Tutkimus paljastaa evästeiden vaarat

Katsaus evästeisiin

Olet varmasti nähnyt evästeitä koskevia ponnahdusikkunoita. Sellainen tulee vastaan lähes jokaisella sivustolla. Verkkoevästeistä tai yksinkertaisemmin evästeistä on tullut niin perustavanlaatuinen osa selaamisrutiiniamme, että napsautamme ”Hyväksy kaikki” lähes automaattisesti.

Evästeet ovat pieniä tekstitiedostoja, joita verkkosivustot säilyttävät laitteellasi. Ne sisältävät tietoa selaustoiminnastasi ja valinnoistasi, ja ne auttavat verkkosivustoja muistamaan nämä tiedot vierailuiden välillä. Evästeet tekevät selauskokemuksesta kätevämmän ja yksilöllisemmän. Niiden ansiosta käyttäjä pysyy kirjautuneena, ja ne muistavat mitä ostoskorissasi on, vaikka poistutkin sivustolta ja palaat takaisin myöhemmin. Evästeet voivat kuitenkin myös seurata toimintaasi mainostamistarkoituksissa, ja siksi niihin liittyy myös tietosuojahuolia.

Evästeitä on monenlaisia:

• Ensimmäisen osapuolen evästeitä luovat ja säilyttävät verkkosivustot, joilla vierailet. Niitä käytetään esimerkiksi kirjautumistietojen sekä käyttäjän valintojen ja asetusten muistamiseen. Jos vaikkapa kirjaudut sisään jollekin sivustolle, ensimmäisen osapuolen evästeet saattavat säilyttää käyttäjänimesi, jotta sinun ei tarvitse kirjoittaa sitä uudelleen seuraavalla vierailullasi. Ensimmäisen osapuolen evästeet mielletään yleensä vähemmän haitallisiksi, mutta niihinkin voi liittyä vakavia riskejä. Erityisesti tämä koskee tilanteita, joissa säilytetään henkilökohtaisia tietoja, kuten tunnuksia tai kirjautumistietoja – jos tällaiset evästeet varastetaan, hyökkääjät saattavat saada pääsyn henkilökohtaisille tileille tai jopa yritysten verkkoihin.
• Kolmannen osapuolen evästeitä säilyttävät laitteellasi sivustot, joilla et vieraile. Esimerkiksi mainostajat ja analyytikot voivat hyödyntää tällaisia evästeitä kohdennettua mainontaa tai käytöksen seurantaa varten. Kolmannen osapuolen evästeet seuraavat toimintaasi eri verkkosivustoilla – niiden avulla saadaan tietoa napsauttamistasi linkeistä ja katselemistasi tuotteista.
• Superevästeet tarkoittavat seurantamenetelmiä, joiden havaitseminen ja poistaminen on paljon vaikeampaa. Siinä missä tavalliset evästeet säilytetään selaimessasi ja niiden poistaminen on helppoa, superevästeet kätkeytyvät vaikeampiin paikkoihin, kuten paikalliseen flash-muistiin tai paikalliseen HTML5:n muistiin. Ne saattavat jopa käyttää ETageja tai HSTS:ää pysyäkseen laitteella. Myös internet-palveluntarjoajat saattavat käyttää superevästeitä seuratakseen asiakkaiden liikkeitä kaikilla verkkosivustoilla. Koska tällaisia evästeitä säilytetään erikoisissa paikoissa tai niitä lisätään verkkoa manipuloimalla, ne saattavat palata senkin jälkeen, kun olet poistanut evästeet selaimessa. Siksi ne ovatkin vakava turvallisuusriski.
• Zombie-evästeet eivät kuole millään, vaan ne palaavat haudan takaa jopa evästeiden poistamisen jälkeen. Ne luodaan yleensä uudelleen automaattisesti tavallisten evästeiden säilytyspaikkojen ulkopuolella olevien varmuuskopioiden avulla, mikä tekee zombie-evästeistä lähes mahdottomia poistaa – ja merkittävän tietosuojariskin.

