Itä-Suomen poliisi näyttää mallia paljastaessaan verkkohuijarien koko kirjon, ja se on kauhistuttava

Itä-Suomen poliisilaitos on taas ollut kiitettävän avoin ja julkaissut kuvauksen joistakin lokakuun 2025 aikana sen tietoon tulleista nettihuijauksista. Lista on pitkä ja tapahtumainkuvaukset saavat ihmettelemään sekä rikollisten röyhkeyttä että kekseliäisyyttä. Poliisin mukaan "nämä ovat vain poimintoja paljon isommasta juttumassasta", joten todellinen tilanne on vielä synkempi.

Pieni pätkä huijauskuvauksista Hesarin uutisesta.

Esiin nousevat varsinkin turvatili- ja kryptovaluuttahuijaukset. Uhreina ovat enimmäkseen vanhemmat ihmiset, mutta kryptohuijauksissa on myös keski-ikäisiä. Jos tässä on pieni lista yhden poliisipiirin alueella yhdessä kuussa jätetyistä rikosilmoituksista, miten synkkä mahtaakaan olla koko Suomen tilanne?

Pikanttina yksityiskohtana on tapaus, jossa soittaja kertoi uhrin puhelimessa olevan niin pahan viruksen, että pankin turva-asiantuntija tulee hakemaan sen puhdistettavaksi. Saatuaan puhelimen "turva-asiantuntija" oli ilmeisesti puhdistanut myös tilin. 

Tapausselostukset ovat opettavaista luettavaa. Niistä kannattaa varoittaa omia vanhempia ja isovanhempia. Edelleen ihmettelen, miksei Yleisradio ota koppia asiasta ja lähetä televisiossa iltaisin tietoiskuja huijausten välttämiseen. Televisio tavoittaisi hyvin kaikkein haavoittuvimman kohderyhmän ja toisto saisi asian menemään perille. 

Mutta ei. Samoja keskusteluja turvallisuuspolitiikasta ja Venäjän uhkasta illasta toiseen. 

Itä-Suomen poliisilaitos tuntuu olevan ainoa taho, joka edes yrittää tehdä asialle jotain. Muille viran- ja asianomaisille nettirikolliset vaikuttavat olevan niin hankala pala, ettei konkreettisia toimia saada aikaan. Edes muut poliisilaitokset eivät julkaise vastaavaa listaa. Terveisiä ja kiitokset sinne Kuopioon!

Muilla toimijoilla ei ole resursseja, ei kuulu meidän vastuulle, olisi tehotonta, pitäisi keksiä jotain uutta... helpompaa jatkaa entiseen malliin. Tekemisen tahtotila ja kunnianhimo puuttuvat. Ilahduttavana poikkeuksena ovat Traficomin puheluestot ja sms-rekisteröinti, vaikka puheluestojakin pidettiin aluksi mahdottomina toteuttaa. Kun on tahtoa, tie yleensä löytyy.

Pankit korostavat tekevänsä paljonkin, vaikka teot eivät näy julkisuuteen. Tämän listan perusteella työtä riittää vielä. Odotan kiinnostuneena koko vuoden tilastoja. Jos huijauksissa menetettyjen rahojen määrä on edelleen kasvanut, pankkien strategia ei selvästikään riitä.

Sitä odotellessa yksikään pankki ei halua livetä ruodusta ja tehdä turvallisuudesta pankkipalvelujen kilpailutekijää, koska se aiheuttaisi kustannuksia ja pakottaisi muut toimimaan samoin.

Vielä yksi ajatus: miksi nettirikollisuus saa rehottaa näin vapaasti? Jos kyse olisi väkivallasta, rasismista, raiskauksista, lapsen oikeuksista tai melkein mistä tahansa muusta rikoslajista, jokin viranomainen tai uhreja edustava järjestö olisi jo nostanut metelin asiasta. 

Nettirikollisuuden uhrit jäävät yksin ja saavat nuolla haavansa itse. Oma vikansa, kun menivät halpaan.

Lisäys: Puhelimen noutava huijari olikin jäänyt jo kiinni, eikä kyse ollut yksittäisestä tapauksesta: Huijauspuhelun jälkeen rikollinen tulee hakemaan pankkikortin ovelta – Uskomaton rikossarja käynnissä pitkin Suomea

Miten tunnistan romanssihuijauksen?

Jokin aika sitten minuun otti yhteyttä ilmeisen romanssihuijauksen uhri. Hän toivoi, että varmistaisin huijarin lähettämien kuvien aitouden tai katsoisin, löytyvätkö ne netistä jollain muulla nimellä. Uhri kertoi, että viestittely oli jatkunut jo pitkään ja osapuolten välille oli syntynyt tunnetta. 

