Uusi uhka tietoturvalle: e-sim

Helsingin Sanomat kertoi 25.3.2026 pankkihuijauksesta, jossa e-sim tekniikalla oli merkittävä rooli. Tällaisia huijauksia on osattu odottaa, poliisi varoitti asiasta jo viime syksynä omalla tiedotteellaan: Poliisi varoittaa puhelinliittymien kaappauksista. Liittymän kaappaaminen (sim swapping) on ollut ennenkin mahdollista, mutta e-sim tekee sen entistä helpommaksi.

Mikä siis on e-sim (eSIM)? Perinteinen SIM (Subscriber Identity Module) on pieni muistkortti (oik. älykortti), johon operaattorin asiakkuus on sidottu. Kymmenkunta vuotta sitten markkinoille tulivat ensimmäiset puhelimet, joihin sim-toiminnallisuuden voi ladata ohjelmallisesti suoraan verkosta. Tästä käytetään nimitystä e-sim. 

Esimerkiksi turisti voi ostaa helposti paikallisen liittymän jo ennen matkaa (tai sen aikana), ja näin välttää kalliit roaming-hinnat reissun aikana. Itse olen käyttänyt Airalo-palvelua ja se on toiminut hyvin. Puhelimessa voi olla useita liittymiä, joita vaihdetaan puhelimen asetuksista tarpeen mukaan. Oikein näppärää - mutta juuri siksi myös vaarallista. 

Verkkopankissa riski on suurin niillä, joiden tunnistus perustuu tekstiviestillä saataviin koodeihin eikä pankin omaan todennussovellukseen. Kaappaamalla liittymän itselleen rosvo pystyy tyhjentämään tilin, koska hän saa kaikki koodit ja lisävarmistukset itselleen.

Mitä tapahtui?

Tässä tapauksessa uhri yritti kirjautua Omavero-palveluun, ja kirjoitti iPadin osoitekenttään pelkän sanan Omavero. Se on tietenkin virhe, osoite pitäisi kirjoittaa aina kokonaisena, eikä luottaa hakukoneeseen. Uhri päätyi valesivulle, jolle hän yritti ensin kirjautua oikeaoppisesti mobiilivarmenteella. Se antoi kuitenkin virheilmoituksen (usein merkki huijaussivusta). Sen jälkeen uhri kokeili Aktian pankkitunnistusta. Hän syötti tunnukset neljä kertaa muutaman minuutin aikana, mutta virheilmoitus toistui itsepintaisesti ja pyysi yrittämään uudelleen.

Lopulta asiakas luovutti, mutta rosvot olivat jo saaneet haluamansa. Liittymän siirto e-simille vaati Telian sivulla vain kaksi vahvaa todennusta ja QR-koodin, joka näkyi rosvoille. Uhrin puhelimeen tuli vain viesti, että e-sim on aktivoitu.

Sen jälkeen liittymä lakkasi toimimasta alkuperäisessä puhelimessa ja rosvoilla oli täysi hallinta uhrin tilille. Rosvot yhdistivät rahaa toiselta tililtä päätilille ja ottivat vielä luottoa, minkä jälkeen kaikki siirrettiin Italiaan. Uhri menetti yhteensä 23 632 euroa. Vastaanottajien tileissä näkyy kaksi marokkolaista naisten nimeä, luultavasti muuleja. Myös ip-lokitieto viittaa Marokkoon.

Uhri ei ollut koskaan aiemmin siirtänyt rahaa ulkomaille. Eri tileillä olevien varojen yhdistämisen, luoton ottamisen ja sen jälkeen tilin tyhjentämisen olisi pitänyt olla punainen lippu pankille, mutta sen järjestelmät eivät reagoineet. Kiitos EU:n pikamaksun rahat lähtivät muutamassa sekunnissa Italiaan ja hävisivät. 

Uhri huomasi asian vasta seuraavana aamuna, kun hänen puhelimensa oli lakannut toimimasta. Yhteydenotto pankkiin toisella puhelimella ei enää auttanut, rahat olivat poissa. Poliisi otti vastaan rikosilmoituksen, mutta lopetti tutkinnan viikon päästä, koska summa oli alle 10 000 euroa ja kyse kansainvälisestä rikollisuudesta. Koko summa oli yli 20 000 euroa, mutta tiedon korjaaminen ei enää vaikuttanut poliisin toimintaan.

Onneksi tällä kertaa FINE asettui uhrin puolelle ja suositteli Aktiaa korvaamaan vahingon. Vaikka asiakas oli kieltämättä huolimaton, pankki itse oli vielä huolimattomampi eikä kantanut omaa vastuutaan tietoturvasta. 

Pankkien ja operaattorien vastuu?

Aktia-pankilla on oma todennussovellus, joka olisi luultavasti estänyt rahojen siirron. Sen kuittaus on sidottu nettiyhteyteen ja laitekohtaiseen tunnisteeseen, ei liittymän puhelinnumeroon. Miksi Aktia edes sallii vanhan ja turvattoman menetelmän käytön? Varmaan siksi, ettei kaikilla asiakkailla vieläkään ole älypuhelinta. Se ei kuitenkaan vapauta pankkia vastuusta: kaikkien tunnistustapojen pitää olla asiakkaalle turvallisia. Pankilla on tiedollinen ylivoima, joka tuo vastuuta. 

Uhri luuli kirjautuvansa Omaveroon, mutta koodit tulivatkin kirjautumisesta pankkiin. Tämä tieto ei näkynyt tekstiviestissä, vaikka se olisi ollut helppo lisätä. Tekstiviesti oli samanlainen myös Telian liittymäsiirtoa tehtäessä. Kohteen maininta tekstiviestissä voi olla teknisesti mahdotonta, mutta ainakin pankin oma kirjautuminen pitäisi näkyä viestissä ("Olet kirjautumassa Aktian pankkipalveluun..." vs. "Olet kirjautumassa johonkin muuhun kuin Aktian palveluun, varmista osoitteen oikeellisuus").

