TOR-VERKKOA HYÖDYNTÄVÄ RIKOLLISUUS

Transkriptio

1 TOR-VERKKOA HYÖDYNTÄVÄ RIKOLLISUUS Daniela Willner-Mäenpää 11/2018

2 2 Tiivistelmä Tekijä Daniela Willner-Mäenpää Julkaisun nimi Tor-verkkoa hyödyntävä rikollisuus Ohjaajat Ossi Kaario ja Tero Toiviainen Tiivistelmä Tutkinto Poliisi (mamk) Julkisuusaste Julkinen + yksi salassa pidettävä liite Opinnäytetyön muoto Tutkimuksellinen kehittämistyö Opinnäytetyön tavoitteena oli selvittää, miten Tor-verkkoa voidaan hyödyntää rikollisessa toiminnassa, ja mitä vaikutuksia sillä on esitutkintaa suorittavan poliisiviranomaisen työhön. Tor on lyhenne sanoista The Onion Router, ja sillä tarkoitetaan vapaata ohjelmistoa, joka mahdollistaa Internetin anonyymin käytön. Opinnäytetyö toteutettiin tutkimuksellisena kehittämistyönä, ja tutkimuksessa käytettiin laadullisia tutkimusmenetelmiä. Tutkimusaineisto koostui pääosin kansainvälisistä kirjallisista viranomaislähteistä sekä kahdesta teemahaastattelusta. Tutkimuksessa selvisi, että Tor-verkon käyttö yleistyy jatkuvasti rikollisten keskuudessa, ja Tor on luonut rikolliselle toiminnalle uusia mahdollisuuksia. Lähes kaiken tyyppisten rikosten toteuttamisessa voidaan hyödyntää Tor-verkkoa. Poliisin on pysyttävä ajan tasalla rikollisuuden kehityksessä, ja siksi Tor-verkon toimintaperiaatteiden ymmärtäminen on rikostorjunnan kannalta tärkeää. Tor-verkkoon liittyvää osaamista tulee lisätä koko poliisiorganisaatiossa. Opinnäytetyö on kaksiosainen; se koostuu julkisesta opinnäytetyöraportista ja salassa pidettävästä rikostutkijoille suunnatusta Tor-oppaasta. Opinnäytetyöraportissa luodaan katsaus Tor-verkkoa hyödyntävään rikollisuuteen. Poliisiorganisaation sisäiseen käyttöön tarkoitetun oppaan tavoitteena on lisätä rikostutkijoiden tietoisuutta Tor-verkon vaikutuksista omiin työtehtäviinsä. Sivumäärä liitesivua Avainsanat Tarkastuskuukausi ja vuosi Marraskuu 2018 Opinnäytetyökoodi (OPS) mamk2018ont Tor-verkko, Darknet, kyberrikollisuus, piilopalvelu, Darknet-market, kryptovaluutta

3 3 Abstract Författare Daniela Willner-Mäenpäää Publikationens namn Tor-verkkoa hyödyntävä rikollisuus Handledare Ossi Kaario och Tero Toiviainen Examen Polis (YH) Offentlighetsgrad Offentlig + en sekretessbelagd bilaga Lärdomsprovets form Undersökande utvecklingsarbete Referat Syftet med undersökningen är att beskriva hur Tor-nätverket kan utnyttjas för kriminella ändamål och vilket inflytande Tor har på den delen av polismyndigheterna som utför förundersökningsarbete. Tor är en förkortning av orden The Onion Router och är ett anonymiseringsverktyg som möjliggör anonym användning av Internet. Lärdomsprovet är ett undersökande utvecklingsarbete och i undersökningen användes kvalitativa undersökningsmetoder. Undersökningsmaterialet bestod huvudsakligen av information från internationella skriftiga myndighetskällor samt två temaintervjuer. Resultaten visar att den digitala verksamhetsmiljön har blivit en betydande del av den kriminella verksamhetsmiljön. Samtidigt har användningen av Tor-nätverket blivit allt vanligare bland de kriminella. Tor har åstadkommit nya möjligheter att genomföra kriminell verksamhet och Tor kan utnyttjas i genomförandet av nästan alla brottstyper. Med tanke på bekämpning av brott och polismyndigheternas kännedom om den aktuella brottsutvecklingen är det viktigt att förstå Tor-nätverkets grundfunktioner. Kunskapen om Tor måste förbättras inom hela polisorganisationen. Lärdomsprovet är tudelat och det består av en offentlig rapport om lärdomsprovet och en sekretessbelagd Tor-guide som bilaga. I rapporten beskrivs hur Tor används för kriminella ändamål. Syftet med den sekretessbelagda Tor-guiden är att öka brottsutredarnas kunskap om hur Tor påverkar deras arbetsuppgifter. Sidoantal sidor bilagor Nyckelord Månad och år då granskningen skett November 2018 Lärdomsprovets kod (OPS) mamk2018ont Tor-nätverk, Darknet, cyberbrottslighet, gömda tjänster, Darknet-market, cryptopengar

4 4 SISÄLLYS 1 JOHDANTO Digitalisaation jatkuva kasvu Aiemmat tutkimukset TUTKIMUSASETELMA Aiheen valinta, tutkimusongelma ja tutkimuskysymykset Tutkimusmenetelmien valinta Aineiston keruumenetelmät Haastateltavat asiantuntijat Haastattelumuodon valinta Haastattelujen toteutus Aineiston analyysimenetelmät Kirjallisen aineiston analyysi Haastatteluista saadun materiaalin analyysi TOR OSANA DIGITAALISTA TOIMINTAYMPÄRISTÖÄ Internetin eri kerrokset: Clearnet, Deep Web ja Darknet The Onion Router Tor:in tausta Tor:in käyttö Miten Tor toimii? Piilopalvelut TOR-VERKKOA HYÖDYNTÄVÄ RIKOLLISUUS Darknet-marketit ja myyntilaudat Luottamus ja maine Huumausainerikollisuus Tor-verkkoa hyödyntävä huumausainerikollisuus Suomessa Lapsen seksuaalinen hyväksikäyttö ja hyväksikäyttömateriaalin levittäminen Maksuvälinepetokset ja rahanpesu Asekauppa Väkivaltainen ekstremismi ja terrorismi Tietoverkkoihin kohdistuvat rikokset Muu Tor:ia hyödyntävä rikollisuus Kryptovaluutat rikollisen toiminnan mahdollistajana Haasteet viranomaistoiminnalle POLIISIN SUORITTAMA TIEDUSTELU AVOIMISTA LÄHTEISTÄ Tietoverkoissa tapahtuva yleisvalvonta ja salaiset tiedonhankintakeinot KEHITTÄMISPROSESSIN TOTEUTUS Kehittämisprosessi opinnäytetyönä Tarve kehittämisprosessille; Tor:in vaikutus rikostutkijan toimintaympäristöön Oppaan suunnittelu ja sisältö Kuvien asettelu oppaassa Kohderyhmän tavoittaminen... 40

5 7 YHTEENVETO JA POHDINTA Johtopäätökset Kritiikki ja luotettavuuden arviointi Kryptauksen ristiriitaisuus ja tulevaisuus LÄHTEET LIITTEET Liite 1. Tor-opas rikostutkijoille (Salassa pidettävä) Liite 2. Haastattelurunko (Tulliylitarkastaja Erno Hellsten) Liite 3. Haastattelurunko (Kihlakunnansyyttäjä Anna-Riikka Ruuth) Liite 4. Palautelomake

6 6 TUTKIMUKSESSA KÄYTETTÄVÄT KÄSITTEET Avoin lähde: Avoimilla lähteillä tarkoitetaan julkisia avoimia tietolähteitä, kuten esimerkiksi sanomalehtiä ja TV-lähetyksiä, yritysten, yhteisöjen ja yksityisten henkilöiden verkkosivustoja sekä julkisia rekisterejä ja arkistoja. Bitcoin: Kryptovaluutoista tunnetuin ja käytetyin on tällä hetkellä Bitcoin. Clearnet/Pinta verkko: Clear net / Surface Web / Pintaverkko on ns. näkyvä osa Internetiä ja siellä on oleva data on löydettävissä tavallisilla hakukoneilla kuten Googlella. Clearnet pitää sisällään vain pienen osan Internetin sisällöstä. Darknet: Darknet on osa Deep Webiä, ja sillä tarkoitetaan salattuja tietoverkkoja kuten Tor, I2P ja Freenet. Darkweb: DarkWeb:illä tarkoitetaan Darknetiin perustettuja sivustoja, kuten Tor-verkon piilopalvelut, joille pääsee ainoastaan Tor-ohjelmistolla. Deep Web/Syvä verkko: Deep Webillä tarkoitetaan sitä osaa Word Wide Webiä, joka on tavallisten hakukoneiden tavoittamattomissa. Deep Web pitää sisällään suljetut lähteet kuten esimerkiksi akateemiset tutkimukset, valtiolliset tietokannat ja verkkopankit. IP-osoite: IP-osoitteella tarkoitetaan numerosarjaa, jolla voidaan yksilöidä Internetkäyttäjä. Kaikilla Internetiin kytketyillä laitteilla on IP-osoite. Kryptaus: Kryptauksella tarkoitetaan viestin tai tietoliikenteen salaamista esimerkiksi jonkin salausjärjestelmän avulla. Kryptomarket/Darknet-market: Darknet-marketit ovat Tor-verkkoon perustettuja kauppapaikkoja, joissa kaupankäynti tapahtuu anonyymisti ja tuotteet maksetaan useimmiten kryptovaluutoilla. Kryptovaluutta: Kryptovaluutoilla tarkoitetaan sellaisia virtuaalivaluuttoja, joita ei hallinnoida keskitetysti, ja jotka mahdollistavat varojen anonyymin siirtämisen. Kryptoverkko/Anonyymiverkko: Kryptoverkoilla tarkoitetaan anonyymejä tietoverkkoja, kuten Tor, I2P ja Freenet, joissa käyttäjän IP-osoite ja tietoliikenne pyritään salaamaan. Kyberrikollisuus: Kyberrikollisuudella tarkoitetaan tietoverkkoympäristöä hyväksikäyttävää tai siihen kohdistuvaa rikollisuutta. Tor (The Onion Router): Tor:illa tarkoitetaan vapaata ohjelmistoa, joka mahdollistaa Internetin anonyymin käytön. Tor-verkon toiminta perustuu ns. sipulireititykseen, jolla tarkoitetaan tietoliikenteen reitittämistä useamman reitittimen kautta, jolloin käyttäjän IPosoite jää anonyymiksi. Vertaisverkko: Vertaisverkolla tarkoitetaan tietokoneiden muodostamaa verkkoa, jossa kaikki tietokoneet voivat toimia sekä palvelimina että asiakaskoneina.

