Vielä yksi pankkihuijauksen uhri - miltä tuntuu menettää säästönsä?

Sain eilen yhteydenoton taas uudelta pankkihuijauksen uhrilta. Hän ei halunnut tapaustaan julkisuuteen, joten en erittele sitä tarkemmin. Tällä kertaa kyse oli kuitenkin puhelinhuijareista, joista toinen soitti ensin vieraan pankin nimissä ja sitten toinen oman pankin "turvaosastolta". Vakuuttavalla suomenkielisellä esiintymisellä he saivat uhrin kuittaamaan rahansiirtoja ja menettämään eläkeläiselle suuren, viisinumeroisen summan rahaa siirtona toiseen EU-maahan.

Luultavasti soittajat ovat samoja kuin taannoin poliisihuijauksista kiinni saadut. Tuntuu ihmeelliseltä, että kaikista varoituksista huolimatta ihmiset menevät halpaan. Mutta soittajat ovat ammattilaisia ja esiintyvät vakuuttavasti. He jopa lavastavat taustalle ääniä ja tapahtumia, jotka tukevat heidän tarinaansa.

Uskon, että melkein kuka tahansa voisi mennä lankaan, eikä vika ole iäkkäissä ihmisissä. Nuoremmat uskovat, kun lapsi lähettää Whatsappissa viestin ja kertoo puhelimensa kärsineen vesivahingon tai vahingoittuneen muusta syystä. 

Joku menee tähänkin huijaukseen.

On helppo nauraa hyväuskoisuudelle, kun niistä lukee netistä tai median uutisista, mutta kohdalle osuessaan tilanne on toinen.

Hymy hyytyy, jos rikollinen saa tilin tyhjennettyä ja otettua vielä limiitin täydeltä lainaa. Pankki toteaa, että vika on asiakkaassa, eikä aio korvata mitään. Asianajaja olisi kallis ja oikeudenkäynnin kuluriski hurjan suuri. Tiedät olevasi yksin pankkia vastaan, rahasi menettäneenä. Tiedät myös, ettei poliisi saa nettirikollisia kiinni. Tilanne on erittäin ahdistava.

Rahaliikenteen siirtämistä seteleistä pankkiin perusteltiin paremmalla turvallisuudella. Vaihtoehtoa sähköiselle itsepalvelulle ei enää anneta. Nyt näyttää siltä, että digitaalisessa muodossa on omat riskinsä.

Rikoksen uhrilla on vähän auttajia. Rikosuhripäivystys voi lohduttaa ja korvauskiistan voi viedä Vakuutus- ja rahoitusneuvonnan (www.fine.fi) arvioitavaksi. Se antaa suosituksen, jota pankki yleensä noudattaa. FINE arvioi, onko uhri ollut tavallisen vai törkeän huolimaton. Joskus kyse voi olla muutamasta huijausviestin sanasta.

Vika on tietenkin rikollisessa, ei uhrissa. Myös uhrin on noudatettava huolellisuutta verkkopankkia käyttäessään. Mutta miten korkealle tämä raja asetetaan. Kuinka paljon ihmisen pitää osata torjua ammattimaisia huijareita? Mitä voi edellyttää lapsilta, aikuisilta tai vanhuksilta?

Ruotsissa korkein oikeus antoi toissa vuonna päätöksen pankkien korvausvastuusta. Pääsääntö on, että pankki korvaa vahingon uhrille. Jos uhri on ollut törkeän huolimaton, hänen oma vastuunsa voi nousta 12 000 kruunuun asti (noin 1200 euroa). 

Konekäännös viimeisestä kappaleesta: "- Tässä on kyse erittäin taitavista huijareista. Tavallisten ihmisten valmistautuneisuudelle, epäluuloisille ja asiantunteville on rajansa. Pankeilla on myös suuri vastuu siinä, että ne eivät ole onnistuneet luomaan riittävän turvallisia järjestelmiä."

Yhdysvalloissa New Yorkin yleinen syyttäjä on haastanut Citibankin oikeuteen, koska tämä ei ole pystynyt suojelemaan asiakkaitaan hakkereilta ja huijareilta. Kuulostaa kovin tutulta: "The lawsuit argues that New York customers lost millions of dollars — in some cases their entire lifesavings — to scammers and hackers because of Citi’s weak security and anti-fraud measures. According to the NY AG, Citi does not do enough to prevent unauthorized account takeovers, illegally refuses to reimburse fraud victims and “misleads” customers about their rights after their accounts are hacked."

