Raportin tekemiseksi TrendAI:n tutkijat Mayra Rosario Fuentes, Stephen Hilt ja David Sancho tutkivat, miten sisäpiiriläisten pääsyoikeuksien kauppa järjestäytyy alamaailmassa. Heidän havaintonsa: Yksittäistapauksista on tullut kehittynyt, työnjakoon perustuva liiketoiminta – kiinteähintojen, voittojen jaon, välityspalkkioiden ja pitkäaikaisten kumppanuuksien avulla, jotka muistuttavat ennemminkin tavanomaista alaa kuin perinteistä kyberrikollisuutta.
'Nykyään helpoin reitti yritykseen ei välttämättä kulje enää tietoturva-aukon kautta - usein riittää yksi työntekijä. Kyberrikollisten alamaailmapiireissä luotettava pääsy käsitellään yhä enemmän kuin kauppatavara: rikolliset rekrytoivat tarkoituksella sisäpiiriläisiä, jotka voivat kiertää turvallisuustoimet pelkästään tavanomaisella työllään. Sisäpiiririskeiltä suojautuminen tarkoittaa nykyään myös sen tunnistamista, että omista työntekijöistä on tullut itsessään hyökkäyskohde', selittää David Sancho, TrendAI:n Senior Threat Researcher.
Keskeiset havainnot pähkinänkuoressa
- Sisäpiiriläisten rekrytointi on nykyään oma talouden alansa. Alamaailman foorumeilla ja Telegram-kanavilla välittäjät, luottohenkilöt ja kiinteät liikekumppanit toimivat nykyään yhtä avoimesti kuin tavanomaisessa liiketoiminnassa.
- Tärkeintä on suurin päätösvalta, ei eniten käyttäjäoikeuksia. Rikolliset etsivät tarkoituksellisesti työntekijöitä, joilla on valtuudet hyväksyä maksuja, palauttaa tilejä tai kiertää petostarkistuksia – toimenpiteitä, joita hyökkääjä ei voisi ulkopuolelta koskaan uskottavasti jäljitellä.
- Sisäpiiripalveluista on tullut massatavaraa. Olipa kyseessä avatun sosiaalisen median tilin, manipuloidun lähetysseurantaan tai huijattujen alennusten hankkiminen: kaikella on nyt kiinteät hinnat, taatut käsittelyajat ja jopa jälleenmyyntiohjelmat.
- KI-ala on tähtäimessä. Mitä enemmän arvokkaita mallidatoja, koulutusmateriaalia ja etuoikeutettuja pääsyjä KI-yritykset keräävät, sitä houkuttelevampia niiden työntekijät ovat rikollisille.
'Pitkään sisäpiiririskejä pidettiin lähinnä turhautuneiden työntekijöiden tai inhimillisten virheiden aiheuttamina. Nykyään havaittava ilmiö on jotain perustavalla tavalla erilaista: Rikolliset rekrytoivat tarkoituksella luotettavia työntekijöitä järjestäytyneiden alamaailman markkinapaikkojen kautta ja tekevät sisäpiiripääsystä palvelun, jota voi ostaa ja myydä', sanoo Mayra Rosario Fuentes, TrendAI:n Senior Threat Researcher.
Raportti tutkii tätä ilmiötä toimialojen välillä – julkishallinnosta, terveydenhuollosta, sosiaalisesta mediasta, telekommunikaatiosta ja rahoitusalasta teollisuuteen ja energiaan, logistiikkaan ja vähittäismyyntiin asti. Miten pitkälle ammattimaistuminen on jo edennyt, näkyy erityisen selvästi kolmessa toimialassa: telekommunikaatio, sosiaalinen media ja rahoitusala. Täällä raportti dokumentoi konkreettisia esimerkkitapauksia luotettavin luvuin – osittain jopa rikossyytteisiin asti.
Telekommunikaatio: SIM-kortin vaihto tuottoisimpana liiketoimintana
Lahjottu työntekijä voi SIM-kortinvaihdolla ohittaa SMS-pohjaisen kaksivaiheisen tunnistautumisen ja avata näin hyökkääjille pääsyn pankki- ja kryptovaluuttatileihin. Alamaailmassa tämä maksaa Verizonilla, T-Mobilella tai AT&T:llä jopa 20 000 dollaria plus 20 prosentin voitonjako. Se, että lainvalvontaviranomaiset ovat jo reagoineet, osoittaa tapaus Yhdysvalloissa: marraskuussa 2025 Manhattanin syyttäjä nosti syytteen SIM-kortinvaihdon parissa toimineita vastaan, joiden väitetään lahjoneen AT&T:n ja T-Mobilen työntekijöitä saalistaakseen noin 435 000 dollaria neljältä uhrilta.
Sosiaalinen media: Suljetut tilit, avataan käteistä vastaan
Sisäpiiriläiset aktivoivat estettyjä tilejä Metassa, TikTokissa tai X:ssä 1 000 dollarilla tai enemmän tai hyväksyvät vilpillisiä mainoksia. Metassa sisäisen 'Oops' työkalun väärinkäyttö, johon osallistuivat lahjotut työntekijät, johti vuoden 2022 lopulla yli kahden tusinan työntekijän ja sopimuskumppanin irtisanomiseen tai muihin kurinpidollisiin toimiin. Meta haastoi epäillyt välittäjät oikeuteen Kanadassa vuonna 2023.
Rahoitusala: Avain pankkitiliin
Myyjä tarjosi alamaailman foorumilla kolmen vuoden sisäpiiripääsyä 25 miljoonan dollarin vuosiliikevaihtoa tekevän yrityksen kirjanpitoon, aloitushinta: 25 000 dollaria. Yhden ainoan lahjottavan työntekijän välittämisestä kryptovaluuttapörsseissä kuten Binancessa tai Robinhoodissa maksajat maksoivat jopa 5 000 dollaria palkkiota tai vaihtoehtoisesti 15 prosentin osuuden tuotoista.
Täydellisen raportin 'The Market for Trust: How Cybercriminals Recruit Corporate Insiders' löydät täältä: https://www.trendaisecurity.com/en/resources-insights/deep-research/what-cybercriminals-look- for-in-corporate-insiders
TrendAI™ Mediastelle
c/o BRAND AFFAIRS AG
Mischa Keller / MSc Business Administration
Partner
Puhelin: +41 44 254 80 00
Sähköposti: trendmicro-media@brandaffairs.ch
Mühlebachstrasse 8 / 8008 Zürich / Switzerland