Spam vs Phishing: What’s the Difference Between Them?

56,51 % kaikista sähköposteista on roskapostia (Kaspersky), ja 65 % yhdysvaltalaisista organisaatioista kohtasi onnistuneita phishing-hyökkäyksiä vuonna 2019 (Proofpoint)! Mutta ovatko ne erilaisia? Tutustutaanpa roskapostiin vs. phishingiin maallikon kielellä!

Spam vs. phishing – vaikka ihmiset käyttävät sanoja ”roskaposti” ja ”phishing” vaihdellen, termeillä on toisiinsa liittyviä, mutta eri merkityksiä. Ne ovat molemmat termejä, jotka kuvaavat ärsyttävää, ei-toivottua viestintää, jolla yritetään manipuloida kohteita tekemään jotain. Tämä voi olla jonkinlaisten tietojen antamista itsestäsi – henkilökohtaisia tietoja, kirjautumistietoja jne. – tai haitallisen linkin tai tiedoston käyttämistä.

Mutta mitä tarkoittaa roskaposti ja mitä phishing? Tässä artikkelissa puhumme yksityiskohtaisesti roskapostista ja phishingistä. Tutkimme myös roskapostin ja phishingin eroa sähköpostin, puheluiden ja tekstiviestien osalta.

Spam vs. Phishing: termien alkuperä ja merkitys

Mitä on roskaposti?

Kaikkea ei-toivottua tai ei-toivottua kaupallista viestiä pidetään yleisesti roskapostina. Digital Trendsin mukaan itse termin ”roskaposti” uskotaan olevan peräisin 1980-luvulta viitaten Monty Python -sketsiin, jossa viitattiin lihasäilykkeeseen Spam. Brad Templetonin (maailman ensimmäisen internet-pohjaisen yrityksen perustaja) tekemän tutkimuksen mukaan termi ”roskaposti” tarkoittaa ”jotain, joka toistuu ja toistuu suureksi harmiksi”. Se on periaatteessa digitaalinen vastine kaikille niille roskapostin kirjekuorille ja postikorteille, joita postinkantaja toimittaa kotisi postilaatikkoon. IBM:n X-Force Threat Intelligence Index 2020 -raportissa roskapostia kuvataan numeropeliksi: ”

Periaatteessa, jos lähetät tarpeeksi sähköpostiviestejä, joku jossakin lopulta uskoo huijauksiin. Tämän vuoksi roskapostiviestejä ei ole kohdennettu, vaan ne tavoittavat massat. Huijaajat käyttävät roskapostia kolmella yleisellä tavalla:

• Sähköpostiviestit,
• Puhelinsoitot (puhelinmyynti- ja robo-soitot) ja
• Tekstiviestit (tekstiviestit), jotka ovat tekstiviestejä (tekstiviestejä).

Vaikka roskapostiviestejä ei välttämättä ole yhtä vaarallisia kuin tekstiviestejä (phishingiä), käyttäjien on silti syytä olla varuillaan tällaisten viestien kohdalla. Ne yrittävät usein saada sinut antamaan henkilökohtaisia tietoja, joita he voivat käyttää tulevissa roskapostiviesteissä. Joskus ne voivat myös olla luonteeltaan haitallisia (vaikkakin harvemmin kuin phishing-sähköpostit).

Mitä on phishing?

Phishing on huijareiden ja verkkorikollisten tapa esiintyä laillisena tahona tai käyttää muita menetelmiä kohteidensa huijaamiseen. Phishing-viestit ovat yleensä roskapostia vaarallisempia, koska ne on suunniteltu näyttämään laillisilta, mutta niiden tarkoituksena on vahingoittaa, manipuloida tai huijata ihmisiä tekemään jotain, mitä he eivät normaalisti tekisi tai mitä heidän ei pitäisi tehdä. Kun siis puhutaan roskapostista ja phishingistä, ero on lähettäjän aikomuksissa ja viestien sisällössä.

