Erinevatel hinnangutel langeb ülemaailmselt küberkuritegevuse ohvriks üle 1 miljoni inimese päevas. Kuigi rohkem kirjutatakse rünnetest suurte ettevõtete vastu, satuvad küberkurjategijate ohvriks pigem tavakodanikud ning väikesed ja keskmise suurusega ettevõtted – nemad ei suuda panustada piisavaid ressursse ei turbetehnoloogia ega teadlikkuse arendamisse.

Inimene on teadupärast küberturvalisuse kõige nõrgem lüli, ja niikaua kui see nõrk lüli võimaldab kurjategijatele piisavat tulu, seda kasutatakse. Milleks näha vaeva keerukatesse süsteemidesse või tehnoloogiatesse sisse häkkimisega, kui samaväärse tulu saavutamiseks on lihtsamaid ja vähem vaeva nõudvaid võimalusi? Küberkurjategijad kasutavad seda mis töötab ja on võimalikult väikese vaevaga saavutatav.

Miks küberkurjategijad on edukad?

Küberkurjategijad on väga osavad psühholoogid. Kulukuselt ja keerukuselt on lihtsam rünnata inimest kui tehnoloogiat, ning statistika põhjal rünnataksegi inimest kordades rohkem. Kurjategija peab ainult mõistma, kuidas me tegutseme inimestena ja kuidas me tegutseme ühiskonnas või töökollektiivis. Samuti on mõned inimesed oma natuurilt riskialtimad kui teised, mõned ettevaatlikumad kui teised. Kurjategijad kasutavad seda kõike edukalt ära.

Paljudel rünnakutel on sarnane iseloom: lunavara, õngitsemise, ja isegi vana tuntud “Nigeeria printsi” skeemi puhul proovivad kurjategijad ohvrilt saada midagi, mis on talle väärtuslik. Või võtta midagi, mis on ohvrile väärtuslik, pakkudes selle tagastamist raha vastu. Kurjategijad kasutavad seda, mis töötab, kuid muutuvad oma tegevuses järjest osavamaks – keelekasutus ja grammatika paranevad, info otsimise oskused võimalike ohvrite kohta paranevad, teadmised inimpsühholoogia osas paranevad. Võime ju mõelda, et „kes küll sellise jama otsa satub?“, kuid fakt on, et satutakse ning ka Eesti inimesed on sattunud ja kurjategijatele maksnud.

Kuidas küberkurjategijad tegutsevad?

Kuigi on üldlevinud arvamus et kurjategijaid huvitab eelkõige raha, ei ole see sugugi ainus ajend ja motivaator. Kurjategijaid huvitavad ka andmed, identiteedid ja juurdepääsud – mida kõike saab osta, müüa või vahetada muude teenuste vastu. Meil kõigil on natuke raha, mingid andmed ja isiklik identiteet. See teeb meid kõiki sihtmärgiks. Ei maksa arvata, et „minu isik või minul olevad andmed ei paku kellelegi huvi“ – suur osa küberkurjategijatest ei pööragi tähelepanu ohvri isikule, vaid piltlikult öeldes viskavad võrgu vette ja vaatavad, kui palju kalu sellega püüda õnnestub. Või – kui tegemist on suunatud ründega – viskavad õnge ja vaatavad kas näkkab.

Kui rahalise ohu saab iga inimene ja ettevõte ise välja arvutada – kasvõi lihtsa valemiga arvestades pangakontol olevaid varasid, siis muus osas sõltub oht eelkõige sellest kui väärtuslikuks me ise enda identiteeti, andmeid või ligipääse peame. Mis juhtub, kui keegi varastab teie identiteedi? Kui kaotate kõik digitaalsed andmed, mis te kunagi olete kuhugile salvestanud, siis milline on selle emotsionaalne kahju? Või taastamisele kuluv aeg? Kui nendeks andmeteks on teie lapse esimesed 5 eluaastat? Või kui nendeks on ettevõtte andmed tegevuse ja kliendibaasi kohta kogu tema tegevusaja jooksul? Palju asju on võimalik taastada, kuid kui palju see aega võtab?

