E-kirjade laiaulatuslik kasutamine kommunikatsioonivahendina nii isiklikul kui ka professionaalsel tasandil on teinud e-kirjakastidest veebikurjategijate jaoks märkimisväärse ründeobjekti. Andmeõngitsus- ja petukirjadest on saanud igapäevane nähtus. Sellele vaatamata ei tea me sellest kuriteoliigist kriminaalõiguse perspektiivist kuigi palju.

Tartu Ülikooli sotsioloogia doktorant Kristjan Kikerpill ja meediauuringute professor Andra Siibak uurisid 2018. aastal rämpskirjade tagamaid. Nad tõid oma uurimistöös välja, et 2018. aastal saadeti päevas ligi 281 miljardit e-kirja. Neist kirjadest iga kahe tuhandes oli petukiri, eesmärgiga panna kirja saajat tegema midagi petukirja saatja hüvanguks.

Õngitsuskirjade tagamaid on uurinud nii käitumisteadlased, psühholoogid kui ka kriminoloogid. Paraku käsitlevad nimetatud spetsialistid küberkuritegusid väljaspool seaduse piire üldiste negatiivsete nähtustena, andmata neile tegelikult õiguspäraseid hinnanguid.

Küberkuritegevuse vastased jõupingutused laiema avalikkuseni enamasti ei jõua. ÜRO uimastite ja kuritegevuse vastu võitlemise ameti andmetel jõuab õigusorganiteni vaid üks protsent reaalsetest küberkuritegude ohvrite juhtumitest. Ühest küljest tuleneb nii väike kuriteojuhtumite avalikkusesse jõudmise protsent sellest, et inimesed pole raporteerimissüsteemidest piisavalt teadlikud. Teisalt hoiab kuritegude ohvreid tagasi häbitunne.

Kuidas küberkurjategijad tegutsevad?

Uuringutest nähtub, et kurjategijad kasutavad tihti sotsiaalseid lähenemisi, et mõjutada e-kirja saajat isiklikku infot väljastama või kindlaid tegusid tegema. Neist kaks põhilisemat lähenemisviisi ongi 1) emotsionaalne mõjutamine nagu hirmutamine või ähvardused, 2) ja väidetavalt kiireloomulised asjad. Hirm ja ähvardused ei lase inimestel saadud infot korralikult läbi mõelda. Kiireloomulistele asjadele rõhumine ei lase aga lugejal keskenduda kirjas olevatele kirjavigadele, mis viitaksid selgelt, et tegemist on petukirjaga.

Paraku töötab kurjategijate selline lähenemisviis üsna tõhusalt. Nimelt avavad saajad kümme protsenti õngitsuskirjadest ja neis olevatest linkidest. Sealhulgas klikitakse ka manustele, mis nakatavad arvutit pahavaraga.

Ometi puudub enamasti selliste kuritegelike kirjasaatjate vastu uurimise algatamiseks õiguskaitseorganite kõrgendatud huvi. Küberkuritegude uurimist takistab oluliselt tõendite kogumine erinevate riikide õigusruumidest. Internet ei tunne riigipiire, kuid riikide õigusruumidel on siiski omad piirid ja seda nõrka lüli kasutavad kurjategijad meelsasti ära.

Teadlased Kristjan Kikerpill ja Andra Siibak uurisid ühe kuu vältel kahele eraisikule saadetud õngitsuskirju. Nad analüüsisid viimaste kirjapilti, sisu ning saatjate mõjutamis- ja manipuleerimistehnikaid.

Kolmekümne päeva jooksul laekus kokku 297 e-kirja, millest 70 suunati automaatselt rämpspostkasti. Saabunud 70 rämpskirjast olid 28 reklaamkirjad nn tuntud saatjatelt. Järelejäänud 42 e-kirja olid selgelt õngitsuskirjad. Õiguslik analüüs näitas, et ühe kuu jooksul saabus neisse kahte e-postkasti kolm väljapressimiskirja, 29 petukirja ja kümme isikuandmete töötlemisega seotud väärjuhtumit.

Keskmiselt saabus kokku kümme õngistsuskirja nädalas, millest kaks olid selgelt kuritegelikud. Kirjade analüüsist tuli välja, et küberkurjategijad püüavad oma eesmärke saavutada peamiselt ohvri tegutsemistahet painutades ja ohvrit survestades, et siis väljapressimise kaudu rahalist kasu teenida.

Näiteks oli uuritud õngitsuskirjade hulgas kirju, milles kirja saajat ähvardati väitega, et kurjategijatel on ligipääs kõigile ohvri e-kirjadele, fotodele ja videotele. Neid materjale ähvardati kasutada juhul, kui ohver väljapressimisele ei allu. Paljusid inimesi halvab sellist kirja saades hirm ja nad teevadki seda, mida kurjategija tahab. Küberkurjategija edukus sõltub otseselt sellest, kas e-kirja adressaat hakkab tegutsema või mitte.

Lisaks ähvarduskirjadele saadetakse ka õngitsuskirju, milles saatja kirjeldab mõnda oma terviseviga või muud taolist muret ning väidab, et tal on nüüd suur hulk raha ära anda. Sellisele kirjale vastates saab adressaadile aga üsna kähku selgeks, et tegelikult küsitakse temalt raha ja andmeid.

Kuidas rämpskirju ära tunda?

Kristjan Kikerpill ja Andra Siibak viitavad, et rämpskirja esmased tundemärgid on 1) tundmatu saatja, 2) vigane grammatika ja kirjapilt 3) ning läbivad suurtähed pealkirjas.

Nad soovitavad õngitsuskirjade ohvriks langemise vältimiseks pöörata erilist tähelepanu saadud e-kirjas olevale saatja e-posti aadressile. Samuti tasuks saajal vaadata, kuidas viidatakse kirja seosele mingi organistatsiooniga. Õngitsuskirjades püütakse sageli mõjuda usaldusväärselt, jättes mulje, nagu oleks tegu mõne seadusliku organisatsiooni või ettevõttega: näiteks apple.com asemel on kirja saatnud app1e.com.

Kindlasti tasub autorite sõnul tähelepanu pöörata ka e-kirjade tervituse osale. Üliviisakad ja sõbralikud pöördumised nagu "Kallis e-kirja saaja" või "Ilusat päeva õnnelik inimene" võivad äratada kirja saajas asjatult liigset usaldust, mille tulemusena viimane pahaaimamatult kirja avab.

Õngitsuskirju tuleb inimestele üle maailma päevas loendamatuid hulki, kuid õiguskaitseorganid on võimetud nende suhtes midagi ette võtma. Ametlik statistika ei viita rämpskirjadest tulevale suurele ohule. Reaalne olukord on aga statistikast sootuks erinev, mistõttu vajab teema teadlaste sõnul tõsist ning vältimatut sekkumist.

Kristjan Kikerpilli ja Andra Siibaku artikkel "Living in a spamster's paradise: deceit and threats in phishing emails" ilmus ajakirjas Masaryk University Journal of Law and Technology.

Siinse artikli kirjutas Tartu Ülikooli magistrant Merle Rüütel kursusel "Andmete tõlgendamine ja esitamine".