112 Suomi -sovelluksen historia - miksi Suomi sooloili vaaratiedottamisessa?

Ukrainen droonien harhautuminen Suomeen on herättänyt kiivasta keskustelua vaaratiedottamisen kanavasta. Miksi Suomi ainoana EU-maana käyttää erillistä sovellusta, kun muualla varoitukset tulevat puhelimeen CB-lähetyksenä (Cell Brodcast, ETSI-standardi)? CB-lähetys ei vaadi sovelluksen asentamista, joten se tavoittaa myös turistit.

Vaaratiedottamisen historia alkoi radiossa luetuista varoituksista. Tsunamin (2004) jälkeen perustettiin työryhmä pohtimaan mobiililaitteiden käyttöä, olihan Suomi Nokian ansiosta alan edelläkävijä koko maailmassa. Suomesta Thaimaahan lähetetyt tekstiviestivaroitukset olisivat ehkä pelastaneet ihmishenkiä.

Yhteistyö operaattorien ja viranomaisten välillä kangerteli rahan vuoksi. Kuka maksaisi järjestelmän rakentamisen ja tekstiviestien lähettämisen? 

Jotain kuitenkin tapahtui. Kesäkuussa 2015 (jep, 11 vuotta myöhemmin) julkaistiin 112 Suomi -mobiilisovellus, joka pystyi lähettämään avunpyytäjän koordinaatit suoraan pelastuslaitokselle (kätevä esim. metsässä, mökillä tai saaressa). Aluksi kyse oli hätäpuhelusovelluksesta, jolla pystyi hälyttämään apua itselleen, mutta myöhemmin se alkoi näyttää myös vaaratiedotteita. Syksyllä 2021 mukaan tulivat  ajankohtaiset tietoturvatiedotteet.

Sosiaalisesta mediasta sain linkin hallituksen esitykseen (HE 98/2020), jossa pahimpaan korona-aikaan pohdittiin vaaratiedottamisen kehittämistä (kohta 5.1.5). Muu maailma oli jo mennyt CB-tekniikkaan (EU-Alert), joten miksi Suomi päätti toisin?

EU:n teledirektiivin artikla 110 velvoittaa jäsenmaita rakentamaan varoitusjärjestelmän joko CB:nä tai mobiilisovelluksena. HE:n perusteluissa epäillään, että CB-ratkaisut tukeutuvat vanhenevaan teknologiaan, kun taas mobiilisovellusta voidaan kehittää loputtomasti. "Vanheneva teknologia" tarkoitti tekstiviestejä. Uskottiin, että niiden käyttö jatkaisi laskuaan, kun ihmisten viestintä siirtyisi pikaviestiohjelmiin. 

Lisäksi mainitaan kustannukset. CB edellyttäisi "miljoonaluokan perustamiskustannuksia kunkin teleyrityksen verkossa". 

En tiedä, kuka perustelut oli kirjoittanut, mutta ne ihmetyttävät. Muiden EU-maiden tuki CB:lle oli tiedossa, eikä se edes ole tekstiviesti, vaan suoraan näytölle ilmestyvä teksti-ikkuna. Miksi perustelujen kirjoittaja uskoi, että tämä ominaisuus voisi hävitä tulevista puhelinmalleista? Ymmärsikö kirjoittaja eron CB:n ja SMS:n välillä?

Perusteluissa päädytään suosittamaan 112 Suomi -jatkokehitystä, koska sovellus olisi paremmin räätälöitävissä ja se toteuttaisi esteettömyyden (varoitukset voitaisiin saada vaikka puhuttuina). Lisäksi nostetaan esiin tietosuoja: mobiilisovellus ei kerää tietoja, kun taas CB vaatii operaattoria pitämään kirjaa liittymien sijainnista. Tämäkin perustelu ihmetyttää, sillä operaattorit seuraavat joka tapauksessa liittymiensä sijaintitietoja.

Viimeisenä perusteluna mainitaan monikielisyys: 

Suomen lakisääteistä vaaratiedottamisjärjestelmää ajatellen keskitetyllä varoitusjärjestelmällä olisi helposti pitäydyttävä lakisääteisissä kansalliskielissä, siinä missä esitettävää sovellusperusteista järjestelmää olisi huomattavasti joustavampi kehittää vaikkapa täydentävin linkein kohti monikielisempää väestön varoittamiskulttuuria.

Ja tietenkin kyse oli kustannuksista:

Esitettävän sovellusperusteisen vaaratiedottamisratkaisun taloudellisten vaikutusten kokoluokka on merkittävästi alhaisempi kuin toisen toteuttamisvaihtoehdon eli keskitetyn tekstiviesti- tai soluyleislähetysperusteisen ratkaisun... Ehdotetulla sovellusperusteisen vaaratiedottamismallilla on samalla huomattavasti kevyempiä vaikutuksia televiestintää toteuttavien teleyritysten omaisuudensuojan (PL 15§) kannalta verrattuna keskitettyyn tekstiviesti- tai yleissolulähetykseen perustuvaan malliin.

Toisaalta tekstissä mainitaan vain tekstiviestijärjestelmän kustannukset, jotka nousisivat miljooniin teleyritystä kohti. Tekstiviestit ovat hitaita ja raskaita, eikä niitä ole suunniteltu joukkolähetyksiin. Havainnollinen esimerkki saatiin 6.12.2017, kun 100-vuotias Suomi lähetti kansalaisille onnitteluviestin itsenäisyydestä. Lähetykseen kului kahdeksan tuntia ja yhden operaattorin virheen vuoksi 400 000 asiakasta jäi ilman viestiä.