Ja vielä: "For example, in October 2021 a New Yorker had $40,000 stolen from her retirement savings account after being tricked by a text message purporting to be from Citi but was actually from a scammer who changed her password and transferred money."

CNN:n uutisen mukaan pankkihuijauksissa on koettu parissa vuodessa "industry-wide surge". Se on havaittu myös Suomessa. Kaikki pankit etsivät nyt ratkaisua miten tasapainoilla palvelun ja toisaalta asiakkaan suojelun sekä valvonnan kustannusten keskellä.

Lisäys 8.2.2024: Tämän uhrin tarina avattuna nyt Ilta-Sanomissa.

Lisäys 18.11.2024: Tämän uhrin kohdalla tapaus päättyi onnellisesti. Poliisi sai pysäytettyä rahat Puolassa ja uhri sai 37 000 euron menetyksen takaisin 40 euroa lukuunottamatta, se oli ehkä pidetty Puolassa jonkinlaisena palvelumaksuna. Sen sijaan uhrin nimissä tehdyt yli 8000 euron luottokorttitappiot jäivät uhrin itsensä maksettaviksi. Uhri kiitteli poliisissa varsinkin Veronikaa, joka oli hoitanut tapausta sinnikkäästi. Samaa hän ei voinut sanoa pankista.

Suomen digipalveluiden rakenteellinen ongelma on pankkitunnusten käyttö kaikkialla

Huijarien lähettämät tekstiviestit ja sähköpostit houkuttelevat liki päivittäin kansalaisia kirjautumaan verottajan, Postin, Omakannan tai Suomi.fi-sivun palveluihin. Tässä suomalaisella digiajalla on rakenteellinen ongelma: käytämme tunnistautumiseen pankin tunnuksia, jotka mahdollistavat rikolliselle pääsyn tilille. Uutiset kertovat uhreista, jotka ovat menettäneet kaikki tilillä olevat rahat.

Emme tiedä, kuinka laajasta ongelmasta on kyse, sillä pankit eivät oma-aloitteisesti raportoi onnistuneista rikoksista. Ne tulevat julki lähinnä oikeudenkäyntien kautta. Harva kuitenkaan lähtee käräjöimään pankkiaan vastaan, sillä pankilla on juridinen ja tiedollinen ylivoima. Häviämien voi tulla kalliiksi. Vuonna 2017 juttunsa Nordeaa vastaan hävinneet vanhukset tuomittiin maksamaan 37 000 euroa oikeudenkäyntikuluja.

Finanssineuvonta FINE arvioi asiakkaiden ja pankkien välisiä riitoja ja yleensä pankit noudattavat sen suosituksia korvauksista. Pankki voidaan katsoa maksajaksi, mikäli asiakas on toiminut huolellisesti. Törkeän huolimaton asiakas saa kärsiä itse seuraukset.

Pankin tekniset virheet ovat oma, harvinainen lukunsa (paitsi S-pankin laaja tapaus kesältä 2022). Yleensä huijaukset onnistuvat, koska asiakas ei lue saamaansa viestiä huolellisesti, ei ymmärrä sen merkitystä tai tarkista selaimen osoiterivillä näkyvää tekstiä. Vika on siis asiakkaan päässä. Mutta asia ei ole näin yksinkertainen. Pankit ovat tehneet kaikkensa, jotta asiakkaat siirtyisivät sähköiseen itsepalveluun. Vaihtoehtoista tapaa ei useinkaan ole. 

Etenkään vanhemmilta ihmisiltä ei voi edellyttää samaa tarkkaavaisuutta kuin aktiiviväestöltä. Koska pankit ovat avainasemassa on kysyttävä, ovatko ne varmasti tehneet kaikkensa palvelujen helppokäyttöisyyden ja turvallisuuden eteen? Miten on mahdollista, että eri tilien saldot voi yhdistää ja siirtää ulos pankista? Pienillä muutoksilla turvallisuutta voisi parantaa, mutta pankit eivät ole toteuttaneet niitä. 

Kuva tilien tyhjennyksistä syntyy nyt median uutisista ja voi olla vääristynyt. Ehkä uhreja on niin vähän, ettei pankkien kannata tehdä ongelmalle mitään. Uutisointi laskee kuitenkin asiakkaiden luottamusta ja myös se tulee kalliiksi. Pankit pitäisi velvoittaa raportoimaan tapahtumista oma-aloitteisesti.