7 7 1 JOHDANTO 1.1 Digitalisaation jatkuva kasvu Maailma on muuttumassa yhä digitaalisemmaksi. On ennustettu, että muutaman seuraavan vuoden aikana tulee yli miljardi uutta Internetin käyttäjää ja 20 miljardia uutta laitetta liitetään osaksi Internetiä. Internetistä on tullut ilmiö, joka koskettaa lähes jokaista osaaluetta ihmisen elämässä. Internet yhdistää jo lähes puolet maapallon väestöstä toisiinsa, ja yhdistyneisyys laajenee ja voimistuu jatkuvasti uusien käyttäjien myötä. Kasvava ja yleistyvä ilmiö tuo mukanaan omat haasteensa niin hyvässä kuin pahassa. Kuten reaalimaailmassa, myös verkkomaailmassa rikollisuus on maailmanlaajuinen ongelma. (Global Commission on Internet Governance 2016.) Suomen Poliisi Digitaalinen toimintaympäristö Torverkko Kansallinen ja kansainvälinen rikollisuus Kuva 1. Digitaalisesta toimintaympäristöstä ja sen myötä myös Tor-verkosta on tullut olennainen osa rikollisuuden ja viranomaisten toimintaympäristöä. Lähde: Tutkijan laatima havaintokuva. Sisäministeriön tietoverkkorikollisuuden torjuntaa koskevan selvityksen (2017) mukaan digitaalisesta toimintaympäristöstä on tullut olennainen osa rikollisuuden toimintaympäristöä ja lähes kaikkien rikosten toteuttamisessa voidaan hyödyntää tietoverkkoympäristöä. Tietoverkoissa tapahtuvasta rikollisuudesta käytetään myös termiä kyberrikollisuus. Poliisin Internet-sivujen (2018) mukaan kyberrikollisuus voidaan jakaa tietoverkkoympäristöön kohdistuviin rikoksiin ja tietoverkkoympäristöä hyväksikäyttäen tehtyihin rikoksiin (Poliisi 2018). Tietoverkkoympäristöön kohdistuvat rikokset ovat

8 8 yleensä sähköiseen infrastruktuuriin tai yrityksiin kohdistuvia. Tietoverkkoympäristöä hyväksikäyttäen tehdyt rikokset ovat yleensä tavanomaisia rikoksia kuten esimerkiksi petokset, kätkemisrikokset ja huumausainerikokset, joissa Internet toimii yhtenä apuvälineenä rikoksen toteuttamisessa. (Helsingin Yliopisto 2017.) Opinnäytetyöni aiheena on Tor-verkon hyödyntäminen rikollisessa toiminnassa. Tor on lyhenne sanoista The Onion Router ja sillä tarkoitetaan vapaata ohjelmistoa, joka mahdollistaa Internetin anonyymin käytön. Tor-verkko on luonut rikolliselle toiminnalle uusia mahdollisuuksia, ja sitä voidaan hyödyntää kyberrikollisuuden eri ilmenemismuodoissa monilla tavoin. Anonymiteetti ja kansainvälisyys ovat kyberrikollisuuden ominaispiirteitä. Tietoverkkoja hyödyntävillä rikoksilla ei ole samanlaisia fyysisiä rajoitteita kuin perinteisessä rikollisuudessa ja näin ollen verkkorikollisuus ylittää usein valtiolliset rajat. Rikoksen eri osapuolet saattavat fyysisesti sijaita eri puolilla maapalloa. Kun rikos tapahtuu tietoverkossa tai tietoverkkoa hyödyntäen on rikoksen tekijän helpompi salata todellinen henkilöllisyytensä. (Helsingin yliopisto 2017.) Sisäministeriön Tietoverkkorikollisuuden torjuntaa koskevan selvityksen mukaan poliisin kyberrikostorjunnan koulutusta on lisättävä. Tavoitteena on lisätä kyberrikostorjunnan perusteita käsittelevä opintokokonaisuus osaksi AMK- ja YAMK-tutkinto-ohjelmien opetussuunnitelmia (Sisäministeriö 2017.) Tor-verkkoa hyödyntävä rikollisuus on tietoverkkoja hyödyntävää rikollisuutta ja se lukeutuu osaksi kyberrikollisuutta. Poliisin on pysyttävä ajan tasalla rikollisuuden kehityksessä, ja siksi Tor-verkon toimintaperiaatteiden ymmärtäminen on rikostorjunnan kannalta tärkeää. Europolin suositusten mukaisesti kaikkien Tor-verkossa edustettujen eri rikostyyppien tutkijoiden tulisi olla perehtyneitä Tor-verkon toimintaan, jotta asiantuntijuutta kyseisten rikosten tutkimiseen olisi kaikissa tutkintayksiköissä (Europol 2017/1). Opinnäytetyöni on kaksiosainen ja se koostuu opinnäytetyöraportista ja opinnäytetyöraportin liitteenä olevasta Tor-oppaasta. Opinnäytetyöraportissa luodaan katsaus Tor-verkkoa hyödyntävään rikollisuuteen; miten Tor-verkkoa hyödynnetään rikollisessa toiminnassa ja mitä haasteita se asettaa poliisin toiminnalle. Rikostutkijoille suunnatun oppaan tavoitteena on lisätä rikostutkijoiden tietoisuutta Tor-verkon vaikutuksesta omiin työtehtäviinsä. Liitteenä oleva Tor-opas on salassa pidettävä.

9 9 1.2 Aiemmat tutkimukset Tor-verkkoon liittyvästä rikollisuudesta on julkaistu erilaisia tilannekatsauksia ja selontekoja kansainvälisillä foorumeilla, mutta suomenkieliset tutkimukset ovat jääneet melko vähäisiksi. Aki Somerkallio ja Mari Takkinen ovat Poliisiammattikorkeakoulun opinnäytetyössään (2018) Kyberrikollisuus ihmisen arjessa lyhyesti käsitelleet Torverkkoa. Myös Ari Anttila sivuaa aihetta Poliisiammattikorkeakoulun opinnäytetyössään Kyberrikokset: kirjaaminen ja alkutoimet tietotekniikkarikoksissa (2018). Henri Rekola ja Henri Lounasto ovat laatineet kattavan selvityksen Tor-verkossa tapahtuvasta huumausainerikollisuudesta Suomessa opinnäytetyössään (Polamk 2017) Pimeä verkko osana Suomen huumausainerikollisuutta. Tor-verkon tekniseen puoleen keskittyviä tutkimuksia on julkaistu niin Suomessa kuin ulkomaillakin, mutta niissä ei käsitellä Torverkkoon kytkeytyvää rikollisuutta.

10 10 2 TUTKIMUSASETELMA 2.1 Aiheen valinta, tutkimusongelma ja tutkimuskysymykset Opinnäytetyössä keskityttiin tutkimaan, minkälaisessa rikollisuudessa Tor-verkkoa voidaan hyödyntää, ja mitä vaikutuksia Tor-verkolla on rikostutkijan työhön. Tutkimuksen pohjalta laadittiin opinnäytetyöraportti ja sen liitteeksi Tor-verkkoa käsittelevä informatiivinen opas, jota rikostutkijat voivat hyödyntää työtehtävissään. Valtioneuvoston asetuksessa poliisiammattikorkeakoulusta ( /282) on kirjoitettu opinnäytetyöstä seuraavasti: Opinnäytetyön tavoitteena on kehittää ja osoittaa opiskelijan valmiuksia soveltaa tietojaan ja taitojaan ammattiopintoihin liittyvässä käytännön asiantuntijatehtävässä. Hakalan (2004, 10) mukaan onnistunut opinnäytetyö rakentaa tukevan sillan opintojen ja työelämän käytäntöjen välillä. Hyvä opinnäytetyö on käytännönläheinen ja se on yhteydessä työelämään, sen tulee olla hyödyllinen ja hyödynnettävissä. Opinnäytetyön tulee osoittaa asiantuntijuutta, tiedonhankintataitoja ja lähdekritiikkiä. Sen tulisi myös osoittaa tekijänsä itsenäistä ajattelua ja se on tuloksellinen ammatillisen toiminnan kehittämiselle. (Hakala 2004, 31.) Työelämästä saatu opinnäytetyöaihe tukee opiskelijan ammatillista kasvua (Vilkka & Airaksinen 2004, 17). Opinnäytetyöni aihe on suoraan yhdistettävissä työelämään. Olen työssäni tutkinut rikoksia, joissa Tor-verkkoa on käytetty apuna rikoksen toteuttamisessa. Keskustellessani kollegoitteni kanssa rikostutkinnassa ilmenevistä uusista haasteista olen huomannut, että tutkijoilla on niukasti tietoisuutta Torverkosta ja se mielletään usein koskemaan pelkästään IT-tutkijoita tai huumerikostutkijoita. Tor-verkkoa hyödynnetään kuitenkin yhä laajemmin kaikenlaisessa rikollisuudessa. Tutkimusongelmien asettaminen helpottaa opinnäytetyöprosessia, sillä ne auttavat rajaamaan tutkimusta ja estävät tutkijaa lankeamasta tutkimuksen kannalta epäolennaisille sivupoluille. (Saaranen-Kauppinen & Puusniekka 2006). Tutkimusongelmaksi määritin tarpeen lisätä osaamista ja ymmärrystä tutkijoiden keskuudessa Tor-verkosta ja siellä tapahtuvasta rikollisuudesta. Tutkimusongelmasta johdetut tutkimuskysymykset ovat seuraavat: Minkälaisessa rikollisessa toiminnassa Tor-verkkoa voidaan hyödyntää? Miten Tor-verkon käyttö rikollisessa toiminnassa vaikuttaa rikostutkijan työhön?