Lunavararünnete puhul krüpteerib (lukustab) kurjategija ohvri andmed ning kui talle ei maksta, hävitab need. Ohvrile on andmed olulised – ligipääs e-kirjadele, sotsiaalmeediale, fotodele, dokumentidele on oluline. Kui maksate, võite oma andmed tagasi saada (kuigi kindel ei saa olla), kui ei maksa, ei saa oma andmeid tagasi. Mida teha? Kas võib olla päris kindel, et saate oma andmed tagasi? Kas andmed on juba kopeeritud ja elavad maailmas oma elu? Mis takistab kurjategijal tehtut korrata? Parim kaitse siin on ennetamine – kui teil on olulisest varukoopiad, ei ole te nii haavatavad.

“Nigeeria printsid” käituvad veidi teisiti – kellele ei meeldiks tasuta asjad või igavene armastus? Nemad lubavad tavaliselt midagi mitte millegi eest: olete nende unelmate kaaslane, kuid teie juurde pääsemiseks vajavad nad veidi raha. Või olete võitnud teatud rahasumma, ning selle kättesaamiseks peate maksma väiksema summa. Kes ei tahaks leida igavest armastust või saada niisama 10 000 eurot? Kui inimene on juba skeemiga nõustunud, hakkavad makstavad summad vähehaaval kuhjuma. Ning inimesed maksavad, kuni saavad aru pettusest ja lõpetavad ülekanded. Isegi kui tegemist on meie mõistes ehk väikeste summadega, on 100 eurot mõnes riigis inimese aastane sissetulek.

“Reisil ja hädas” pettuste puhul mängitakse emotsioonidele ja ajafaktorile. Selleks saadetakse e-kiri kellegi nimel, keda tunnete, sisuga “olen reisil ja minult varastati kõik dokumendid ja raha, palun saatke kiiresti mulle mingi summa”. Taoliste skeemide puhul on alati väga kiire, ja ohver ei jõua “kirja saatjaga” kontakteeruda. Kui laps ongi päriselt Peterburis klassiekskursioonil, teda või õpetajat kätte saada ei õnnestu ja saate sellise kirja, siis mida teete?

Õngitsemisrünnakute puhul saab ohver kirja kelleltki, keda ta tunneb – rünnatakse eelkõige inimlikku usaldust või kasutatakse ähvardusi. Ka selliste juhtumite puhul on alati tegemist kiireloomuliste asjadega. Eriti on õngitsusründeid kasutatud viimasel ajal nn tegevjuhi petuskeemina, kus näiliselt on ettevõtte juhilt raamatupidajale saadetud kiireloomuline arve juhistega selle maksmiseks. Ka Eesti ettevõtted on sellise skeemi läbi kaotanud sadu tuhandeid eurosid.

Laiem kontekst

Mailmas elab üle 7,7 miljardi inimese, kellest internetti kasutavad umbes pooled. Internetti ühendatud seadmeid on ligi 26 miljardit, aastaks 2020 ennustatakse nende arvu kasvu 31 miljardile ning aastaks 2025 juba 75 miljardile.

Eurobaromeetri uuringu tulemustest selgub, et Euroopa Liidus kasutab igapäevaselt internetti 70% inimestest, aeg-ajalt 9% inimestest ning mitte kunagi 21%. Sama küsitluse põhjal kasutab Eestis internetti igapäevaselt või aeg-ajalt 81% ning ei kasuta üldse 19% inimestest. Võrreldes 2015. aastal toimunud uuringuga on huvitav, et suurenenud on nii nende isikute hulk, kes kasutavad internetti, kui ka nende hulk, kes internetti üldse ei kasuta.

Internet annab loendamatuid võimalusi meie elu paremaks ja huvitavamaks muuta, kuid sama palju võimalusi annab see ka vastupidiseks. Küberkuritegevusega tekitatud kahjud ulatuvad mõningatel andmetel maailmas igal aastal 600 miljardi euroni, mis on umbkaudu 0,75 protsenti globaalsest sisemajanduse kogutoodangust. Küberkuritegevuse tulud ületavad hinnanguliselt 1,5 triljoni euro piiri. Võrdluseks, Eestis oli valitsuse heakskiidu saanud 2018. aasta riigieelarve kulude ja investeeringute maht 10,58 miljardit eurot ning tulude maht 10,29 miljardit eurot. Kui küberkuritegevuse näol oleks tegemist riigiga, oleks selle SKP maailmas 13-ndal kohal.

