Katsot Keskisuomalaisen arkistojuttua. Tämä juttu on julkaistu
31.03.2008 12:33
Krakkerit voivat kerätä pankkitunnuksia tai rahaa
Pauliina Kinnunen
XSS-haavoittuvuus avaa pahimmillaan krakkereille keinon kerätä pankkitunnuksia tai rahaa. Cross site scripting -hyökkäyksellä (XSS), syötetään www-palvelimelle ohjelmakoodia, joka suoritetaan käyttäjän selaimessa.
Haavoittuvuuden kautta ei voida itse sivustolle, palvelinpäähän, tehdä minkäänlaisia muutoksia. Sen sijaan krakkeri pystyy muokkamaan näkymää ja lähettämään sen edelleen esimerkiksi sähköpostitse linkkinä.
Itse sivulle ei siis XSS-haavoittuvuuden kautta voida murtautua. Kalastelusivu näyttää kuitenkin uskottavammalta, kun sisältö saadaan syötettyä tunnetulle sivulle. Esimerkiksi pankin verkkosivujen XSS-haavoittuvuuden avulla mikä tahansa verkkosivu saadaan tarvittaessa näyttämään pankin salatulta sivulta.
Vakavin esimerkki verkkopankkitunnusten hyväksikäytöstä on vuodelta 2005. Silloin Nordean nimissä lähettiin linkkejä, joilla kerättiin pankkitunnuksia ja sitä kautta rahaa.
Viestintävirasto ohjeisti perjantaina verkkosivuillaan, kuinka palvelin voidaan suojata hyökkäyksiltä. Sivulla annetaan ohjeita myös verkkosivujen käyttäjille.
Krakkeriksi kutsutaan henkilöä, joka murtautuu tietojärjestelmään ilman järjestelmästä vastaavan tahon lupaa.