Jo ennen kuvien katsomista aavistin pahaa. Tarina kuulosti tyypilliseltä romanssihuijaukselta, jossa mies on tutustunut suomalaiseen uhriin sosiaalisessa mediassa, viestitellyt pitkään ja suunnittelee nyt Suomeen muuttamista. Ennen pitkää tarvitaan rahaa matkajärjestelyihin ja muihin hyviin tarkoituksiin.

Ilmeisesti huijareilla on valmis käsikirjoitus, sillä tarina on aina samanlainen. Mies on armeijan palveluksessa, mutta lopettelemassa uraansa. Vaimo on ehkä eronnut tai kuollut, ja nyt mies on yksin. Mies väittää olevansa Suomen kaksoiskansalainen, mikä armeijataustan vuoksi olisi erittäin epätodennäköistä. Armeija on kuitenkin sopiva tekosyy sille, miksi yhteydenpito on epäsäännöllistä eikä kaikkia kanavia voi käyttää. On pakko turvautua sosiaaliseen mediaan ja pikaviestien teksteihin.

Miehiä huijattaessa tarina on melkein samanlainen, mutta nyt kirjoittaja on naislääkäri, joka on adoptoitu lapsena Turusta ja on nyt töissä Jemenin sairaalassa. Ankeat olosuhteet vaikeuttavat viestintää eri tekosyillä. Lähdin yhteen tällaiseen huijaukseen mukaan ja Ilta-Sanomat teki siitä jutun.

Varmaan paras asiantuntija romanssihuijausten tunnistamiseen on Facebookissa Tuula Elizabeth Visa, joka on kirjoittanut aiheesta kirjankin. Kannattaa kysyä häneltä mielipidettä, jos oma lähipiiri ei riitä vakuuttamaan, että kyse on huijauksesta. Myös sivustosta https://nettideittiturva.fi voi olla apua. Ihminen uskoo mielellään sen, minkä toivoisi olevan totta.

Paitsi, että rakkaushuijarin tarina on aina sama ja jo itsessään epäilyttävä, huijarin tunnistamiseen on helppo keino: pyydä häntä videokeskusteluun vaikka Whatsappissa. Kuka ylipäätään muuttaisi Suomeen ilman, että on ensin keskustellut videolla toisen henkilön kanssa?

Romanssihuijari keksii aina jonkin selityksen, miksi kuvapuhelu ei onnistu. Helena Antero vetosi siihen, ettei Jemenin sotilassairaalassa saanut käyttää älypuhelinta, hän oli vain pöytäkoneen varassa. Tämä huijari vetosi videopuhelun vaatimaan lisämaksulliseen liittymään (täyttä puppua tietenkin, mitään lisämaksua ei ole).

On tapauksia, joissa romanssihuijari on ollut palkattu näyttelijä, mutta tämä yksinkertainen konsti riittää karsimaan 95 % huijareista.

Kuvien etsintä ei ole kovin tehokasta, sillä ne ovat usein tekoälyn luomia, eikä vastaavia löydy mistään. Tässä tapauksessa löytyi. Kyseessä oli serbialainen poliitikko, joka kieltämättä olisi mennyt suomalaisesta. Hänestä oli myös runsaasti kuvamateriaalia, joten huijari saattoi poimia sopivia kuvia eri tilanteista.

Romanssihuijarit ovat kenties alhaisimpia kaikista huijareista. He vetoavat uhreihin, jotka ovat jo valmiiksi yksinäisiä ja haavoittuvia, ja käyttävät heitä armotta hyväkseen. Romanssihuijaus ei vaadi tekijältä osaamista, tarvitaan vain aikaa. Siksi yrittäjiä riittää loputtomasti. Valitettavasti myös uhreja, vaikka näistä asioista on varoitettu loputtoman monta kertaa.

Avainsanoja: rakkauspetos, romanssihuijari, nettihuijaus

Hei äiti -huijareiden viesteihin pitää puuttua paljon nopeammin

Kirjoitukseni tänään Hesarissa: 

"Finanssiala julkaisi 19. helmikuuta tilaston vuoden 2024 netti- ja digihuijauksista. Sen mukaan pankkien tietoon tulleiden huijausten kokonaismäärä ylitti sata miljoonaa euroa. Kasvua edellisvuoteen verrattuna oli 39 prosenttia.

Tiedotteen mukaan pankit onnistuivat pysäyttämään määrästä 44 miljoonaa euroa, mikä oli 35 prosenttia enemmän kuin edellisenä vuonna. Sitä tiedote ei kuitenkaan maininnut, että menetysten määrä kasvoi vielä enemmän eli 42 prosenttia.

