Näin phishing-viesti toimii

Moduuli 3: Tietojenkalastelun tunnistaminen · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen tunnistat phishing-viestien psykologiset temput ja vakiomuotoiset tunnusmerkit, myös silloin kun teksti on virheetön, ja reagoit reflexillä: pysähdy, tarkista, kysy.
Keskeiset käsitteet: kiireellisyys, auktoriteetti, pelko, uteliaisuus, palkinto, pretext, tekoälyn kirjoittama phishing, "pysähdy, tarkista, kysy" -reflexi

Phishing on tarina, ei tekniikka

Phishing on viesti, joka saa sinut tekemään jotain, mikä on hyväksi lähettäjälle ja huonoksi sinulle: klikkaamaan linkkiä, kirjautumaan väärennetylle sivulle, avaamaan liitetiedoston, tekemään maksun tai luovuttamaan koodin. Tekniikka sen takana on usein yksinkertainen. Työn tekee tarina.

Tätä tarinaa kutsutaan pretextiksi: uskottavaksi tekosyyksi. "Pakettiasi ei voitu toimittaa." "Postilaatikkosi on täynnä." "Sinulla on avoin lasku." "Tilisi suljetaan." Hyvä pretext sopii omaan tilanteeseesi. Leipomo saa sähköpostin jauhotoimittajasta, asianajotoimisto haasteesta, verkkokauppa estetystä maksusta.

Tavoite on lähes aina yksi näistä neljästä:

Viimeisessä tapauksessa itse hetkellä ei tapahdu mitään pahaa. "Kuka teillä hoitaa maksut?" vaikuttaa tavalliselta kysymykseltä. Mutta vastauksen avulla hyökkääjä voi myöhemmin lähettää paljon vakuuttavamman viestin suoraan sille henkilölle. Tätä kutsutaan kohdennetuksi phishingiksi (spear phishing, oppitunti 1.2).

Viisi nappia, joita phishing painaa

Phishing toimii, koska se saa sinut toimimaan ennen kuin ehdit ajatella. Siksi se painaa muutamaa vakionappia päässämme. Lähes jokainen phishing-viesti käyttää vähintään kahta niistä.

1. Kiireellisyys. "24 tunnin kuluessa", "jo tänään", "viimeinen muistutus". Aikapaine on tärkein temppu, koska silloin et ehdi tarkistaa asiaa.
2. Auktoriteetti. Viesti näyttää tulevan joltakulta, jota otat vakavasti: pankilta, Verohallinnolta, toimitusjohtajalta, poliisilta, webhotelliyritykseltäsi, asianajajalta.
3. Pelko. Tilisi suljetaan, saat sakon, tietosi on vuotanut, verkkotunnuksesi vanhenee, tilillesi on murtauduttu.
4. Uteliaisuus. "Katso tapahtuman kuvat", "sinulle on jaettu dokumentti", "sinulla on vastaamaton puheluviesti", "palkkalaskelma_2026.pdf".
5. Palkinto. Palautus, lahjakortti, voitettu palkinto, ilmainen päivitys, suuri tilaus uudelta asiakkaalta.

Huomaa: näitä nappeja esiintyy myös aidoissa viesteissä. Aidossa laskussa on eräpäivä, aito pankki voi joskus lähettää varoituksen. Yksi temppu ei siis tee viestistä väärennettyä. Viesti muuttuu epäilyttäväksi, kun paine on kova ja viesti pyytää jotain, mitä et normaalisti tekisi.

Vakiotunnusmerkit, tekstistä riippumatta

Temppujen lisäksi phishing-viesteissä toistuu lähes aina muutama tunnusmerkki:

• Kehotus toimia heti (call to action): painike, linkki, liitetiedosto tai puhelinnumero, johon soittaa.
• Kanava, joka ei sovi tilanteeseen. Pankkisi pyytää sähköpostitse kirjautumaan, toimittajasi pyytää WhatsAppissa maksua, kollegasi pyytää tekstiviestillä lahjakortteja.
• Pyyntö, joka ei sovi tilanteeseen. Salasanan tai kirjautumiskoodin luovuttaminen, IBAN-tilin vaihtaminen, maksu normaalin menettelyn ulkopuolella, ohjelmiston asentaminen soittajan pyynnöstä.
• Poikkeama lähettäjässä tai linkissä. Osoite tai linkki ei aivan vastaa odottamaasi organisaatiota. Opit lukemaan tätä tarkemmin oppitunneilla 3.2 ja 3.3.
• Salailu tai menettelyn kiertäminen. "Älä vielä kerro tästä muille", "olen kokouksessa, älä soita minulle", "hoida tämä järjestelmän ohi".