Tutkimus paljastaa evästeiden ikävän puolen

Suurin osa evästeistä on harmittomia. Vääriin käsiin päädyttyään pienikin evästeen murunen voi kuitenkin paljastaa käyttäjän liikkeet digitaalisessa maailmassa, joten kaikkien evästeiden hyväksyminen voi olla vaarallinen tapa. Uusin tutkimus paljastaakin, minkälaisia riskejä evästeisiin liittyy. Se on jatkoa viime vuoden evästetutkimukselle ja tälläkin kertaa suoritimme sen yhteistyössä Nordstellar-riskienhallinta-alustan tutkijoiden kanssa. He analysoivat 93,7 miljardia evästettä, joita myytiin pimeän verkon foorumeilla ja Telegramin markkinapaikoilla. Tutkijat selvittivät, mistä evästeet olivat peräisin, mitä ne sisälsivät, olivatko ne aktiivisia ja miten kyberrikolliset käyttävät niitä.

On tärkeää huomauttaa, että NordVPN tai sen tutkijakumppanit eivät ostaneet varastettuja evästeitä ja/tai tutkineet niiden sisältöä suoraan. Kumppanimme ainoastaan analysoivat tietoja, jotka olivat saatavilla evästeiden myyntilistoilla. Näin takasimme käyttäjien tietosuojan ja turvallisuuden tätä tutkimusraporttia laatiessamme.

Miten evästeitä varastetaan?

Verkkorikollisten ei tarvitse nähdä suurta vaivaa varastaakseen evästeitä – niiden varastamiseen käytetään haittaohjelmia. Tutkimuksen suorittaneet tutkijat havaitsivat, että lähes aina evästeet oli hankittu tietoja varastavilla infostealer-ohjelmilla, troijalaisilla tai näppäintallentimilla. Tällaiset haittaohjelmat on kehitetty erityisesti kirjautumistietojen, evästeiden, selaimeen tallennettujen salasanojen ja kryptovaluuttalompakoiden keräämiseen. Tässä on yleisimpiä välineitä, joita tutkimuksemme perusteella käytetään evästeiden varastamiseen:

• Redline on yksi yleisimmin käytetyistä näppäintallentimista ja infostealer-ohjelmista, ja sitä mainostetaan haittaohjelmapalveluna. Redline Stealer on vastuussa valtaosasta (lähes 42 miljardia evästettä) varastettuja evästeitä, joita tutkimuksemme koski. Niistä kuitenkin vain 6,2 prosenttia oli edelleen aktiivisia, joten varastettujen tietojen elinikä on melko lyhyt.
• Vidar edustaa haittaohjelma palveluna -mallia, ja se tarjoaa erilaisia vaihtoehtoja tietynlaisten tietotyyppien etsimiseen. Se keräsi noin 10,5 miljardia evästettä, joista 7,2 prosenttia oli edelleen aktiivisia.
• LummaC2 on stealer-palvelu verkkorikollisille. Se on uudempi, mutta se myös yleistyy nopeasti. Sitä käytettiin yli 8,8 miljardin evästeen varastamiseen, ja niistä 6,5 prosenttia oli edelleen aktiivisia.
• CryptBot on tietoja varastava infostealer, jonka toiminta kohdistuu etenkin Windows-käyttöjärjestelmiin. Vaikka sitä käytettiinkin 1,4 miljardin evästeen varastamiseen, niistä 83,4 prosenttia oli edelleen aktiivisia, joten CryptoBot on listamme tehokkain haittaohjelma.

Näitä haittaohjelmatyökaluja on helppo käyttää, joten ne ovat lähes kaikkien ulottuvilla. Haittaohjelmat piileskelevät usein piraattiohjelmissa tai vaarattomilta vaikuttavissa latauksissa, ja asentamisen jälkeen ne skannaavat selaimen evästeet ja lähettävät ne hyökkääjän hallitsemalle palvelimelle. Sen jälkeen tiedot saatetaan listata pimeään verkkoon, joskus jopa minuuteissa.

Mitä tietoa evästeet sisältävät?