CB-järjestelmän kustannuksia ei HE:n perusteluissa analysoida lainkaan.

Joten tässä sitä nyt ollaan. Korona-aikaan tehty päätös ei kiinnostanut mediaa, eivätkä päättäjät pitäneet teknistä asiaa kovin tärkeänä silloisessa maailmantilanteessa. 

Nyt ihmettelemme Suomen valitsemaa linjaa ja yritämme saada droonivaroituksia 112-ohjelmaan "jo" ensi vuoden aikana. 

112 Suomi paikannus kuluttaa akkua.

Maailma on muuttunut. Puhelimet ovat täynnä sovelluksia, jotka kuluttavat akkua ja vaativat päivittämistä. "Älä asenna yhtään tarpeetonta sovellusta" on edelleen yksi puhelimen tietoturvaohjeista. Siksi jatkuvasti päällä oleva 112 Suomi -sovellus on tänään kaikkea muuta kuin hyvä ratkaisu vaaratiedottamiseen. Toisin kuin CB, se ei edes hälytä, jos puhelin on äänettömällä. Paikkatiedon seuranta kuluttaa akkua.

Näissä asioissa kannattaa tehdä niin kuin muutkin eikä sooloilla kansallisesti.

Aikaisempia kirjoituksiani vaaratiedottamisesta:

• Drooni-hälytykset jatkossa puhelimeen, mutta miten sitten pitäisi toimia? (31.3.2026)
• Vaaratiedottaminen on Suomen häpeäpilkku (9/2018)
• Viranomaisten vaaratiedotteet ovat huono vitsi (HS-kolumni, 4.9.2014)
• Vaaratiedotteiden radiojakelu muuttuu alueelliseksi - vihdoin (9/2014)

Ukrainan droonit yllättivät sekä Venäjän että Suomen - nyt jonkun pitäisi kantaa vastuuta

Kolmen ukrainalaisen droonin päätyminen Suomeen on pannut vipiniää poliitikkoihin, mediaan ja varsinkin somekeskusteluun. Miksei Suomessa ole EU Alert -varoitusjärjestelmää, jolla vaaratiedotteita voitaisiin kohdentaa suoraan puhelimiin? 112 Suomi on lähinnä liikenneonnettomuuksiin ja  karhuhavaintoihin tarkoitettu mobiilisovellus, joka ei sovellu kriittisiin tilanteisiin eikä tavoita kuin osan kansasta. 

Uutinen, jonka mukaan ilmahälytykset tulisivat ohjelmaan ensi vuoden loppuun mennessä, sai syystäkin pilkkaa osakseen. Miksi Suomen pitää keksiä pyörä uudelleen ja tehdä se kalliisti mutta hitaasti, kun standardoitu ratkaisu on jo olemassa kaikkialla EU:ssa?

Ukrainan droonit ovat yllättäneet sekä Venäjän että Suomen. Venäjä ei osannut odottaa, että Ukraina iskisi Itämeren öljysatamiin. Siispä myöskään Suomi ei osannut odottaa, että droonit harhautuisivat Suomen puolelle. Uskottiin, että uhka rajoittui vain Puolan ja Viron alueelle.

Niiden, jotka näitä asioita työkseen miettivät, olisi kuitenkin pitänyt ottaa huomioon myös tämä vaihtoehto. Siitä heille maksetaan. 

Olisi pitänyt varautua tilanteeseen, joka on sodan ja rauhan välimuoto. Suomessa on mietitty, miten varoitetaan sotatilan aikana pommituksista ja ohjusiskuista, mutta rauhan ajan vaaratiedotus on jäänyt radiokanavien ja 112 Suomi -sovelluksen varaan.

Nyt ollaan jossain siinä välimaastossa. Drooneja on vaikea havaita ja niitä vastaan on vaikea antaa suojautumisohjeita. Sen verran jokainen lienee nähnyt uutisia, että jos taivaalla lentää säksättävä ruohonleikkuri, on syytä etsiytyä sisätiloihin. Siihen ei tarvita erityistä ohjetta, maalaisjärki riittää.

Mutta jos ei tiedetä, onko droonissa räjähde, eikä tiedetä mihin se on lentämässä, vaaratiedotteen kohdentaminen on mahdotonta. Epämääräisten varoitusten lähettäminen varsinkin yöaikaan aiheuttaa hämmennystä ja pelkoa. Sotaa varten suunnitellut väestönsuojelutilat eivät ole edes auki. Droonin osuminen 100x100 metrin alueelle on epätodennäköisempää kuin lotossa voittaminen. Toisaalta Itä- ja Etelä-Suomessa riski korostuu.

Ehkä drooniuhka tuli Suomen viranomaisille yllätyksenä, mutta hälytysjärjestelmä ei varmasti tullut. Sellaista on vatuloitu Aasian tsunamista lähtien, siis 21 vuoden ajan. EU:ssa ja USA:ssa se on toteutettu oikeaoppisesti: EU Alert -järjestelmä on käytössä kaikkialla muualla EU:ssa paitsi Suomessa. Jopa Turkki on ottamassa sitä käyttöön. Puhelimet ovat tukeneet tekniikkaa vuodesta 2012 lähtien, joten aikaa on ollut.

Suomen käyttämä mobiilisovellus on huono ratkaisu, koska harva asentaa tai jättää sitä aktiiviseksi tausta-ajoon. Tekstiviestit ovat vielä huonompia, koska niiden massalähetys on hidasta ja alueellinen kohdentaminen vaikeaa.

