Vastaamon kryptokiristys | Juho Ranta | Neuvottelija 42

Second Nature Securitiesin teknologiajohtaja Juho Ranta arvioi Vastaamon tietomurtoa ja kiristystä tuoreeltaan. Laajuudessaan tapaus on Suomessa ainutlaatuinen, koska kohteena ovat tavallisten ihmisten kaikkein arkaluontoisimmat tiedot, ja siksi keskustelun kantava kysymys on mitä tästä pitäisi oppia. Ranta selittää mitä eroa on valkohatuilla ja mustahatuilla, miten kalasteluhyökkäys toimii, mihin Tor-verkkoa ja bitcoinia oikeasti käytetään ja miksi kiristäjälle maksaminen ei poista uhkaa. Mukana ovat myös henkilötunnuksen uusimattomuus identiteettivarkauden mahdollistajana, GDPR:n väärinymmärretyt puolet ja se miksi tietoturva pitäisi johtaa liiketoiminnan eikä yksittäisen järjestelmän ehdoilla. 00:00 Kiristäjän bitcoin-lompakot ja operational security 00:29 Vieraana Juho Ranta Second Nature Securitiesista 00:42 Miksi tapaus on Suomessa ainutlaatuinen 02:18 Twitterin kaappaus kesällä ja kalasteluhyökkäys 02:50 Mikä phishing on käytännössä 03:44 Miten Twitter-huijaus toimi 04:45 Valkohattu ja mustahattu erotettuna 06:01 Milloin raja hämärtyy valtiollisessa toiminnassa 06:34 KRP kiitti valkohattuyhteisöä 07:03 Mikä Tor-verkko on ja miksi sitä tarvitaan 08:04 Snowden ja kognitiivinen dissonanssi 08:28 Mahdollistaako bitcoin kiristyksen 09:17 Miten bitcoinit pitäisi vielä realisoida 10:48 GDPR ja sen tuoma harmi yrityksille 12:16 Mitä GDPR:stä ymmärretään väärin 13:04 Tavoitteena sama viiva kaikille EU-maille 13:57 Kansainvälinen sääntelyviidakko ja compliance 15:08 Voiko tragediasta seurata parannusta 16:13 Tietokannat pilvessä ja työpiste heikkona lenkkinä 16:56 Auki jäänyt potilastietojärjestelmä neuvolassa 17:24 Tietoturva kokonaisuutena ja riskienhallintana 18:17 Henkilöstö riskinä ja puhelinhuijaukset 19:00 Salasanojen hallintaohjelmat käytännön vinkkinä 19:57 Kaksivaiheinen tunnistautuminen 20:27 Sähköposti puhelinnumero ja henkilötunnus tunnisteina 21:46 Miksi salaisuuden pitää olla vaihdettavissa 22:31 Henkilötunnuksen uusiminen prioriteettina 23:37 Mitä hetun uudistaminen maksaisi 24:18 Pankkitunnistautuminen ja sen monopoliasema 25:45 Mikä on deepfake 26:13 Todistustaakka deepfakejen maailmassa 26:47 Kiristäjän vaatimuksiin ei pidä suostua 27:28 Mitä yritysten kannattaisi nyt tehdä 28:28 Tietoturvariski on liiketoimintariski 29:09 Pörssiyhtiön tiedonantovelvollisuus ja sisäpiirisäännöt 29:51 Poliisin ohjeistus versus GDPR:n ilmoitusvelvollisuus 30:44 Viranomaisten yhteispeli kaipaa selkeyttä 31:15 Kaikki osapuolet ovat rikoksen uhreja 31:32 Salasanojen vaihtaminen käytännössä 32:32 Miksi täysin satunnainen salasana on paras 33:02 Sanoma uhreille ja inhimillisyys 33:40 Vuodettujen tietojen lukeminen on rikos 33:54 Miksi lukematta jättäminen vie kiristäjän aseen 34:11 Maksaminen ei takaa mitään 35:02 Kriisi mahdollisuutena parantaa 35:33 Ilmailun turvallisuus esimerkkinä oppimisesta 36:05 Lopetus