Tällä vauhdilla olemme häviämässä rikollisille. Jotain uutta pitäisi nyt keksiä. Digihuijausten määrä kasvaa, koska niitä on helppo tehdä asuinpaikasta riippumatta, ja koska kiinni jäämisen riski on pieni.

Otan esiin vain yhden, helpon esimerkin. Moni on varmaan saanut puhelimeensa Whatsapp-viestin ”Hei äiti, puhelimeni meni rikki”. Miksei poliisilla ole palvelua, johon näistä viesteistä voisi ilmoittaa? Huijarien käyttämät kotimaiset prepaid-numerot pitäisi saada suljettua ennen kuin vahinkoa ehtii tapahtua. Vaikka numeroita on helppo vaihtaa, uusien prepaidien hankkiminen maksaa ja vaatii työtä. Ehkä jo pelkkä poliisin henkilökohtainen yhteydenotto huijarin numeroon saisi tekijän lopettamaan. Toimintaan puuttumisella olisi ainakin pelotevaikutusta uusille yrittäjille.

Hei äiti -huijaukset ovat yksinkertaisia, mutta juuri äsken Helsingin Sanomat kertoi (4.2.) yhden huijarin ansainneen niillä 29 000 euroa. Viime vuonna toinen tekijä onnistui huijaamaan tällä tavalla 66 000 euroa.

Olen tietoisesti lähtenyt mukaan muutamaan huijaukseen, saanut huijarien numeroita ja rahamuulien nimiä sekä pankkitilejä. Olen tarjonnut tietoja poliisille, mutta ketään ei kiinnosta, koska rikosta ei ole vielä tapahtunut. 

Poliisin passiivisuus lähettää tekijöille viestin, että digihuijausten yrittäminen on sallittua. Poliisi puuttuu asiaan vasta, jos huijaus onnistuu ja uhrit menettävät rahaa. Tällainen ilmapiiri ruokkii digirikollisuuden kasvua.

Lait ja poliisin keinovalikoima ovat jääneet reaalimaailmaan, vaikka roistot ovat digitalisoituneet. Miksei poliisi voi teeskennellä uhria ja jäljittää tekijöitä jo pelkän huijausviestin perusteella? Miksi viestintä- ja pankkisalaisuus estävät operaattoreita sulkemasta liittymiä ja pankkeja vaihtamasta huijauksiin liittyviä tietoja? Onko nykyisten rangaistusten pelotevaikutus riittävä suhteessa kiinnijäämisen riskiin?

Jotain uutta pitää keksiä, sillä nykyinen trendi nakertaa varsinkin ikääntyneiden luottamusta nettipalveluihin. Tällä menolla valtion tavoite tehdä digistä ensisijainen asiointikanava jo ensi vuoden alusta lähtien karkaa yhä kauemmaksi."

---

Täsmennyksenä, että Finanssialan tiedotteessa mainittiin kyllä menetetyn rahan määrä, mutta ei sen prosentuaalista kasvua. Vain torjuttujen huijausten prosentit ilmoitettiin, vaikka ne olivat pienemmät.

Kuten tekstistä huomaa, itseäni harmittaa viranomaisten passiivisuus. Mitään ei voi eikä kannata tehdä, kun huijauksia on niin paljon, tekijät ulkomailta (eivät ainakaan tässä ole) ja koska lievät rangaistukset eivät mahdollista pakkokeinojen käyttöä.

Jokainen virantomainen huolehtii vain omasta tontistaan, ja siinäkin tehdään juuri se, mihin niukat resurssit riittävät. Aloitteellisuutta tai yhteistyötä ei ole. Pitäisikö esimerkiksi alkaa vaatia prepaid-numeroiden rekisteröintiä, kuten monissa maissa on? Ei Suomi enää ole mikään televiestinnän lintukoto.

Onneksi on muutamia poikkeuksia. Pitkään väitettiin, ettei ulkomailta tulevia tukihuijauspuheluita pystytä kotimaisin keinoin estämään. Sitten kuitenkin Traficom järjesti asian ja kas, puhelut loppuivat kuin seinään, eikä numeron väärentäminen enää onnistu. Lisäksi Traficom sai aikaan SMS-lähettäjän rekisteröinnin, joka vähentää tekstiviestihuijauksia.

Oleellista olisi säätää lakeja, jotka mahdollistavat viranomaisten ja pankkien välisen tiedonvaihdon ja antavat poliisille lisää oikeuksia digirikosten tutkintaan esim. juuri valeuhria esittäen. Lait on suunniteltu fyysisen maailman rikoksia varten, eivätkä aina sovellu digiaikaan. 