Telian e-sim -aktivointiviesti ei myöskään sisältänyt mitään varoitusta luvattomasta käyttöönotosta. Tämän pitäisi olla yleinen käytäntö, kuten nettipalvelujen sähköposti-ilmoitukset osoittavat: "Yrititkö kirjautua tilillesi... jos et ollut sinä, vaihda salasanasi" tms. Uhri ei ymmärtänyt, mikä on e-sim, ja miksi hän sai siitä operaattoriltaan ilmoituksen.

Tämä jaksaa aina ihmetyttää minua. Pankkien ja operaattorien pitäisi tietää riskit. Heillä on tietoturvaihmisiä, jotka työkseen seuraavat uhkia ja tapahtumia maailmalla. Silti he eivät mieti väärinkäytön mahdollisuuksia ja varaudu niihin ennakolta. Kaikki jää asiakkaan vastuulle ja ongelmat ovat hänen omaa huolimattomuuttaan.

Monella on myös vääriä käsityksiä nykyisten suojakeinojen toimivuudesta, vaikka ne on tehty erilaiseen uhkaympäristöön. Kuvitellaan, että pankkien siirtorajoitukset estävät vahingot, koska sama periaate toimii pankkiautomaateilla. Verkkopankissa se ei auta, sillä jos tilin saa hallintaansa, rajoitukset voi poistaa. Osa pankeista tekee sen vielä helpommaksi sallimalla lennossa kielen vaihdon englanniksi.

Tai että "ei vaaraa, koska siirtoihin/sim-tilaukseen vaaditaan vahva tunnistaminen". Rosvot osaavat kiertää nämä huijaamalla uhria. Edes IT-ammattilaiset eivät aina näe heikkouksia siellä, missä ne ovat, koska he luottavat liikaa teknisiin suojakeinoihin. Yksi syy tähän on salailu: pankit eivät kerro tapauksista julkisesti vaan vetoavat aina tietosuojaan.

Olen ehdottanut pankeille käytännön turvaparannuksia niin monta kertaa, että toistan ne vain lyhyesti: viiveelliset siirrot ulkomaille, ulkomaansiirtojen lukitus jos ei siirtoja ulkomaille kahteen vuoteen, isojen siirtojen lisävarmistus etukäteen nimetylle varahenkilölle, tilin tyhjennyksen + luoton estäminen ilta-aikaan... Kaikki nämä keinot ovat Ruotsin pankeilla käytössä, Suomessa ei kellään. Kukaan ei halua olla ensimmäinen, koska silloin muut pankit joutuisivat seuraamaan, ja se maksaisi.

Suomi oli joskus verkkopankkien turvallisuuden edelläkävijä. Nykyinen tilanne harmittaa ja suututtaa. Sekin harmittaa, ettei asia tunnu kuuluvan kenellekään. Odotetaan, että markkinat ratkaisevat ongelman. Lupauksista huolimatta mitään näkyvää ei ole tapahtunut. Pankit eivät halua nähdä vaivaa ja hankkia lisäkustannuksia, ellei niitä velvoiteta siihen.

Niinpä ongelmista räksyttäminen jää minulle, vaikka olen ulkopuolinen enkä haluaisi kritisoida pankkeja tai operaattoreita.

Lopuksi erittäin tärkeä neuvo: varmista omalta lähipiiriltäsi (isä, äiti, isoisä, isoäiti ym) ettei heillä ole käytössä pelkkään tekstiviestitunnistukseen perustuvaa verkkopankkia. Tekstiviesteihin ei voi enää luottaa!

PS. E-sim mahdollistaa myös tupla-sim-huijauksen, jossa rosvo voi saada tekstiviestillä tulevat varmistuskoodit huomaamatta omaan puhelimeensa. 

Microsoft-syndrooma

Microsoft-syndrooma

Kirjoitan tätä raskain sydämin, sillä helmikuussa 2026 itselläni tulee kuluneeksi 40 vuotta Windows-käytön aloittamisesta. Windows 1.03 oli tekninen kuriositeetti, mutta antoi esimakua tulevasta.

Microsoft-historiani on vielä pidempi ja täynnä rakkaita muistoja. Kritiikistä huolimatta yritys loi markkinastandardin, joka palveli hyvin niin kotikäyttäjiä kuin yrityksiäkin.

Kaikki hyötyivät, kun tiedostomuodot, sovellukset, käyttöliittymät, laitteet ja palvelut löysivät yhteisen pohjan.

Viime vuosina asiat ovat kuitenkin kääntyneet huonoon suuntaan. Microsoft on kaapannut sekä koti- että yrityskäyttäjät tiukkaan otteeseensa. Tiedostot viedään pilveen puoliväkisin ja kaikkeen vaaditaan Microsoft-tunnus.

Windowsista on tullut alusta, jolla Microsoft tyrkyttää puoliväkisin palveluitaan. Vaikka käyttöjärjestelmän merkitys on koko ajan vähentynyt, Windows vain paisuu eikä todellisia parannuksia enää tule.

Windows 11 oli monen mielestä jopa askel taaksepäin. Se oli niin epäsuosittu, että päivitykset piti pakottaa käyttäjien kurkusta alas. Ei ollut muuta vaihtoehtoa kuin antaa periksi ja vaihtaa kone uuteen.

Parhaillaan Microsoft käyttää markkina-asemaansa tekoälyn tuputtamiseen. Kaikki on kohta Copilot-jotain. Ehkä seuraava Windows-versiokin on nimeltään Copilot 12?