Fishing-sähköpostiviestien tavoitteena on saada käyttäjät jakamaan tietoja, klikkaamaan linkkejä tai käyttämään haitallisia liitetiedostoja. Linkkien avulla yritetään varastaa tunnistetietosi tai saada sinut lataamaan vahingossa haitallisia ohjelmistoja. Liitetiedostojen avulla yritetään myös saada sinut asentamaan haittaohjelmia. Oli miten oli, se on huono uutinen sinulle.

Yleisimpiä phishing-tyyppejä ovat

• Phishing-sähköpostit (mukaan lukien whale phishing, spear phishing),
• puhelinsoitot (vishing),
• SMS (smishing),
• Wi-Fi-portti phishing (evil twin),
• HTTPS Phishing ja
• Angler phishing (sosiaalisen median postausten ja profiilien kloonaaminen).

Spam vs. Phishing sähköposteissa

Sähköpostit ovat suosituimpia roskapostitus- ja phishing-tekniikoita. Ja siksi aiomme puhua siitä, miten voit erottaa roskapostit phishing-sähköposteista.

Mitä on roskaposti sähköpostin yhteydessä?

Mitä tahansa sähköisiä viestejä, jotka lähetetään tuotteen, palvelun tai verkkosivuston sisällön kaupallista mainontaa tai myynninedistämistä varten, pidetään roskapostina. Sähköpostin roskapostitus on laillista toimintaa vuoden 2003 Controlling the Assault of Non-Solicited Pornography And Marketing Act of 2003 -lain nojalla, joka tunnetaan nimellä CAN-SPAM-lainsäädäntö.

Tässä on joitakin keskeisiä CAN-SPAM-sääntöjä, joita lähettäjän on noudatettava:

• Sähköpostiviestissä on oltava aktiivinen ja näkyvä peruutuslinkki tai -painike. Lähettäjä saa 10 päivää aikaa toimia peruuttamispyynnön mukaisesti ja lopettaa sähköpostin lähettäminen vastaanottajalle.
• Lähettäjän sähköpostiosoitteen on oltava tarkka. ”From”-rivi ei saa olla harhaanjohtava ja viestin aiheen on oltava olennainen viestin runkoon nähden.
• Lähettäjän fyysinen osoite on mainittava. Lähettäjän (yrityksen, yksittäisen lähettäjän, mainostajan tai kolmannen osapuolen markkinointitoimiston) fyysisen osoitteen (tai postilokeron numeron) on oltava sähköpostissa.
• Vastaanottajia on varoitettava, jos sähköpostiviestissä on aikuisille suunnattua sisältöä. Jos sisältö on luonteeltaan aikuismaista, se on varustettava merkinnällä ”SEKSUAALISUUTEEN LIITTYVÄ”.
• Lähettäjän tulee lähettää sähköpostia useasta sähköpostiosoitteesta. Lähettäjän ei tulisi lähettää roskapostiviestejä samalle vastaanottajalle eri sähköpostiosoitteista.
• Sähköpostit eivät saa sisältää haittaohjelmia: Roskapostiviestit eivät saa sisältää haittaohjelmia (viruksia, matoja, troijalaisia hevosia jne.) tai ohjata käyttäjiä haitallisille verkkosivuille.

Kun yritykset lähettävät sähköpostiviestejä nykyisille asiakkailleen tai liiketoimintajohdoille (henkilöille, jotka ovat tiedustelleet tuotteista/palveluista) seurantatoimenpiteitä, palautetta, ehdotuksia tai minkä tahansa muunlaista yhteydenpitoa varten, tällaisia viestejä ei myöskään katsota roskapostiksi. Nämä viestit luokitellaan CAN-SPAMin mukaisiksi suhdeviesteiksi. Jopa poliittiset ja uskonnolliset sähköpostiviestit ovat myös CAN-SPAMin SMAP-määritelmän ulkopuolella.