Vihdoinkin: Nordea tuo uuden säästötilin, jonka nostoissa on kolmen vuorokauden viive

Verkkopankin turvallisuus ansaitsee vielä yhden kirjoituksen. Tuoreen uutisen mukaan viime vuonna verkkohuijarit yrittivät viedä 76,9 miljoonaa euroa, mistä pankit pystyivät estämään väliintulollaan 32,7 miljoonaa euroa. Huijarien saaliiksi päätyi siis 44,2 miljoonaa, missä on kasvua 36 % edelliseen vuoteen verrattuna. Hyvä uutinen on, että pankkien esto- ja palautustoimet lisääntyivät paljon enemmän, 132 %. Kehitys on siis oikeansuuntaista, mutta riittämätöntä.

Aiemmissa kirjoituksissa olen kuvannut uhrien surkeaa asemaa. Tapauksista on kirjoitettu myös julkisuudessa (ensimmäinen ja toinen). Toista minulle soittanutta uhria sapetti erityisesti se, ettei pankin turvaosastolta saa kiinni henkilöitä ja soittoyrityksistä asian selvittämiseksi oli kertynyt 40 euron lisä puhelinlaskuun. 

Verkkouutisten sivulla silmiini osui Nordean petostorjunta-asiantuntija Sara Helinin kommentti: "Nämä eivät ole koskaan uhrin vika, vaan rikoksentekijän syy". Pankin viesti asiakkaalle on kuitenkin toinen: oma vikasi, että lankesit huijaukseen, olit huolimaton emmekä korvaa mitään. Jos vika ei olekaan uhrin, eikö pankin pitäisi vähintäänkin tulla vastaan? 

Toisessa jutussa pankin edustajat kertovat, että lähteviä maksuja kyllä tarkkaillaan. Siitä kertoo myös parantunut torjuntaprosentti. Mutta sitten S-pankin edustaja sanoo näin: "Jos henkilö on luovuttanut omat pankkitunnuksensa, niin pankin päähän se näyttää siltä, että sovelluksen käyttöönotto on laillinen. On ihan tavallista, että asiakkaan puhelin menee rikki tai henkilö vaihtaa puhelinta, jolloin uuteen laitteeseen asennetaan pankin sovellus." 

Puhelimen vaihto on jo itsessään keltainen lippu, mutta todella punaiseksi se muuttuu, mikäli uudesta puhelimesta tyhjennetään heti perään koko tili. Tällainen tapahtumaketju pitäisi olla helppo tunnistaa; siihen ei tarvita tekoälyä eikä kehittynyttä analytiikkaa.

Jutun ingresissä "Pitkään pankkiturvallisuuden parissa työskennellyt toteaa, että osa huijauksista on hyvin taitavia". Silti pankin mielestä huijauksen uhri on yksin vastuussa.

Samassa jutussa Finanssialan petos- ja rikostorjunnasta vastaava johtaja Niko Saxholm, jonka kanssa väittelin asiasta televisiossa jo pari vuotta sitten, epäilee ehdottamaani luottohenkilön ratkaisua. En ehdota, että lapset kuittaisivat hoitaisivat maksut vanhempiensa puolesta, vaan että asiakas voisi nimetä luottohenkilön, joka vahvistaisi suuret ja poikkeukselliset siirrot - ja nekin vasta sen jälkeen, kun tilin haltija on itse ensin hyväksynyt maksut. 

En näe tässä mahdollisuutta luottohenkilön epärehellisyyteen. Itsemääräämisoikeus ja pankkisalaisuuden vaarantuminen ovat eri asia, mutta ehkä asiakas voisi halutessaan joustaa näistä turvallisuuden nimissä?

Vielä tuli mieleeni yksi turvakeino: entä jos älypuhelimen pankkisovellus kertoisi ääneen, mitä on tapahtumassa? Ei kysyisi pelkkää PIN-koodia, sormenjälkeä tai kasvokuvaa, vaan sanoisi kaiuttimesta "Olet siirtämässä 20 000 euroa puolalaiselle tilille, jonka omistaja on N. N. ja rahat siirretään välittömästi. Jos hyväksyt siirron, paina OK tai sano mikrofoniin 'hyväksyn siirron'". 

"Näitä ehdotuksia monesti tehdään miettimättä niitä sen kummemmin", Saxholm heittää. Niinpä, jonkun ulkopuolisen niitä pitää tehdä, koska ala itse on konservatiivinen ja tarkkaan säädelty. 

Uudella tekniikalla olisi tehtävissä paljonkin, mutta inside the box -ajattelu saa vain kiristämään vanhoja keinoja. Lisätään uusia pin-koodeja ja vahvistuksia, vaikka tämä lähestymistapa on kuljettu loppuun.