Yrityksille Microsoftin syleily tulee kalliiksi. Julkishallinto maksaa lisensseistä yli miljardi euroa vuodessa. Yritysten maksama summa lienee vähintään tuplasti suurempi.

Siirtyminen omista palvelimista pilveen on tuonut säästöjä, mutta myös riippuvuuden. Kun Microsoft ilmoitti äskettäin 10–15 prosentin hinnankorotuksista, suomalaisten oli pakko vain maksaa. Työntekijöistä voi tinkiä, lisensseistä ei.

Korotuksia on luvassa jatkossakin, sillä miljardipanostukset tekoälyyn, datakeskuksiin ja energiantuotantoon valuvat väistämättä asiakashintoihin. Osakkeenomistajat on pidettävä tyytyväisinä.

Microsoft-syndrooma ei ole pelkkä fiskaalinen asia. Trumpin valinnan jälkeen emme enää luota amerikkalaisiin palveluihin ja tietosuojaan. Heikkojen eurooppalaisten halveksunta ja America first -periaate voi johtaa tietojen urkkimiseen yritysten tarjouksista, jolloin kaupat menevät Yhdysvaltoihin.

Näin epäiltiin käyneen jo 1990-luvulla, vaikka silloin tiedot eivät vielä olleet pilvessä kuin tarjottimella. Echelon oli kivikautista tekniikkaa nykyiseen urkintakoneistoon verrattuna.

Euroopan on alettava suhtautua tietotekniikkaan kuten digitaaliseen maanpuolustukseen ja otettava siitä yhä enemmän vastuuta itselleen. Uhkat eivät enää tule yksin idästä, vaan kaikista suunnista.

EU:n pitää tukea siirtymistä avoimiin käyttöjärjestelmiin ja sovelluksiin sekä alkaa suosia omia pilvipalveluita. Se maksaa, mutta niin maksaa myös lisääntyvä Microsoft-riippuvuus.

Toimistosovellukset ovat perusinfraa, josta olisi helppo aloittaa. Milloin viimeksi Wordiin, Exceliin tai PowerPointiin tuli uusi ominaisuus, jota oikeasti hyödynsit työssäsi? Miksi sitten maksat ohjelmista joka vuosi uudelleen?

Nykyiset megasovellukset ovat täydellinen overkill suhteessa siihen, mitä niillä toimistoissa tehdään. Moni pärjäisi aivan hyvin ilmaisilla ohjelmilla.

EU:n tulisi myös standardoida oma Linux-distro. Kustannukset eivät ennenkään olleet ongelma, kunhan tavoite on riittävän idealistinen. GDPR ja sääntelytsunami tuotiin yrityksille taloudellisista vaikutuksista piittaamatta.

Nyt kyse on sentään puolustuksesta. Sen pitääkin maksaa. Oman it:n kehittäminen tulisi sisällyttää Naton puolustusmenojen nostotavoitteisiin.

Juuri nyt olisi oikea hetki toimia, sillä olemme taitekohdassa. Microsoft hehkuttaa tekoälyä ja agentteja, jotka taas kerran mullistavat kaiken. Samalla se sitoo asiakkaat itseensä pitkälle tulevaisuuteen.

Suomen 30 000 Microsoftiin erikoistunutta it-osaajaa eivät jää työttömiksi, vaikka ekosysteemi alkaisi murtua. He joutuvat päivittämään osaamistaan myös jäädessään Microsoftin sisälle.

Maailmanpolitiikassa on alkanut uusi aikakausi, samoin it-osaamisessa.

Päivitä ajoissa omat taitosi.

Julkaistu Tivi-lehdessä 3/2026.

Onecoin - voittajat ja voitetut

En olisi 11 vuotta sitten uskonut, että vielä vuonna 2026 kirjoitan blogiin Onecoinista. Mahdollisesti tämä on viimeinen kerta. Toivottavasti ainakin.

Kaikkien näiden vuosien jälkeenkin hämmästyttää, miten kaksi suomalaista eli Juha Parhiala ja Kari Wahlroos olivat jättimäisen kansainvälisen taloushuijauksen kärkipaikoilla. Muutama muukin suomalainen oli alkuvaiheessa aktiivisessa roolissa, mutta he ymmärsivät vetäytyä taustalle, joten en listaa nimiä tässä.

Asia palasi mieleen pari viikkoa sitten, kun TV:ssä esitettiin taas uusi dokumentti Onecoin-huijauksesta: The Queen of Crypto (2024). Parhiala ja Wahlroos näkyivät monissa valokuvissa Rujan seurassa ja tietenkin mukana oli myös Tommi Vuorinen vakuuttamassa, että kaikki on oikein ja laillista, ja että ketään ei ole huijattu.

Vuorinen: "Kukaan ei ole hävinnyt mitään, päinvastoin."

Monista dokumenteista huolimatta kukaan ei pysty kertomaan mitään uutta. Yhdysvaltojen viranomaiset eivät ilmeisesti julkaise tutkinta-aineistoaan (vrt. Epstein) ennen kuin niillä on varmuus, ettei Ruja Ignatovaa saada enää oikeuden eteen. Olisi kiinnostavaa tietää, mitä Greenwood, Dilkinska ja Konstantin Ignatov ovat kuulusteluissa kertoneet. Parhiala ja Wahlroos ovat kuolleet. 

Vielä jokin aika sitten Britanniassa oli käynnissä joukkokanteen kaltainen prosessi, jolla verkoston huijaamia varoja yritettiin jäädyttää ja palauttaa uhreille. Huijarien puolustus on aina sama: meitäkin huijattiin, emme (muka) tienneet. Perintäprosessi on ilmeisesti loppunut ja uhrit jäävät ilman korvauksia.

Lisäjaksot eivät tuo valoa Onecoinin arvoituksiin.