Spam-sähköpostiviestit eivät ole luonteeltaan haitallisia. Ne ovat vain ei-toivottuja ja vievät turhaa tilaa postilaatikossasi. SPAM-sähköpostit ovat kuitenkin tunnettuja siitä, että ne hyödyntävät tietoturva-aukkoja; hakkerit voivat käyttää niitä hyväkseen murtautuakseen vastaanottajan sähköpostiohjelmaan ja levittääkseen haittaohjelmia tai phishing-sähköposteja. Esimerkiksi IBM:n X-Force Threat Intelligence Index 2020 -raportin mukaan CVE 2017-0199 ja 2017-11882 -nimiset tietoturva-aukot ovat olleet ”lähes 90 prosenttia haavoittuvuuksista, joita hakkerit ovat yrittäneet hyödyntää roskapostikampanjoiden kautta.”

Roskapostissa on kyse vain numeroista. Kun roskapostiviestit osuvat tarpeeksi moniin ihmisiin, pienetkin onnistumisprosentit maksavat pitkällä aikavälillä.

Useimmat sähköpostiohjelmat tunnistavat roskapostiviestit automaattisesti ja heittävät ne roskaposti-/roskapostikansioon. Myös kaikki liitetiedostot ja kuvat estetään tällaisessa sähköpostissa. Mutta jos saat edelleen ei-toivottuja roskapostiviestejä postilaatikkoosi, voit peruuttaa niiden tilauksen. (Tarkista kuitenkin ensin, ettei peruutuslinkki ole phishing-linkki tai haitallinen linkki). Voit myös siirtää sähköpostiviestin roskapostikansioon napsauttamalla sitä hiiren kakkospainikkeella. Voit myös estää lähettäjän.

Tässä on esimerkki tyypillisestä roskapostiviestistä:

Tämä on roskapostiviesti, jonka sain eräältä logosuunnittelusivustolta. Aihekentän sisältö vastaa sähköpostin sisältöä. Näet myös, että sähköpostissa on unsubscribed-välilehti ja yrityksen fyysinen osoite. Se tarkoittaa, että kyseessä on roskapostiviesti, joka noudattaa kaikkia SPAM-CANin ohjeita.

Mitä on phishing sähköpostin yhteydessä?

Huijaajat lähettävät phishing-sähköposteja esiintyen yrityksenä tai henkilönä, johon vastaanottajat luottavat. Nämä sähköpostit ovat luonteeltaan harhaanjohtavia. Phishing-sähköpostit on muotoiltu siten, että ne näyttävät tulevan pankista, verkkokauppasivustolta, yliopistolta, hallitukselta, työnantajalta, sukulaisilta tai kollegoilta. Verizonin vuoden 2020 Data Breach Investigations Report (DBIR) -raportin mukaan 96 prosenttia phishing-hyökkäyksistä tapahtuu sähköpostitse.

Sähköpostiviestit saattavat sisältää haittaohjelmia sisältäviä liitetiedostoja, haitallisia linkkejä tai uudelleenohjauksia roskapostitetuille verkkosivustoille. Joskus hyökkääjät yrittävät herättää vastaanottajissa tunnereaktion ja antautuvat jakamaan heidän luottamuksellisia tietojaan, kuten:

• Maksukorttinumerot,
• Puhelinnumerot,
• Fyysinen osoite,
• Sosiaaliturvatunnus (SSN),
• Verotukseen liittyvät tiedot ja
• Terveystiedot

Fishing-sähköpostiviestien yleisinä motiiveina ovat muun muassa:

• Rahoitushuijaus,
• Identiteettivarkaus,
• Login-tunnusten varastaminen,
• Haittaohjelmien levittäminen (madot, virukset, troijalaiset, rootkitit, mainosohjelmat jne.), ja
• Vastaanottajien ohjaaminen haitallisille verkkosivustoille.

Alla on esimerkki tyypillisestä phishing-sähköpostista. Sähköposti näyttää tulevan PayPalilta, mutta jos tarkistat lähettäjän sähköpostiosoitteen huolellisesti, huomaat, että se on peräisin huijarilta, ja hyväntahtoiselta näyttävä PDF-liite saattaa sisältää vaarallisia haittaohjelmia.