Evästeet sisältävät runsaasti tietoa. Kun verkkorikolliset myyvät varastettuja evästeitä, he yleensä merkitsevät ne avainsanoilla, jotka kertovat, minkälaista tietoa ne sisältävät. Yleisimpiä avainsanoja olivat ”ID” eli tunnus (18 miljardia) ja ”session” eli istunto (1,2 miljardia). Merkittävä osuus varastetuista evästeistä oli merkitty avainsanalla ”auth” eli tunnistautuminen (272,9 miljoonaa) ja ”login” eli kirjautumistieto (61,2 miljoonaa). Näiden tunnisteiden avulla voidaan päätellä, että evästeet liittyvät käyttäjätileihin, ja niitä voidaan käyttää tilien kaappaamiseen ilman salasanaa, kun aito käyttäjä on kirjautunut tililleen. Tämä on erityisen huolestuttavaa, kun huomioidaan, että 93,7 miljardin varastetun evästeen joukosta 15,6 miljardia oli edelleen aktiivisia.

Pääsy käyttäjätileille ei kuitenkaan ole ainoa ongelma. Jotkut evästeet sisältävät myös henkilökohtaisia tietoja, kuten käyttäjän nimen, sähköpostiosoitteen, asuinmaan ja -kaupungin, sukupuolen, syntymäajan ja joskus jopa fyysisen osoitteen. Nämä tiedot ovat vaarallisia, sillä niitä voidaan käyttää personoitujen manipulointihyökkäysten kehittämiseen tai pahimmillaan käyttäjien identiteettien varastamiseen. Esimerkiksi sijainnin tai syntymäajan paljastuminen voi olla riski paitsi tietosuojan myös turvallisuuden kannalta.

Mistä evästeet olivat peräisin?

Tutkijat perehtyivät myös siihen, mistä evästeet olivat peräisin. Sitä selvittääkseen he analysoivat kolmea päätekijää: alusta, jolta evästeet hankittiin, alkuperämaa ja käyttöjärjestelmä.

Alustat

Mitä alustoihin tulee, tuskin on yllätys, että listan kärjessä on suuria yrityksiä. Valtaosa tutkitusta datasta liittyi Googlen palveluihin – yli 4,5 miljardia evästettä liittyi Gmailiin, Google Driveen ja muihin Google-palveluihin. Yli miljardi evästettä oli peräisin YouTubesta ja Microsoftilta 

Suositut alustat ovat houkuttelevia kohteita, sillä niiltä voi hankkia runsaasti tietoa. Lisäksi Google- ja Microsoft-tilejä käytetään usein monivaiheisessa tunnistautumisessa. Google- tai Microsoft-istuntoevästeen varastaminen saattaa tarjota rikolliselle pääsyn uhrin sähköposteihin, tiedostoihin, kalentereihin ja jopa yhdistettyihin tileihin ilman tarvetta salasanojen arvaamiselle tai kaksivaiheisen tunnistautumisen ilmoituksia.

Maat

Evästeitä varastetaan kaikkialla maailmassa. Monet evästeet eivät sisältäneet tietoa käyttäjän maasta, mutta evästeet, joissa maa tai alue mainittiin, kattoivat 253 eri maata tai aluetta. Joidenkin evästelistausten kohdalla oli merkintä “tuntematon”, joten todellinen luku on todennäköisesti korkeampi.

Eniten evästeitä oli varastettu Brasiliasta, Intiasta, Indonesiasta ja Yhdysvalloista. Euroopassa listan kärjessä oli Espanja 1,75 miljardilla varastetulla evästeellä. Isosta-Britanniasta varastettuja evästeitä oli vain noin 800 miljoonaa, mutta aktiivisen evästeiden osuus oli korkea: 8,3 prosenttia. Suomesta varastettujen evästeiden määrä oli lähes 73 miljoonaa, ja niistä aktiivisia oli 7,5 prosenttia.