Missing Cryptoqueen -podcastia tehnyt ja aiheesta kirjan kirjoittanut Jamie Bartlett täydensi äskettäin muutaman vuoden tauon jälkeen sarjaansa neljällä uudella jaksolla. Niiden lopputulos on lohduton: Rujan kohtalo jää avoimeksi, Britannian poliisi lopetti omat tutkimuksensa jo kauan sitten, eikä oikeusjärjestelmästä ole apua. Korvauskannetta omalla riskillään rahoittanut yritys luopui hankkeesta, kun varojen takaisin saaminen alkoi näyttää epätodennäköiseltä.

Niinpä huijatuksi tullut Jennifer McAdams jäänee ilman rahojaan eikä edes luvattua Hollywood-elokuvaa tule. Leffateollisuus haluaa onnellisia loppuja, ei sellaista kuin Onecoinissa.

Kerrataanpa vielä:

• Ruja Ignatov - kadonnut, etsintäkuulutettu, luultavasti kuollut
• Konstantin Ignatov - verkoston johtaja Rujan jälkeen, 36 kuukautta vankeutta USA:ssa, vapautui 2024
• Sebastian Greenwood - 20 vuoden vankeustuomio USA:ssa (2023)
• Juha Parhiala - kuollut Thaimaassa 2021
• Kari Wahlroos - kuollut Indonesiassa 2024
• Irina Dilkinska - "laillisuusjohtaja", neljä vuotta vankeutta USA:ssa (2024)
• Mark Scott - Onecoinin rahanpesijä USA:ssa 10 vuotta vankeutta (2024)
• Gilbert Armenta - 5 vuotta vankeutta Onecoin-rahanpesusta (2023)
• Frank Ricketts - yksi Onecoin-verkostoaktiivi (Black Diamond), 5 vuotta vankeutta (2024)
• Martin Breidenbach - saksalainen juristi, joka todisti alkuvaiheessa Onecoinin lailliseksi, Saksassa 2 v 9 kk vankeutta (2024)
• Aamer Abdulaziz Ahmed Salman - Onecoinin rahanpesijä 18 kk vankeutta (2026)
• Konstantin Ignatovin jälkeinen johtaja King Jayms menetti uskon Oneen ja irtisanoutui 2023
• Cristi Calina - romanialainen Onecoin-aktivisti, kuollut 2026

Ilmeisesti Saksassa on vielä käynnissä tutkintoja, ainakin Rujan aiempaa aviomiestä vastaan. Sen sijaan aktiiviset brittiläiset Islam-veljekset ovat päässeet kuin koira veräjästä.

Argentiinassa tuomittiin juuri 12 Onecoin-aktiivia 3-9 vuoden vankeustuomioihin. 

Entäpä sitten Tommi Vuorinen? KRP ilmoitti toukokuussa 2025 lopettavansa virallisesti Onecoin-esitutkinnan mahdollisten rahanpesurikosten vanhenemisen vuoksi. Vaikka Tommi on toiminut Onessa aktiivisesti näihin päiviin asti, Suomen näkökulmasta hän on nyt puhdas. Voi toivoa, että hän kirjoittaisi muistelmansa 10 hurjasta vuodesta kansainvälisen huijauksen sisäpiirissä.

Tähän mennessä oikeus on toteutunut hyvin vaihtelevasti. Osa pääsee kuin koira veräjästä, osa maksaa hengellään. Bulgarian alamaailmaan liittyvä Krasmir "Kuro" Kamenov surmattiin Cape Townissa 25.5.2023. Palkkamurhassa saivat surmansa myös Kuron vaimo, henkivartija ja kotiapulainen.  Ilmeisesti Kuro oli ehtinyt antaa Bulgarian poliisille tietoja Rujan kohtalosta, mikä saattoi olla yksi syy vaientamiseen. Kun kyse on miljardeista, ihmisen henki on halpa. Tekijää ei ole saatu kiinni.

Vuosien varrella suomalaiset onecoinistit ovat sitkeästi uskoneet muuttavansa vielä jonain päivänä omistuksensa euroiksi. Sitä päivää ei ole vieläkään tullut. Ehkä me "heittarit" olimme sittenkin oikeassa? Jos joku ex-uskovainen haluaa kertoa ajatuksistaan, olisi kiinnostavaa kuulla, anonyymisti sekä ilman sarvia ja hampaita. No hard feelings.

Jokaisen kannattaa kuitenkin ottaa opiksi Onecoinista. Vaikka puitteet olisivat hienot ja jäseniä kaikkialla maailmassa, rivijäsenelle jää maksajan rooli kun huijarit rahastavat voitot itselleen. Uusia huijauksia on taas käynnissä, kuten somesta näkyy.

Mobiilivarmenne on turvallinen (oikein käytettynä)

Kirjoitukseni mobiilivarmenteen ongelmista herätti paljon keskustelua, joten pitää palata vielä aiheeseen. Joku saattoi saada käsityksen, ettei mobiilivarmenne ole lainkaan turvallinen, kun kyse oli vain siitä, että huijari voi erehdyttää uhria antamaan luvan oman varmenteensa asentamiseen rosvon puhelimeen. 

Varmennetta ei varsinaisesti "kaapata", se vain otetaan vieraan henkilön käyttöön luvatta. Tämä kuitenkin edellyttää, että uhri käyttää pankkitunnuksiaan väärällä sivulla ja on muutenkin huolimaton.

Mobiilivarmenne on turvallisempi kuin pankkitunnus lähinnä siksi, ettei se ole pankkitunnus ts. turvallisuudessa itsessään ei ole eroa, mutta mobiilivarmenteella ei pysty vahingossa avaamaan kalastelusivulle pääsyä omaan pankkiinsa.