Viimeinen tunnusmerkki on vahvin signaali toimitusjohtaja- ja laskuhuijauksissa: oikealla toimitusjohtajalla ei ole mitään syytä haluta, että ohitat normaalin tarkistuksen.

Miksi kirjoitusvirheet eivät enää ole hyvä tunnusmerkki

Ennen phishingin tunnisti kömpelöstä suomesta, oudosta puhuttelusta ja rumasta ulkoasusta. Se ei enää toimi. Kielimallien (tekoälyn) avulla hyökkääjä kirjoittaa muutamassa sekunnissa virheettömän, ystävällisen viestin millä tahansa kielellä, jäljittelevän organisaation tyyliin. Hollannin kyberturvallisuuskeskus (NCSC) varoittaa myös, että tekoälyn tekemä phishing muuttuu yhä vaikeammaksi tunnistaa: vähemmän kielivirheitä ja yhä aidommalta näyttäviä kirjautumissivuja.

Lisäksi phishing tulee joskus aidosta postilaatikosta. Jos toimittajan postilaatikko on kaapattu, hyökkääjä vastaa yksinkertaisesti olemassa olevaan sähköpostiketjuun, allekirjoituksineen, sävyineen ja aiempine viesteineen. Tätä kutsutaan thread hijackingiksi (viestiketjun kaappaukseksi). Lähettäjä, ulkoasu ja kieli ovat silloin kaikki aitoja. Vain pyyntö ei täsmää: "Meillä on uusi pankkitili, voitko maksaa avoimen laskun sille?"

Siksi et katso, miltä viesti näyttää, vaan mitä se pyytää sinulta. Phishingin tunnistaa harvoin yhdestä tunnusmerkistä, vaan kokonaiskuvasta.

Reflexi: pysähdy, tarkista, kysy

Sinun ei tarvitse tuntea jokaista temppua. Tarvitset vain yhden reflexin, jota käytät aina kun viesti pyytää sinulta jotain.

Pysähdy. Tunnetko kiirettä, säikähdystä, uteliaisuutta tai iloa? Juuri silloin ei pidä klikata. Laita viesti hetkeksi sivuun. Aidot organisaatiot antavat sinulle lähes aina riittävästi aikaa tarkistaa asia.

Tarkista omaa reittiä käyttäen. Älä jatka viestin kautta. Älä klikkaa linkkiä, älä soita viestissä olevaan numeroon äläkä vastaa sähköpostiin. Mene itse sivustolle kirjanmerkin kautta tai kirjoittamalla osoite itse, tai soita numeroon, joka sinulla jo oli (oma hallintosi, pankkikorttisi kääntöpuoli, virallinen sivusto). Onko lasku todella olemassa? Onko paketti todella matkalla?

Kysy. Jos olet vielä epävarma, kysy asiaa kollegalta tai henkilöltä, jonka viesti väittää olevan lähettäjä, mutta eri kanavan kautta. Sopikaa tiimissä, ettei tällainen kysyminen ole koskaan vaivaksi. Mieluummin kysyy turhaan kymmenen kertaa kuin maksaa kerran väärin.

Tämä reflexi toimii myös täydellisen, murretusta postilaatikosta tulevan viestin kohdalla. Tarkistus omaa reittiä käyttäen ohittaa hyökkääjän kokonaan, koska hän ei ole kirjanmerkeissäsi eikä toimittajasi puhelimen päässä.

Käytännössä: näin se näyttää

Kolme simuloitua viestiä, jotka Leipomo Example (info@example.com) saa yhtenä aamuna. Kaikki nimet ovat keksittyjä.