Suomessa käyttöönotto on ilmeisesti jumiutunut rahaan, kustannusten jakamiseen valtion ja operaattorien kesken. Tämä on kummallista, sillä Suomi on varautumisen ja väestönsuojelun edelläkävijä ja ylpeä asemastaan. Puolustus- ja varautumishankkeisiin on kaadettu rahaa varsinkin keväästä 2022 lähtien. 

Miksei varoitusjärjestelmää ole saatu modernisoitua? Jonkun pitäisi tulla nyt kantamaan vastuuta ja selittämään asia julkisuuteen.

Ja tietenkin pitää kiireesti ryhtyä tekemään asialle jotain! Droonit ovat nykytilanteessa marginaalinen uhka, mutta vaaratiedotteiden jakelu on saatava nykyaikaan ennen kuin jotain isompaa sattuu.

Drooni-hälytykset jatkossa puhelimeen, mutta miten sitten pitäisi toimia?

Sunnuntaina 29.3.2026 Kouvolan ja Luumäen lähelle pudonneet ukrainalaiset droonit ovat aiheuttaneet Suomen pelastusviranomaisille ongelman. Näistä drooneista ei varoitettu, mutta jos drooneja tulee lisää, miten jatkossa toimitaan?

Vaaratiedotteiden perinteinen kanava on radio, jossa luetaan alueellisia tiedotteita liikennehäiriöistä, taajamissa liikkuvista karhuista sekä vaarallisia kaasuja levittävistä tehdaspaloista. Tämä prosessi on koeponnistettu vuosia sitten ja osataan hyvin, vaikka kohdennus ei tunnukaan kovin tarkalta.

Kaakkois-Aasian tsunamin (26.12.2004) jälkeen havahduttiin tiedottamisen digitalisointiin. Lopulta saatiin aikaan 112 Suomi -mobiilisovellus, joka kannattaa asentaa omaan puhelimeen. Kohdennetut tiedotteet toimivat paremmin, jos ohjelmalle antaa paikannusoikeudet myös silloin, kun sovellus ei ole aktiivisena.

112 Suomi näyttää sijainnin ja apua voi kutsua tökkäämällä painiketta.

112-ohjelman toimintoja on matkan varrella kehitetty, joitakin vuosia sitten siihen lisättiin ajankohtaiset tietoturvahälytykset. Vuonna 2027 mukaan tulevat myös drooni-hälytykset.

Asia on kuitenkin hankala. Mitä pitäisi tehdä, jos puhelin hälyttää Suomen ilmatilassa havaitusta droonista? Hälytys ei ole paikallinen, kuten karhu tai tehdaspalo, vaan drooni luultavasti liikkuu. Pitäisikö hälytys kohdistaa jollain tavalla ennustetulle lentoreitille? Entä jos drooni mutkittelee?

Pikaisesti laskien todennäköisyys sille, että drooni putoaa juuri minun pihalleni/talooni, on luokkaa 1:34 miljoonasta - siis vähemmän kuin lottovoiton todennäköisyys. Tämä 100x100 metrin neliöstä laskettuna, mikä luultavasti kattaisi räjähdyksen vaikutusalueen. Ilman räjähdystä vaikutusalue on paljon pienempi ja todennäköisyys vastaavasti yhä pienempi. Ei kuitenkaan nolla, onhan ihmisiä kuollut myös meteoriittien alle.

Perinteiset ilma-alukset on helppo tunnistaa koon, nopeuden ja lentokorkeuden perusteella. Dronet ovat kuitenkin hitaita, lentävät matalalla ja kuten sunnuntaina nähtiin, ne on helppo sekoittaa tutkassa näkyviin lintuparviin. Siksi varoitus droonista tulee luultavasti vasta viime tipassa, jolloin reagointiaikaa on vähän.

Paljon riippuu myös siitä, onko drooni oletettavasti vain harhautunut (kuten tässä tapauksessa), vai onko sen tähtäimessä jokin suomalaiskohde - kaupunki, voimala tai tehdaslaitos. Jälkimmäisessä tapauksessa hälytys on kiireellinen. Harhautunut drooni luultavasti putoaa polttoaineen loppuessa, mutta voi silloinkin räjähtää, joten vaara ihmisille on kiistaton.

Mutta miten kansalaisten pitäisi reagoida hälytykseen? Siinäpä pulma. Yleispätevää ohjetta on mahdoton antaa. Yleensä on turvallisinta hakeutua sisätiloihin, sillä putoava drooni tai sen alasammutut sirpaleet voivat aiheuttaa vaaraa ulkosalla. 

Kerrostalossa turvallisin paikka on hissikuilun vieressä käytävällä. Huoneisiin sisälle ei kannata jäädä. Ehkä on varminta myös etsiytyä alakerroksiin, jotta mahdollisen tulipalon alkaessa pääsee nopeasti ulos.

Toisaalta, jos droonin tähtäimessä on kaupunki tai kerrostalo, siitä kannattaa lähteä pikimmiten. 

Varsinaisia pommisuojia on vain suurissa asutuskeskuksissa. Ne eivät ole rauhan aikana edes käyttövalmiita, joten sellaiseen ei kannata pyrkiä, ellei viranomainen nimenomaisesti niin ohjeista. 

Vaaratiedottaminen on vaikea laji. Jos kansalainen ei osaa toimia oikein, tiedottamisesta voi olla enemmän haittaa kuin hyötyä. Ainakin se voi aiheuttaa paniikkia tai lisää onnettomuuksia ihmisten säntäillessä sinne tänne. 

Ja entä sitten yöaika - pitäisikö droonihälytyksellä herättää nukkuvia kansalaisia? Harhautuneen droonin aiheuttaman vaaran todennäköisyys on hyvin pieni. Se ei tähtää kaupunkiin tai kriittiseen kohteeseen kuten sodanaikaiset pommit ja ohjukset.