Onneksi vihdoin jotain näyttää olevan tapahtumassa. Olen jo parin vuoden ajan ehdottanut vapaaehtoista viivettä rahansiirtoihin ja nyt vihdoin se näyttää toteutuvan. Tänään tulleen tiedotteen mukaan Nordea tarjoaa uudenlaista säästötiliä, jossa on korkeampi korko, mutta rahojen nostossa kolmen vuorokauden viive.

Tiedote on ruotsiksi, koska se tuli Ruotsin Nordealta. Toivottavasti sama palvelu saadaan myös Suomeen ja sen jälkeen muihinkin pankkeihin. Miten paljon helpompaa kaikki olisikaan, jos pankit ottaisivat turvallisuuden kilpailutekijäksi! Nyt sitä pidetään itsestäänselvyytenä, mitä se ei tämän päivän maailmassa ole. 

Huijaukset lisääntyvät kaikkialla maailmassa. Suomi oli 1990-luvulla verkkopankin turvallisuuden edelläkävijä ja olisi voinut olla sitä nytkin, mutta juna taisi jo mennä.

Lisäys 8.3.2024: Nopea reagointi kannattaa - mies sai takaisin 93 000 euroaan kun ehti ilmoittaa pankille riittävän nopeasti. Olisinpa halunnut nähdä rosvon ilmeen kun hän huomaa onnistuneen huijauksen jälkeen, ettei rahoja tulekaan! Uutisesta ei käy ilmi, olivatko rahat lähteneet ulkomaille tai kotimaisille tileille, mutta pakollinen viive tai ulkopuolisen henkilön kuittaus olisi estänyt rikoksen onnistumisen. 

Lisää hitautta verkkopankkiin (kolumni)

Kolumnini elokuun Tivi-lehdessä:

Elokuussa 21-vuotias mies tuomittiin viideksi vuodeksi vankeuteen S-pankin asiakkaisiin kohdistetuista miljoonahuijauksista. Vuosi sitten samassa pankissa oli neljä kuukautta kestänyt tekninen häiriö, joka avasi pääsyn väärille tileille. Äskettäin Sisä-Suomen poliisi varoitti kansalaisia viesteistä, joilla oli huijattu pankin asiakkailta kymmeniä tuhansia euroja yhden vuorokauden aikana.

Uutisointi yllättää, sillä Suomea on pidetty turvallisen pankkiasioinnin mallimaana. Entiselle ylpeydenaiheelle on käynyt kuten Pisa-tuloksille: asema ei säily ilman jatkuvaa kehitystyötä.

Verkkopankki on edelleen hyvin turvallinen. Viime vuoden 600 miljoonasta maksutapahtumasta rikollisia oli vain 0,003 promillea. Silti uutisointi rapauttaa asiakkaiden luottamusta ja käsitystä muunkin verkkoasioinnin turvallisuudesta. Jotain pitäisi tehdä.

Tähän asti nähdyt huijaukset olisi voitu estää, jos pankeilla olisi riittävästi kiinnostusta asiaan. Rahanpesun kitkeminen, mobiilipalvelut ja kiristyvä sääntely ovat pitäneet pankkien it-osastot niin kiireisinä, että turvallisuuden kehittäminen on jäänyt vähemmälle.

Pankeissa tekoäly seuraa koko ajan tilitapahtumia. Jos tilille tulee tunnistamaton rahalähetys tai käteistalletus, pankki penää selitystä rahojen alkuperästä, koska sääntely vaatii sitä.

Lähtevien rahojen valvonta on paljon vähäisempää. Huijauksen kohteeksi joutunut uhri on omillaan. Pankin mielestä hän on toiminut huolimattomasti, eikä menetyksiä useinkaan korvata.

Verkkopankin ongelmat eivät johdu tekniikasta vaan ihmisistä. Esimerkiksi isoihin rahansiirtoihin pyydettävät lisävarmistukset ovat tehottomia, koska palveluun päässyt rosvo pystyy kuittaamaan ne omistajan puolesta.

Pankkitunnusten käyttö viranomaispalveluihin kirjautumiseen on suomalainen erikoisuus. Moni uhri on luullut kirjautuvansa Omakantaan tai verottajalle, vaikka onkin tullut antaneeksi huijarille pääsyn tililleen.

Kirjautumisikkunat pitäisi erottaa selkeästi pankin omista maksuikkunoista. Viime vuosina tilanne on vain pahentunut, kun erilaiset maksunvälittäjät vaativat oman kirjautumisensa ja siinä viidakossa kokenutkin käyttäjä voi mennä vipuun.

Monissa pankkipalveluissa kielen voi vaihtaa englanniksi. Ei tehdä tätäkään liian helpoksi ulkomaiselle huijarille vaan sidotaan kieliasetus tiliin ja tehdään siitä pysyvä. Mummolla ei ole tarvetta vaihtaa yhtäkkiä kieltä englanniksi.