11 Tutkimusmenetelmien valinta Tämä opinnäytetyö toteutettiin toiminnallisena opinnäytetyönä, joka koostuu opinnäytetyöraportista sekä raportin liitteenä olevasta oppaasta. Opinnäytetyö voi olla muodoltaan tutkimuksellinen opinnäytetyö tai toiminnallinen opinnäytetyö. "Toiminnallinen opinnäytetyö tavoittelee ammatillisessa kentässä käytännön toiminnan ohjeistamista, opastamista, toiminnan järjestämistä tai järkeistämistä" (Vilkka & Airaksinen 2003, 9). Työelämä on jatkuvassa muutoksessa tänä päivänä ja kehittämistoiminta on edellytys kilpailukyvyn takaamiseksi muutoksen keskellä. Työelämän keskeisenä osaamisalueena voidaan pitää kehittämistoimintaa. (Toikko & Rantanen 2009, 7-9.) Tor-verkon käyttö rikollisessa toiminnassa on kasvava ilmiö, joka muuttaa rikostutkijan toimintaympäristöä. Opinnäytetyöraportin ja sen liitteenä olevan rikostutkijoille suunnatun oppaan tarkoitus on lisätä ymmärrystä ja kiinnostusta tätä ilmiötä kohtaan ja osaamista kehittämällä edesauttaa rikostutkijaa pysymään tältä osin toimintaympäristön muutoksessa mukana. Kehittämistutkimuksessa on tavoitteena saada aikaan muutosta, minkä vuoksi kehittämistutkimusta voidaan pitää muita tutkimuksia haasteellisempana. "Kehittämistutkimus oikeastaan alkaa siitä, mihin laadullinen tutkimus loppuu". Laadullisessa tutkimuksessa kuvataan jokin ongelma, ja kehittämistutkimuksessa tämä kuvattu ongelma pyritään ratkaisemaan ja poistamaan. (Kananen 2015, 9.) Tutkimusongelma ja tutkimuskysymykset vaikuttavat siihen, millaisia tutkimusmenetelmiä opinnäytetyössä tulisi käyttää. Kanasen (2015, 22) mukaan "tutkimusasetelma kuvaa ne työkalut, joilla ongelma ratkaistaan valitussa kohteessa". Tutkimusmenetelmillä tarkoitetaan ongelman ratkaisemiseksi tarvittavia aineistonkeruumenetelmiä sekä analyysimenetelmiä, joita tarvitaan kerätyn aineiston käsittelyyn. Kehittämistyötä tehdessä on syytä pitää mielessä, että "kehittämistä ei toteuteta tutkimuksen ehdoilla, vaan tutkimus tukee kehittämistoiminnan toteuttamista" (Toikko&Rantanen 2009, 34). Kehittämistyyppisessä opinnäytetyössä opiskelija tekee konkreettisen tuotoksen, kun puolestaan tutkimuksellinen opinnäytetyö tuottaa uutta tietoa (Muttila & Pottilainen 2016, 69). Kehittämistutkimuksessa on kyse monimenetelmäisestä tutkimusotteesta, jossa eri tutkimusmenetelmät yhdistyvät tarpeen mukaan. (Kananen 2015, 33.) Kun tutkimuksen tavoitteena on jonkin ilmiön kokonaisvaltainen ymmärtäminen, on suositeltavaa käyttää laadullisia tutkimusmenetelmiä tutkimuksen toteuttamisessa (Vilkka & Airaksinen 2004, 63). "Laadullinen tutkimus pyrkii ymmärtämään tutkittavaa ilmiötä ja

12 12 vastaa kysymykseen: Mistä on kyse?" (Kananen 2015, 34). Koska opinnäytetyöni keskittyy kuvaamaan Tor-verkkoa hyödyntävää rikollisuutta ilmiönä, päätin käyttää tutkimuksessani laadullisia tutkimusmenetelmiä, sillä ne palvelevat parhaiten tutkimuskysymysten ratkaisua. 2.3 Aineiston keruumenetelmät Laadullisen tutkimuksen aineistonkeruumenetelmät voidaan jakaa sekundääriaineistoon ja primääriaineistoon. Sekundääriaineistolla tarkoitetaan ilmiöön liittyviä jo olemassa olevia dokumentteja ja primääriaineistolla puolestaan tutkijan kyseistä tutkimusta varten keräämää aineistoa, kuten havaintoja ja haastatteluja. (Kananen 2015, 81.) Opinnäytetyöni tutkimusaineisto koostui pääosin kirjallisista dokumenteista sekä kahdesta asiantuntijahaastattelusta. Laadullisessa tutkimuksessa aineisto ja tutkittavat valitaan tutkijan asettamien kriteerien perusteella. Teemahaastattelu on sopiva haastattelumuoto esimerkiksi silloin, kun halutaan tietoa vähemmän tunnetuista ilmiöistä ja asioista. (Saaranen-Kauppinen & Puusniekka 2006.) Käytin opinnäytetyössäni aineistona pääasiassa kansainvälisiä luotettavia lähteitä. Suurin osa käyttämistäni lähteistä ovat saatavilla ainoastaan verkkojulkaisuina, sillä tekniikan nopean kehittymisen ja muuttumisen vuoksi painettujen lähteiden tieto olisi useimmiten jo ilmestyessään vanhentunutta. Saadakseni käsityksen tutkittavasta ilmiöstä myös suomalaisen viranomaisen näkökulmasta, päätin sisällyttää tutkimukseeni kaksi asiantuntijahaastattelua. 2.4 Haastateltavat asiantuntijat Valitsin haastateltaviksi Tullin valvontaosasoston verkkorikostorjunnan tulliylitarkastaja Erno Hellstenin sekä Itä-Uudenmaan syyttäjänvirastossa työskentelevän kihlakunnansyyttäjä Anna-Riikka Ruuthin. Poliisitaustainen Hellsten on ennen siirtymistään Tullin palvelukseen toiminut Keskusrikospoliisin Tiedusteluosastolla rikostiedustelu- ja analyysitehtävissä sekä kyberasiantuntijana Poliisiammattikorkeakoulussa. Hellstenillä on poikkeuksellisen monipuolinen kokemus kyberrikostorjunnan alalta, ja hän on Suomessa alansa huippuja. Anna-Riikka Ruut on toiminut kihlakunnansyyttäjänä yli kymmenen vuotta. Hänen erikoistumisalueenaan on ollut viimeisen 5,5 vuoden ajan huumausaine- ja järjestäytynyt rikollisuus. Ruuth on

13 toiminut syyttäjänä useassa Tor-verkkoon liittyvässä rikoskokonaisuudessa, ja hänellä on Tor-verkkoon liittyvistä rikoksista erityisosaamista syyttäjän näkökulmasta Haastattelumuodon valinta Eri haastattelumuodot voidaan jakaa strukturoimattomaan, puolistrukturoituun ja strukturoituun haastatteluun. Strukturoimaton haastattelu voidaan toteuttaa joko avoimena haastatteluna tai teemahaastatteluna. Avoimessa haastattelussa haastateltava saa vapaasti kertoa annetusta aiheesta. Teemahaastattelu on avointa haastattelua strukturoidumpi ja siinä edetään ennalta määriteltyjen teemojen avulla kohti ilmiön kokonaisvaltaista hahmottamista. (Saaranen-Kauppinen & Puusniekka 2006.) Valitsin työssäni käytettäväksi haastattelumuodoksi teemahaastattelun, sillä arvioin ennalta määriteltyjen teemojen edistävän haastattelujen jouhevaa etenemistä antaen samalla haastateltavalle strukturoitua haastattelua suuremman vapauden kertoa näkökulmistaan teemojen ympärillä. "Teemahaastattelu edellyttää huolellista aihepiiriin perehtymistä ja haastateltavien tilanteen tuntemista, jotta haastattelu voidaan kohdentaa juuri tiettyihin teemoihin" (Saaranen-Kauppinen & Puusniekka 2006). Laadin kutakin haastattelua varten haastattelurungot, joiden sisältö koostui useammasta eri teemasta. Haastattelurungot ovat tämän opinnäytetyön liitteinä (liitteet 2-3). Olin myös laatinut haastattelurunkoon jokaista teemaa kohden muutamia alaotsikoita ja apukysymyksiä. Ennen haastattelurungon suunnittelua olin perehtynyt laajalti kyberrikollisuutta käsittelevään aineistoon, jotta haastattelun toteuttaminen olisi ollut mahdollisimman hedelmällistä. Saatuani haastattelurungot valmiiksi, lähetin ne haastateltavilleni etukäteen sähköpostilla, jotta he pystyivät valmistautumaan haastatteluun. Koin teemahaastattelun erittäin toimivaksi haastattelumuodoksi, sillä vapaamman struktuurinsa vuoksi haastatteluissa tuli haastateltavien aloitteesta esille sellaisia asioita, joista en itse välttämättä olisi osannut kysyä. 2.6 Haastattelujen toteutus Ensimmäinen haastattelu pidettiin torstaina Tullin toimipisteessä Tampereella, ja haastateltavana oli tulliylitarkastaja Erno Hellsten. Haastattelussa käsiteltiin teemoja, jotka oli kirjattu haastattelurunkoon: Hellstenin koulutustausta ja työkokemus, digitalisaatio Suomessa, Tor-verkkoon kytkeytyvä rikollisuus ja siihen liittyvät haasteet

