#kaksivaiheinen tunnistautuminen
10 artikkelia
Mandatum Traderin asiakastileillä tehtiin luvattomia kauppoja – tilit palautettiin ennalleen
Mandatum Traderin asiakastileillä tehtiin marraskuun alussa osto- ja myyntikauppoja ilman tilien omistajien lupaa. Mandatum kertoo palauttaneensa tilit ennalleen ja lupaa, ettei asiakkaille synny tappioita. Luvattoman pääsyn tarkkaa tapaa ja kauppojen tekijää ei ole kerrottu.
Chainalysis kertoi tietomurron – asiakkaiden nimet ja sähköpostiosoitteet joutuivat tunkeilijan käsiin
Kryptoanalytiikkayhtiö Chainalysis kertoi 30. lokakuuta, että ulkopuolinen taho pääsi sen järjestelmiin aiemmin lokakuussa. Käsiin joutuivat käyttäjätunnukset, nimet, sähköpostiosoitteet ja organisaatioroolit. Yhtiö kiistää yhteyden Binancen varkauteen.
Microsoft siirtää salasanattomaan tunnistautumiseen: tekstiviestivarmistus poistuu helmikuussa 2027
Microsoft muistuttaa, että sen tarjoama tekstiviesti- ja puheluvarmistus poistuu Entra ID -tileiltä 1. helmikuuta 2027, ellei käyttäjällä ole muuta kaksivaiheista tunnistustapaa käytössä. Siirtymä perustuu heinäkuussa julkaistuun pääsyavainten ensisijaisuuteen, ja se liittyy suoraan tekoälyavusteisen kalastelun yleistymiseen.
Microsoft korjasi Authenticator-sovelluksesta vakavan haavoittuvuuden, päivitä sovellus heti
Microsoftin Authenticator-sovelluksen Android-versiossa oli vakava haavoittuvuus, jonka avulla asennettu haittaohjelma pystyi esiintymään luotettuna sovelluksena ja varastamaan käyttäjän OAuth-tunnisteet. Microsoft korjasi puutteen syyskuussa, mutta yksityiskohdat tulivat julkisuuteen vasta lokakuun lopulla. Käyttäjien kannattaa varmistaa, että sovellus on päivittynyt.
Pääsyavain kestää kalastelun mutta ei haittaohjelmaa
Unit 42 kuvaa kolme tapaa, joilla Windows-koneella jo pyörivä haittaohjelma pääsee käsiksi Google Password Managerin synkronoimiin pääsyavaimiin Chromessa. Kaikki kolme edellyttävät tartuntaa, eivät kalastelua eivätkä fyysistä pääsyä. Suomenkielinen uutisointi kertoi ehdon väärin ja väitti hyökkäyksen vaativan järjestelmänvalvojan oikeuksia.
Huijaus ei pyydä rahaa vaan ääntä – WhatsApp-tili vaihtaa omistajaa kaverin pyynnöstä
WhatsAppissa kiertää tilikaappaus, jossa jo kaapatulta kontaktilta tulee pyyntö äänestää ystävän lapsen suoritusta. Linkki johtaa WhatsAppin vahvistussivua jäljittelevälle sivulle, joka ohjaa käyttäjän linkittämään hyökkääjän laitteen omaan tiliinsä. Yksikään suomalainen viranomainen ei ole kommentoinut juuri tätä houkutinta, ja tuorein kotimainen kuvaus tekniikasta on maaliskuulta.
Ilmaisia pelipisteitä lupaava sivu kysyy myös kertakäyttökoodin – ja välittää tunnukset eteenpäin sekunneissa
Malwarebytes Labs dokumentoi heinäkuussa kalastelusivun, joka lupaa Call of Duty Mobilen pelaajille 10 800 ilmaista pistettä ja kysyy salasanan lisäksi kertakäyttökoodin. Sivu välittää tunnukset reaaliajassa Activisionin omaan kirjautumiseen, jolloin uhri saa aidon koodin ja luovuttaa sen hyökkääjälle. Pelitilin mukana menevät siihen liitetyt konsoliprofiilit ja tallennetut maksutavat.
Miksi rikolliset himoitsevat juuri sähköpostitiliäsi – ja miten suojaat sen
Sähköpostitili on rikolliselle pääavain: sen kautta voi nollata salasanat pankissa, somessa ja pilvipalveluissa, lukea vanhat viestit ja esiintyä uhrina tämän tutuille. Tietoturvayhtiö ESET ja Kyberturvallisuuskeskus kuvaavat ilmiön, ja juttu selittää, miten salasanaton pääsyavain katkaisee ketjun.
Puola pidätti SIM-kaappausryhmän – näin numerosi kaappaus murtaa tekstiviestivarmennuksen
Puolan kyberrikollisuusyksikkö CBZC pidätti neljä SIM-kaappauksesta epäiltyä, jotka tyhjensivät kryptopörssitilejä miljoonien arvosta. Juttu selittää, miten numeron kaappaus murtaa tekstiviestivarmennuksen ja miten suomalainen suojaa liittymänsä operaattorin PIN-koodilla ja autentikaattorisovelluksella.
Kalastelusta tuli palvelubisnes — Bluekit-alusta myy tekoälyavusteisia huijauksia
Uusi Bluekit-kalastelualusta myy valmiita huijauskampanjoita kuukausimaksulla, tekoälyavustaja ja yli 40 kohdepohjaa mukaan lukien. Varonis Threat Labs paljasti alustan, joka ohittaa kaksivaiheisen tunnistautumisen varastamalla istuntoevästeitä. Suomessa vastaava tekniikka uhkaa pankkitunnuksilla kirjautumista.