Laitteet

Valtaosa evästeitä oli hankittu Windows-laitteilta, mikä ei ole yllättävää – useimmat haittaohjelmat on kehitetty Windows-järjestelmälle. 13,2 miljardia evästettä oli kuitenkin peräisin muista käyttöjärjestelmistä tai niiden lähde oli tuntematon. Vaikka Windows-käyttäjät ovat suurimmassa vaarassa, muiden järjestelmien käyttäjienkin kannattaa olla varuillaan, sillä hyökkäyksiä kohdistetaan myös muille alustoille.

Mitä rikolliset voivat tehdä käyttäjien evästeiden avulla?

Evästeet voivat kuulostaa vaarattomilta, mutta niihin liittyy ikäviä riskejä. Jopa harmittomilta vaikuttavat evästeet voivat aiheuttaa suurtakin vahinkoa käyttäjille tai yrityksille. Ja kun ovi on kerran avattu, ongelmat tuppaavat jatkumaan. Erityisesti aktiiviset istuntoevästeet ovat rikollisille varsinainen kultakaivos. Niiden avulla hyökkääjät voivat ohittaa kirjautumissivut täysin. Se ei kuitenkaan ole ainoa vaara, vaan varastettuja evästeitä voidaan käyttää myös seuraaviin tarkoituksiin:

• Sosiaalisen median, sähköpostin tai verkko-ostostilien kaappaaminen.
• Uhriksi naamioituminen verkossa sisäänkirjautumistietoja tai automaattisesti täytettäviä tietoja käyttäen.
• Kaksivaiheisen tunnistautumisen ohittaminen, jos eväste merkitsee laitteen “luotetuksi”.
• Tietojenkalasteluhyökkäysten käynnistäminen uhrin henkilökohtaisia tietoja hyväksikäyttäen.
• Pääsyn hankkiminen moniin rinnakkaisiin kohteisiin – erityisesti tämä koskee yrityksiä, jotka käyttävät evästeisiin perustuvaa kertakirjautumista (SSO eli single sign-on).
• Pääsyn hankkiminen taloudellisiin tai asiakastietoihin ja muihin arkaluontoisiin tietoihin.
• Kiristyshyökkäysten toteuttaminen kirjautumistietoja varastamalla tai käyttämällä korkean tason järjestelmälupia.

Näin estät evästeiden varastamisen

Evästeiden suojaaminen varkaudelta ei tarkoita, että internetin käytöstä täytyisi luopua kokonaan. Se kuitenkin vaatii muutamien tapojen muuttamista.

• Älä hyväksi kaikkia evästeitä. Ensimmäinen askel kohti turvallisuutta on sen ymmärtäminen, että kaikki evästeet eivät ole tarpeellisia, ja vaikka voitkin hyväksyä kaikki evästeet kerralla, niin ei tarvitse tehdä. Torju ei-toivotut evästeet aina kun se on mahdollista. Tee niin erityisesti kolmansien osapuolten tai käyttäytymistäsi seuraavien evästeiden kohdalla. Suurin osa sivustoista toimii mainiosti ilman niitä.
• Hanki turvallisuustyökaluja. Haittaohjelmat, mukaan lukien infostealerit, pääsevät koneellesi latausten tai tietojenkalastelulinkkien kautta. Työkalut, kuten Threat Protection Pro™, voivat estää vaaralliset sivustot ja skannata lataukset haittaohjelmien varalta ennen kuin ne pääsevät laitteellesi.
• Poista evästeet säännöllisesti. Kaikkia evästeitä on turha säilyttää – hankkiudu siis turhista evästeistä eroon. Ota evästeiden poistaminen tavaksi, erityisesti sen jälkeen, kun olet käyttänyt julkisia tai yhteiskäytössä olevia tietokoneita. Tämä vaihe voi kuulostaa turhanpäiväiseltä, mutta se pienentää tietojen kaappaamisen aikaikkunaa.
• Käytä turvallisempaa yhteyttä. Ensimmäinen askel on julkisten Wi-Fi-verkkojen tai salaamattomien yhteyksien välttäminen. Hanki VPN, joka salaa verkkoliikenteesi ja suojaa sen uteliailta katseilta.