Varoittaa vai ei varoitttaa? Ja miten ohjeistaa kansalaisia suojautumaan varoituksen tullessa, riippuen siitä asutaanko maalla vai kaupungissa?

Ihan uusi tilanne viranomaisillekin. Ohjeita odotellessa kannattaa käyttää maalaisjärkeä ja tutustua vaikka Ukrainan ohjeisiin omille kansalaisilleen sotatilan aikana.

Nyt illalla tulikin jo ohjeistus, joka on tosin varsin suppea: "Siirry sisätiloihin, jos saat vaaratiedotteen mahdollisesti vaarallisesta droonista tai näet tai kuulet droonin, jonka toiminta on poikkeavaa tai huolta herättävää (esim. lentää kielletyllä alueella tai hyvin matalalla). Sisätiloissa on hyvä oleskella rakennuksen keskiosissa ja pysytellä kaukana ikkunoista. Jos et pääse sisätiloihin, etsi mahdollisimman suojainen paikka."

Uusi uhka tietoturvalle: e-sim

Helsingin Sanomat kertoi 25.3.2026 pankkihuijauksesta, jossa e-sim tekniikalla oli merkittävä rooli. Tällaisia huijauksia on osattu odottaa, poliisi varoitti asiasta jo viime syksynä omalla tiedotteellaan: Poliisi varoittaa puhelinliittymien kaappauksista. Liittymän kaappaaminen (sim swapping) on ollut ennenkin mahdollista, mutta e-sim tekee sen entistä helpommaksi.

Mikä siis on e-sim (eSIM)? Perinteinen SIM (Subscriber Identity Module) on pieni muistkortti (oik. älykortti), johon operaattorin asiakkuus on sidottu. Kymmenkunta vuotta sitten markkinoille tulivat ensimmäiset puhelimet, joihin sim-toiminnallisuuden voi ladata ohjelmallisesti suoraan verkosta. Tästä käytetään nimitystä e-sim. 

Esimerkiksi turisti voi ostaa helposti paikallisen liittymän jo ennen matkaa (tai sen aikana), ja näin välttää kalliit roaming-hinnat reissun aikana. Itse olen käyttänyt Airalo-palvelua ja se on toiminut hyvin. Puhelimessa voi olla useita liittymiä, joita vaihdetaan puhelimen asetuksista tarpeen mukaan. Oikein näppärää - mutta juuri siksi myös vaarallista. 

Verkkopankissa riski on suurin niillä, joiden tunnistus perustuu tekstiviestillä saataviin koodeihin eikä pankin omaan todennussovellukseen. Kaappaamalla liittymän itselleen rosvo pystyy tyhjentämään tilin, koska hän saa kaikki koodit ja lisävarmistukset itselleen.

Mitä tapahtui?

Tässä tapauksessa uhri yritti kirjautua Omavero-palveluun, ja kirjoitti iPadin osoitekenttään pelkän sanan Omavero. Se on tietenkin virhe, osoite pitäisi kirjoittaa aina kokonaisena, eikä luottaa hakukoneeseen. Uhri päätyi valesivulle, jolle hän yritti ensin kirjautua oikeaoppisesti mobiilivarmenteella. Se antoi kuitenkin virheilmoituksen (usein merkki huijaussivusta). Sen jälkeen uhri kokeili Aktian pankkitunnistusta. Hän syötti tunnukset neljä kertaa muutaman minuutin aikana, mutta virheilmoitus toistui itsepintaisesti.

Lopulta asiakas luovutti, mutta rosvot olivat jo saaneet haluamansa. Liittymän siirto e-simille vaati Telian sivulla kaksi vahvaa todennusta ja QR-koodin, joka näkyi rosvoille. Uhrin puhelimeen tuli vain viesti, että e-sim on aktivoitu.

Sen jälkeen liittymä lakkasi toimimasta alkuperäisessä puhelimessa ja rosvoilla oli täysi hallinta uhrin tilille. Rosvot yhdistivät rahaa toiselta tililtä päätilille ja ottivat vielä luottoa, minkä jälkeen kaikki siirrettiin Italiaan. Uhri menetti yhteensä 23 632 euroa. Vastaanottajien tileissä näkyy kaksi marokkolaista naisten nimeä, luultavasti muuleja. Myös ip-lokitieto viittaa Marokkoon.

Uhri ei ollut koskaan aiemmin siirtänyt rahaa ulkomaille. Eri tileillä olevien varojen yhdistämisen, luoton ottamisen ja sen jälkeen tilin tyhjentämisen olisi pitänyt olla punainen lippu pankille, mutta sen järjestelmät eivät reagoineet. Kiitos EU:n pikamaksun rahat lähtivät muutamassa sekunnissa Italiaan ja hävisivät. 

Uhri huomasi asian vasta seuraavana aamuna, kun hänen puhelimensa oli lakannut toimimasta. Yhteydenotto pankkiin toisella puhelimella ei enää auttanut, rahat olivat poissa. Poliisi otti vastaan rikosilmoituksen, mutta lopetti tutkinnan viikon päästä, koska summa oli alle 10 000 euroa ja kyse kansainvälisestä rikollisuudesta. Koko summa oli yli 20 000 euroa, mutta tiedon korjaaminen ei enää vaikuttanut poliisin toimintaan.

Onneksi tällä kertaa FINE asettui uhrin puolelle ja suositteli Aktiaa korvaamaan vahingon. Vaikka asiakas oli kieltämättä huolimaton, pankki itse oli vielä huolimattomampi. 

