Tietojenkalastelu, toimitusjohtajahuijaus ja laskutushuijaus

Moduuli 1: Miksi olet maalitaulu · Lukuaika: 10 minuuttia

Tavoite: Tämän oppitunnin jälkeen tunnistat tietojenkalastelun, toimitusjohtajahuijauksen ja laskutushuijauksen (BEC) toimintatavan ja osaat rakentaa maksumenettelyn, jossa on takaisinsoittovarmistus.
Keskeiset käsitteet: tietojenkalastelu (phishing), kohdennettu tietojenkalastelu (spear phishing), toimitusjohtajahuijaus, laskutushuijaus, Business Email Compromise, nelisilmäperiaate, takaisinsoitto tuttuun numeroon

Kolme muotoa samasta tempusta

Kaikki kolme tässä oppitunnissa käsiteltyä hyökkäystä toimivat harhautuksen avulla. Tietokoneeseen ei murtauduta, vaan joku suostutellaan tekemään jotain itse: klikkaamaan linkkiä, syöttämään salasanan, tekemään rahansiirto. Tätä kutsutaan social engineeringiksi, eli ihmisten manipuloinniksi. Se toimii, koska se vetoaa tavallisiin inhimillisiin reaktioihin: haluat auttaa esihenkilöäsi, maksaa toimittajalle ajallaan, ratkaista ongelman nopeasti.

Toimitusjohtajahuijaus ja laskutushuijaus kuuluvat molemmat englanninkieliseen yläkäsitteeseen Business Email Compromise (BEC): huijaus, jossa väärinkäytetään yrityksen sähköpostia ja huijari tekeytyy joksikin toiseksi.

Tietojenkalastelu ja kohdennettu tietojenkalastelu

Tietojenkalastelu (phishing) on viesti, joka esiintyy luotettavana lähettäjänä, jotta teet jotain, mitä et muuten tekisi. Yleensä kyse on linkistä väärennettyyn kirjautumissivuun, esimerkiksi osoitteeseen rnijnbank.example (jossa on "rn" kirjaimen "m" sijaan), tai liitteestä, jossa on haittaohjelma. Tavallinen tietojenkalastelu lähetetään suurelle joukolle ihmisiä kerralla, yleisellä tarinalla.

Kohdennetussa tietojenkalastelussa (spear phishing) viesti on räätälöity juuri sinulle. Hyökkääjä käyttää nimeäsi, titteliäsi, oikean kollegan tai toimittajan nimeä, projektia jonka parissa työskentelet. Tämän tiedon hän löytää verkkosivustoltasi, LinkedInistä, kaupparekisteristä tai aiemmin vuotaneesta sähköpostilaatikosta. Koska viesti vastaa odotuksiasi, se herättää paljon vähemmän epäilyksiä.

Kirjoitusvirheet eivät ole enää luotettava tunnusmerkki. Käännösohjelmilla ja tekoälyn tekstigeneraattoreilla huijari kirjoittaa virheettömän suomen. Moduulissa 3 opit tunnistamaan tietojenkalastelun asioista, joita huijari ei voi jäljitellä: linkin todellisesta verkkotunnuksesta ja sähköpostin teknisestä lähettäjästä.

Toimitusjohtajahuijaus

Toimitusjohtajahuijauksessa maksuja tekevä henkilö saa viestin, joka vaikuttaa tulevan toimitusjohtajalta tai omistajalta. Huijauksille on tyypillisiä seuraavat tunnusmerkit:

• Auktoriteetti: kyse on käskystä, ei pyynnöstä.
• Salassapito: "älä vielä puhu tästä muille, kyse on yrityskaupasta."
• Kiire: sen pitää tapahtua tänään, ennen pankin sulkeutumista.
• Lähettäjä, joka näyttää melkein oikealta: esimerkiksi directie@example-com.example, joka vaikuttaa ensisilmäyksellä omalta verkkotunnukselta, tai yksityinen osoite "koska olen matkalla".

Joskus mukaan tuodaan "asianajaja" tai "tilintarkastaja", joka vahvistaa toimeksiannon; hän kuuluu huijareihin. Myös yhdistyksiä ja pieniä yrityksiä lähestytään näin: rahastonhoitaja saa sähköpostin "puheenjohtajalta".