Monissa Yhdysvaltain osavaltioissa on erilaisia lakeja phishingistä. Ei ole liittovaltion lakia, joka suoraan kriminalisoisi phishingin, mutta liittovaltion rikoslainsäädäntöä sovelletaan phishingin avulla tehtyihin talouspetoksiin ja identiteettivarkauksiin.

Jos olet joutunut phishing-sähköpostin uhriksi, voit tehdä valituksen osoitteeseen www.ic3.gov, ftc.gov/complaint tai [email protected].

Ero roskapostin ja phishing-sähköpostin välillä

Voidaksemme auttaa sinua ymmärtämään paremmin roskapostin ja phishing-sähköpostin eron, ajattelimme, että voisi olla hyödyllistä nähdä ne vierekkäin taulukossa.

	Spam	Phishing
Tarkoitus	Tuotteiden ja palvelujen mainostaminen ja markkinointi	Vastaanottajien huijaaminen
Luonne	Ei-toivotut kaupalliset sähköpostiviestit, jotka ovat yleensä luonteeltaan hyvänlaatuisia, mutta voivat joskus olla haitallisia	Harhaanjohtavia viestejä, jotka näyttävät tulevan laillisilta tahoilta, mutta jotka on suunniteltu olemaan luonteeltaan haitallisia.
Sisältää	Tuote-/palvelumainoksia, kuponkikoodeja, tarjouksia, alennuksia, kysely- tai kyselylomakkeita	Pahansuojattuja liitetiedostoja, tartunnan saaneita linkkejä, linkkejä, jotka ohjaavat roskapostitetuille verkkosivuille, harhaanjohtavia viestejä, jotka pakottavat vastaanottajat jakamaan henkilökohtaisia tietojaan/taloudellisia tietojaan
Lainsäädäntöä	U.S. Non-Solicited Pornography and Marketing Act of 2003 Muiden maiden osalta: Anti-Spam-lait	Vaihtelevat osavaltioiden lait, Yhdysvaltain liittovaltion rikoslaki

Spam vs. Phishing: Ääniviestit ja puhelinsoitot

Tekijät käyttävät roskaposti- ja phishing-kohteiden roskapostitukseen ja phishingiin puhelinsoittoja.

Spam-puhelut

Jos saat ei-toivotun puhelinsoiton markkinointitarkoituksessa, erityisesti yritykseltä, jonka kanssa et ole ollut tekemisissä aiemmin, se voidaan luokitella roskapostipuheluksi. Markkinointi- ja roskapostipuhelujen määritelmä voi olla hämärtynyt.

Jos esimerkiksi saat yhtäkkiä puhelinsoiton luottokortin hakemisesta korttiyhtiöltä, jonka kanssa et ole koskaan aiemmin asioinut, sitä pidetään roskapostipuheluna. Mutta jos joku soittaa sinulle myydäkseen uutta korttia tai vakuutuksia pankista, jossa sinulla on jo tili, sitä pidetään pelkkänä markkinointipuheluna lisätuotteiden myymiseksi. Yhdysvalloissa Telephone Consumer Protection Act (TCPA) ja Federal Communications Commission (FCC) asettavat rajoituksia roskapostipuheluille ja telemarkkinointiviesteille.

Voice Phishing (Vishing)

Kun tekijät soittavat puheluita, joissa he esiintyvät jonkun toisen henkilönä tarkoituksenaan huijata sinua, sitä kutsutaan voice phishingiksi tai vishingiksi. Esimerkiksi huijari soittaa sinulle esiintyen pankinjohtajana ja pyytää sinua antamaan sosiaaliturvatunnuksesi neljä viimeistä numeroa ja joitakin muita henkilökohtaisia tietoja, jotta sinulle voitaisiin lähettää uusi luottokortti.