Pankkien ja operaattorien vastuu?

Aktia-pankilla on oma todennussovellus, joka olisi luultavasti estänyt rahojen siirron. Sen kuittaus on sidottu nettiyhteyteen ja laitekohtaiseen tunnisteeseen, ei liittymän puhelinnumeroon. Miksi Aktia edes sallii vanhan ja turvattoman menetelmän käytön? Varmaan siksi, ettei kaikilla asiakkailla vieläkään ole älypuhelinta. Se ei kuitenkaan vapauta pankkia vastuusta: kaikkien tunnistustapojen pitää olla asiakkaalle turvallisia. Pankilla on tiedollinen ylivoima, joka tuo vastuuta. 

Uhri luuli kirjautuvansa Omaveroon, mutta koodit tulivatkin kirjautumisesta pankkiin. Tämä tieto ei näkynyt tekstiviestissä, vaikka se olisi ollut helppo lisätä. Tekstiviesti oli samanlainen myös Telian liittymäsiirtoa tehtäessä. Kohteen maininta tekstiviestissä voi olla teknisesti mahdotonta, mutta ainakin pankin oma kirjautuminen pitäisi näkyä viestissä ("Olet kirjautumassa Aktian pankkipalveluun..." vs. "Olet kirjautumassa johonkin muuhun kuin Aktian palveluun, varmista osoitteen oikeellisuus").

Telian e-sim -aktivointiviesti ei myöskään sisältänyt mitään varoitusta luvattomasta käyttöönotosta. Tämän pitäisi olla yleinen käytäntö, kuten nettipalvelujen sähköposti-ilmoitukset osoittavat: "Yrititkö kirjautua tilillesi... jos et ollut sinä, vaihda salasanasi" tms. Uhri ei ymmärtänyt, mikä on e-sim, ja miksi hän sai siitä operaattoriltaan ilmoituksen.

Tämä jaksaa aina ihmetyttää minua. Pankkien ja operaattorien pitäisi tietää riskit. Heillä on tietoturvaihmisiä, jotka työkseen seuraavat uhkia ja tapahtumia maailmalla. Silti he eivät mieti väärinkäytön mahdollisuuksia ja varaudu niihin ennakolta. Kaikki jää asiakkaan vastuulle ja ongelmat ovat hänen omaa huolimattomuuttaan.

Monella on myös vääriä käsityksiä nykyisten suojakeinojen toimivuudesta, vaikka ne on tehty erilaiseen uhkaympäristöön. Kuvitellaan, että pankkien siirtorajoitukset estävät vahingot, koska sama periaate toimii pankkiautomaateilla. Verkkopankissa se ei auta, sillä jos tilin saa hallintaansa, rajoitukset voi poistaa. Osa pankeista tekee sen vielä helpommaksi sallimalla lennossa kielen vaihdon englanniksi.

Tai että "ei vaaraa, koska siirtoihin/sim-tilaukseen vaaditaan vahva tunnistaminen". Rosvot osaavat kiertää nämä huijaamalla uhria. Edes IT-ammattilaiset eivät aina näe heikkouksia siellä, missä ne ovat, koska he luottavat liikaa teknisiin suojakeinoihin. Yksi syy tähän on salailu: pankit eivät kerro tapauksista julkisesti vaan vetoavat aina tietosuojaan.

Olen ehdottanut pankeille käytännön turvaparannuksia niin monta kertaa, että toistan ne vain lyhyesti: viiveelliset siirrot ulkomaille, ulkomaansiirtojen lukitus jos ei siirtoja ulkomaille kahteen vuoteen, isojen siirtojen lisävarmistus etukäteen nimetylle varahenkilölle, tilin tyhjennyksen + luoton estäminen ilta-aikaan... Kaikki nämä keinot ovat Ruotsin pankeilla käytössä, Suomessa ei kellään. Kukaan ei halua olla ensimmäinen, koska silloin muut pankit joutuisivat seuraamaan, ja se maksaisi.

Suomi oli joskus verkkopankkien turvallisuuden edelläkävijä. Nykyinen tilanne harmittaa ja suututtaa. Sekin harmittaa, ettei asia tunnu kuuluvan kenellekään. Odotetaan, että markkinat ratkaisevat ongelman. Lupauksista huolimatta mitään näkyvää ei ole tapahtunut. Pankit eivät halua nähdä vaivaa ja hankkia lisäkustannuksia, ellei niitä velvoiteta siihen.

Niinpä ongelmista räksyttäminen jää minulle, vaikka olen ulkopuolinen enkä haluaisi kritisoida pankkeja tai operaattoreita.

Lopuksi erittäin tärkeä neuvo: varmista omalta lähipiiriltäsi (isä, äiti, isoisä, isoäiti ym) ettei heillä ole käytössä pelkkään tekstiviestitunnistukseen perustuvaa verkkopankkia. Tekstiviesteihin ei voi enää luottaa!

PS. E-sim mahdollistaa myös tupla-sim-huijauksen, jossa rosvo voi saada tekstiviestillä tulevat varmistuskoodit huomaamatta omaan puhelimeensa. 

Microsoft-syndrooma

Microsoft-syndrooma

Kirjoitan tätä raskain sydämin, sillä helmikuussa 2026 itselläni tulee kuluneeksi 40 vuotta Windows-käytön aloittamisesta. Windows 1.03 oli tekninen kuriositeetti, mutta antoi esimakua tulevasta.

Microsoft-historiani on vielä pidempi ja täynnä rakkaita muistoja. Kritiikistä huolimatta yritys loi markkinastandardin, joka palveli hyvin niin kotikäyttäjiä kuin yrityksiäkin.