Keksintönä mobiilivarmenne on vanha, mutta se alkoi levitä toden teolla vasta kun kohu verkkopankkihuijauksista alkoi. Syntyi käsitys, että mobiilivarmenne on lähtökohtaisesti turvallisempi kuin pankkitunnukset. Viranomainenkin suositteli käyttämään tunnuksia vain pankkiasiointiin ja kirjautumaan kaikkialle muualle mobiilivarmenteella. 

Pankit, joille tunnistuskertojen myynti on pienimuotoinen bisnes, eivät olleet hyvillään tällaisesta rinnastuksesta. Julkisesti ne eivät voineet kritisoida mobiilivarmennetta.

Vaikkei varmenteella pääse isoihin pankkeihin (pieniin kylläkin), niillä voi ottaa pikavippejä, tehdä rekisterimerkintöjä (VTJ, PRH ym) ja esimerkiksi poistaa omaehtoisen luottokiellon, mikä helpottaa tilauspetosta uhrin nimissä.

Kun käyttäjien määrä kasvoi, rosvot löysivät mobiilivarmenteen. Samalla huomattiin, että operaattorit olivat varsin huolettomasti kehuneet varmennetta unohtaen, että silläkin voitiin huijata. Poliisin tiedote toi huijaukset julkisuuteen kesällä 2025:

Poliisin tiedote 25.6.2025

Vieläkin monelle tulee yllätyksenä tieto häirinnänestokoodista ja sen tarpeellisuudesta. Ilman koodia uhria on helpompi erehdyttää vääriin kirjautumisiin.

Ei ihme, etteivät operaattorit oma-aloitteisesti maininneet häirinnänestokoodista. Puhelinnumeron kirjoittaminen ja kaksi muistettavaa koodia tekevät varmenteesta kömpelömmän kuin pankkitunnisteista. Kirjoitettavia numeroita ja muistettavaa on enemmän. Tässäkin mukavuus kertaa turvallisuus on vakio.

Kaikkein turvallisin kirjautumistapa on varmennekortti (se alkuperäisen HST-kortin vm. 1999 nykyinen versio) eli virallinen sirullinen henkilökortti. Sitä ei voi kaapata eikä hakea vahingossa, eikä sillä pääse mihinkään pankkeihin. Siinä on käsittääkseni samanlainen DVV:n myöntämä varmenne kuin mobiilivarmenteessa, mutta upotettuna fyysiselle kortille. 

Varmennekortti on jäänyt sivuraiteille, koska hankkeista huolimatta sitä ei laitettu toimimaan mobiililaitteilla eikä sillä ollut takana kaupallista tahoa joka olisi huolehtinut markkinoinnista. Kortti vaatii usb-lukulaitteen, jonka saa marketista muutamalla kympillä. Joissakin bisnesläppäreissä (erityisesti Dell) lukija on valmiina. 

Prisman hyllyssä kortinlukijan hinta 19,95 euroa.

Kortinlukijassa on tietenkin asentamisen vaiva, mutta sellaiselle, joka käyttää palveluita kotona oikean tietokoneen tai läppärin ääressä, kortti on mainio ratkaisu. Sen voi jättää lukijaan pysyvästi ja se vaatii vain yhden nelinumeroisen PIN-koodin. 

Lähivuosina tunnistus menee entistä sekavammaksi, koska jo syksyllä on luvassa EU:n digilompakko tunnistamista varten ja ensi vuonna tulee eIDAS-sääntely. Sen jälkeen digitaalisten palveluiden - myös pankkien - on tuettava euroopanlaajuista tunnistustapaa.

Saapa nähdä, millaisia sotkuja siitä saadaan aikaan. Tunnistaminen on verkkopalvelujen kulmakivi ja siksi jatkossakin nettirosvojen tärkein kiinnostuksen kohde.

Lisäys 17.3.2026: Finanssialan kirjoitus EUDI Wallet -tietoturvariskien keskustelun puuttumisesta. 

Tekstiä muokattu 17.3.2026

Yleisradio voisi varoittaa tietoturvasta susijengin mainostamisen sijaan

Itä-Suomen poliisi on taas kunnostautunut julkaisemalla tilastoja ja tapauskuvauksia nettihuijauksista. Tiedotteen mukaan yksin Itä-Suomessa huijarit aiheuttivat vuonna 2025 rikosvahinkoa 7,8 miljoonan euron verran.

Samassa tiedotteessa kerrotut tammikuun tapauskuvaukset ovat mielenkiintoista luettavaa. Täydet pisteet avoimuudesta! Se hyödyttää meitä kaikkia. Esille nousevat varsinkin turvatili-huijaukset, joissa uhrit menettivät viisinumeroisia summia.

Tiedote listaa uhrien iät vuosikymmenen tarkkuudella. Vanhin uhreista oli syntynyt 1930-luvulla, nuorin 1970-luvulla. Useimmat sijoittuvat 40-50-luvuille eli ovat 67-86-vuotiaita. Heidän tileiltään on viety kymmeniätuhansia euroja. Ei ole järkevää säilyttää näin suuria summia käyttötileillä, mutta pankeille se tietenkin sopii, ja vanhat tavat istuvat tiukassa. "Sijoittaminen on niin epävarmaa", moni eläkeläinen ajattelee ja altistaa samalla itsensä tilin tyhjentämiselle.

Kaiken varoittamisen jälkeenkin ihmiset menevät yhä turvatili-huijauksiin. Ei ihme, että soittajia ja yrittäjiä riittää. Vanhemmat ihmiset eivät osaa varoa, kun selvää suomea puhuva huijari soittaa ja kertoo epäilyttävistä tilitapahtumista. Kaikilla ei ole lapsia tai lapsenlapsia kertomassa vaaroista, eikä tämä kohderyhmä useinkaan seuraa internet-uutisointia. Vanha elämänkokemus ja luottamus pankkeihin altistavat huijaukselle.