Huijauksissa nopeus on kaikki kaikessa. Usein uhri huomaa virheensä heti, mutta iltaisin ja viikonloppuisin pankista ei saa ketään kiinni. Pankkien pitäisi perustaa vaikka yhteinen 24/7-hätänumero, johon soittamalla tilin saisi hetkeksi suljettua ja rikolliset siirrot pysäytettyä.

Suurin osa meistä ei siirrä rahaa suoraan ulkomaille eikä tyhjennä tiliään uusille kotimaisille tileille. Tekoälyn olisi helppo havaita tällaiset anomaliat.

Miksei ulkomaansiirtoja voi estää tai rajoittaa niitä vain tunnettuihin verkkokauppoihin? Miten on mahdollista, että aiemmin vain kotimaisia laskuja maksaneen asiakkaan tili voidaan tyhjentää kryptovaluuttapörssiin, mistä rahoja on mahdotonta palauttaa?

Vähintäänkin siirroissa ulkomaisille tileille, joille ei aiemmin ole maksettu mitään, pitäisi olla 48 tunnin viive. Se antaisi uhrille aikaa reagoida.

Ahkerat nettiostajat eivät tarvitse lisäsuojauksia. Iäkkäämmät ja peruskansalaiset tarvitsevat. Siksi rajoitusten pitäisi olla valinnaisia mutta niin, että kerran päälle kytkettynä niiden poistaminen vaatii vähintään vuorokauden odottelun.

It-maailma on tottunut kehittämään palveluista yhä nopeampia ja monipuolisempia. Pankit eivät halua rajoittaa asiakkaitaan tai hidastaa maksuja, koska se koetaan huonoksi palveluksi ja tukipuheluiden määrän pelätään lisääntyvän.

Muutetaan siis ajattelua ja markkinoidaan vapaaehtoisia rajoituksia positiivisena asiana. Moni ottaisi mielellään vanhempiensa tilin suojaksi uusia turvaominaisuuksia. Niistä voisi jopa veloittaa lisähintaa.

---

Samana päivänä kun yllä oleva kolumni ilmestyi lehdessä, Satakunnan käräjäoikeus antoi tuomion jutussa, jossa Jarmo ja Ritva Sivula menettivät verkkohuijarille 44 900 euroa. Tapauksen paljastuttua pankki onnistui saamaan osan rahoista takaisin, jolloin lopulliseksi menetykseksi jäi 25 950 euroa. Hurja summa kenelle tahansa. 

Uhri oli kirjoittanut Bing-hakukoneeseen Omakanta, mutta joutunut valesivulle. Sivu kysyi tunnuksia ja siirsi uhrin lopulta oikeaan paikkaan Omakannassa, missä näkyivät halutut laboratoriotulokset. Sitä ennen uhrin puhelimeen oli tullut pankista varmistuskysely, jonka uhri myönsi lukeneensa huolimattomasti. Saatuaan puhelimeen lähetetyn koodin huijari onnistui asentamaan verkkopankkiohjelman omaan puhelimeensa ja sai näin täyden hallinnan tiliin. 

Tuomion mukaan uhrin toiminta oli huolimatonta, mutta ei törkeän varomatonta. Pankin lähettämä ilmoitus ei ollut kovin selkeä, siinä mm. varoitettiin, että asiakkaan tiedot saattavat olla vaarassa. Ilmoituksen olisi pitänyt sanoa suoraan, että uhrin rahat saattava olla vaarassa, jos hän ei ole itse pyytänyt mobiilipankin asennusta. Ei ollut, hän käytti verkkopankki vain tietokoneen selaimella.

Jos Satakunnan käräjäoikeuden päätös saa lainvoiman (eli pankki ei hae valituslupaa hovioikeudesta), sillä tulee olemaan ohjaava vaikutus tuleviin kiistoihin. Rajanveto on kieltämättä vaikeaa ja tehdään aina tapauskohtaisesti. Miten paljon asiakkaalta voidaan edellyttää omaa varovaisuutta, kun pankki on kuitenkin tiedollisesti ylivoimaisessa asemassa ja voisi parantaa verkkopankin turvallisuutta mm. yllä kuvatuilla nikseillä. Ovatko pankin lähettämät varoitukset varmasti riittävän selkeitä?

Jäämme kiinnostuneena odottamaan jatkoa ja seuraavia kiistoja. Tähän asti harva asiakas on halunnut lähteä kiistämään FINEn suositusta ja käräjöimään suurta pankkia vastaan. FINE on suosituksissaan edellyttänyt myös asiakkaalta tarkkaavaisuutta ja osaamista.