Pankit eivät liioin kerro, miten tilien tyhjentämisessä on onnistuttu. Pidetään turvallisuusriskinä, jos tapahtumia lähdetään avaamaan julkisuuteen. Kuitenkin se auttaisi asiakkaita suojautumaan nykyistä paremmin ja kertoisi viranomaisille, tarvitseeko sääntelyä kiristää. Yksi yleinen kikka tuntuu olevan se, että Veron tai Omakannan varjolla saatua tunnuslukua käytetään mobiilipankin asentamiseen. Sen jälkeen mikään perinteinen suojakeino tai lisävarmistukset eivät auta, koska rosvo hallitsee ohjelmaa. 

Viranomaisten omakin toiminta on ollut hapuilevaa. Kun verottaja avasi henkilökohtaisen Omavero-palvelun, sitä varten ei varattu fi-osoitetta, vaan asiakkaiden piti käyttää osoitetta vero.fi/omavero. Onneksi omavero.fi rekisteröinyt henkilö oli kujeilija, joka ei yrittänytkään käyttää tilaisuutta väärin.

On helppo kritisoida huijauksen uhreja huolimattomuudesta, mutta itse uskon, että kuka tahansa voi mennä halpaan, jos viesti tulee juuri sopivalla hetkellä tai joutuu jostain syystä toimimaan kiireessä. Ja vaikka tämän päivän palvelut tuntuvat aktiiviväestöstä selkeiltä, miten uskot pärjääväsi sitten, kun olet 80-vuotias ja pankkipalvelut ovat aivan erilaisia kuin nyt?

Pankit velvoittavat asiakkaita huolellisuuteen, mutta niiden omat palvelut muuttuvat koko ajan. Nordean sivulla oli syksyllä kirjoitusvirhe, joka herätti epäilyksen huijauksesta. 

Pahinta ovat kuitenkin maksuvälittäjät, jotka tulevat asiakkaan ja myyjän väliin. Tunnuksia kysytään moneen kertaan, kielikin saattaa vaihtua. Kokenutkaan käyttäjä ei voi olla varma, että on laillisessa palvelussa.

Finnairin lentolipun maksu muuttuu välillä englanniksi. Onko tämä huijausta?

Aina yhtä hämmentävää on nähdä samassa ikkunassa sekä Nordea että OP tai Telia. Vaikka maksu menee Nordean tililtä ja sen tunnuksilla, ikkunassa lukee toisenkin pankin nimi. 

Nordea vai Telia?

Ilmeisesti tilanne on aidosti paha, sillä verottaja kertoo huijausriskin räjähtäneen käsiin. Näin ei voi jatkua. Viranomaisasiointia varten pitää hankkia mobiilivarmenne, eikä tunnistusta saisi tehdä pankkitunnuksilla. Koska mobiilivarmenne toimii kaikilla puhelimilla, jopa vanhoilla älyttömillä nokialaisilla, valtio voisi suorastaan velvoittaa varmenteen hankkimiseen ja tukea sitä. 

Suomessa sähköinen tunnistaminen jäi markkinavoimille, jolloin päätökset teki se, jolla oli eniten voimaa (=pankit). Tässä asiassa olisi kaivattu sääntelyä ja valtion ohjausta. 

Seuraava kirjoitus: Ruotsissa Nordealla tili, jossa viive-ominaisuus.

Verkkopankin turvallisuutta olisi helppo parantaa, eivätkä toimet ole edes kalliita

(Kirjoitus julkaistu alun perin Helsingin Sanomien mielipide-palstalla 24.1.2024)

Finanssiala ry:n Teija Kaarlela kiinnitti huomiota verkkopankkien tietoturvaongelmiin (HS Mielipide 22.1.). Tapauksia on määrällisesti vähän, mutta huijausyrityksiä satelee jatkuvana virtana ja aina joku menee lankaan. Pahimmillaan koko tili tyhjennetään ulkomaille.

On kohtuutonta, että jos tilille ilmestyy muutaman kymmenen euron epäilyttävä siirto, pankista otetaan yhteyttä ja kysytään selvitystä maksun alkuperästä. Tulevien maksujen kontrolli on rahanpesulakien vuoksi tarkkaa, mutta toiseen suuntaan pakollista kontrollia ei ole. Rikollinen voi siirtää tilin tyhjäksi ulkomaille ja ottaa vielä luottoa limiitin täydeltä, eikä pankki reagoi. Kaarlelan mukaan pankkien keinot rikollisten maksujen estämiseen ovat rajatut ja perustuvat pääasiassa varoituksiin. Olen eri mieltä. Pankit voisivat tehdä paljonkin huijausten estämiseksi, eivätkä toimet olisi edes teknisesti vaikeita tai kalliita.