Olen aiemminkin kirjoittanut, että tässä olisi julkisen palvelun tehtävä Yleisradiolle. Vanhemmat ihmiset katsovat yhä ahkerasti televisiota, varsinkin puoli yhdeksän uutisia.

Mitä Yle näytti eilen juuri ennen 20.30 alkavia uutisia? Omien ohjelmiensa mainoksia.

Shakermania-mainos

Ensin tuli nuorille suunnatun Sneakermanian videomainos (kuvassa vain sen loppu). Lisäksi nähtiin Modernit miehet -sarjan mainospätkä.

Lisäksi tuli mainos, jossa Anni kertoo rakastuneensa lomalla:

Anni on rakastunut...

Ei, rakkauden kohteena ei ollut mies, vaan susijengi, jonka vuoksi Annin tekee mieli suorastaan ulvoa ilosta. Susijengin mainos on mielestäni nolo.

... ja ulvoo siksi ilosta susijengiä.

Miksi Yle ylipäätään mainostaa Suomen koripallojoukkuetta? Tai omaa urheilutoimitustaan? Miksi se näyttää parhaaseen katseluaikaan omia mainoksiaan? 

Paljon hyödyllisempää ja julkiselle palvelulle sopivampaa olisi varoittaa netti- ja pankkihuijauksista: "Ei, pankki ei koskaan soita sinulle ja pyydä siirtämään rahoja turvatilille". Tätä viestiä voisi toistaa vaikka joka ilta ennen puoli yhdeksän uutisia. Toisto on oppimisen edellytys, varsinkin ikäihmisillä. Siksi tietoiskua ja varoitusta voisi esittää joka ilta.

Susijengi hoitakoon oman markkinointinsa. Suomi tarvitsee tietoturvaa, joka tavoittaa myös huijauksille alttiit kansalaiset - ne, joilla on rahaa huijattavaksi ja jotka eivät seuraa nettiuutisia.

Tietosäpinä - tällaista oli ennen kuin sähköposti yleistyi

Kaappeja siivotessa törmäsin vanhaan VHS-kasettiin, jonka nimenä oli Tietosäpinä. Kyseessä oli Nokia Datan 1990-luvun alussa tekemä mainosvideo sähköpostin ja sähköisten ilmoitustaulujen eduista. Nokia Data ei ehkä tule nykyihmiselle mieleen tietotekniikan edelläkävijänä, mutta 1990-luvun alussa Nokian valmistamat Mikro Mikot olivat suosittuja tietokoneita ja yrityksen Smail-postijärjestelmä oli aikaansa edellä. Matkapuhelimet olivat vasta insinöörien suunnittelupöydillä.

Tietosäpinän mainosvideo VHS-kasetilla.

Nykyään sähköposti on kaikille tuttu, mutta videon valmistuessa pääasialliset viestintäkeinot olivat vielä puhelin ja faksi. Internetiin ei yrityksillä tai kotikäyttäjillä ollut pääsyä. Tietosäpinä viittasi tehokkaaseen tapaan jakaa tietoa yrityksen sisällä (se oli myös Nokia Datan sisäisen tiedotuslehden nimi). 

Digitoin videon tiedostoksi. Se ei ollut ihan helppoa, koska nykyisissä laitteissa ei enää ole analogisia videoliitäntöjä. Työssä auttoi 25 euron hintainen scart-hdmi-adapteri.

Sähköpostityökalut.

Videolla esiintyy aikansa tuttuja nimiä kuten Kalle Isokallio, Lauri Hirvonen, Tero Laaksonen, CRM-guru Markus Westerlund sekä Anne Typpö, joka vähän myöhemmin hoiti Microsoftin Suomen viestintää.

"Sähköpostin suurin etu on aikariippumattomuus... ei tarvitse tietää, onko henkilö paikalla. Voit olla varma, että viesti luetaan kun vastaanottajalle sopii", sanoo Matti Virtanen markkinoinnista. 

"Tavoitan ihmiset paremmin sähköpostilla kuin puhelimella tai millään muulla tavalla", kehuu kassa Sirkka Hietanen. 

"Joka aamu menen sähköpostiin ja toivon, että se piipahtaa iloisesti kertoen uudesta postista", mainostaa Smail-postista vastannut Lauri Hirvonen. 

Aikansa Tori.fi ja Huuto.net

Johdosta Kalle Isokallio kertoo: "Sähköposti on minulle erittäin hyvä työkalu, nimenomaan sen johdosta että työskentelen sekä Helsingissä että Tukholmassa. Sähköposti mahdollistaa paikasta ja ajasta riippumattoman kommunikaation. Toinen hyvä piirre sähköpostissa ovat ilmoitustaulut. Esittämällä kysymyksen ilmoitustaulun avulla saan vastauksia ilman, että minun täytyy tietää, kuka tietää vastauksen. Aiemmin piti käydä läpi koko hierarkia. Nyt voin ohittaa hierarkian... sähköposti on huomattavasti nopeuttanut tiedonsaantia."

Kalle Isokallio, Johto.

Selostajaääni jatkaa: "Käytännössä tietosäpinän moottori on esimies. Viikon alussa hän voi kirjoittaa uutistaululle viikon ohjelmansa sekä päivittäin lyhyen Tänään-viestin. Alaiset seuraavat kiinnostuneena esimiehensä huomion kohdistumista heihin itseensä. Päivän ohjelma kannattaa lähettää koko osastolle, silloin myös muut voivat vastata kysymyksiin esimiehen tavoitettavuudesta. Puhelinpäivystäjälle pitää tietysti ilmoittaa menemiset ja tulemiset."

