Suomen digipalveluiden rakenteellinen ongelma on pankkitunnusten käyttö kaikkialla

Huijarien lähettämät tekstiviestit ja sähköpostit houkuttelevat liki päivittäin kansalaisia kirjautumaan verottajan, Postin, Omakannan tai Suomi.fi-sivun palveluihin. Tässä suomalaisella digiajalla on rakenteellinen ongelma: käytämme tunnistautumiseen pankin tunnuksia, jotka mahdollistavat rikolliselle pääsyn tilille. Uutiset kertovat uhreista, jotka ovat menettäneet kaikki tilillä olevat rahat.

Emme tiedä, kuinka laajasta ongelmasta on kyse, sillä pankit eivät oma-aloitteisesti raportoi onnistuneista rikoksista. Ne tulevat julki lähinnä oikeudenkäyntien kautta. Harva kuitenkaan lähtee käräjöimään pankkiaan vastaan, sillä pankilla on juridinen ja tiedollinen ylivoima. Häviämien voi tulla kalliiksi. Vuonna 2017 juttunsa Nordeaa vastaan hävinneet vanhukset tuomittiin maksamaan 37 000 euroa oikeudenkäyntikuluja.

Finanssineuvonta FINE arvioi asiakkaiden ja pankkien välisiä riitoja ja yleensä pankit noudattavat sen suosituksia korvauksista. Pankki voidaan katsoa maksajaksi, mikäli asiakas on toiminut huolellisesti. Törkeän huolimaton asiakas saa kärsiä itse seuraukset.

Pankin tekniset virheet ovat oma, harvinainen lukunsa (paitsi S-pankin laaja tapaus kesältä 2022). Yleensä huijaukset onnistuvat, koska asiakas ei lue saamaansa viestiä huolellisesti, ei ymmärrä sen merkitystä tai tarkista selaimen osoiterivillä näkyvää tekstiä. Vika on siis asiakkaan päässä. Mutta asia ei ole näin yksinkertainen. Pankit ovat tehneet kaikkensa, jotta asiakkaat siirtyisivät sähköiseen itsepalveluun. Vaihtoehtoista tapaa ei useinkaan ole. 

Etenkään vanhemmilta ihmisiltä ei voi edellyttää samaa tarkkaavaisuutta kuin aktiiviväestöltä. Koska pankit ovat avainasemassa on kysyttävä, ovatko ne varmasti tehneet kaikkensa palvelujen helppokäyttöisyyden ja turvallisuuden eteen? Miten on mahdollista, että eri tilien saldot voi yhdistää ja siirtää ulos pankista? Pienillä muutoksilla turvallisuutta voisi parantaa, mutta pankit eivät ole toteuttaneet niitä. 

Kuva tilien tyhjennyksistä syntyy nyt median uutisista ja voi olla vääristynyt. Ehkä uhreja on niin vähän, ettei pankkien kannata tehdä ongelmalle mitään. Uutisointi laskee kuitenkin asiakkaiden luottamusta ja myös se tulee kalliiksi. Pankit pitäisi velvoittaa raportoimaan tapahtumista oma-aloitteisesti.

Pankit eivät liioin kerro, miten tilien tyhjentämisessä on onnistuttu. Pidetään turvallisuusriskinä, jos tapahtumia lähdetään avaamaan julkisuuteen. Kuitenkin se auttaisi asiakkaita suojautumaan nykyistä paremmin ja kertoisi viranomaisille, tarvitseeko sääntelyä kiristää. Yksi yleinen kikka tuntuu olevan se, että Veron tai Omakannan varjolla saatua tunnuslukua käytetään mobiilipankin asentamiseen. Sen jälkeen mikään perinteinen suojakeino tai lisävarmistukset eivät auta, koska rosvo hallitsee ohjelmaa. 

Viranomaisten omakin toiminta on ollut hapuilevaa. Kun verottaja avasi henkilökohtaisen Omavero-palvelun, sitä varten ei varattu fi-osoitetta, vaan asiakkaiden piti käyttää osoitetta vero.fi/omavero. Onneksi omavero.fi rekisteröinyt henkilö oli kujeilija, joka ei yrittänytkään käyttää tilaisuutta väärin.

On helppo kritisoida huijauksen uhreja huolimattomuudesta, mutta itse uskon, että kuka tahansa voi mennä halpaan, jos viesti tulee juuri sopivalla hetkellä tai joutuu jostain syystä toimimaan kiireessä. Ja vaikka tämän päivän palvelut tuntuvat aktiiviväestöstä selkeiltä, miten uskot pärjääväsi sitten, kun olet 80-vuotias ja pankkipalvelut ovat aivan erilaisia kuin nyt?

Pankit velvoittavat asiakkaita huolellisuuteen, mutta niiden omat palvelut muuttuvat koko ajan. Nordean sivulla oli syksyllä kirjoitusvirhe, joka herätti epäilyksen huijauksesta. 

Pahinta ovat kuitenkin maksuvälittäjät, jotka tulevat asiakkaan ja myyjän väliin. Tunnuksia kysytään moneen kertaan, kielikin saattaa vaihtua. Kokenutkaan käyttäjä ei voi olla varma, että on laillisessa palvelussa.

Finnairin lentolipun maksu muuttuu välillä englanniksi. Onko tämä huijausta?

Aina yhtä hämmentävää on nähdä samassa ikkunassa sekä Nordea että OP tai Telia. Vaikka maksu menee Nordean tililtä ja sen tunnuksilla, ikkunassa lukee toisenkin pankin nimi. 

Nordea vai Telia?

Ilmeisesti tilanne on aidosti paha, sillä verottaja kertoo huijausriskin räjähtäneen käsiin. Näin ei voi jatkua. Viranomaisasiointia varten pitää hankkia mobiilivarmenne, eikä tunnistusta saisi tehdä pankkitunnuksilla. Koska mobiilivarmenne toimii kaikilla puhelimilla, jopa vanhoilla älyttömillä nokialaisilla, valtio voisi suorastaan velvoittaa varmenteen hankkimiseen ja tukea sitä. 

Suomessa sähköinen tunnistaminen jäi markkinavoimille, jolloin päätökset teki se, jolla oli eniten voimaa (=pankit). Tässä asiassa olisi kaivattu sääntelyä ja valtion ohjausta.