Verkkopankin turvallisuus perustuu vanhentuneeseen uhkamalliin, jossa pyritään estämään ulkopuolisen pääsy tilille. Epäilyttävistä tapahtumista pyydetään lisävahvistus joko tunnusluvulla tai tekstiviestillä. Tämä toimi kertakäyttöisten tunnusten aikaan, mutta ei enää. Mobiililaitteen avulla rikollinen voi saada tilin kokonaan hallintaansa, jolloin hän pääsee myös kuittaamaan kaikki varmistukset.

Verkkopankin turvallisuus perustuu vanhentuneeseen uhkamalliin.

Verkkopankkihuijauksissa tärkeintä on aika. Miksei ulkomaansiirtoihin lisätä pakollista 24–48 tunnin viivettä? Miksei asiakas voi estää kokonaan maksuliikennettä ulkomaille? Luottokortissa maarajauksen voi tehdä itse, tilisiirroissa ei.

Rahaliikenteen tarkoituksellinen hidastaminen tuntuu ajatuksena oudolta, koska tähän asti on pyritty nimenomaisesti siirtojen nopeuttamiseen. Pankit voisivat kuitenkin tehdä viiveestä valinnaisen ja markkinoida sitä ”lisäturvana” halukkaille.

Tapauksessa, jossa koko tili tyhjennetään ilman ennakkoilmoitusta ulkomaille, pitäisi aina ottaa henkilökohtaisesti yhteyttä asiakkaaseen. Eikö tätä voisi vaatia osana nykyistä rahanpesusääntelyä?

Rosvon auttamiseksi joissakin verkkopankeissa kielen voi vaihtaa lennossa englanniksi. Miksi ihmeessä? Kielivalinnan pitäisi olla pysyvä ja käyttäjäkohtainen, tai ainakin vaihdossa tulisi olla samainen 24–48 tunnin viive.

Epäilyttävien siirtojen kuittauspyynnöt tilinhaltijalta ovat merkityksettömiä, jos tilin hallinta on menetetty. Entä jos riskiryhmäläiset voisivat lisätä verkkopankkiinsa luottohenkilön puhelinnumeron, jolta kuittaukset pyydettäisiin?

Viimeisenä pankkien pitäisi perustaa yhteinen 24/7-palvelunumero, johon soittamalla asiakas voisi jäädyttää kaikki tilitapahtumansa. Nyt huijatuksi tullut uhri joutuu pahimmillaan odottamaan virka-aikaan asti, vaikka pankki ja huijarit toimivat vuorokauden ympäri.

Suomalainen verkkopankki oli 1990-luvulla tietoturvan edelläkävijä, mutta asema ei säily itsestään. Uudet uhkamallit vaativat uusia toimia. On pankkien etu tehdä tämä oma-aloitteisesti.

Petteri Järvinen

Espoo

Macintosh tänään 40 vuotta

Applen Macintosh-koneen julkistamisesta tulee tänään 24.1.2024 kuluneeksi 40 vuotta. Mac toi graafisen käyttöliittymän kaikkien tietoisuuteen, mutta koneen alkuhistoria oli erikoinen.

Tammikuu 1984 oli kiinnostavaa aikaa, koska Orwellin 1984-kirjan visiot olivat kaikkien tiedossa. Apple valjasti vuoden Macin markkinointiin. Super Bowlin väliajalla 22.1.1984 se esitti minuutin pituisen mainoksen, jonka oli ohjannut kuuluisa elokuva-ohjaaja Ridley Scott (mm. Alien). Mainoksessa ihmiset seuraavat hypnoottisesti massaa ja päätyvät isoveljen luennolle, kunnes nuori nainen saapuu paikalle lekan kanssa ja murskaa isoveljen näytön. Mainos päättyy iskulauseeseen: Apple esittelee Macintoshin ja näet, miksi 1984 ei tule olemaan kuten "1984".

Mac-mainoksen lopputeksti.

Mainos maksoi Applelle miljoonia taaloja, eikä sitä koskaan esitetty uudelleen. Nyt sen voi katsoa keinotekoisesti 4K-tasolle paranneltuna Youtubesta.

