Miten tunnistaa tietojenkalasteluviesti? Näin paljastat huijauksen

Tietojenkalasteluviesti eli kalasteluviesti (englanniksi phishing) on huijaussähköposti, tekstiviesti tai muu viesti, jonka tarkoitus on saada sinut luovuttamaan salasanoja, pankkitunnuksia, korttitietoja tai muita arkaluonteisia tietoja. Viesti naamioidaan tutun tahon – kuten pankin, viranomaisen, verkkokaupan tai työnantajan – nimiin, ja se yrittää saada sinut toimimaan nopeasti ja ajattelematta. Tässä oppaassa käydään selkokielisesti läpi, mistä kalasteluviestin tunnistaa, miksi niitä on nykyään yhä vaikeampi havaita ja mitä teet, jos ehdit jo antaa tietosi.

Mikä tietojenkalastelu on ja miksi se toimii

Tietojenkalastelussa rikollinen lähettää viestin, joka näyttää aidolta, ja ohjaa sinut joko vastaamaan arkaluonteisilla tiedoilla tai klikkaamaan linkkiä, joka johtaa väärennetylle kirjautumissivulle. Sivu näyttää usein täsmälleen oikean palvelun kirjautumissivulta. Kun syötät siihen käyttäjätunnuksesi ja salasanasi, tiedot menevätkin suoraan rikolliselle.

Kalastelu toimii, koska se vetoaa ihmisen refleksiin: pelkoon, uteliaisuuteen tai kiireeseen. Tyypillinen viesti väittää, että tililläsi on havaittu epäilyttävää toimintaa, että paketti on jäänyt tullissa pienen maksun taakse tai että tunnuksesi vanhenevat heti, ellet vahvista niitä. Tavoite on saada sinut ohittamaan tavallinen harkinta. Mitä kiireellisemmältä viesti tuntuu, sitä enemmän on syytä pysähtyä.

Miten tunnistat tietojenkalasteluviestin – keskeiset varoitusmerkit

Yksittäinen varoitusmerkki ei aina tarkoita huijausta, mutta useampi merkki yhdessä on vahva signaali. Käy viesti läpi rauhassa seuraavien kohtien avulla.

1. Tarkista lähettäjän todellinen osoite

Älä tuijota pelkkää näyttönimeä, vaan katso varsinainen sähköpostiosoite tai puhelinnumero. Huijausosoite voi muistuttaa aitoa erehdyttävästi: yksi kirjain on vaihdettu (esimerkiksi micros0ft.com), tai yrityksen nimi on liitetty yleiseen palveluun kuten mail.com. Jos virallinen taho ottaa yhteyttä yksityisestä vapaa-ajan sähköpostista, se on epäilyttävää. Huomaa kuitenkin, että osoite voi näyttää täysin aidolta, jos rikollinen on kaapannut oikean tilin – siksi osoite ei yksin riitä takaamaan aitoutta.

2. Varo kiireen ja pelon tuntua

Uhkaukset ja aikapaine ovat kalastelun ydin. ”Tilisi suljetaan tänään”, ”vahvista tunnukset heti” tai ”epäilyttävä kirjautuminen havaittu” ovat klassisia keinoja saada sinut toimimaan ennen kuin ehdit ajatella. Aito palvelu antaa yleensä aikaa eikä uhkaa välittömillä seuraamuksilla.

3. Älä luota ulkoasuun tai lukkokuvakkeeseen

Väärennetty viesti tai sivu voi olla täydellinen kopio aidosta, logoineen ja väreineen. Myöskään selaimen osoiterivin lukkokuvake ei takaa aitoutta: se kertoo vain, että yhteys sivulle on salattu, ei sitä, kuka sivun omistaa. Rikollinenkin saa sivulleen lukkokuvakkeen helposti.

4. Tarkista linkit ennen kuin klikkaat

Vie hiiri linkin päälle (älä klikkaa) tai paina linkkiä hetki pohjassa puhelimessa – todellinen osoite tulee näkyviin. Jos osoite ei vastaa luvattua palvelua tai sisältää oudon verkkotunnuksen, kyseessä on todennäköisesti huijaus. Varmin tapa on olla klikkaamatta viestin linkkiä lainkaan: kirjoita palvelun osoite itse selaimeen, käytä aiempaa kirjanmerkkiä tai palvelun virallista sovellusta.

5. Epätavalliset pyynnöt ja liitteet

Suhtaudu varauksella viesteihin, jotka pyytävät kirjautumaan ”turvallisen viestin” tai jaetun dokumentin lukemiseksi, maksamaan yllättävän laskun tai vahvistamaan maksun. Odottamattomat liitetiedostot ja QR-koodit voivat niin ikään johtaa haittasivulle. Kielioppivirheet ja outo suomi ovat yhä mahdollinen vihje, mutta eivät enää luotettava mittari (lisää tästä alla).