14 14 esitutkintaa suorittavan viranomaisen näkökulmasta. Haastattelun yhtenä teemana oli opinnäytetyön produktin sisältö. Hellsten on pitänyt lukuisia koulutuksia verkkorikollisuuteen liittyen ja hänellä oli paljon tärkeitä näkökulmia oppaan sisällöstä. Haastattelin Hellsteniä toisen kerran sähköpostitse Toinen haastattelukerta tuli tarpeelliseksi muutamien täydentävien kysymysten esittämistä varten. Koska esitetyt kysymykset olivat hyvin rajattuja, ja niitä oli vain muutama, koin sähköpostihaastattelun toimivana haastattelumuotona. Kun ensimmäistä kertaa haastattelin Hellsteniä, haastattelutilaisuuden yhteydessä tuli puhetta siitä, että huumausaine- ja järjestäytyneeseen rikollisuuteen erikoistunut kihlakunnansyyttäjä Anna-Riikka Ruuth on toiminut useammassa Tullin tutkimassa laajassa Tor-verkkoon liittyvässä rikosasiassa syyttäjänä. Ruuth on myös minulle tullut tutuksi erään tutkimani törkeän huumausainerikoksen yhteydessä, jossa rikoksen toteuttamisessa oli hyödynnetty Tor-verkkoa. Päätin valita työni toiseksi haastateltavaksi kihlakunnansyyttäjä Ruuthin. Kihlakunnansyyttäjä Anna-Riikka Ruuthin haastattelu suoritettiin Helsingissä. Ruuthin työtehtäviin kuuluu myös paljon koulutustehtäviä niin poliisiorganisaatiossa, tullissa kuin syyttäjänlaitoksessa. Ruuthin haastattelussa käsiteltiin paljolti samoja teemoja kuin Hellstenin haastattelussa painottaen niissä kuitenkin syyttäjän näkökulmaa. Haastattelujen dokumentointiin käytin nauhuria. Teemahaastattelu mahdollistaa haastateltavalle vapaan kerronnan teemojen mukaisesti ja haastattelujen nauhoittaminen dokumentointitapana tuki valittua haastattelumuotoa parhaiten. Hellstenin haastattelun kesto oli 1 tunti 14 minuuttia, ja Ruuthin haastattelun kesto 1 tunti 20 minuuttia. 2.7 Aineiston analyysimenetelmät "Analyysimenetelmät ovat tutkijan työskentelyä, valituista näkökulmista ponnistaen". Empiirisen tutkimuksen yhteydessä analyysimenetelmillä tarkoitetaan aineiston huolellista lukemista, tekstimateriaalin sisällön jäsentelyä ja järjestämistä sekä pohtimista. Analyysin tavoitteena on saada poimittua tutkimuksen kannalta keskeisimmät seikat laajasta aineistosta. Analyysiä tehtäessä on syytä pitää mielessä asetettu tutkimusongelma, johon haetaan aineistosta vastauksia. (Saaranen-Kauppinen & Puusniekka 2006.)

15 Kirjallisen aineiston analyysi Hyödynsin työssäni lukuisia kirjallisia lähteitä. Pidin kirjallisen aineiston sisällöstä Exceltaulukkoa, jotta tekstimateriaalia olisi helpompi hallita. Kokosin luomaani Exceltaulukkoon kaikki lukemani aineistot otsikoittain, ja luetteloin taulukon sarakkeisiin kunkin kappaleen keskeisimmät käsitteet. Kirjoittamisvaiheessa taulukosta oli paljon apua, sillä kirjoitettujen avainsanojen avulla haluamani tieto oli helppo löytää. Kuvassa 2 näkyy osa laatimastani Excel-taulukosta. Kuva 2. Kuvassa näkyy osa laatimastani aineistoanalyysiä tukevasta Excel-taulukosta Haastatteluista saadun materiaalin analyysi Nauhoitetun haastattelun litterointi on mielestäni edellytys haastattelussa saadun tiedon analyysia varten. Haastattelu tuottaa monesti huomattavan suuren määrän informaatiota, jonka hallinta helpottuu, kun äänitiedosto saadaan litteroitua kirjoitettuun muotoon. Aloitin haastatteluiden litteroinnin heti seuraavana päivänä haastatteluiden pitämisen jälkeen, sillä litterointi tuntui helpommalta ja mielekkäältä, kun asiat olivat itsellä tuoreessa muistissa. Kun sain litteroinnin valmiiksi, aloitin haastatteluiden analyysin. Luin ensin puhtaaksi kirjoitetut haastattelut muutamaan kertaan, jonka jälkeen aloitin haastattelujen sisällön luokittelun aihepiireittäin. Käytin aihesisällön luokittelemiseen Wordin tekstin maalaustyökalua ja merkitsin kunkin aihealueen omalla värillään. Litteroidun tekstin maalaaminen aihealueittain omalla värillään helpotti tiedon löytämistä opinnäytetyön eri osia suunniteltaessa ja työstäessä.

16 16 3 TOR OSANA DIGITAALISTA TOIMINTAYMPÄRISTÖÄ 3.1 Internetin eri kerrokset: Clearnet, Deep Web ja Darknet Internet on maailmanlaajuinen toisiinsa kytkettyjen miljardien tietokoneiden ja datakaapeleiden muodostama kokonaisuus. Se on infrastruktuuri, joka mahdollistaa laitteiden välisen kommunikaation silloin, kun ne on yhdistetty Internetiin. (Global Commission on Internet Governance 2015/1.) Käytettäessä Internetiä tavalliseen Webselailuun, käyttäjän tietokone lähettää signaalin Internetin halki sille palvelimelle, joka hallinnoi käyttäjän hakemaa dataa. Yhteys käyttäjän ja Internetpalvelimen välillä on suora, ja palvelin lähettää halutun datan käyttäjälle. Internet palveluntarjoaja saa samalla tiedon käyttäjän IP -osoitteesta ja kerää dataa esimerkiksi käyttäjän selaushistoriasta. Viranomaisten on mahdollisuus hyödyntää tätä palveluntarjoajien keräämää tietoa selvittäessään tietyn Internet-käyttäjän henkilöllisyyttä. (Global Commission on Internet Governance 2015/3.) Usein Internet ja Word Wide Web mielletään samaksi asiaksi. World Wide Web on vain yksi Internetin palvelumuodoista; muita palvelumuotoja ovat esimerkiksi sähköposti, tiedoston siirto ja keskusteluryhmät. Internet voidaan jakaa karkeasti kolmeen kerrokseen siellä olevan datan näkyvyyden mukaan: Clearnet, Deep Web ja Darknet. (Global Commission on Internet Governance 2015/1.) Kuva 3. Internet voidaan jakaa kolmeen kerrokseen datan näkyvyyden mukaan. Lähde: 01.media

