Kyllä tarvitsee. Työpuhelin ilman asianmukaista tietoturvaa on kuin yrityksen pääkonttorin ovi ilman lukkoa – se on avoin kutsu ongelmille. Kyse ei ole enää puhelimen suojaamisesta, vaan koko yrityksen liiketoiminnan, datan ja maineen turvaamisesta. Hyökkääjää ei kiinnosta laitteesi, vaan se, mihin sillä pääsee käsiksi.

Moderni älypuhelin on tehokas työväline, joka sisältää monia työtietokoneen ominaisuuksia ja jolla hoidetaan yhä useammin työtehtäviä. Se on jatkuvasti yhteydessä yrityksen sähköpostiin, pilvitallennukseen, asiakasrekistereihin ja sisäisiin viestintäkanaviin. Yksi väärä klikkaus työntekijän puhelimessa voi antaa rikollisille avaimet koko valtakuntaan.

Puhelin on hyökkääjälle arvokkaampi kuin kannettava tietokone

Ajatus puhelimesta pelkkänä soitto- ja viestilaitteena on vaarallisen vanhentunut. Todellisuudessa työkännykkä on usein yrityksen heikoin lenkki, koska sen suojaustasoa ei oteta vakavasti. Se sisältää tai tarjoaa pääsyn kaikkeen, mitä ammattimainen verkkorikollinen voi toivoa:

• Sähköposti: Koko yrityksen viestinnän ydin ja pääsy moniin muihin palveluihin salasanan palautuslinkkien kautta.
• Pilvipalvelut: Suora yhteys Microsoft 365:n tai Google Workspacen tiedostoihin, kuten sopimuksiin, tuotekehitysmateriaaleihin ja talouslukuihin.
• Asiakkuudenhallinta (CRM): Pääsy koko asiakaskantaan, yhteystietoihin ja myyntiputken tietoihin.
• Viestisovellukset: Keskustelut Teamsissa tai Slackissa paljastavat sisäisiä toimintatapoja, projekteja ja salasanoja.
• Tunnistautuminen: Puhelin on usein monivaiheisen tunnistautumisen (MFA) toinen osa. Jos puhelin on saastunut, hyökkääjä voi kaapata myös nämä vahvistuskoodit.

Kun työntekijä avaa sähköpostin, käsittelee asiakastietoja ja hyväksyy laskuja puhelimellaan kahvilassa, riskit ovat täysin samat kuin jos hän tekisi sen kannettavalla tietokoneella. Siksi myös suojauksen on oltava samalla tasolla.

Yleisimmät uhat eivät ole viruksia, vaan huijausta

Perinteinen ajatus viruksesta, joka hidastaa puhelinta, on vain pieni osa todellisuutta. Nykypäivän kyberuhkat ovat hienovaraisempia ja keskittyvät käyttäjän manipulointiin.

1. Tietojenkalastelu (Phishing): Ylivoimaisesti yleisin ja tehokkain hyökkäystapa. Puhelimen pieni näyttö, kiireinen käyttöliittymä ja ilmoitusten jatkuva virta tekevät meistä alttiimpia huijauksille. Tekstiviestillä, sähköpostilla tai WhatsApp-viestillä saapuva linkki, joka kehottaa kirjautumaan ”tuttuun” palveluun, on tehokas keino varastaa tunnuksia. Esimerkiksi väärennetty Microsoft 365 -kirjautumissivu näyttää puhelimen selaimessa täysin aidolta.

2. Haitalliset sovellukset: Vaikka sovelluskaupat tekevät tarkistuksia, haitallisia sovelluksia pääsee jatkuvasti läpi. Ne voivat naamioitua hyödyllisiksi työkaluiksi, kuten PDF-lukijoiksi tai skannereiksi, mutta taustalla ne keräävät tietoja, näyttävät mainoksia tai asentavat kiristysohjelmia.

3. Suojaamattomat Wi-Fi-verkot: Lentokentän, hotellin tai kahvilan avoin Wi-Fi-verkko on altis ”mies välissä” -hyökkäykselle (Man-in-the-Middle), jossa hyökkääjä voi siepata tai muokata liikennettä. Ammattimainen mobiilitietoturvaohjelmisto osaa varoittaa tällaisista vaarallisista verkoista.

4. Vanhentuneet ohjelmistot: Kuten tietokoneissa, myös puhelinten käyttöjärjestelmissä ja sovelluksissa on haavoittuvuuksia. Päivitysten laiminlyönti jättää tietoturva-aukkoja, joita rikolliset voivat hyödyntää. Keskitetysti hallittu tietoturva on tehokas tapa varmistaa, että yrityksen laitteet ovat ajan tasalla.

Miten yksi puhelin kaataa koko yrityksen?