Miksi tämä toimii? Koska pienessä yrityksessä kaikki tuntevat ja luottavat toisiinsa. Työntekijä haluaa auttaa, ja salassapito varmistaa, ettei hän tarkista asiaa kollegalta. Salaisuus on juuri huijarin tavoite.

Laskutushuijaus: vain IBAN on eri

Laskutushuijaus on vaikeampi tunnistaa, koska lasku on usein aito. Summa, tilausnumero, logo, ulkoasu: kaikki täsmää. Vain tilinumero on vaihdettu. Tämä voi tapahtua eri tavoin: lasku siepataan ja sitä muokataan, lähetetään erillinen kirje "tilinumeromme on vaihtunut", tai yritys on itse joutunut tietomurron kohteeksi ja huijari lähettää viestin oikeasta sähköpostilaatikosta.

Tämä viimeinen on tärkeä ymmärtää. Jos toimittajasi leverancier.example sähköpostilaatikko on kaapattu, viesti tulee aidosti oikeasta osoitteesta. Kaikki tekniset tarkistukset (SPF, DKIM, DMARC, moduulista 4) menevät läpi. Huijari on saattanut lukea sähköpostilaatikkoa viikkoja, tietää mitkä laskut ovat avoinna ja lähettää viestinsä juuri oikealla hetkellä, samassa viestiketjussa. Lähettäjän osoitteen tarkistaminen ei siis auta tässä tapauksessa.

Kiusallinen yksityiskohta: jos olet maksanut huijarille, olet lähtökohtaisesti yhä velkaa saman summan oikealle toimittajalle.

Esimerkki

Leipomo Example tilaa uuden uunin toimittajalta leverancier.example. Tarjous, tilausvahvistus ja lasku saapuvat kaikki asianmukaisesti. Kaksi päivää myöhemmin samassa viestiketjussa tulee seuraava viesti:

Hyvä Petra, pankin vaihdoksen vuoksi tilinumeromme on vaihtunut välittömästi. Voisitteko maksaa uunin laskun uudelle tilinumerolle? Vanha tilinumero suljetaan ensi viikolla. Ystävällisin terveisin, Joost

Osoite on oikea, Joostin nimi on oikea, tilausnumero täsmää. Ainoa asia, joka paljastaa huijauksen, on itse pyyntö: tilinumeron muutos. Se on aina hetki, jolloin pitää tarkistaa asia, ei koskaan hetki, jolloin luotetaan pelkkään sähköpostiin.

Maksumenettely, joka pysäyttää huijauksen

Et voi tunnistaa jokaista valesähköpostia. Voit kuitenkin varmistaa, ettei valesähköposti yksin riitä rahansiirron tekemiseen. Tämä onnistuu muutamalla vakiintuneella käytännöllä.

1. Soita takaisin tuttuun numeroon. Aina kun tilinumero vaihtuu tai kyseessä on epätavallinen maksupyyntö, soita lähettäjälle. Älä numeroon, joka on sähköpostissa tai laskussa, koska sekin voi olla väärennetty, vaan numeroon, joka sinulla jo oli: omasta kirjanpidostasi, sopimuksesta tai viralliselta verkkosivustolta, jonka kirjoitat itse osoitekenttään.
2. Älä vastaa sähköpostiin. Jos haluat varmistaa asian sähköpostitse, kirjoita osoite itse. "Vastaa"-toiminnolla voit päätyä huijarille, esimerkiksi Reply-To-kentän kautta, joka ohjaa toiseen osoitteeseen (oppitunti 3.3).
3. Nelisilmäperiaate. Tietyn rajan ylittävät maksut, uudet maksunsaajat ja muuttuneet tilinumerot tarkistaa kaksi henkilöä. Yksinyrittäjällä tämä tarkoittaa: kiinteää odotusaikaa ja takaisinsoittoa ennen maksamista.
4. Ei poikkeuksia sähköpostilla tai chatilla. Toimitusjohtaja ei koskaan pyydä sähköpostilla tai WhatsAppilla menettelyn ohittamista. Sovi tästä etukäteen, nimenomaan myös toimitusjohtajan kanssa. Silloin kaikki tietävät: viesti, jossa pyydetään "poikkeamaan hieman normaalista käytännöstä", on jo lähtökohtaisesti epäilyttävä.
5. Kirjaa tiedot ylös. Toimittajan tilinumero löytyy kirjanpidostasi. Vertaa jokaisen laskun numeroa siihen, mikä sinulla jo oli. Lokakuusta 2025 lähtien euroalueen pankit tarkistavat tilisiirron yhteydessä, täsmääkö syöttämäsi nimi tilinumeroon (englanniksi Verification of Payee, maksunsaajan vahvistus). Ota tästä tuleva varoitus vakavasti. Vihreä tulos kertoo kuitenkin vain, että nimi ja tili täsmäävät, ei sitä, että vastaanottaja on rehellinen.