Eurobaromeetri uuringus uuriti 2017. aastal Euroopa Liidus avalikkuse arvamust küberkuritegevuse kohta. Uuringu põhjal pidas küberkuritegevust väga suureks või suureks probleemiks 87% vastanutest. Selle protsendi sees on huvitavad erinevused: kõige rohkem muretsevad küberkuritegevuse pärast hollandlased, kellest 97% pidas seda suureks probleemiks, ja kõige vähem muretsevad küberkuritegevuse pärast eestlased, kellest 74% arvas selliselt.

Küberkuritegevust ei pea üldse probleemiks tervelt 16% eestlastest, mis on suurim number terves Euroopa Liidus.

Võrdluseks võiks siinkohal tuua Hollandi ja Soome, kus vaid 2% küsitletutest arvab, et küberkuritegevus ei ole probleem. Küberkuritegevuse ohvriks sattumise pärast on kõige rohkem mures soomlased (94%), hispaanlased (93%) ja rootslased (91%) – Eestis 76% inimesi. Kõige rohkem ollakse mures pahavara või identiteedivarguse pärast (69% vastanutest), samuti pangakaardi või internetiostlemisega seotud pettuste pärast (66%). See näitab, et mures ollakse eelkõige kasutajate vastu suunatud kuritegude pärast.

Sama küsitluse põhjal peab end küberkuritegevusest hästi informeerituks Euroopa Liidus 46% ja üldse mitte informeerituks 51% küsitletutest. Kõige paremini informeeritud on taanlased, kus hästi või väga hästi informeerituks peab end 76% ning mitte-informeerituks 22% küsitletutest. Eestis peab end hästi või väga hästi informeerituks 46% ning mitte-informeerituks 50% küsitletutest. Kui me teaksime inimeste vastu suunatud küberkuritegevusest rohkem, kas oskaksime seda siis paremini ära tunda ja seeläbi paremini ära hoida?

Miks on küberkuritegevus järjest suurenev probleem?

Me räägime ja kuuleme söögi alla ja söögi peale, et peame kasutama viirustõrjet, tegema varukoopiaid, ja et parool peab olema turvaline ning sama parooli ei tohi mitmes kohas samaaegselt kasutada. Ometi näitavad erinevad uuringud, et me teeme seda ikka ja jälle. Miks? Kas turvaline arvutikasutus on liialt keeruline? Kas viirustõrje maksab palju? Kas salasõnu ei jõua meeles pidada? Või on põhjuseks suhtumine, et “mul ei ole midagi, mis kellelegi huvi pakub, minuga ei juhtu midagi”?

Kokkuvõtteks

Paljudel juhtudel on võimalik kuritegu ära tunda ja seda ära hoida – keelekasutus, grammatika, kirjavead, isegi loogikavead – kuid kiireloomulisuse rõhutamine viib tihti selleni, et neid ilmselgeid märke ei tunta ära. Kui lisame siia rööprähklemise ja järjest suureneva tähelepanu hajumise tänapäeva maailmas, kus ajaressurss on järjest olulisem, siis on isegi ilmselgete märkide olemasolul õngesattumine lihtne.

Meie ühiskonna suur ja kasvav sõltuvus infotehnoloogiast ei ole proportsioonis turvalise käitumisega internetis. Tehnoloogia areneb kiiremini kui inimeste mõtteviisid, arusaamad ja käitumismallid, mistõttu see lõhe pigem suureneb. Seetõttu jääbki küberkuritegevus nähtavas tulevikus ulatuslikuks probleemiks ja kui arengud jätkuvad praeguses tempos, võib sellest järgmise viie aasta jooksul saada suurim oht igale inimesele, igale organisatsioonile, igale ettevõttele ja igale riigile maailmas.

Küberturvalisuse rubriigi eesmärk on tõsta lugejate teadlikkust antud valdkonna probleemidest ja edusammudest nii Eestis kui mujal. Artikliseeria avab teemat muuhulgas tehnoloogia, juhtimise, majanduse, teaduse, riigihalduse ja rahvusvaheliste suhete vaatenurgast.

Tiia Sõmer

Tiia Sõmer on TalTech küberkriminalistika ja küberjulgeoleku keskuse nooremteadur. Ta uurimisfookus on küberkuritegevus ja küberkriminalistika, uurides muuhulgas küberkuritegevuse majanduslikke aspekte. Enne akadeemilist karjääri oli ta üle 20 aasta Eesti Kaiteväe teenistuses, sh diplomaatilistel positsioonidel NATOs ja Euroopa Liidus. Loe artikleid (1)