Miksi kalasteluviestejä on yhä vaikeampi tunnistaa

Vanha neuvo ”tunnistat huijauksen huonosta kielestä” ei enää päde. Kyberturvallisuuskeskuksen mukaan tekoäly tuottaa sujuvia käännöksiä, joten kirjoitus- ja kielioppivirheet eivät ole enää luotettava merkki huijauksesta. Rikolliset myös tutkivat kohteitaan sosiaalisen median, yritysten sivujen ja uutisten kautta ja räätälöivät viestit uskottaviksi.

Toinen syy vaikeuteen on kaapatut tilit. Kun viesti tulee aidon henkilön murretusta postilaatikosta, lähettäjän osoite on oikea eikä paljasta mitään. Rikollinen voi jopa jatkaa aitoa keskusteluketjua, jolloin vastaus samassa ketjussa näyttää luotettavalta. Siksi pelkkä tuttu lähettäjä tai tuttu keskustelu ei riitä todisteeksi aitoudesta.

Myöskään kaksivaiheinen tunnistautuminen ei ole aukoton: kalastelusivut osaavat pyytää myös kertakäyttöistä vahvistuskoodia, jonka uhri sitten luovuttaa. Kaksivaiheinen tunnistautuminen on silti yksi tehokkaimmista suojista, kunhan et koskaan syötä koodia sivulle, jonne päädyit viestin linkistä.

Yleisimmät tietojenkalastelun muodot

Kalastelu ei rajoitu sähköpostiin. Samat varoitusmerkit pätevät kaikissa kanavissa.

Sähköposti

Yleisin muoto. Viesti esiintyy pankin, verkkokaupan, pilvipalvelun tai viranomaisen nimissä ja ohjaa väärennetylle kirjautumissivulle. Yrityksissä esiintyy myös laskuhuijauksia ja johdon nimissä tehtyjä maksupyyntöjä.

Tekstiviesti (smishing)

Tekstiviestihuijaukset esiintyvät esimerkiksi postin, tullin, pankin tai viranomaisen nimissä ja sisältävät linkin. Tarkista aina viestin osoite: jos linkki ei vie palvelun viralliselle verkkotunnukselle, kyseessä on huijaus. Virallisten tahojen nimissä tulevien viestien lähettäjätunnus (Sender ID) on usein suojattu, joten aidon oloinen tekstiviesti tuntemattomasta numerosta on syytä tarkistaa.

Puhelut (vishing)

Soittaja voi esiintyä pankin, poliisin tai teknisen tuen edustajana. Muista: viranomainen tai pankki ei koskaan kysy salasanoja, tunnuslukuja tai korttitietoja puhelimessa. Jos puhelu tuntuu epäilyttävältä, lopeta se ja soita itse palvelun viralliseen numeroon – älä käytä soittajan antamaa numeroa.

Sosiaalinen media

Somessa liikkuu väärennettyjä arvonta- ja voittoviestejä, jotka pyytävät puhelinnumeroa ja siihen lähetettyä koodia tai jopa pankkitietoja ”palkinnon lunastamiseksi”. Näin rikollinen kaappaa tilisi.

Esimerkkejä yleisistä kalastelun verukkeista

Kalasteluviestit toistavat samoja kaavoja. Kun tunnistat verukkeen, huijauksen on helpompi haistaa, vaikka ulkoasu olisi uskottava. Näitä esiintyy Suomessa jatkuvasti:

• ”Tililläsi epäilyttävää toimintaa.” Pankin nimissä lähetetty viesti pelottelee tilin lukkiutumisella ja ohjaa ”vahvistamaan” tunnukset väärennetylle kirjautumissivulle.
• ”Paketti odottaa – maksa pieni tullimaksu.” Postin, tullin tai kuljetusyhtiön nimissä pyydetään muutaman euron maksua, jonka yhteydessä urkitaan korttitiedot.
• ”Verohallinnolta palautus / maksumuistutus.” Viesti lupaa veronpalautusta tai uhkaa perinnällä ja ohjaa huijaussivulle.
• ”Turvallinen viesti odottaa lukemista.” Jaettu dokumentti tai salattu viesti vaatii kirjautumaan sähköpostitunnuksilla – jotka päätyvät rikolliselle.
• ”Lasku erääntyy” tai johdon maksupyyntö. Yrityksille suunnattu veruke, jossa pyydetään maksamaan väärennetty lasku tai tekemään kiireellinen tilisiirto esihenkilön nimissä.
• ”Onnittelut, voitit!” Arvonta- tai lahjakorttivoitto, jonka ”lunastus” edellyttää henkilö- tai pankkitietojen antamista.

Yhteistä kaikille on sama kaava: tuttu nimi, uskottava syy ja kehotus toimia heti linkin kautta. Aito taho ei edellytä kirjautumista tai maksua viestin linkin kautta, vaan voit aina hoitaa asian kirjautumalla palveluun itse.