Romanssihuijarit ovat alhaisimpia kaikista - näin toimi lääkäri Jemenistä

Nettihuijarien alhaisin laji ovat romanssihuijarit, sillä he rahastavat uhrejaan vetoamalla ihmisen yksinäisyyteen ja rakkauden kaipuuseen. Aiemmin luulin, että kyse on yksittäisistä tekijöistä, mutta huijausten mittakaava viittaa kokonaiseen kukoistavaan teollisuudenalaan. Ilmeisesti aiemmat nigerialaiskirjeiden lähettäjät ovat joukolla vaihtaneet romanssihuijauksiin.

Olen seurannut erästä tapausta ja yrittänyt puhua järkeä uhrille, mutta se on toivotonta. Kun huijari on saanut uhrin valtaansa, faktat menettävät merkityksensä.

Peruskuvio on aina sama. Huijari esiintyy jonkin alan ammattilaisena, joka on joutunut pulaan tehtyään huonon sopimuksen tai jouduttuaan maksuvelvolliseksi työssään aiheuttamasta vahingosta. Hän on kyllä varakas, mutta ei olosuhteiden vuoksi pääse käsiksi rahoihinsa. Välit sukuun ovat poikki tai sukulaiset ovat kuolleet.

Yllättävää kyllä, huijareilla ei näytä olevan mikään kiire. He voivat viestitellä uhrin kanssa kuukausia tai jopa vuosia, usein ihan tavallisia arjen asioita. Näin he luovat uskottavuutta ja mielikuvan suhteesta. Pieni imartelu ja vihjaus orastavaan rakastumiseen kuuluvat asiaan. Sekään ei haittaa, vaikka uhri kertoisi olevansa vähävarainen - pienetkin Bitcoin-lahjoitukset ovat avuksi (ja Afrikassa nekin ovat iso raha). Lisäksi uhri pystyy levittämään tietoa avuntarvitsijasta lähipiirilleen, josta ehkä löytyy varakkaampia auttajia.

Välillä täytyy melkein ihailla huijarien kekseliäisyyttä. Jos netistä löytyy huijarin käyttämä profiilikuva, sitä selitetään identiteettivarkaudella ja huijauksella, jonka seurauksena tekijä on luopunut some-käytöstä. Yhteydenpito tapahtuu vain Whatsappin tai jonkin some-sovelluksen kautta. Ei puheluita, ei videoita. Sovellukset mahdollistavat käännöskoneiden käytön, joten kielitaitokaan ei ole ongelma.

Nyt törmäsin ihan uuteen juttuun: huijari lähetti suomenkielisen ääniviestin, jossa hän puhutteli uhria nimeltä ja vakuutti lämpimiä tunteitaan. Uhri otti viestin täydestä, mutta itse huomasin jujun heti: viesti oli tekoälyn puhesyntetisaattorilla tuottama. Toinen lähetti kopion passistaan. Harmi vain, että passin järjestysnumero oli 12345678 eli se oli otettu viranomaisen sivulta ja henkilötiedot vaihdettu kuvankäsittelyllä.

Seuraamani tapaus on klassinen "lääkäri Jemenissä". Huijari ("A.") on pyörittänyt uhriaan jo kolmen vuoden ajan. Mies on kertomansa mukaan syntynyt San Franciscossa, mutta kun vanhemmat kuolivat auto-onnettomuudessa, ranskalainen setä adoptoi hänet ja hän opiskeli lääkäriksi ja ortopediksi Pariisin Sorbonnessa. Suku yritti kaapata hänen omaisuutensa, joten A. katkaisi välinsä sukulaisiin.

Huono onni jatkui. Vaimo petti A:ta tämän ystävän kanssa, jolloin mies otti eron ja teki sopimuksen UNDP:n alaisen sairaalan kanssa. Valitettavasti sopimus on viisivuotinen ja lääkäri voisi vapautua siitä vain hankkimalla tilalleen uuden lääkärin tai maksamalla jäljellä olevan sopimuskauden maksut, 39 000 euroa. Sopimuksen mukaan hän saa palkan vasta, kun koko aika on täytetty. Lääkäri tekee pitkiä työpäiviä ja pystyy viestimään vain iltaisin. Jemenin nettiyhteydet ovat niin huonot, ettei lääkäri pysty hoitamaan  edes pankkiasioitaan.

Kaikki tämä on uskomatonta puppua ja siitä on varoitettu moneen kertaan. Uhri on kuitenkin vakuuttunut, että tällä kertaa kaikki on toisin ja että A. on todella lääkäri. Olen tarkistanut, ettei A. tietoja löydy Ranskan terveysalan ammattilaisten rekisteristä. Hänen ilmoittamansa terveydenalan ammatinharjoittajien numero ei edes pituudeltaan täsmää Ranskassa käytettyyn.