Kaikki hyötyivät, kun tiedostomuodot, sovellukset, käyttöliittymät, laitteet ja palvelut löysivät yhteisen pohjan.

Viime vuosina asiat ovat kuitenkin kääntyneet huonoon suuntaan. Microsoft on kaapannut sekä koti- että yrityskäyttäjät tiukkaan otteeseensa. Tiedostot viedään pilveen puoliväkisin ja kaikkeen vaaditaan Microsoft-tunnus.

Windowsista on tullut alusta, jolla Microsoft tyrkyttää puoliväkisin palveluitaan. Vaikka käyttöjärjestelmän merkitys on koko ajan vähentynyt, Windows vain paisuu eikä todellisia parannuksia enää tule.

Windows 11 oli monen mielestä jopa askel taaksepäin. Se oli niin epäsuosittu, että päivitykset piti pakottaa käyttäjien kurkusta alas. Ei ollut muuta vaihtoehtoa kuin antaa periksi ja vaihtaa kone uuteen.

Parhaillaan Microsoft käyttää markkina-asemaansa tekoälyn tuputtamiseen. Kaikki on kohta Copilot-jotain. Ehkä seuraava Windows-versiokin on nimeltään Copilot 12?

Yrityksille Microsoftin syleily tulee kalliiksi. Julkishallinto maksaa lisensseistä yli miljardi euroa vuodessa. Yritysten maksama summa lienee vähintään tuplasti suurempi.

Siirtyminen omista palvelimista pilveen on tuonut säästöjä, mutta myös riippuvuuden. Kun Microsoft ilmoitti äskettäin 10–15 prosentin hinnankorotuksista, suomalaisten oli pakko vain maksaa. Työntekijöistä voi tinkiä, lisensseistä ei.

Korotuksia on luvassa jatkossakin, sillä miljardipanostukset tekoälyyn, datakeskuksiin ja energiantuotantoon valuvat väistämättä asiakashintoihin. Osakkeenomistajat on pidettävä tyytyväisinä.

Microsoft-syndrooma ei ole pelkkä fiskaalinen asia. Trumpin valinnan jälkeen emme enää luota amerikkalaisiin palveluihin ja tietosuojaan. Heikkojen eurooppalaisten halveksunta ja America first -periaate voi johtaa tietojen urkkimiseen yritysten tarjouksista, jolloin kaupat menevät Yhdysvaltoihin.

Näin epäiltiin käyneen jo 1990-luvulla, vaikka silloin tiedot eivät vielä olleet pilvessä kuin tarjottimella. Echelon oli kivikautista tekniikkaa nykyiseen urkintakoneistoon verrattuna.

Euroopan on alettava suhtautua tietotekniikkaan kuten digitaaliseen maanpuolustukseen ja otettava siitä yhä enemmän vastuuta itselleen. Uhkat eivät enää tule yksin idästä, vaan kaikista suunnista.

EU:n pitää tukea siirtymistä avoimiin käyttöjärjestelmiin ja sovelluksiin sekä alkaa suosia omia pilvipalveluita. Se maksaa, mutta niin maksaa myös lisääntyvä Microsoft-riippuvuus.

Toimistosovellukset ovat perusinfraa, josta olisi helppo aloittaa. Milloin viimeksi Wordiin, Exceliin tai PowerPointiin tuli uusi ominaisuus, jota oikeasti hyödynsit työssäsi? Miksi sitten maksat ohjelmista joka vuosi uudelleen?

Nykyiset megasovellukset ovat täydellinen overkill suhteessa siihen, mitä niillä toimistoissa tehdään. Moni pärjäisi aivan hyvin ilmaisilla ohjelmilla.

EU:n tulisi myös standardoida oma Linux-distro. Kustannukset eivät ennenkään olleet ongelma, kunhan tavoite on riittävän idealistinen. GDPR ja sääntelytsunami tuotiin yrityksille taloudellisista vaikutuksista piittaamatta.

Nyt kyse on sentään puolustuksesta. Sen pitääkin maksaa. Oman it:n kehittäminen tulisi sisällyttää Naton puolustusmenojen nostotavoitteisiin.

Juuri nyt olisi oikea hetki toimia, sillä olemme taitekohdassa. Microsoft hehkuttaa tekoälyä ja agentteja, jotka taas kerran mullistavat kaiken. Samalla se sitoo asiakkaat itseensä pitkälle tulevaisuuteen.

Suomen 30 000 Microsoftiin erikoistunutta it-osaajaa eivät jää työttömiksi, vaikka ekosysteemi alkaisi murtua. He joutuvat päivittämään osaamistaan myös jäädessään Microsoftin sisälle.

Maailmanpolitiikassa on alkanut uusi aikakausi, samoin it-osaamisessa.

Päivitä ajoissa omat taitosi.

Julkaistu Tivi-lehdessä 3/2026.

Onecoin - voittajat ja voitetut

En olisi 11 vuotta sitten uskonut, että vielä vuonna 2026 kirjoitan blogiin Onecoinista. Mahdollisesti tämä on viimeinen kerta. Toivottavasti ainakin.

Kaikkien näiden vuosien jälkeenkin hämmästyttää, miten kaksi suomalaista eli Juha Parhiala ja Kari Wahlroos olivat jättimäisen kansainvälisen taloushuijauksen kärkipaikoilla. Muutama muukin suomalainen oli alkuvaiheessa aktiivisessa roolissa, mutta he ymmärsivät vetäytyä taustalle, joten en listaa nimiä tässä.