Näin 40 vuotta myöhemmin mainos näyttää ironiselta. Hypnoottisesti marssivat käyttäjät edustivat ison ja pahan IBM:n asiakkaita, Apple edusti vapautta ja individualismia. Tänään Apple on itse paljon suurempi kuin IBM koskaan. Individualismi on jossain määrin säilynyt, mutta monien mielestä Apple itse kahlitsee hyväntahtoisesti käyttäjiään omaan ekosysteemiin. Tietoturva ehkä paranee mutta hinnat pysyvät vähintään vanhan IBM:n tasolla.

Jotain muutakin on muuttunut. Tämän päivän versiossa orjat tuijottaisivat älypuhelimiaan, eivätkä luultavasti marssisi mihinkään. iPhone pani alkuun kehityksen, joka teki älypuhelimista vakoilulaitteita ja orjuutti käyttäjänsä ruudun vangiksi. iPhone loi infrastruktuurin, jota Android seurasi, ja jota nettipalvelut lähtivät innolla hyödyntämään omassa urkinnassaan.

Nyt tarvittaisiin uusi lekan heiluttaja, joka murskaisi nykyisen valtavirran orjuutuksen. Pingviinistä ei siihen ollut, liekö sitten mistään muustakaan.

40 vuotta sitten Macintosh otettiin vastaan uteliaasti, mutta mikään menestys se ei ollut. Apple oli noussut autotallista suureksi laitevalmistajaksi Apple II -tietokoneen ansiosta, mutta sen jälkeen alkoivat ongelmat. Apple III (julk. 19.5.1980) ei enää menestynyt ja vielä huonommin kävi Lisalle (julk. 19.1.1983). Se oli ensimmäinen mikrotietokone, jossa oli hiiri ja graafinen käyttöliittymä. Kone oli kuitenkin erittäin kallis, eikä niitä myyty Suomeen kuin muutama kappale.

MikroPC-lehti 3/1985 kertoo Macin hinnaksi 21 330 markkaa, 512 kilotavun muistilla varustettu versio ("FatMac") oli 29 650 markkaa. Vuoden 2024 hinnoissa ne vastaavat 8 297 ja 11 533 euroa. Huh! Lehti kertoo Macin myyntimääräksi loka-joulukuussa 1984 yhteensä 350 kappaletta. Apple Lisan ("Macintosh XL") hinta perusversiossa oli 42 000 markkaa eli 16 337 euroa. 

Kahden flopin jälkeen Apple oli yhtiönä kaaoksessa. Steve Jobs lähti kehittämään Lisan pienempää versiota ja tuloksena oli "kottaraispöntöksi" ristitty Macintosh, jonka alkuperäisessä versiossa oli 128 kt muistia ja yksi levykeasema. Graafinen käyttöliittymä oli näyttävä, mutta pienen muistin vuoksi levykkeitä joutui vaihtelemaan koko ajan. Vaikka Apple II oli ollut menestys juuri sen avoimuuden vuoksi, Jobs halusi tehdä Macista täysin suljetun. Edes muistia ei voinut laajentaa.

Myös Macistä tuli floppi. Myynti sakkasi, koska sovellusten kehittäminen graafiseen ympäristöön oli uutta ja siksi hidasta. Lopulta Jobs sai potkut perustamastaan yhtiöstä. Applen taival oli pitkään lumihangessa tarpomista, sillä yhtiötä piti pystyssä lähinnä Apple II:n tekohengitetyt uudet versiot. Desktop publishing ja lasertulostus olivat Macin valtteja.

Kaikki muuttui vasta 1990-luvun lopussa, kun yhtiöt sopivat kiistansa graafisen käyttöliittymän oikeuksista, Microsoft sijoitti yhtiöön rahaa ja sovitti menestyneet toimisto-ohjelmansa siihen. Todellinen menestys alkoi Jobsin palattua Appleen 1997 ja internet-yhteyden ansiosta iMacistä (15.8.1998) tuli vihdoin menestys.

Mac on tänään yksi tunnetuimmista brändeistä. Nimi tuli alun perin kanadalaiselta McIntosh-omenalajikkeelta, onhan Piilaakso tunnettua hedelmien viljelysseutua. Wikipedian mukaan skotti John McIntosh kasvattaa puutarhassaan kasvaneita villiomenapuita ja nimesi lajikkeen itsensä mukaan. 

Macin etunimi on siten... John!