Viesti 1: paketti

Lähettäjä: Kuljetuspalvelu <service@koeriersdienst-track.example>
Aihe: Toimitus epäonnistui: toimenpide vaaditaan
Hyvä asiakas, yritimme tänään toimittaa pakettia. Osoite oli puutteellinen. Varaa uusi toimitusaika 48 tunnin kuluessa ja maksa uudelleentoimituskulut 1,95 euroa, muuten paketti palautetaan lähettäjälle.

Temput: kiireellisyys (48 tuntia), pelko (paketti palautetaan), pieni summa, jotta et ajattele asiaa tarkemmin. Tavoitteena ovat korttitietosi. Tarkistus: odotatko pakettia? Etsi lähetys kuljetusyrityksen omalta sivustolta tai sovelluksesta.

Viesti 2: toimittaja

Lähettäjä: Jauhotoimittaja <administratie@leverancier.example>
Aihe: RE: lasku 2026-0412
Hei, kuten sovittiin, tässä lasku. Huomaa: pankin vaihdon vuoksi maksathan nyt alkaen uudelle tilinumerollemme. Voisitko hoitaa sen vielä tänään? Silloin voimme suunnitella perjantain toimituksen.

Temput: auktoriteetti (tunnettu toimittaja, olemassa oleva sähköpostiketju), kiireellisyys, palkinto (toimitus). Lähettäjä voi olla aito: toimittajan postilaatikko on saatettu kaapata. Tarkistus: soita toimittajalle numeroon, joka on omassa hallinnossasi, ei tästä viestistä.

Viesti 3: kirjanpito-ohjelma

Lähettäjä: Kirjanpito-ohjelma <noreply@boekhoudpakket.example>
Aihe: Tilauksesi keskeytetään
Emme pystyneet käsittelemään viimeisintä maksuasi. Kirjaudu sisään 24 tunnin kuluessa päivittääksesi maksutietosi, muuten menetät pääsyn kirjanpitoosi.
[Kirjaudu sisään]

Temput: pelko, kiireellisyys, auktoriteetti. Onko lähettäjä aito, siitä lisää oppitunnilla 3.3; minne painike vie, oppitunnilla 3.2. Tarkistus: avaa itse kirjanpito-ohjelman sovellus tai kirjanmerkkisi. Jos siellä ei näy mitään ilmoitusta, viesti on väärennetty.

Yhteenveto

• Phishing toimii tarinan (pretextin) avulla, joka sopii omaan tilanteeseesi, ja tavoitteena on kirjautumistiedot, rahaa, pääsy laitteeseesi tai tietoa.
• Viisi nappia: kiireellisyys, auktoriteetti, pelko, uteliaisuus ja palkinto. Yleensä niitä on kaksi tai useampia yhtä aikaa.
• Kirjoitusvirheet eivät enää ole luotettava tunnusmerkki: tekoäly kirjoittaa virheettömiä viestejä ja kaapatut postilaatikot lähettävät aitoja viestejä.
• Katso, mitä viesti pyytää sinulta ja minkä kanavan kautta, älä sitä, miltä se näyttää.
• Reflexi: pysähdy, tarkista omaa reittiä käyttäen, kysy jos epäilet.

Tietovisa

Tehtävä

Tehtävä A3.1: Tunnista temput. Saat kuusi simuloitua viestiä. Valitse jokaisesta viestistä, mitä temppuja siinä käytetään (kiireellisyys, auktoriteetti, pelko, uteliaisuus, palkinto) ja mitä teet: käsittelet sen normaalisti, vai tarkistatko ensin omaa reittiä käyttäen. Ohjelma tarkistaa vastauksesi ja selittää jokaisen viestin kohdalla, mitä jäi huomaamatta.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toimintatapa on vastaava.

• Onko tämä sähköposti oikeasti WebOkélta? Tunnista tietojenkalastelu ja käytä etukoodia
• Hollannin kyberturvallisuuskeskus (NCSC), Miten tunnistan phishing-sähköpostin?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Hollannin kyberturvallisuuskeskus (NCSC), Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Traficomin Kyberturvallisuuskeskus, huijausviestien ja phishingin ilmoittamiseen: https://www.kyberturvallisuuskeskus.fi/