Paljon on 35 vuodessa muuttunut. Videon tempo on todella hidas, tekstifontit isoja ja kulmikkaita, kuvanlaatu heikko ja videoefektit 80-luvulle tyypillisiä. Valaistus on jyrkkää ja kuvat tummia. Videon asenne on kuitenkin sama kuin rohkaistaessa tänään työntekijöitä tekoälyn käyttöön. AI-säpinä on tätä päivää. Eikä "puhelinpäivystäjiä" enää ole, koska jokaisella on henkilökohtainen kännykkä (siis matkapuhelin, siis... no, miksi niitä nykyään sanotaan? Puhelin).

Itse aihe on myös muuttunut. Videossa sähköposti jakaa tietoa organisaation sisällä, nykyisin lähinnä organisaatioiden välillä. Eikä sähköpostin käyttöä tarvitse enää mainostaa kenellekään. Siitä on tullut välttämätön paha, mutta samalla sähköpostin tavoittavuus on romahtanut. Koskaan ei voi olla varma, jääkö oma viesti roskapostisuodattimeen tai huomaako vastaanottaja sitä viestitulvan keskeltä. Kaikkein tärkein viestintä onkin jo siirtynyt muihin kanaviin.

"Ilmoitustaulut" ovat nettifoorumeita ja sosiaalisesta mediasta on tullut koko maailman yhteinen kohtaamispaikka. Uskomaton kehitys 35 vuodessa - mitä mahtaakaan olla vuonna 2060?

(Kuvakaappaukset ovat 16:9 suhteella, joten ne näyttävät venytetyiltä suhteessa alkuperäiseen 4:3 TV-kuvaan)

Mobiilivarmenteen kaappaus yhdellä pankkitunnistuksella

Puhelimeen kilahtelee jatkuvasti kalasteluviestejä, joilla yritetään saada uhri luovuttamaan pankkitunnuksensa. Juuri nyt aktiivisena on ovela kampanja, jossa ilmoitetaan ajanvarauksesta lääkäriin tai sosiaalitoimen palveluun, ja tarjotaan linkki perumista varten. Peruminen vaatii tietenkin tunnistautumisen, johon kelpaavat vain pankkitunnukset. 

Minulta kysytään usein, miksi huijarit kalastelevat pankkitunnuksia. Eihän yhdellä tunnistuskerralla voi edes siirtää rahaa.

Yksikin tunnistuskerta saattaa riittää pankin tunnistusohjelman asentamiseen rosvon puhelimeen, jolloin tilin hallinta menetetään täydellisesti. Toinen mahdollisuus on mobiilivarmenteen kaappaaminen.

Mobiilivarmenne omaan puhelimeen voidaan hakea pelkällä pankkitunnistamisella. Juju on siinä, ettei hakemisen yhteydessä tarkisteta, kenen puhelimeen varmenne varsinaisesti tulee. Jos uhri erehtyy syöttämään pankkitunnuksensa kalastelusivulle, rosvo saa hänen mobiilivarmenteen omaan puhelimeensa ja pystyy siitä eteenpäin todentamaan itsensä vahvasti moniin viranomais- ja lainapalveluihin.

Pahinta tässä on se, että uhri luulee selvinneensä säikähdyksellä. Tilille ei päästy eikä rahaa kadonnut. Vahinko paljastuu vasta myöhemmin, kun mobiilivarmenteella on otettu esim. pikavippejä tai asioitu uhrin puolesta viranomaisiin päin. Myös epäluotettava (ex-)puoliso voi napata identiteetin omaan puhelimeensa ja aiheuttaa monenlaista vahinkoa.

Olen yrittänyt herättää tästä keskustelua, mutta laihoin tuloksin. Viranomaiset suosittelevat mobiilivarmennetta pankkien ulkopuoliseen asiointikäyttöön, joten olisi kohtuullista että ne myös varoittaisivat väärinkäytön mahdollisuuksista tai vaatisivat lisää suojakeinoja.

Kokeilin asiaa käytännössä tuttavan puhelimella. Hänellä sattui olemaan Telian liittymä, joten esimerkit ovat sieltä. Käsittääkseni käytäntö on sama kaikilla operaattoreilla.

Erittäin turvallinen, helppokäyttöinen.

Mobiilivarmenteen aktivointi käynnistyy operaattorin sivulta. 

Voit itse valita numeron, johon varmenne asennetaan.

Puhelinnumeroa kysytään, mutta missään ei tarkisteta, kenelle liittymä kuuluu. Mahdotonta se olisikin, koska liittymä voi olla yrityksen nimissä. Aiemmin mobiilivarmenteen pystyi hakemaan vain henkilökohtaisella käynnillä asiointipisteeseen ja vain henkilökohtaiseen liittymään, mutta vaatimuksista luovuttiin kilpailun lisäämiseksi. Se johti turvallisuuden heikkenemiseen.

Asiakas hyväksyy Palvelun erityisehdot, joiden kohta 2. Palvelun käyttöönotto käsittelee juuri tätä tilannetta:

Palvelun voi rekisteröidä itselleen sen matkapuhelinliittymän tunnistettu käyttäjä, jonka matkapuhelinliittymään Palvelua ollaan liittämässä. Telia tekee tarvittaessa tarkistuksen, onko liittymä Käyttäjän hallussa.

Käyttäjä vastaa siitä, että hänellä on liittymän omistajan (”Asiakas”) valtuutus Palvelun tilaamiseen.

Operaattori varaa itselleen oikeuden tehdä tarvittaessa tarkistuksia liittymän todellisen käyttäjän henkilöllisyydestä. Oikeus siis on, mutta sen käyttäminen lienee harvinaista. Joka tapauksessa riski on tiedostettu myös operaattorin päässä.

