Page 73

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 72 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA 30.7.2026 Kari avaa viestin ja klikkaa latauslinkkiä, josta pdf-tiedosto latautuu tietokoneelle. Aukaistessa pdf tiedostoa avautuu kehote, jossa pyydetään esimerkiksi Google- tai Microsoft tilin tunnuksia. Haittaohjelma huijaa Karin hyväksymään Access Tokenin (väliaikainen valtuutustunniste), OAuth 2.0 -tekniikkaa hyödyntävälle laitekoodille. Tämä kyseinen Token on voimassa vain 15minuuttia ja sitä voi käyttää vaan 15 minuutin ajan. Käytännössä hyökkääjä lähettää Karille esimerkiksi sähköpostin tai viestin, jossa pyydetään syöttämään Microsoftin kirjautumissivulla näkyvä laitekoodi tai hyväksymään kirjautuminen näennäisesti luotettavaan palveluun. Tämän jälkeen käyttäjä tulee itse antaneeksi hyökkääjän sovellukselle OAuth 2.0 -valtuutuksen, jolloin hyökkääjä saa käyttöönsä Access Tokenin ilman salasanan varastamista. Esimerkki Access Tokenista: 1. Avaa Outlook puhelimessa. 2. Outlook pyytää kirjautumaan Microsoft-tilille. 3. Microsoft Authenticator näyttää hyväksymispyynnön. 4. Hyväksyt pyynnön puhelimessa. 5. Microsoft myöntää Outlookille Access Tokenin. 6. Outlook käyttää Access Tokenia sähköpostien lukemiseen puolestasi. Yksinkertaistettuna: • Salasana = avaimen hakeminen vahtimestarilta • Authenticator = henkilökortin näyttäminen • Access Token = kulkukortti, jolla ovet aukeavat seuraavan tunnin ajan • Refresh Token / PRT = oikeus hakea uusi kulkukortti ilman uutta tunnistautumista Kirjautumisen jälkeen haittaohjelma käy rekisteröimässä Entra ID -objektin, tämän objektin avulla haittaohjelma saa käyttöönsä Primary Refresh Tokenin (Microsoft Entran laitteeseen sidottu kertakirjautumistunniste), jota se käyttää Access tokenin uusimiseen aina ennen 15 minuutin voimassaoloajan päättymistä. Nyt haittaohjelmalla on vapaa pääsy käyttäjän tietoihin ilman aikarajaa. Tekoäly mahdollistaa jatkuvan uusimisen. Tämän jälkeen haittaohjelma luo säännön, joka merkkaa luetuksi ja poistaa sähköpostit tuotantopojat.fi ja kalle.kekonen@tuotantopojat.fi osoitteista. Seuraavaksi haittaohjelma aloittaa Karin sähköpostien lukemisen, haittaohjelma käy lukemassa jokaisen sähköpostin Karin tililtä, viikon sisällä käy jokaisen sähköpostin läpi. Haittaohjelma luki pelkästään sähköposteja, ei poistanut tai muokannut. 6.8.2026. Sähköpostien lukemisen jälkeen haittaohjelma käy luomassa säännön sähköpostikansioon, joka piilottaa SwissTransfer.com -domainista saapuneet sähköpostit ja merkkaa ne luetuksi. 7.8.2026.Haittaohjelma käy lukemassa Tuotannon SharePointista 39kpl eri tiedostoja. Tiedostoja vain katseltiin, muuta ei tehty.