Joskus hyökkääjät käyttävät julkisuuteen vuotanutta tietokantaa tai hyödyntävät sosiaalisia insinööritaitojaan tehdäkseen pientä tutkimusta mahdollisista uhreista ennen soittoa. He esimerkiksi soittavat korkeakouluopiskelijoille esiintyen pankin työntekijänä, joka käsittelee opintolainoja, tai valtion/liittovaltion opintotukiosaston edustajana, joka haluaa lisätietoja heidän stipendihakemuksestaan. Lyhyesti sanottuna, sen sijaan, että huijarit soittaisivat satunnaisiin numeroihin, he soittavat puhelun ymmärtäen kohderyhmänsä niin, että he kuulostavat laillisilta potentiaalisten uhrien silmissä.

Spam vs. Phishing: Tekstiviestien lähettäminen

Tänä päivänä on saatavilla verkkosivustoja ja työkaluja, joilla voi lähettää massatekstiviestejä uskomattoman alhaisin kustannuksin. Siksi roskapostittajat ja phishing-huijaajat rakastavat lähettää viestinsä myös tekstiviesteillä! Pystyt tavoittamaan käyttäjät heidän kännyköissään missä tahansa he ovatkin.

Spam-tekstiviestit

Kun yritykset lähettävät ei-toivottuja massatekstiviestejä kaupallisiin, ei-haitallisiin tarkoituksiin, niitä kutsutaan roskapostitekstiviesteiksi tai roskatekstiviesteiksi. Nämä viestit voivat sisältää tuotetietoja, tietoja erikoistarjouksista/alennuksista, tarjouksista, järjestelmistä, kuponkikoodeista jne. Niissä voi olla myös linkkejä tuotteen/palvelun verkkosivustolle.

Joitakin roskapostitekstiviestejä lähetetään kyselytutkimuksena, jolla pyritään saamaan lisätietoa mahdollisista asiakkaista. Tällaisten tekstiviestien tarkoituksena voi olla tuotteen tai palvelun myyminen, brändin luominen, lisätietojen kerääminen (kuten demografiset tiedot, ostotottumukset, ostovoima, mieltymykset jne.) vastaanottajista. Tekstispämmi kuuluu myös The Telephone Consumer Protection Actin (TCPA) piiriin.

SMS Phishing (Smishing)

Tässä huijarit lähettävät tekstiviestejä esiintyen laillisina organisaatioina. Tällaisten phishing-tekstiviestien luonne ja tarkoitus on sama kuin phishing-sähköpostien – eli huijata vastaanottajia. Hyökkääjät yrittävät huijata tai manipuloida sinua:

• jakamaan henkilökohtaisia tai taloudellisia tietojasi,
• suorittamaan rahoitustapahtumia,
• lataamaan haittaohjelmia sisältäviä liitetiedostoja tai
• klikkaamaan tekstiviesteissä olevia linkkejä, jotka johtavat haitallisille verkkosivustoille.

Päättely roskapostista vs. tietojenkalastelusta

Aihe roskaposti vs. tietojenkalastelu, tai tarkemmin sanottuna roskapostin ja tietojenkalastelun välinen ero, voi olla hämmentävä. Tähän mennessä voimme kuitenkin olettaa, että tiedät roskapostin olevan ärsyttävä mutta hyvänlaatuisempi viestityyppi, kun taas phishing helpottaa tietoverkkorikollisuutta. Hieno raja phishingin ja roskapostin välillä hämärtyy, kun roskapostittaja rikkoo CAN-SPAMin (tai oman maasi roskapostia koskevan lainsäädännön) ohjeita. Esimerkiksi sähköpostin sisältö tai lähettäjän sähköpostiosoite on luonteeltaan harhaanjohtava tai sähköposti- tai tekstiviestit sisältävät haittaohjelmia (tai linkkejä haitallisille verkkosivustoille).

Spämmi voi joskus olla niin ärsyttävää, että tekee mieli vaihtaa puhelinnumero tai sähköpostiosoite! Toisaalta phishing voi johtaa siihen, että sinusta tulee tietoverkkorikollisuuden uhri. Kouluta siis itseäsi ja työntekijöitäsi lisää phishing-huijauksista ja siitä, miten ne tunnistetaan onnistuneesti.