Mikä on yrityksen ulkoinen hyökkäyspinta?

Mitä hyökkäyspintaan kuuluu?

Englanniksi puhutaan termistä external attack surface. Käytännössä se on kaikki, minkä hyökkääjä näkee katsoessaan yritystä internetistä ilman tunnuksia:

• verkkotunnukset ja aliverkkotunnukset, kuten ajanvaraus.yritys.fi
• sähköpostin asetukset ja postipalvelimet
• verkkosivu, asiakasportaali ja verkkokauppa
• etäyhteys- ja hallintapalvelut
• ulkoistetut palvelut, jotka toimivat yrityksen nimellä.

Kaikki näkyvä ei ole haavoittuvaa. Näkyvät kohteet pitää silti tuntea, jotta niistä voi huolehtia.

Kuvitellaan Esimerkki Oy. Julkisista lähteistä ulkopuolinen löytää sen osoitteet testi.esimerkki.example ja vanha-ajanvaraus.esimerkki.example, joista jälkimmäisen salausvarmenne on vanhentunut. Lisäksi verkosta vastaa etätyöpöytäpalvelun kirjautumissivu. Joku muu on rekisteröinyt nimen esirnerkki.example (rn eikä m), joka näyttää sähköpostissa lähes samalta. Mikään näistä ei vaadi tunnuksia tai murtautumista.

Unohtuneet kohteet ovat tyypillinen riski

Pääverkkotunnus on yleensä hoidossa. Ongelmat löytyvät reunoilta: aliverkkotunnus osoittaa edellisen toimittajan palveluun, kampanjasivu jäi pystyyn vuosia sitten tai palvelimen hallintasivu näkyy julkiseen verkkoon.

Esimerkki: yritys teki kampanjan osoitteeseen kampanja.yritys.fi ja lopetti palvelun, mutta nimipalvelun ohjaus jäi paikalleen. Jos ohjaus osoittaa palveluun, jonka kuka tahansa voi rekisteröidä uudelleen, ulkopuolinen voi pahimmillaan julkaista sisältöä yrityksen omassa osoitteessa. Korjaus on yksinkertainen: ohjaus poistetaan.

Ulkoistettu palvelu tarvitsee omistajan myös yrityksen puolella. Toimittaja huolehtii alustasta, mutta asiakas vastaa usein verkkotunnuksen asetuksista, käyttäjätunnuksista ja palvelun lopettamisesta. Tarkistakaa vastuunjako sopimuksesta.

Tapauksia

Haavoittuvuuksien hyväksikäyttö on nyt yleisin tapa murtautua. Verizonin vuoden 2026 tietomurtoraportin mukaan 31 % tietomurroista alkaa ohjelmistohaavoittuvuudesta, ja se on ohittanut varastetut salasanat yleisimpänä sisäänpääsytapana (Verizon, englanniksi). Mandiantin vuonna 2024 tutkimissa hyökkäyksissä haavoittuvuuden hyväksikäyttö oli yleisin ensimmäinen tunkeutumistapa, 33 % tapauksista (Mandiant M-Trends 2025, englanniksi).

Keväällä 2024 Helsingin kaupungin kasvatuksen ja koulutuksen toimialaan murtauduttiin etäyhteyspalvelimen kautta. Kaupungin mukaan palvelimessa oli haavoittuvuus, johon oli olemassa korjauspäivitys, mutta sitä ei ollut asennettu (Helsingin kaupunki).

Kyberturvallisuuskeskus sai vuonna 2023 kaksitoista ilmoitusta Akira-kiristyshaittaohjelmasta. Hyökkääjät pääsivät uhrien verkkoon heikosti suojattujen Ciscon VPN-yhteyspisteiden kautta. Alttiita olivat erityisesti tunnukset, joissa ei ollut monivaiheista tunnistautumista (Kyberturvallisuuskeskus).

Yhdysvalloissa Change Healthcareen, joka välittää terveydenhuollon tietoja, korvaushakemuksia ja maksuja, murtauduttiin helmikuussa 2024. Emoyhtiö UnitedHealth Groupin toimitusjohtajan kongressille antaman lausunnon mukaan rikolliset kirjautuivat varastetuilla tunnuksilla Citrix-etätyöpöytäportaaliin, jossa ei ollut monivaiheista tunnistautumista. Kiristyshaittaohjelma käynnistettiin yhdeksän päivää myöhemmin (Andrew Wittyn lausunto, PDF, englanniksi).

