Supo varoittaa jälleen yrityksiä venäläisestä kyberuhkasta – ”Laundry Bearin” kohteena organisaatioiden sähköpostit

Laundry Bear -kyberuhkatoimija on supon mukaan pääsääntöisesti pyrkinyt murtautumaan kohteena olevan organisaation sähköpostijärjestelmiin. Kuvituskuva. Kuva: Unsplash / Kuvakaappaus: Janiko Kemppi

Suojelupoliisi (supo), sotilastiedustelu ja niiden läntiset kumppanit varoittavat venäläisestä valtiojohtoisesta kyberuhkatoimijasta. Toimijan kohteena ovat erityisesti organisaatioiden sähköpostijärjestelmät.

Supo ja sotilastiedustelu ovat jo toisen kerran heinäkuun aikana mukana varoituksessa, jonka Yhdysvaltojen NSA (National Security Agency) on julkaissut yhdessä useiden länsimaisten tiedustelupalvelujen kanssa.

Tällä kertaa Suomen tiedusteluviranomaiset haluavat nostaa yritysten ja organisaatioiden tietoon vähemmän tunnetun venäläisen kyberuhkatoimijan.

Laundry Bear -nimisen toimijan arvioidaan aiheuttavan vakavan kybervakoilun uhan erityisesti julkishallinnon, kriittisen infrastruktuurin tai puolustusteollisuuden parissa toimiville organisaatioille.

Kyberuhkatoimijan tähtäimessä ovat niin puolustusteollisuuden toimijat, valtionhallinnon kohteet, muut viranomaiset, teknologiayritykset kuin kolmannen sektorin toimijat.

Kohteena ovat supon mukaan olleet pääsääntöisesti Nato-maat ja Ukraina. Toimintaa on kohdistunut myös Suomeen. Suomen viranomaiset ovat reagoineet toimintaan ja auttaneet siltä suojautumisessa.

Venäjän käymä hyökkäyssota Ukrainassa on johtanut sen tiedustelu-upseereiden karkotukseen monista maista.

Tämä on heikentänyt Venäjän henkilötiedustelun toimintaedellytyksiä länsimaissa, joten se joutuu turvautumaan yhä laajemmin tiedonhankintaan kybermenetelmin.

Samaan aikaan Venäjän tiedontarvetta ovat lisänneet myös länsimaiden asettamat pakotteet.

Laundry Bear on supon mukaan pääsääntöisesti pyrkinyt murtautumaan kohteena olevan organisaation sähköpostijärjestelmiin.

Se on käyttänyt useimmiten yksinkertaisia mutta tehokkaita menetelmiä, kuten sosiaalista manipulaatiota eli esimerkiksi esiintymistä tuttuna henkilönä ja varastettuja käyttäjätunnuksia.

Vuodesta 2025 alkaen Laundry Bear on hyödyntänyt Zimbra Collaboration Suite (ZCS) -järjestelmässä ollutta niin kutsuttua nollapäivähaavoittuvuutta. Käsitteellä tarkoitetaan tietoturva-aukkoa, jonka olemassaolosta ohjelman kehittäjät eivät tiedä ennen kuin tieto siitä julkaistaan.

Korjaamatonta haavoittuvuutta voidaan hyödyntää hyökkäyksessä. ZCS-järjestelmässä haavoittuvuuteen on julkaistu sen korjaava ohjelmistopäivitys talvella 2025–2026.

Laundry Bear pyrkii todennäköisesti jatkossakin tunkeutumaan sensitiivisten toimialojen sähköpostijärjestelmiin, vaikka ZCS-haavoittuvuuteen on olemassa paikkaus ja mahdollisuudet sen hyödyntämiseksi käyvät vähiin, supo ja sotilastiedustelu arvioivat.

Tiedusteluviranomaiset kehottavatkin organisaatioita huomioimaan sähköpostijärjestelmiin kohdistuvan valtiollisten toimijoiden aiheuttaman uhan.

Tämä tarkoittaa muun muassa järjestelmien säännöllisistä päivityksistä huolehtimista sekä sähköpostijärjestelmien tietoturvavalvonnan varmistamista.