17 17 Internetin eri kerroksia voidaan havainnollistaa kuvalla jäävuoresta (kuva 3). Clearnet, josta käytetään myös nimitystä Surface Web tai suomennettuna pintaverkko, on niin sanottu näkyvä osa Internetiä. Siellä oleva data on löydettävissä tavallisilla hakukoneilla kuten Googlella. Clearnet pitää sisällään vain pienen osan Internetistä ja siksi sitä kuvataan usein jäävuoren huippuna. Deep Web on se osa Word Wide Webiä, joka on tavallisten hakukoneiden tavoittamattomissa. Deep Web muodostaa suurimaan osan World Wide Webistä ja se pitää sisällään esimerkiksi erilaiset suljetut valtiolliset tietokannat, akateemiset tutkimukset ja verkkopankkipalvelut. (Global Commission on Internet Governance 2015/1.) Darknet on osa Deep Webiä, ja sillä tarkoitetaan salattuja tietoverkkoja kuten Tor, I2P ja Freenet. Tor on kaikkein suosituin Darknet. (Europol 2017/1.) Dark Web:illä tarkoitetaan Darknetiin perustettuja sivustoja, kuten Tor-verkon piilopalvelut, joille pääsee ainoastaan Tor-ohjelmistolla (Clobal Commission on Internet Governance 2015/1). 3.2 The Onion Router Tor:in tausta Tor tulee sanoista The Onion Router. Sillä tarkoitetaan vapaata ohjelmistoa, joka mahdollistaa anonyymin Internetin selaamisen (Tor Project 2018/1). Tor-verkko on anonyymiverkko, jonka toiminta perustuu vapaaehtoisten ylläpitämiin reitittimiin. The Onion Routing -projekti oli alun perin Yhdysvaltojen laivaston tutkimuslaboratorion luvulla aloittama kehittämishanke, jonka tarkoituksena oli mahdollistaa anonyymi yhteydenpito tietoverkossa. (Global Commission on Internet Governance 2015/1.) Myöhemmin Tor -ohjelmisto julkaistiin vapaaseen käyttöön ja tänä päivänä käyttäjiä on maailmassa yli kaksi miljoonaa. Suomessa käyttäjämäärä on noin Tor Project on Tor-ohjelmistoa ylläpitävä ja kehittävä voittoa tavoittelematon organisaatio ja sen toiminta perustuu lahjoituksille. Yksi suurimmista Tor Projectin rahoittajista on Yhdysvaltojen hallitus. (Tor Project 2018/2.) Tor:in käyttö Tor-verkon käyttö on täysin laillista. Yksityishenkilöt voivat käyttää Tor-verkkoa estääkseen palveluntarjoajia keräämästä tietoa heidän sijainnistaan ja Internetkäyttäytymisestään. Tor:ia voidaan käyttää anonyymiin viestintään tai pääsyyn sellaisille

18 18 sivustoille, jotka on estetty Internet-palveluntarjoajien toimesta. Tor Projectin mukaan monet journalistit käyttävät Tor:ia turvalliseen yhteydenpitoon lähteittensä kanssa. Myös viranomaiset käyttävät julkisten lähteiden valvontaan ja tiedosteluun Tor:ia, jotta kohdesivustot eivät voisi yhdistää valvontaa tekevän toimijan IP-osoitetta viranomaistahoon. (Tor Project 2018/1.) Suurin osa Tor-selaimen käytöstä on tavallista Internet-selailua, mutta anonyymiys mahdollistaa Tor:in hyödyntämisen myös rikollisessa tarkoituksessa. (International Institute for Strategic Studies 2016.) Miten Tor toimii? Tor-verkon toiminta perustuu tietoliikenteen reitittämiseen. Normaalissa Internet-selailussa käyttäjän kone muodostaa suoran yhteyden Internet-palvelimelle, kun taas Tor-verkon kautta kulkeva tietoliikenne reititetään kulkemaan kolmen satunnaisesti valikoidun välityspalvelimen kautta, mikä hankaloittaa tietoliikenteen jäljittämistä. Nämä välityspalvelimet ovat vapaaehtoisten henkilöiden, järjestöjen tai yritysten ylläpitämiä Torreitittimiä. Kuva 4. Käyttäjän Alice laite muodostaa yhteyden Tor-hakemistopalvelimeen saadakseen tiedon käytössä olevista Tor-reitittimistä. Lähde: Tor Project 2018 Kun käyttäjä ottaa yhteyden Tor-verkkoon, käyttäjän Tor-selain yhdistyy Torhakemistopalvelimeen, joka ylläpitää päivitettyä listaa käytössä olevista Tor-reitittimistä. Kuva 4 havainnollistaa yhteyden ottamista käyttäjän Alice laitteelta hakemistopalvelimeen Dave. Käyttäjän Alice Tor-selain lataa informaation käytössä olevista reitittimistä ja poimii satunnaisella valinnalla niistä kolme muodostaakseen niiden kautta reitin haluamalleen

19 19 Internet-sivustolle. Kuva 5 havainnollistaa tietoliikenteen kulkeutumista Alicen laitteelta kolmen satunnaisesti valitun reitittimen kautta Bob-kohdesivustolle. Bob-kohdesivusto voi tässä tapauksessa olla mikä vain Internet-sivusto, kuten esimerkiksi Kuva 5. Alicen laite muodostaa yhteyden kolmen Tor-reitittimen kautta Internet-sivustolle Bob. Lähde: Tor Project 2018 Tietoliikenne reitittimeltä toiselle on kerroksittain salattua ja kullakin reitittimellä on ainoastaan tieto siitä, mistä liikenne on tulossa ja mikä on seuraava palvelin, johon liikenne reititetään. (Tor Project 2018; Global Commission on Internet Governance 2015/2.) Kukin reititin poistaa sille saapuvasta tietoliikennepaketista yhden salauskerroksen sipulin kuorimisen tavoin, jonka jälkeen tietoliikenne lähetetään seuraavalle reitittimelle. Sipulin kuorintaa muistuttavasta salauskerrosten asteittaisesta poistamisesta ohjelmisto onkin saanut nimensä The Onion Routing, Sipulireititys. (Global Commission on Internet Governance 2015/1.) Kuva 6. Tietoliikenteen kulkeutuminen guard-solmulta middle-solmulle ja sieltä exit-solmulle ja viimein kohdesivustolle. (Clobal Commission on Internet Governance 2015/2)

20 20 Reitittimistä käytetään myös solmu-nimitystä. Solmuja on kolmea eri tyyppiä: guardsolmu, middle-solmu ja exit-solmu (Global Commission on Internet Governance 2015/2). Tietoliikenne kulkeutuu käyttäjän laitteelta ensin guard-solmulle, jossa poistetaan yksi salauskerros, minkä jälkeen data jatkaa kulkua seuraavalle middle-solmulle. Middlesolmulla poistetaan jälleen yksi salauskerros, jonka jälkeen tietoliikenne jatkaa kulkua viimeiselle reitittimelle, exit-solmulle. Exit-solmu poistaa tietoliikenteen viimeisen salauskerroksen ja lähettää datan halutulle kohdesivustolle. Kohdesivusto näkee, että tietoliikenne saapuu palvelimelle exit-solmun IP-osoitteesta, jolloin varsinaisen käyttäjän identiteetti jää anonyymiksi. Kuvassa 6 on havainnollistettu tietoliikennettä käyttäjän, kolmen reitittimen ja kohdesivuston välillä. Mitä suuremmaksi Tor:ia käyttävien määrä kasvaa, sitä hankalampi yksittäisiä käyttäjiä on jäljittää (International Institute for Strategic Studies 2016.) Kuva 7. Kun Alice haluaa siirtyä uudelle Internet-sivustolle "Jane", hänen laitteensa Tor-ohjelmisto muodostaa uuden reitin valitulle sivustolle. Lähde: Tor Project Tietoliikenne käyttää samaa reittiä ainoastaan noin kymmenen minuutin ajan, jonka jälkeen Tor-ohjelmisto muodostaa datalle jälleen uuden reitin kohdesivustoon. (Tor Project 2018.) Tor-ohjelmisto valitsee uudet reitittimet tietoliikenteelle myös silloin, kun käyttäjä haluaa vierailla toisella Internet-sivustolla. Koska tietoliikenne kulkee vähintään kolmen reitittimen kautta, on Tor-verkon käyttö huomattavasti hitaampaa kuin Internetin käyttö tavallisella web-selaimella. (Global Commission on Internet Governance 2015/2.) Kuvassa 7 on havainnollistettu tietoliikenteen kulkeutumista uudelle Internet-sivustolle kolmen uuden satunnaisesti valitun reitittimen kautta.

21 Piilopalvelut Tor-verkkoon on mahdollista perustaa anonyymisti ylläpidettäviä palvelimia, joita kutsutaan piilopalveluiksi, Hidden Services. Suurin osa Tor:in käytöstä on kuitenkin tavallista Internet-selailua ja ainoastaan 3-6 % kaikesta Tor:in kautta tapahtuvasta selailusta kohdistuu piilopalveluihin. Piilopalveluiden osoitteet ovat.onion-loppuisia, eikä niihin ole mahdollista muodostaa yhteyttä ilman Tor-ohjelmistoa. Kuka tahansa voi luoda Tor-verkkoon piilopalvelun. Tor-ohjelmisto piilottaa piilopalvelua ylläpitävän palvelinkoneen sijainnin ja operaattorin identiteetin. (International Institute for Strategic Studies 2016.) Piilopalveluiden.onion-päätteiset osoitteet muodostuvat pitkistä merkkijonoista, joista ei useimmiten voi päätellä piilopalvelun sisältöä. Kun käyttäjä haluaa ottaa yhteyden johonkin piilopalveluun, hänellä on oltava tiedossa piilopalvelun osoite etukäteen (European Monitoring Centre for Drugs and Drug Addiction 2016). Piilopalveluiden löytämiseksi on kehitetty Tor-verkossa toimivia hakukoneita, kuten suomalainen Ahmia, joka toimii Google-hakukoneen tavoin (International Institute for Strategic Studies 2016). Koska Tor mahdollistaa Internetin anonyymin käytön, on selvää, että sitä hyödynnetään myös rikollisessa tarkoituksessa. Vaikka Tor:ia käytetään pääosin tavalliseen Internetselailuun piilopalvelusivustojen selaamisen sijaan, suurin osa piilopalveluiden tarjonnasta liittyy jollakin tapaa rikolliseen toimintaan, kuten esimerkiksi huumausainekauppaan, rahanpesupalveluihin, maksukorttirikollisuuteen tai lapsiin kohdistuvan hyväksikäyttömateriaalin levittämiseen. (Internation Institute for Strategic Studies 2016; Global Commission on Internet Governance 2015/2; Europol 2017/1.)