Kaikissa kolmessa tapauksessa ovi oli internetiin näkyvä etäyhteyspalvelu. Etäyhteyksien kohdalla kohdeluettelossa kannattaa siksi olla myös päivitysten tekijä ja tieto siitä, onko monivaiheinen tunnistautuminen käytössä. Päivitysten kiireellisyyttä voi arvioida Yhdysvaltain kyberturvallisuusviraston CISA:n luettelosta haavoittuvuuksista, joita tiedetään jo käytetyn hyökkäyksissä (CISA KEV, englanniksi).

Aloittakaa kohdeluettelosta

Kirjatkaa jokaisesta kohteesta osoite, käyttötarkoitus, toimittaja, vastuuhenkilö ja se, onko palvelu yhä käytössä. Käykää IT-kumppanin kanssa läpi verkkotunnusten rekisteröinnit, nimipalvelu, hosting-sopimukset ja käytössä olevat pilvipalvelut. Kysykää samalla:

• Onko vanhoja verkkotunnuksia tai aliverkkotunnuksia yhä käytössä?
• Kenen pitää päästä hallintasivuille, ja mistä?
• Kuka saa ilmoituksen, kun salausvarmenne tai verkkotunnus on vanhenemassa?
• Miten kohde poistetaan, kun sopimus tai kokeilu päättyy?

Vanhaa verkkotunnusta ei kannata päästää vanhenemaan huomaamatta. Uusimatta jäänyt fi-verkkotunnus vapautuu kuukauden suoja-ajan jälkeen kenen tahansa rekisteröitäväksi (Traficom). Jos nimi on yhä vanhoissa sähköpostiosoitteissa tai linkeissä, uusi haltija voi pahimmillaan saada niihin tarkoitettua postia. Voimassaoloajan näette Traficomin fi-verkkotunnushausta.

Julkinen tieto pitää varmistaa

Nimipalvelutiedot ja julkiset varmennelokit auttavat löytämään kohteita, joita kukaan ei muistanut. Varmennelokeihin (Certificate Transparency) kirjataan käytännössä jokainen selainten hyväksymä salausvarmenne, joten niistä näkee myös vanhojen testi- ja hallintaosoitteiden nimiä. Tieto voi kuitenkin olla vanhaa. Jaetulla hosting-palvelimella samassa IP-osoitteessa voi olla satojen muiden yritysten sivuja. Ennen kuin kohdetta tutkitaan aktiivisesti, omistus ja lupa pitää varmistaa.

Kartoitus vai seuranta?

Ulkoinen kartoitus kertoo tilanteen yhtenä päivänä. Perustarkastus käy läpi verkkotunnuksen, sähköpostin ja verkkosivun julkiset suojaukset. Omalle palvelimelle sopii Laajatarkastus, eli haavoittuvuuskartoitus.

Hyökkäyspinta muuttuu aina, kun jotain otetaan käyttöön tai lopetetaan. Kybervartio-seuranta tarkistaa sovittujen verkkotunnusten sähköpostiasetukset, varmenteen ja verkkosivun suojausotsakkeet päivittäin, kertoo toimia vaativista muutoksista yleensä samana arkipäivänä ja kokoaa kuukausikoosteen, joka vertaa tilannetta edelliseen kuukauteen. Palvelimia, jotka eivät näy verkkotunnuksina, seuranta ei löydä itsestään. Uusien kohteiden lisäämisestä sovitaan erikseen.

Jos haluatte kerralla kuvan koko julkisesta jalanjäljestä, Uhka-arvio kokoaa julkisista lähteistä myös näkyvät roolit, laskutustiedot, nimeänne muistuttavat verkkotunnukset ja unohtuneet palvelut, ja kirjoittaa auki todennäköisimmät hyökkäystiet.

Milloin luettelo tarkistetaan?

Aina kun vaihdatte IT-toimittajaa, julkaisette uuden palvelun tai lopetatte vanhan. Varmistakaa samalla, että hälytykset menevät jollekulle ja korjauksilla on tekijä. Luettelosta on hyötyä vain, jos sitä päivitetään ja lopetetut palvelut oikeasti poistetaan.

Ajan tasalla olevasta luettelosta on hyötyä myös Kyberturvallisuuskeskuksen maksuttomassa Hyöky-palvelussa. Palvelu on tarkoitettu kaikille Suomeen rekisteröidyille organisaatioille. Se kartoittaa kuukausittain ne IP-osoitteet ja verkkotunnukset, jotka organisaatio itse ilmoittaa. Hyöky ja Kybervartio sopivat yhteen. Kybervartio tuo lisäksi tulkinnan siitä, mitä havainnot tarkoittavat juuri teille, priorisoidun korjauslistan IT-kumppanille sekä sähköpostin suojausten ja nimipalvelun asetusten tarkistukset.