Asia palasi mieleen pari viikkoa sitten, kun TV:ssä esitettiin taas uusi dokumentti Onecoin-huijauksesta: The Queen of Crypto (2024). Parhiala ja Wahlroos näkyivät monissa valokuvissa Rujan seurassa ja tietenkin mukana oli myös Tommi Vuorinen vakuuttamassa, että kaikki on oikein ja laillista, ja että ketään ei ole huijattu.

Vuorinen: "Kukaan ei ole hävinnyt mitään, päinvastoin."

Monista dokumenteista huolimatta kukaan ei pysty kertomaan mitään uutta. Yhdysvaltojen viranomaiset eivät ilmeisesti julkaise tutkinta-aineistoaan (vrt. Epstein) ennen kuin niillä on varmuus, ettei Ruja Ignatovaa saada enää oikeuden eteen. Olisi kiinnostavaa tietää, mitä Greenwood, Dilkinska ja Konstantin Ignatov ovat kuulusteluissa kertoneet. Parhiala ja Wahlroos ovat kuolleet. 

Vielä jokin aika sitten Britanniassa oli käynnissä joukkokanteen kaltainen prosessi, jolla verkoston huijaamia varoja yritettiin jäädyttää ja palauttaa uhreille. Huijarien puolustus on aina sama: meitäkin huijattiin, emme (muka) tienneet. Perintäprosessi on ilmeisesti loppunut ja uhrit jäävät ilman korvauksia.

Lisäjaksot eivät tuo valoa Onecoinin arvoituksiin.

Missing Cryptoqueen -podcastia tehnyt ja aiheesta kirjan kirjoittanut Jamie Bartlett täydensi äskettäin muutaman vuoden tauon jälkeen sarjaansa neljällä uudella jaksolla. Niiden lopputulos on lohduton: Rujan kohtalo jää avoimeksi, Britannian poliisi lopetti omat tutkimuksensa jo kauan sitten, eikä oikeusjärjestelmästä ole apua. Korvauskannetta omalla riskillään rahoittanut yritys luopui hankkeesta, kun varojen takaisin saaminen alkoi näyttää epätodennäköiseltä.

Niinpä huijatuksi tullut Jennifer McAdams jäänee ilman rahojaan eikä edes luvattua Hollywood-elokuvaa tule. Leffateollisuus haluaa onnellisia loppuja, ei sellaista kuin Onecoinissa.

Kerrataanpa vielä:

• Ruja Ignatov - kadonnut, etsintäkuulutettu, luultavasti kuollut
• Konstantin Ignatov - verkoston johtaja Rujan jälkeen, 36 kuukautta vankeutta USA:ssa, vapautui 2024
• Sebastian Greenwood - 20 vuoden vankeustuomio USA:ssa (2023)
• Juha Parhiala - kuollut Thaimaassa 2021
• Kari Wahlroos - kuollut Indonesiassa 2024
• Irina Dilkinska - "laillisuusjohtaja", neljä vuotta vankeutta USA:ssa (2024)
• Mark Scott - Onecoinin rahanpesijä USA:ssa 10 vuotta vankeutta (2024)
• Gilbert Armenta - 5 vuotta vankeutta Onecoin-rahanpesusta (2023)
• Frank Ricketts - yksi Onecoin-verkostoaktiivi (Black Diamond), 5 vuotta vankeutta (2024)
• Martin Breidenbach - saksalainen juristi, joka todisti alkuvaiheessa Onecoinin lailliseksi, Saksassa 2 v 9 kk vankeutta (2024)
• Aamer Abdulaziz Ahmed Salman - Onecoinin rahanpesijä 18 kk vankeutta (2026)
• Konstantin Ignatovin jälkeinen johtaja King Jayms menetti uskon Oneen ja irtisanoutui 2023
• Cristi Calina - romanialainen Onecoin-aktivisti, kuollut 2026

Ilmeisesti Saksassa on vielä käynnissä tutkintoja, ainakin Rujan aiempaa aviomiestä vastaan. Sen sijaan aktiiviset brittiläiset Islam-veljekset ovat päässeet kuin koira veräjästä.

Argentiinassa tuomittiin juuri 12 Onecoin-aktiivia 3-9 vuoden vankeustuomioihin. 

Entäpä sitten Tommi Vuorinen? KRP ilmoitti toukokuussa 2025 lopettavansa virallisesti Onecoin-esitutkinnan mahdollisten rahanpesurikosten vanhenemisen vuoksi. Vaikka Tommi on toiminut Onessa aktiivisesti näihin päiviin asti, Suomen näkökulmasta hän on nyt puhdas. Voi toivoa, että hän kirjoittaisi muistelmansa 10 hurjasta vuodesta kansainvälisen huijauksen sisäpiirissä.

Tähän mennessä oikeus on toteutunut hyvin vaihtelevasti. Osa pääsee kuin koira veräjästä, osa maksaa hengellään. Bulgarian alamaailmaan liittyvä Krasmir "Kuro" Kamenov surmattiin Cape Townissa 25.5.2023. Palkkamurhassa saivat surmansa myös Kuron vaimo, henkivartija ja kotiapulainen.  Ilmeisesti Kuro oli ehtinyt antaa Bulgarian poliisille tietoja Rujan kohtalosta, mikä saattoi olla yksi syy vaientamiseen. Kun kyse on miljardeista, ihmisen henki on halpa. Tekijää ei ole saatu kiinni.