22 22 4 TOR-VERKKOA HYÖDYNTÄVÄ RIKOLLISUUS Tor-verkko mahdollistaa kaiken laittoman tavaran kaupan hyvin helposti. Kihlakunnansyyttäjä Anna-Riikka Ruuthin mukaan Tor-verkon käytön yleistymisen myötä rikoksen tekijöiden profiili on muuttunut. Kun rikos voidaan toteuttaa suurelta osalta anonyymisti, tekijöiden ei tarvitse olla suoraan tekemisissä järjestäytyneiden rikollisryhmien kanssa eikä kaupankäynti vaadi samanlaisia kontaktiverkostoja kuin aikaisemmin. Anonyymiys myös madaltaa kynnystä rikollisen toiminnan aloittamiseen, ja tunne pienemmästä kiinni jäämisen riskistä motivoi toiminnan jatkamiseen. (Ruuth ) 4.1 Darknet-marketit ja myyntilaudat Europolin muukaan enemmistö Tor-verkon aktiivisista piilopalveluista liittyy jollain tavoin laittomaan toimintaan. Kaupankäynti Darknetin puolella hyödyntää sekä myyjää että ostajaa sen tuoman anonymiteetin johdosta. Kansainvälisesti suurin osa Tor-verkon laittomasta kaupankäynnistä tapahtuu kauppapaikoissa, joita kutsutaan Darknetmarketeiksi. (Europol 2017/1.) Darknet-marketit ovat markkina-alustoja, joita useimmiten ylläpidetään keskitetysti. Kaupankäynti näillä sivustolla vaatii rekisteröitymisen. Henkilön, joka haluaa myydä sivustolla tuotteita, tulee hankkia itselleen myyjätunnukset, minkä jälkeen hän voi laittaa omia tuotteitaan myyntiin. Useissa Darknet-marketeissa tuotteet listataan kategorioittain, mikä helpottaa asiakkaita löytämään haluamansa tuotteet. On myös olemassa yhden myyjän ylläpitämiä "Single Vendor" Darknet-marketeja, joissa kauppapaikkaa ylläpitävä henkilö myy omia tuotteitaan, eikä myyjä välttämättä ole luokitellut tuotteitaan kategorioittain. Darknet-marketeissa kaupat tehdään anonyymisti ilman, että ostaja ja myyjän tapaavat toisiaan. Asiakas valitsee haluamansa tuotteen myyjän sivulta ja lisää ne ostoskoriin. Tämän jälkeen asiakas maksaa tuotteen jollakin kryptovaluutalla, useimmiten bitcoineilla. (Hellsten 2018.) Riippuen markkinapaikan luonteesta maksu lähtee joko suoraan myyjän kryptovaluuttatilille tai kauppapaikan ylläpitämään escrow-palveluun. Joillakin Darknet-marketeilla on käytössään escrow-palvelu asiakkaan ostoturvan takaamiseksi. Kun käytössä on escrowpalvelu, myyjä saa asiakkaan suorittaman maksun vasta siinä vaiheessa, kun luvatut kriteerit täyttävä tuote on toimitettu ostajalle. (European Monitoring Centre for Drugs and Drug Addiction 2016.) Monet käyttäjät suojaavat yksityisyytensä käyttämällä salausohjelmia viestiensä sisällön kryptaamiseksi. Suosittu salausohjelma on PGP, joka on

23 lyhenne sanoista Pretty Good Privacy. Salausohjelmia käyttävät sivuston ylläpitäjä, ostajat ja myyjät. (European Monitoring Centre for Drugs and Drug Addiction 2016.) 23 Suomalaisia poikkeuksia Tor-verkon kauppatarjonnassa ovat ns. myyntilaudat, joissa kaupankäynti tapahtuu keskustelufoorumeilla. Maailmalla ei ole tiedossa vastaavia markkina-alustoja, joiden päätoimintamekaniikka perustuu keskustelufoorumeille luotaviin laittomia myyntiartikkeleita kauppaaviin keskusteluketjuihin. Tuotteiden myynti tapahtuu siten, että myyjä luo keskustelufoorumille uuden keskusteluketjun, jonka ensimmäisessä viestissä julkaistaan myyntiartikkelin kuva ja hinta. Useimmiten myyjä julkaisee myös jonkin pikaviestipalvelun nimimerkin tai jonkin hankalasti jäljitettävän sähköpostin. Ostajat voivat viestiketjussa kommentoida tai kysyä myyjältä jotakin, mutta varsinainen kaupankäynti tapahtuu keskustelufoorumin ulkopuolella joko salattujen pikaviestipalveluiden kuten Wickr tai sähköpostin välityksellä. (Hellsten 2018.) 4.2 Luottamus ja maine Darknet-marketit nojaavat toimintansa pitkälti luottamukseen. Koska toiminta on anonyymiä, riski tulla huijatuksi on korkea. Tämä ongelma on pyritty ratkaisemaan systemaattisella palautteenkeruujärjestelmällä. Kun asiakas tilaa jonkin tuotteen, häntä pyydetään antamaan myyjästä palautetta. Palaute on kaikkien asiakkaiden nähtävillä eikä myyjä ei pysty poistamaan saamaansa palautetta sivustoltaan. (European Monitoring Centre for Drugs and Drug Addiction 2016.) Lähes kaikki kauppapaikat keräävät ja julkaisevat tilastoa siitä, paljonko kukin myyjä on myynyt tuotteita tietyssä aikayksikössä. Asiakkaat luottavat myyjään, jolla on suuri myyntivolyymi; tällöin asiakkaan omat ostokset häviävät massaan. On myös helpompaa turvautua myyjään, jota kohtaan muut asiakkaat ovat osoittaneet luottamusta. Myyjän kannalta asia on kaksitahoinen; myyjän kannattaa käyttää samaa nimimerkkiä mahdollisimman pitkään ja rakentaa sille luottamusta, toisaalta mitä kauemmin myyjä käyttää samaa nimimerkkiä, sitä helpompi viranomaisten on profiloida myyjää. (Hellsten 2018.) 4.3 Huumausainerikollisuus Perinteisesti huumausaineisiin liittyvä kaupankäynti on tapahtunut fyysisessä todellisuudessa, johon on liittynyt niin alueellisia kuin muitakin rajoitteita. Huumausainemarkkinat ovat vähitellen alkaneet muotoutua aiempaa organisoidummaksi,

24 24 ja huumausainerikosten toteuttamisessa on alettu hyödyntää yhä enemmän tietoverkkoja. Humausainerikollisuus on tietoverkkojen ansiosta yhä helpommin kuntien ja valtioiden rajat ylittävää. (Helsingin yliopisto 2017). Aiemmin kasvotusten tapahtunut huumausaineiden kaupankäynti on lisääntyvässä määrin siirtynyt vähemmän valvottuun ja näkymättömämpään osaan Internetiä. Virtuaalisten myyntipaikkojen ilmestyminen ja kehittyminen on muuttanut täysin osto- ja myyntiprosessin toimintamekaniikan. Melkein mitä tahansa huumausainetta voidaan hankkia tietoverkossa ja kuljettaa tilaajalle postin tai kuriiripalveluiden välityksellä ilman, että ostaja ja myyjä ovat suorassa yhteydessä keskenään. Virtuaalimaailman markkinat ovat myös avanneet kaupankäynnin yhä laajemmalle kuluttajakunnalle. (European Monitoring Centre for Drugs and Drug Addiction 2016.) Sekä kansallinen että kansainvälinen huumekauppa on siirtynyt hyvin voimakkaasti Torverkkoon (Ruuth 2018). Europolin (2017) mukaan huumeiden osuus on yli kaksi kolmasosaa Tor-verkossa myytävistä laittomista tuotteista. Tulliylitarkastaja Hellsten pitää lukua merkittävänä ottaen huomioon, että Tor-kauppapaikoilla myydään myös digitaalisia laittomia hyödykkeitä, kuten tietoturvasovelluksia ja tietomurtotyökaluja, joissa kappalemyyntimäärä saattaisi helposti olla erittäin suuri niiden helpon monistettavuuden johdosta. Ensimmäiset merkittävät Darknet-marketit kuten Silk Road 1 luotiin huumausaineiden myyntiä varten. Tor-kauppapaikkojen historia saattaa olla yhtenä syynä huumausaineiden suureen myyntimäärään muihin tuotteisiin nähden. (Hellsten 2018.) Tulliylitarkastaja Hellsten uskoo, että Tor-verkon hyödyntäminen huumausainerikollisuudessa tulee lisääntymään. Huumausainerikollisuuden torjunnan historiassa ei ole aikaisemmin ollut tilannetta, jossa huumausainekauppaa tehtäisiin yhtä näkyvästi kuin tällä hetkellä Tor-verkon tarjoamissa puitteissa; poliisilla on mahdollista nähdä nimimerkkitasolla huumausainekauppaa tekevät ostajat ja myyjät jatkuvasti. Torverkon myötä on tullut mahdolliseksi piilottaa sekä myyjän että ostajan identiteetti, mutta samanaikaisesti tehdä se nimimerkin muodossa kaikille näkyväksi. Myyjät pystyvät mainostamaan anonyymisti omia tuotteitaan, mikä on lisännyt huumausaineisiin liittyvää kaupankäyntiä tietoverkoissa. (Hellsten 2018.) Ostajan ja myyjän anonyymiys on johtanut siihen, että laittomia tuotteita saatetaan myydä alaikäisille, mikä tekee Tor-verkossa tapahtuvasta kaupankäynnistä varsinkin huumausaineiden kohdalla erityisen moitittavaa (Ruuth 2018).