Lisäksi sopimus mainitsee erikseen, että jos rekisteröijä ei ole liittymän haltija, asiakassuhde syntyy käyttäjän ja operaattorin välille:

Jos henkilö, joka on rekisteröimässä itselleen Palvelua, ei ole kyseisen matkapuhelinliittymän omistaja, syntyy Palvelua koskevan hakemuksen hyväksymisen seurauksena asiakassuhde varmenteen hakijan ja Telian välille. Käyttäjää koskevat Palveluun liittyvät velvoitteet ovat Käyttäjän ja Telian väliset

Kohdassa 6 todetaan vielä, että Käyttäjä on velvollinen säilyttämään Tunnistusvälinettä huolellisesti, eikä sitä saa luovuttaa toisen käyttöön.

Pankkitunnuksissa on samat velvoitteet, mutta pankit todella tarkistavat asiakkaan ennen verkkopankkitunnusten luovuttamista. Jos esimerkiksi vanhus vaikuttaa epävarmalta eikä kykene nettiasiointiin, tunnuksia ei luovuteta. 

Mobiilivarmenteen saa ilman mitään tarkistuksia, vaikka molemmilla on sama vahvan todennuksen luottamusasema. 

Sitten tulee kriittinen kohta: mobiilivarmenteen hakijan pitää tunnistautua pankkitunnuksilla tai varmennekortilla. Jostain syystä HighTrust-ohjelma ei kelpaa, vaikka se on Suomi.fi-portaalin listalla.

Tähän kohtaan kalasteluhuijarit iskevät.

Tässä kohdassa kalasteluhuijarit iskevät. Kun uhri saadaan kirjautumaan edes kerran omilla pankkitunnuksillaan, rosvo saa asennettua hänen mobiilivarmenteensa itselleen. 

Kaikki ilmoitukset uuden varmenteen käyttöönotosta tulevat alussa annettuun puhelinnumeroon, joten uhri ei näe niitä. Uhri ei välttämättä havaitse lainkaan, että hänen vahva sähköinen identiteettinsä on siirtynyt toiseen puhelimeen ja siten toisen henkilön käyttöön. Tämä antaa huijarille aikaa toimia. 

Samanaikaisesti voimassa olevia mobiilivarmenteita voi hakea useisiin puhelimiin, mitään rajoitusta ei ole. Vähintäänkin pitäisi olla palvelu, josta voisi itse tarkistaa, kuinka monta mobiilivarmennetta omalla HETUlla on käytössä, missä numeroissa ne ovat ja mihin niillä on viimeksi tunnistauduttu.

Muutama huomautus on paikallaan. Puhelimessa voi olla vain yksi varmenne, joten tarvitaan liittymä, johon varmennetta ei vielä ole aktivoitu. Varmennetta ei voi saada prepaid-liittymiin, joten rosvo tarvitsee "oman" puhelimen. 

Liittymää avattaessa operaattori tarkistaa asiakkaan henkilöllisyyden, koska kyse on luotollisesta postpaid-sopimuksesta. Huono juttu rosvon kannalta. Siksi huijarit käyttävät varastettuja puhelimia tai muuleja, jotka luovuttavat puhelimensa pientä korvausta vastaan. Liittymän pitää olla sellainen, ettei siihen ole aiemmin aktivoitu mobiilivarmennetta.

Tarkkaavainen uhri voi ihmetellä, miksi pankkivarmennuksessa otsikossa lukee "Mobiilivarmenne rekisteröinti" eikä kirjautuminen terveyskeskuksen tai sosiaalipalvelun portaaliin.

Tämä voi paljastaa huijauksen, jos on tarkkana.

Vielä viimeinen yksityiskohta: mobiilivarmenne on voimassa viisi vuotta. Joissakin tapauksissa sim-kortti pitää käydä vaihtamassa uuteen, joillakin operaattoreilla varmenteen voi uusia verkkopalvelussa tunnistautumalla. (Tekstiä muokattu) Elisalla varmenne on aina sidottu sim-korttiin eikä sitä voi uusia netissä, vaan kortti pitää vaihtaa asiakaspalvelussa. DNA:lla ja Telialla (?) uusinta onnistuu nettisivulta.

eSIMiä käyttävät puhelimet ovat vielä oma lukunsa. Yleensä niissä on myös tavallinen SIM-paikka, ilmeisesti iPhone Air on ainoa Suomessa myytävä puhdas eSIM-malli (?). Telia tarjoaa mobiilivarmenteen myös eSIMiin. 

Sitten on vielä toinenkin tapa huijata uhria, mutta se on erillisen kirjoituksen asia.

Lisäys: suojakeinoista: uuden mobiilivarmenteen käyttöönotto pitäisi vaatia vähintään kaksi pankkitunnistusta. Se ainakin vaikeuttaisi aktivointia.

Vaatimus henkilökohtaisesta käynnistä asiointipisteessä voi olla liikaa vaadittu, etenkin jos halutaan säilyttää käyttö myös yritysliittymissä. Lisäksi uutta varmennetta käyttöönotettaessa operaattorin pitäisi tarkistaa, onko samalla SATUlla jo aiempia varmenteita, ja informoida niiden omistajia (vaikka tekstiviestillä?). Pitäisi myös olla palvelu (SATUja hallinnoiva DVV?) josta näkee, kuinka monta mobiilivarmennetta itsellä on ja mihin niitä on viimeksi käytetty.

Ennen kaikkea pitää olla tietoinen tästäkin väärinkäytön mahdollisuudesta. Jos uhri ei tunnista nimissään tehtyjä sitoumuksia, hänen tai poliisin pitäisi osata tarkistaa, onko käytössä ollut muita uhrin identiteettiin liittyviä varmenteita.

Lisäys 13.3.2026: Mobiilivarmenteella vietiin yritykseltä lähes 200 000 euroa. Vaikka pankkiin ei pääse, taloushallinnon ohjelmasta voi tehdä isojakin rahansiirtoja.