Jos jotain menee pieleen

Oletko jo maksanut etkä enää luota tilanteeseen? Silloin jokainen tunti ratkaisee.

• Soita välittömästi pankkiisi ja kysy, voidaanko maksu pysäyttää tai peruuttaa.
• Ilmoita asiasta Kyberturvallisuuskeskukselle (https://www.kyberturvallisuuskeskus.fi/) ja tee rikosilmoitus poliisille.
• Varoita toimittajaa: jos hänen sähköpostilaatikkonsa on kaapattu, myös muut asiakkaat saavat valeviestejä.
• Jos viesti tuli omasta sähköpostilaatikostasi tai kollegan laatikosta, se on saatettu kaapata. Vaihda salasana, kirjaudu ulos kaikista istunnoista ja tarkista edelleenlähetyssäännöt (oppitunnit 2.5 ja 3.5).

Yhteenveto

• Tietojenkalastelu, toimitusjohtajahuijaus ja laskutushuijaus ovat kaikki social engineeringia: sinut suostutellaan tekemään jotain itse.
• Kohdennettu tietojenkalastelu on räätälöity juuri sinulle ja siksi paljon vakuuttavampi; kirjoitusvirheet eivät ole enää hyvä tunnusmerkki.
• Toimitusjohtajahuijaus vetoaa auktoriteettiin, salassapitoon ja kiireeseen.
• Laskutushuijauksessa usein vain IBAN on erilainen, joskus jopa toimittajan oikeasti kaapatusta sähköpostilaatikosta lähetettynä.
• Maksumenettely, jossa soitetaan takaisin tuttuun numeroon ja noudatetaan nelisilmäperiaatetta, pysäyttää suurimman osan huijauksista, vaikka et tunnistaisi valesähköpostia.

Tietovisa

Tehtävä

Tehtävä A1.2: Tunnista huijaus. Saat kuusi lyhyttä viestiä. Arvioi jokaisen viestin kohdalla, onko kyseessä todennäköisesti tietojenkalastelu, toimitusjohtajahuijaus, laskutushuijaus vai tavallinen viesti, ja mikä toimenpide sinun tulisi tehdä. Ohjelma tarkistaa vastauksesi ja näyttää jokaisen viestin tunnusmerkit, jotka olisit voinut huomata.

Tehtävä D1.2: Oma maksumenettelysi. Kirjoita yrityksesi maksumenettely yhdelle A4-sivulle: milloin soitetaan takaisin, mihin numeroon, kuka tekee toisen tarkistuksen ja mistä summasta alkaen. Käy menettely läpi kaikkien kanssa, jotka tekevät maksuja.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toimintatapa on vastaava.

• Onko tämä sähköposti oikeasti WebOkélta? Tunnista tietojenkalastelu ja käytä etukoodia
• ICANNin tai rekisterin sähköpostit verkkotunnuksestasi: aitoja vai väärennettyjä, ja mitä kannattaa tehdä?
• Kyberturvallisuuskeskus, ohjeet huijauksista: https://www.kyberturvallisuuskeskus.fi/
• Kyberturvallisuuskeskus, laskutushuijausten tunnistaminen: https://www.kyberturvallisuuskeskus.fi/
• Kyberturvallisuuskeskus, siepatut laskut: https://www.kyberturvallisuuskeskus.fi/