25 Tor-verkkoa hyödyntävä huumausainerikollisuus Suomessa Hellstenin mukaan tällä hetkellä Suomen suosituimmat huumausaineita myyvät kauppapaikat ovat Silkkitie ja Torilauta. Kun Tulli ja Keskusrikospoliisi yhteistyössä sulkivat Sipulikanava-kauppapaikan syksyllä 2017, osa Sipulikanavan myyjistä siirtyi jatkamaan toimintaansa Silkkitielle ja Torilautaan. Silkkitie on suomalainen versio kansainvälisesti tunnetusta Silk Road- kauppapaikasta, joka oli ensimmäisiä Darknetmarketteja. (Hellsten 2018.) Kuva 8. Suomalainen Silkkitie/Valhalla Darknet-market. Lähde: Dark Web Reviews Silkkitie on perinteinen Darknet-market, jossa huumausainetuotteita myydään minkä tahansa verkkokaupan tavoin. Silkkitie on maailmanlaajuisesti poikkeuksellisen pitkään aktiivisena pysynyt kauppapaikka, mikä lisää sen luottamusta ja vetovoimaa ostajien keskuudessa. Silkkitie on toiselta nimeltään Valhalla. Silkkitien ylläpitäjä antoi Silkkitielle toisen nimen Valhalla lisätäkseen kauppapaikan kansainvälisyyttä. Torilauta on puolestaan Sipulikanavan tavoin toimiva keskustelufoorumi, jossa kaupoista sovitaan verkkopalvelun ulkopuolella. (Hellsten 2018.) Viranomaisten syksyllä 2017 sulkema Sipulikanava oli maailmanlaajuisesti poikkeuksellinen huumausaineisiin keskittynyt myyntialusta. Kaupankäynnin toimintamallit tulivat varsinaisten Darknet-marketien puolelta, mutta asiakkaan ja myyjän kohtaaminen tapahtui keskustelufoorumityyppisillä kuvalaudoilla, mikä on suomalainen

26 26 kansallinen poikkeus. Huumausaineita markkinoitiin keskustelufoorumin viestiketjuissa. Sipulikanavan kontakti-infrastruktuuri oli kaksijakoinen. Myynti-ilmoitus julkaistiin ensin foorumilla ja ostaja sai halutessaan reagoida siihen. Seuraava vaihe, joka sisälsi kaupankäynnin, tapahtui pikaviestimen tai sähköpostin välityksellä. Varsinainen myyntitapahtuma tapahtui joko kasvotusten, postittamalla tai käyttämällä maastokätköä. Myyjät kertoivat usein jo myynti-ilmoituksessaan, millaisesta toimituksesta on kyse. Sipulikanavalla oli alalautoja kaikille Suomen suurimmille asutuskeskuksille. Isoimmissa asutuskeskuksissa oli jopa kaupunginosakohtaisia alalautoja, kuten Helsingissä, Turussa ja Tampereella. Sipulikanavalla oli myös Bulk -niminen keskustelulauta, joka keskittyi nimenomaan isompien huumausaine-erien myyntiin eli ns. bulkkikauppaan. (Hellsten 2018.) 4.4 Lapsen seksuaalinen hyväksikäyttö ja hyväksikäyttömateriaalin levittäminen Europolin mukaan viranomaisten ensisijaisena huolenaiheena huumekaupan lisäksi on lasten seksuaaliseen hyväksikäyttöön keskittyvät yhteisöt, jotka toimivat anonyymiverkossa (Europol 2017/1). "Rikollisuuden alan uhrit ovat olleet vuosi vuodelta nuorempia - maailmanlaajuisesti noin 80 prosenttia uhreista on alle kymmenvuotiaita - ja levitettävässä aineistossa on todettu yhä äärimmäisempää ja sadistisempaa hyväksikäyttöä" (Sisäministeriö 2017.) Verkkoympäristö on luonut uusia rikoksentekomahdollisuuksia lapsiin ja nuoriin kohdistuvassa seksuaalisessa hyväksikäytössä. Lasten houkuttelu seksuaalisiin tekoihin Internetissä ja tähän liittyvä kiristäminen on Europolin mukaan lisääntynyt. Tor-verkko tarjoaa rikollisille ympäristön, jossa tekijät voivat jakaa keskenään hyväksikäyttöaineistoa sekä tietoa siitä, miten houkutella lapsia seksuaalisin tekoihin Internetissä ilman, että viranomaiset pääsevät tekijöihin käsiksi. (Europol 2017/1.) Hyväksikäyttäjälle tyypillinen tapa toimia on luoda ensin luottamus uhriin esimerkiksi jollakin Internetin keskustelufoorumilla. Tekijä esiintyy useimmiten saman ikäisenä kuin uhrinsa. Kun luottamus on saatu rakennettua, tekijä pyytää lasta lähettämään itsestään paljastavan kuvan tai videon. Kun tekijä saa materiaalia haltuunsa, hän alkaa kiristää lasta. Mikäli lapsi ei suostu lähettämään lisää kuvia, tekijä uhkaa lähettää materiaalin uhrin vanhemmille tai ystäville tai julkaista kuvat sosiaalisessa mediassa. Tekijä saattaa kuukausien tai jopa vuosien ajan kiristää uhriaan saadakseen haluamansa. Useimmiten

27 uhria vaaditaan lähettämään aina vain paljastavampaa ja seksuaalisempaa materiaalia kiristyksen jatkuessa. (Europol 2017/1.) 27 Varmistaakseen toimintansa turvallisuuden tekijät lähes poikkeuksetta käyttävät Internetiä anonyymisti (Europol 2017/1). Etsiessään potentiaalisia uhrejaan tekijät saattavat kirjautua keskustelufoorumeille Tor-selaimella salatakseen identiteettinsä viranomaisilta. Keskustellessaan lasten kanssa tekijät hyödyntävät toiminnassaan suurimmaksi osaksi kuitenkin yleisimpiä pikaviestipalveluja, jotka ovat myös lasten saatavilla. (Hellsten 2018.) Tor-selain ja erilaiset salaustyökalut vähentävät tekijöiden kiinnijäämisriskiä. Tekijät jakavat Darknet-foorumeilla anonyymisti materiaalia keskenään sekä tietoa anonymiteetin varmistamisesta. Europolin mukaan anonymiteettiin liittyvän tietoisuuden lisääntyminen on merkittävästi hankaloittanut tämän tyyppisten rikosten tutkintaa. (Europol 2017/1.) Lasten seksuaalisen hyväksikäyttömateriaalin jakaminen ja levittäminen tapahtuu suurimmaksi osaksi Tor:in ulkopuolella vertaisverkoissa, kuten edonkey ja BitTorrent. Muiden vertaisverkkojen suosiminen johtuu siitä, että Tor hidastaa tietoliikenneverkkoa niin paljon, että ison videon tai kuvadatamateriaalin siirtäminen Tor-verkon läpi on hidasta. (Hellsten 2018.) Tämän vuoksi hyväksikäyttäjien suosimilla piilopalveissa jaetaan linkkejä Clearnetin puolella sijaitseviin hyväksikäyttömateriaalia sisältäville sivustoille (Europol 2017/1). Tor-verkkoa on kuitenkin alettu hyödyntämään lisääntyvässä määrin myös materiaalin levittämisessä. Etenkin törkeysasteeltaan vakavimmasta päästä olevaa hyväksikäyttömateriaalia levitettään Tor-verkon piilopalveluissa. (Europol 2018.) Tor-verkon käytön lisääntymistä selittää sen helppokäyttöisyys: Tor-selain on ilmainen ja sen asentaminen on hyvin yksinkertaista. (Europol 2016.) Helmikuussa 2017 Anonymous-hakkerointiryhmä iski Freedom Hosting II -sivustoon, joka ylläpiti yli piilopalvelua Tor-verkossa. Hakkeriryhmä Anonymouksen jättämän viestin mukaan (kuva 9) yli 50 % Freedom Hosting II - sivuston ylläpitämistä sivuista sisälsi lasten hyväksikäyttömateriaalia. (Deep Dot Web 2017.)

28 28 Kuva 9 Anonymous-ryhmän jättämä viesti Freedom Hosting II -sivustolle. Lähde: Deep Dot Web Maksuvälinepetokset ja rahanpesu Luottokorttitietoja on myyty Internetissä alamaailman omilla foorumeilla useita vuosia, mutta yleistyvä kehityssuunta on niiden myymisen lisääntyminen myös Tor-verkossa (Hellsten 2018). Luottokorttitietoja myyvät rikolliset yhteisöt haluavat välttää viranomaisten valvontaa ja turvautuvat yhä useammin Tor-verkon tarjoamaan anonymiteettiin ja turvallisuuteen (International Institute for Strategic Studies 2016). Europolin kyberrikoskeskuksen vuonna 2017 teettämässä tutkimuksessa löydettiin ja tunnistettiin yli 400 Tor-verkossa toimivaa sivustoa, jotka myivät varastettua luottokorttidataa. Viranomaisten heinäkuussa 2017 sulkemassa AlphaBay -darkmarketissa yksistään oli myynnissä satojen tuhansien luottokorttien tietoja. Luottokorttitietojen myyminen tapahtuu kuitenkin suurimmaksi osaksi edelleen pintaverkon puolella. (Europol 2017/1.) Tor-verkossa toimivilla sivustoilla tarjotaan myös rahanpesupalveluita bitcoinien välityksellä (International Institute for Strategic Studies 2016).