Näin suojaudut tietojenkalastelulta

Tunnistaminen on vain osa suojautumista. Perusasiat kuntoon laittamalla pienennät vahingon riskiä, vaikka erehtyisitkin.

• Ota käyttöön kaksivaiheinen tunnistautuminen kaikissa tärkeissä palveluissa, jotta pelkkä salasana ei riitä tilin kaappaamiseen.
• Käytä vahvoja ja uniikkeja salasanoja. Salasanojen hallintaohjelma luo ja säilyttää ne turvallisesti – ja useimmat eivät täytä salasanaa väärennetylle verkkotunnukselle, mikä paljastaa huijaussivun.
• Pidä laitteet ja sovellukset ajan tasalla: ohjelmistopäivitykset paikkaavat tietoturva-aukkoja, joita rikolliset hyödyntävät.
• Käytä ajantasaista virustorjuntaa, joka voi varoittaa tunnetuista haittasivustoista ja -liitteistä.
• Maksamiseen liittyvissä viesteissä muista perusasiat turvallisista maksutavoista äläkä koskaan vahvista maksua linkin kautta, jonka aitoudesta et ole varma.
• Jos epäilet viestiä, varmista asia aina toisen kanavan kautta: soita palvelun viralliseen numeroon tai kirjaudu sisään kirjoittamalla osoite itse. Suomalaisten organisaatioiden ja viranomaisten yhteystiedot voit tarkistaa Suomi.fi-palvelusta.

Mitä tehdä, jos annoit tietosi

Jos huomaat syöttäneesi tunnuksesi huijaussivulle tai luovuttaneesi tietoja, toimi nopeasti – nopea reagointi rajaa vahinkoa.

• Vaihda salasana heti kyseiseen palveluun ja kaikkiin muihin palveluihin, joissa käytit samaa salasanaa.
• Ota yhteys pankkiisi viipymättä, jos annoit pankki- tai korttitietoja tai siirsit rahaa. Pankki voi estää kortin tai tilin väärinkäytön.
• Tee rikosilmoitus poliisille – sen voi tehdä myös sähköisesti.
• Varoita yhteystietojasi, jos tilisi on kaapattu ja sen kautta on voitu lähettää viestejä. Tarkista myös, onko sähköpostiisi lisätty tuntemattomia edelleenlähetyssääntöjä.
• Ilmoita Kyberturvallisuuskeskukselle. Myös pelkän havaitun kalasteluviestin voi ilmoittaa – se auttaa poistamaan haitallista sisältöä verkosta ja suojaa muita. Jos tietoja ei vuotanut, ilmoitus on vapaaehtoinen.
• Työpaikan laitteella ota heti yhteys oman organisaatiosi IT-tukeen tai tietoturvavastaavaan.

Usein kysytyt kysymykset (UKK)

Mistä tunnistaa tietojenkalasteluviestin nopeimmin?

Luotettavin yksittäinen tarkistus on osoite: katso lähettäjän todellinen sähköpostiosoite ja linkin kohdeosoite. Jos verkkotunnus ei vastaa aitoa palvelua tai sisältää oudon lisäosan, kyseessä on lähes varmasti huijaus. Yhdistä tähän kiireen tuntu ja epätavallinen pyyntö, niin varmuus kasvaa.

Onko kalasteluviesti vaarallinen, jos vain avaan sen?

Pelkkä viestin avaaminen on yleensä vaaratonta. Vaara syntyy, kun klikkaat linkkiä, avaat liitteen tai syötät tietojasi sivulle. Älä siis klikkaa mitään ennen kuin olet varmistanut viestin aitouden.

Voiko viesti olla aito, jos se tulee tutulta lähettäjältä?

Ei välttämättä. Rikolliset lähettävät viestejä kaapatuista tileistä, jolloin osoite on aito ja viesti voi jatkaa oikeaa keskusteluketjua. Jos tutulta tuleva viesti sisältää yllättävän linkin tai maksupyynnön, varmista asia soittamalla.

Suojaako kaksivaiheinen tunnistautuminen kalastelulta?

Se on erittäin hyvä suoja, mutta ei aukoton. Osa kalastelusivuista pyytää myös kertakäyttöisen vahvistuskoodin. Älä koskaan syötä koodia sivulle, jonne päädyit viestin linkistä – kirjaudu aina itse kirjoittamalla palvelun osoite.

Pitääkö kalasteluviestistä tehdä rikosilmoitus?

Jos et antanut tietojasi etkä menettänyt rahaa, rikosilmoitus ei ole välttämätön, mutta viestin voi ilmoittaa Kyberturvallisuuskeskukselle. Jos ehdit syöttää tunnuksesi tai menetit rahaa, ota yhteys pankkiin ja tee rikosilmoitus poliisille.