen ja palkkojen tilinumeroita vaihdetaan rikollisten tileihin.
Verkkokaupan maksusivu voi näyttää aivan tavalliselta ja silti luovuttaa ostajan korttitiedot rikollisille.
Tietosuojavaltuutetun toimisto kertoi 29. lokakuuta julkaisemassaan katsauksessa saaneensa tänä vuonna aiempaa enemmän tietoturvaloukkausilmoituksia, joissa verkkokauppaan on murtauduttu ja asiakkaiden maksukorttitietoja on viety. Tapausten määrää toimisto ei kertonut.
Toimisto kertoo, että osassa hyökkäyksistä asiakkaalle on näytetty väärennetty maksulomake ennen varsinaista maksuvaihetta. Kortin tiedot syötetään ensin rikollisten lomakkeeseen ja vasta sen jälkeen uudelleen oikeaan maksupalveluun, vaikka itse kauppa on aito ja tilaus etenee tavalliseen tapaan.
Murretun kaupan kohdalla valekaupan tavalliset merkit, kuten outo osoite tai liian halvat hinnat, eivät auta. Kiinnitä siksi huomiota maksutapaan ja kortin tapahtumiin.
Black Friday osuu tänä vuonna 27. marraskuuta, ja sen perään alkaa joulun ostoskausi.
Maksulomakkeen kaappaus (e-skimming)
Hyökkääjä istuttaa haitallisen koodin oikean verkkokaupan kassasivulle. Koodi joko näyttää väärennetyn korttilomakkeen ennen aitoa maksuvaihetta tai kopioi sen, mitä asiakas kirjoittaa. Kassasivu näyttää muuten normaalilta.
Yrityksille murrettu sähköpostitili ja vaihdettu tilinumero
Katsauksen toinen havainto koskee yrityksiä ja muita organisaatioita. Toimisto kertoo, että murrettuja Microsoft 365 -tilejä on käytetty tilisiirtohuijauksiin, joissa laskujen tai palkanmaksun tilinumero vaihdetaan rikollisten tiliin.
Pyyntö tilinumeron muutoksesta tulee tällöin oikealta sähköpostitililtä, joten lähettäjän osoite ei paljasta huijausta.
Toimisto kehottaa tekemään petoksista rikosilmoituksen poliisille.
Tunnistusmerkit
- Kauppa pyytää korttitiedot kahteen kertaan, ensin omalla lomakkeellaan ja sitten vielä pankin tai maksunvälittäjän sivulla.
- Pankkisovellukseen tulee 3-D Secure -vahvistuspyyntö, jota et itse käynnistänyt.
- Kortin tapahtumissa näkyy veloituksia, joita et tunnista.
Mitä tehdä
Suosi verkko-ostoksilla maksutapoja, joissa korttitietoja ei kirjoiteta kaupan omalle sivulle, kuten verkkopankkimaksua, mobiililompakkoa tai maksunvälittäjän omaa maksusivua. Käy kortin tapahtumat läpi verkko-ostosten jälkeen.
Jos joukossa on tuntematon veloitus, sulje kortti heti pankin kautta ja tee rikosilmoitus poliisi.fi-palvelussa. Rikosuhripäivystys auttaa numerossa 116 006.
Jos yritykselle ilmoitetaan sähköpostilla toimittajan tai työntekijän uudesta tilinumerosta, muutos varmistetaan soittamalla numeroon, joka on jo ennestään tiedossa, eikä sähköpostissa annettuun numeroon. Microsoft 365 -tileille otetaan käyttöön kalastelun kestävä monivaiheinen tunnistautuminen, esimerkiksi FIDO2-turva-avaimet tai pääsyavaimet.
Jos asiakkaiden tai työntekijöiden henkilötietoja on päässyt vääriin käsiin, organisaation on toimiston ohjeen mukaan ilmoitettava loukkauksesta tietosuojavaltuutetulle 72 tunnin kuluessa sen havaitsemisesta.