29 Asekauppa Aseiden salakuljettajat käyttävät Darknetin kauppapaikkoja myydäkseen laittomia aseita yksityishenkilöille, järjestäytyneille rikollisryhmille sekä terroristeille (Europol 2017/2). Vain muutamissa kauppapaikoissa on oma kategoriansa aseiden myyntiä varten ja niissäkin aseiden osuus on keskimäärin vain 1,5 % kaikista kaupattavista tuotteista (Europol 2017/1). Tästä huolimatta Darknetissä myytävät aseet ovat merkittävä huolenaihe viranomaisille, sillä helpon saatavuutensa vuoksi ne muodostavat uhan kansalaisten turvallisuudelle (Europol 2018). Tor:in olemassa olon aikana on ollut muutamia Darknet-marketeja, jotka ovat keskittyneet asekauppaan. Nämä aseisiin keskittyvät Darknet-marketit ovat olleet lyhytikäisiä, johon on todennäköisesti vaikuttanut myyntiartikkeleiden jäljitettävyyden helppous. Asekaupan ostajakunta on myös valikoidumpaa kuin esimerkiksi huumausaineilla. (Hellsten 2018.) Europolin arvion mukaan verkossa tapahtuva asekaupan ennustetaan kasvavan tulevina vuosina (Europol 2017/2). Kuva 10. Aseita kauppaava sivusto Tor-verkossa. Lähde: Tutkijan taltioima kuva Darknetistä

30 Väkivaltainen ekstremismi ja terrorismi Kyberympäristöä käytetään laajamittaisesti hyväksi terrorismiin ja väkivaltaiseen ekstremismiin liittyvän materiaalin levittämiseen ja uusien jäsenten rekrytointiin, sekä toimijoiden väliseen yhteydenpitoon (Sisäministeriö 2017). Suuri osa terrorismiin liittyvästä aktiivisuudesta tapahtuu Internetin pintaverkossa, mutta myös Tor-verkkoa hyödynnetään terroristisiin tarkoituksiin. Europolin mukaan Tor:ia hyödynnetään terrorismiin liittyvissä rahankeruukampanjoissa, laittoman materiaalin hankinnassa Darknet-marketeista ja pintaverkossa sijaitsevan ääri-islamistisen propagandan mainostamisessa. (Europol 2017/1.) Lisäksi ääri-islamistit käyttävät Tor-selainta anonymiteettinsä suojaamiseksi selatessaan propagandasivustoja avoimessa Internetissä. Terroristista propagandaa sisältäviä piilopalveluita ei tutkimusten mukaan ole merkittävissä määrin. Piilopalvelut tavoittavat vain rajallisen kohderyhmän, minkä vuoksi propagandan levittäminen piilopalveluissa ei ole kovin tuottoisaa. (International Institute for Strategic Studies 2016.) Tulliylitarkastaja Erno Hellstenin mukaan osassa Tor-verkon lukuisista keskustelufoorumeista käydään ääri-islamistisia keskusteluja, mutta tämä ei ole poikkeavaa Clearnetin puolella tapahtuvaan vastaavaan toimintaan nähden (Hellsten 2018). 4.8 Tietoverkkoihin kohdistuvat rikokset Kyberrikollisuuteen liittyvien palveluiden myynti Tor-verkossa on kasvussa. Suurin osa kyberrikollisuuteen liittyvistä työkaluista ja palveluista myydään kuitenkin foorumeilla, jota ovat Darknetin ulkopuolella Clearnetissä tai Deep Webissä. (Europol 2017/1; Hellsten 2018.) Haittaohjelmia myyvät henkilöt on erittäin taitavia suojaamaan taustansa, ja heidän ei tarvitse käyttää Tor-verkon infrastruktuuria identiteettinsä suojaamiseen. Palveluita ja työkaluja ostavat asiakkaat käyttävät Tor:ia siten, että he ottavat Clearnetin puolella olevaan hakkerointityökaluja myyvään sivustoon yhteyttä Tor-verkon kautta. Tällä tavoin he piilottavat oman IP-osoitteensa. (Hellsten 2018.) Hellstenin mukaan uutena trendinä kyberrikollisuudessa on palvelut, joille viranomaiset ovat antaneet cybercrime as a service-nimen; rikolliset luovat palvelininfrastruktuurin pilvipalvelimeen, josta kuka tahansa voi ostaa digitaalisia rikospalveluita. Toimintaperiaatteena on, että kuka tahansa voi ostaa esimerkiksi palvelunestohyökkäyksiä tai tietomurtoja valitsemaansa kohteeseen ilman omaa osaamista ostetun palvelun toimintamekaniikasta. Asiakas ostaa koko palvelupaketin yksinkertaisella

31 31 verkkoliittymällä samalla tavoin kuin ostaisi minkä tahansa tuotteen tavallisessa verkkokaupassa. Tämän tyyppisiä digitaalisia rikospalveluita myydään niin Tor-verkossa kuin Clearnetin puolellakin. Tor-verkon puolella tietoliikenne on melko hidasta johtuen Tor-verkon teknisestä infrastruktuurista, minkä vuoksi Tor-verkon suosio tuotteiden myymisessä on pienempi. Monet tämän tyyppiset palvelut sijaitsevatkin tavallisilla palvelimilla sellaisissa maissa, joista viranomaiskyselyillä ei saada tietoja ulos. Monet Etelä-Amerikan maat ovat profiloituneet tällaisiksi maiksi. Näistä palveluntarjoajista, jotka ovat viranomaisten ulottumattomissa, käytetään myös nimitystä Bullet proof hostingpalveluntarjoajat. (Hellsten 2018.) 4.9 Muu Tor:ia hyödyntävä rikollisuus Tor-verkko saattaa kytkeytyä muun tyyppiseen laittomaan toimintaan siten, että Torverkkoa hyödyntävästä rikollisuudesta saaduilla varoilla rahoitetaan muuta rikollisuutta (Europol 2017/1). Tor-verkkoa voidaan hyödyntää myös esimerkiksi ihmiskaupan ja laittoman maahantulon edistämisessä siellä myytävien väärennettyjen henkilöasiakirjojen avulla. Tulliylitarkastaja Hellstenin mukaan Tor-verkosta ei ole toistaiseksi löytynyt alustoja, joilla tapahtuisi ihmiskauppaa. (Hellsten 2018.) Myös muut ns. perinteiset rikokset saattavat yllättävällä tavalla linkittyä Tor-verkkoon. Maaliskuussa 2018 Helsingin Sanomat uutisoi uudesta poliisia työllistävästä ilmiöstä; väkivaltaiset ryöstöt, joilla oli yhteys Tor-verkon huumekauppaan. Helsingin Sanomien mukaan ryöstöjä oli tapahtunut Helsingissä useita ja niitä yhdisti Tor-verkossa sovitut huumausainekaupat, joissa huumausaineita ostamaan mennyt henkilö päätyikin väkivaltaisen ryöstön uhriksi. (Helsingin Sanomat 2018.) Darknet-marketeissa on sivustoja, jotka mainostavat myyvänsä palkkamurhapalveluita. Tilatut murhat suoritetaan palveluntarjoajien mukaan anonyymisti ja ammattimaisesti. (Global Commission on Internet Governance 2015/1.) Kuvassa 11 on hinnasto palkkamurhapalveluita myyvän tahon palveluista. Palkkamurhapalvelut voivat olla myös huijauksia, joilla saadaan tekijä maksamaan suuri summa rahaa palkkamurhia kauppaavalle taholle, mutta tilaaja ei saakaan vastinetta rahoilleen. Yhdysvalloissa on tänä vuonna uutisoitu muutamasta tapauksesta, joissa henkilö oli tilannut murhan joltakin Tor-verkon palkkamurhia kauppaavalta sivustolta. Tilaaja on maksanut sivustolle huomattavan summan rahaa bitcoineina, mutta tilattua murhaa ei olekaan toteutettu palveluntarjoajan

32 toimesta, jolloin tilaaja on ryhtynyt itse surmatyöhön. (Daily Mail 2018; NBC Chicago 2018.) 32 Kuva 11. Palkkamurhapalveluita myyvän tahon palveluhinnasto. Lähde: North American Underground 4.10 Kryptovaluutat rikollisen toiminnan mahdollistajana Virtuaalivaluutat ovat yleisin maksutapa Tor-verkossa tapahtuvassa kaupankäynnissä (Ruuth 2018). Kryptovaluutoilla tarkoitetaan sellaisia virtuaalivaluuttoja, jotka eivät ole keskitetysti hallinnoituja, vaan toimivat Internetin vertaisverkossa. Kryptovaluutat mahdollistavat varojen siirtämisen anonyymisti. Europolin mukaan bitcoin on kaikkein yleisin kryptovaluutta, jota käytetään maksuvälineenä rikollisessa liiketoiminnassa. Suurimmassa osassa kryptomarketteja bitcoin onkin ainut käypä maksuväline. (Europol 2017/1.) Kryptovaluuttojen tuoman anonymiteetin lisäksi kaupankäynti kryptovaluutoilla on reaaliaikaista ja arvonsiirto nopeata. Bitcoin-siirtojen kesto on yleensä korkeintaan kymmeniä minuutteja. Koska kryptovaluutat ovat mahdollistava teknologia anonyymissä kaupankäynnissä, ne ovat siten välttämättömiä Darknet-marketien olemassa olon kannalta. (Hellsten 2018.)