Vuosien varrella suomalaiset onecoinistit ovat sitkeästi uskoneet muuttavansa vielä jonain päivänä omistuksensa euroiksi. Sitä päivää ei ole vieläkään tullut. Ehkä me "heittarit" olimme sittenkin oikeassa? Jos joku ex-uskovainen haluaa kertoa ajatuksistaan, olisi kiinnostavaa kuulla, anonyymisti sekä ilman sarvia ja hampaita. No hard feelings.

Jokaisen kannattaa kuitenkin ottaa opiksi Onecoinista. Vaikka puitteet olisivat hienot ja jäseniä kaikkialla maailmassa, rivijäsenelle jää maksajan rooli kun huijarit rahastavat voitot itselleen. Uusia huijauksia on taas käynnissä, kuten somesta näkyy.

Mobiilivarmenne on turvallinen (oikein käytettynä)

Kirjoitukseni mobiilivarmenteen ongelmista herätti paljon keskustelua, joten pitää palata vielä aiheeseen. Joku saattoi saada käsityksen, ettei mobiilivarmenne ole lainkaan turvallinen, kun kyse oli vain siitä, että huijari voi erehdyttää uhria antamaan luvan oman varmenteensa asentamiseen rosvon puhelimeen. 

Varmennetta ei varsinaisesti "kaapata", se vain otetaan vieraan henkilön käyttöön luvatta. Tämä kuitenkin edellyttää, että uhri käyttää pankkitunnuksiaan väärällä sivulla ja on muutenkin huolimaton.

Mobiilivarmenne on turvallisempi kuin pankkitunnus lähinnä siksi, ettei se ole pankkitunnus ts. turvallisuudessa itsessään ei ole eroa, mutta mobiilivarmenteella ei pysty vahingossa avaamaan kalastelusivulle pääsyä omaan pankkiinsa.

Keksintönä mobiilivarmenne on vanha, mutta se alkoi levitä toden teolla vasta kun kohu verkkopankkihuijauksista alkoi. Syntyi käsitys, että mobiilivarmenne on lähtökohtaisesti turvallisempi kuin pankkitunnukset. Viranomainenkin suositteli käyttämään tunnuksia vain pankkiasiointiin ja kirjautumaan kaikkialle muualle mobiilivarmenteella. 

Pankit, joille tunnistuskertojen myynti on pienimuotoinen bisnes, eivät olleet hyvillään tällaisesta rinnastuksesta. Julkisesti ne eivät voineet kritisoida mobiilivarmennetta.

Vaikkei varmenteella pääse isoihin pankkeihin (pieniin kylläkin), niillä voi ottaa pikavippejä, tehdä rekisterimerkintöjä (VTJ, PRH ym) ja esimerkiksi poistaa omaehtoisen luottokiellon, mikä helpottaa tilauspetosta uhrin nimissä.

Kun käyttäjien määrä kasvoi, rosvot löysivät mobiilivarmenteen. Samalla huomattiin, että operaattorit olivat varsin huolettomasti kehuneet varmennetta unohtaen, että silläkin voitiin huijata. Poliisin tiedote toi huijaukset julkisuuteen kesällä 2025:

Poliisin tiedote 25.6.2025

Vieläkin monelle tulee yllätyksenä tieto häirinnänestokoodista ja sen tarpeellisuudesta. Ilman koodia uhria on helpompi erehdyttää vääriin kirjautumisiin.

Ei ihme, etteivät operaattorit oma-aloitteisesti maininneet häirinnänestokoodista. Puhelinnumeron kirjoittaminen ja kaksi muistettavaa koodia tekevät varmenteesta kömpelömmän kuin pankkitunnisteista. Kirjoitettavia numeroita ja muistettavaa on enemmän. Tässäkin mukavuus kertaa turvallisuus on vakio.

Kaikkein turvallisin kirjautumistapa on varmennekortti (se alkuperäisen HST-kortin vm. 1999 nykyinen versio) eli virallinen sirullinen henkilökortti. Sitä ei voi kaapata eikä hakea vahingossa, eikä sillä pääse mihinkään pankkeihin. Siinä on käsittääkseni samanlainen DVV:n myöntämä varmenne kuin mobiilivarmenteessa, mutta upotettuna fyysiselle kortille. 

Varmennekortti on jäänyt sivuraiteille, koska hankkeista huolimatta sitä ei laitettu toimimaan mobiililaitteilla eikä sillä ollut takana kaupallista tahoa joka olisi huolehtinut markkinoinnista. Kortti vaatii usb-lukulaitteen, jonka saa marketista muutamalla kympillä. Joissakin bisnesläppäreissä (erityisesti Dell) lukija on valmiina. 

Prisman hyllyssä kortinlukijan hinta 19,95 euroa.

Kortinlukijassa on tietenkin asentamisen vaiva, mutta sellaiselle, joka käyttää palveluita kotona oikean tietokoneen tai läppärin ääressä, kortti on mainio ratkaisu. Sen voi jättää lukijaan pysyvästi ja se vaatii vain yhden nelinumeroisen PIN-koodin. 

Lähivuosina tunnistus menee entistä sekavammaksi, koska jo syksyllä on luvassa EU:n digilompakko tunnistamista varten ja ensi vuonna tulee eIDAS-sääntely. Sen jälkeen digitaalisten palveluiden - myös pankkien - on tuettava euroopanlaajuista tunnistustapaa.

Saapa nähdä, millaisia sotkuja siitä saadaan aikaan. Tunnistaminen on verkkopalvelujen kulmakivi ja siksi jatkossakin nettirosvojen tärkein kiinnostuksen kohde.

Lisäys 17.3.2026: Finanssialan kirjoitus EUDI Wallet -tietoturvariskien keskustelun puuttumisesta. 

Tekstiä muokattu 17.3.2026