Yhden työntekijän puhelimen kautta tehty tietomurto ei rajoitu kyseiseen laitteeseen. Se voi toimia lähtöpisteenä, josta hyökkäys leviää koko organisaatioon.

Tapahtumaketju 1: Tunnusvarkaus

Työntekijä saa tekstiviestin, joka näyttää tulevan postilta. Hän klikkaa linkkiä ja syöttää puhelinnumeronsa ja pankkitunnuksensa väärennetylle sivulle. Rikollinen saa tunnukset ja käyttää niitä hyväkseen. Toinen, yrityksen kannalta tuhoisampi skenaario on, kun työntekijä syöttää Microsoft 365 -tunnuksensa kalastelusivulle. Hyökkääjä pääsee käsiksi sähköpostiin ja tiedostoihin. Hän voi lähettää työntekijän nimissä sähköposteja talousosastolle pyytäen kiireellistä maksusuoritusta väärennetylle tilille.

Tapahtumaketju 2: Kiristyshaittaohjelman leviäminen

Puhelimeen päässyt haittaohjelma voi käyttää hyväkseen sen yhteyksiä yrityksen verkkoon ja toimia reittinä järjestelmiin. Kun puhelin on yhdistetty toimiston Wi-Fi-verkkoon, haittaohjelma voi yrittää etsiä muita suojaamattomia laitteita ja levittää esimerkiksi kiristysohjelmaa. Pian koko yrityksen tiedostot ovat lukittuna, ja toiminta pysähtyy.

Tapahtumaketju 3: GDPR-katastrofi

Hyökkääjä saa puhelimen kautta pääsyn yrityksen CRM-järjestelmään. Hän kopioi koko asiakasrekisterin ja uhkaa julkaista sen, ellei lunnaita makseta. Vaikka lunnaita ei maksaisi, yritys joutuu raportoimaan tietovuodosta viranomaisille ja asiakkailleen. Seurauksena voi olla hallinnollisia seuraamusmaksuja ja merkittävä mainevaurio.

Entä iPhone? Eikö se ole turvallinen?

Tämä on yksi yleisimmistä ja vaarallisimmista harhaluuloista. Vaikka Applen iOS-käyttöjärjestelmä on rakenteeltaan turvallisempi kuin Android, se ei suojaa suurimmalta riskiltä: käyttäjältä itseltään.

Tietojenkalastelu toimii täysin samalla tavalla iPhonessa kuin missä tahansa muussa laitteessa. Selain ei voi estää sinua syöttämästä salasanaasi väärennetylle sivustolle. Mobiilitietoturvan tehtävä on katkaista hyökkäysketju jo ennen kuin käyttäjä ehtii tehdä virheen. Se estää yhteyden tunnetulle kalastelusivustolle riippumatta siitä, mitä laitetta tai käyttöjärjestelmää käytetään.

Lisäksi, vaikka tekniset haavoittuvuudet ovat harvinaisempia, niitä löytyy myös iOS-laitteista. Suurin riski piilee kuitenkin ihmisessä, ja siksi teknologian on tuettava ihmistä. Pelkkä laitteen tekninen suojaus ei riitä, vaan tarvitaan monikerroksinen puolustus, johon kuuluu myös henkilöstön kyberturvallisuuskoulutus.

Mitä mobiilitietoturva käytännössä tekee?

Ammattimainen, yrityksille suunnattu mobiilitietoturva on paljon enemmän kuin pelkkä virustorjunta. Se on keskitetysti hallittu palvelu, joka suojaa laitettasi usealla eri tasolla.

1. Verkkosuojaus: Tärkein ominaisuus. Se estää pääsyn haitallisille verkkosivustoille ja tietojenkalastelusivustoille jo ennen kuin ne ehtivät latautua selaimeen.
2. Sovellusten valvonta: Analysoi asennettuja sovelluksia ja varoittaa, jos jokin niistä pyytää epäilyttäviä käyttöoikeuksia tai sisältää haitallista koodia.
3. Keskitetty hallinta: Antaa yrityksen IT-kumppanille näkyvyyden kaikkien laitteiden tietoturvan tilaan. Jos uhka havaitaan, siihen voidaan reagoida välittömästi ja eristää laite verkosta.

Nämä työkalut ovat osa laajempaa päätelaitteiden suojausstrategiaa (EPP/EDR), jossa puhelimet, tabletit ja tietokoneet nähdään yhtenäisenä, suojattavana kokonaisuutena.

Kysymys ei ole siitä, tarvitseeko työkännykkä tietoturvaa, vaan siitä, kuinka suuren riskin yrityksesi on valmis ottamaan jättämällä tärkeimmät taskussa kulkevat päätelaitteet suojaamatta. Nykypäivänä se on riski, jota yksikään vastuullinen yritys ei ota.