Asensin jopa Viber-ohjelman, jotta A. voisi ottaa suoraan yhteyttä minuun. Lupasin hoitaa maksun hänen puolestaan, jos hän vakuuttaa minut asiastaan. Varauduin tekemään muutamia kontrollikysymyksiä, joihin oikea lääkäri osaisi vastata välittömästi, mutta jotka huijari joutuisi googlaamaan. Ei niinkään yllättävää, ettei A. ole ottanut yhteyttä.

Lopuksi muutama oma havainto. Ilmeisesti huijarit ovat afrikkalaisia. Se selittäisi, miksi lääkärin väitetään valmistuneen juuri Sorbonnesta. Huijarit tuntevat ranskalaisen järjestelmän ja osaavat ehkä tarvittaessa puhuakin ranskaa. 

Huijarit ovat paitsi kärsivällisiä myös taitavia käsittelemään ihmisiä. He tietävät, miten vedota ihmisen tunteisiin ja tuottaa onnellisuuden tunnetta. 

Silti he ovat täysin säälimättömiä. Luultavasti rikkaina pidettyjen länsimaisten naisten huijaamista ei Afrikan perspektiivissä edes pidetä huijauksena. Se vain tasaa kohtalon epäoikeudenmukaisuutta, kun itse on syntynyt köyhiin oloihin ja toinen varakkaaseen länsimaahan. Omapahan on vikansa, jos uskoo tällaista!

Ilmeisesti huijarit toimivat ryhminä tai suorastaan yrityksenä. Eri henkilöt vastailevat vuorollaan eri uhreille, joten kirjoittajat eivät aina muista, mitä ovat jo aiemmin sanoneet. Selitykset muuttuvat koko ajan, kirjoitustyylikin voi vaihdella. Ja selityksiä tosiaan riittää! Sama huijari saattaa esiintyä yhdelle uhrille jopa useana täysin erillisenä tapauksena.

Vaikka järkipuhe tuskin koskaan auttaa, läheisten velvollisuus on kuitenkin yrittää. Päivän Helsingin Sanomien juttu kertoo huijatun rakkauden hinnasta, joka siinä tapauksessa oli 19 000 euroa. Vaikka suhde paljastuukin huijaukseksi, osa uhreista on rahojen menettämistä enemmän harmistunut siitä, että suhde päättyy. Niin vahva on ihmisen tarve tulla hyväksytyksi, huomatuksi ja rakastetuksi.

Lisätietoja romanssihuijareista on osoitteessa https://nettideittiturva.fi. Aiemmassa Maikkarin jutussa 80-vuotias kokemusasiantuntija Tuula Visa lupasi myös auttaa uhreja ja jutussa on puhelinnumerokin, johon voi soittaa.

Huijaussivut jatkavat kalasteluaan

Viime aikoina on tullut vastaan monia sivuja, jotka on kopioitu Omavero, Omakanta tai Kelan sivuista johonkin kansainväliseen domain-osoitteeseen. Kun sivun kautta kirjautuu, kysytään pankkitunnistuksen tiedot. Suomalainen erikoisuus -- pankkitunnuksilla viranomaispalveluihin -- muodostaa tässä ylimääräisen riskin. Varsinkaan mobiililaitteen näytöllä osoiteriviin ei tule kiinnittäneeksi tarpeeksi huomiota ja vähän sinne päinkin oleva osoite menee läpi. 

Tässä www.suomi-omavero.net näyttää aivan Omaverolta, joskin kirjautumissivulla on vain kolme pankkia:

Kirjautuminen huijaussivun kautta on vaarallista

Erikoinen yksityiskohta liittyy mobiilivarmenteeseen. Sen kalastelusta ei ole hyötyä rikollisille. Huijauksen voikin usein tunnistaa siitä, että mobiilivarmenne ei ole vaihtoehtona tai ainakaan se ei hiirellä klikattaessa tee mitään.

Domain-rekisterien tiedot ovat julkisia, joskin GDPR-aikana henkilötiedot on peitetty ja rikolliset ovat jo aiemmin käyttäneet välikäsiä oikeiden yhteystietojen piilottamiseen. Domain-nimen välittäjän tiedot kuitenkin näkyvät. Olen muutaman kerran lähettänyt sähköpostilla ilmoituksen abuse@<välittäjä>, ja joskus sivu on jopa hävinnyt. 

Yleensä ei kuitenkaan tapahdu mitään, tai sitten välittäjä alkaa pyytää lisätodisteita siitä, että brändiä on loukattu. Ei ole ajateltu jonkun väärentävän viranomaisten sivuja. Tällaisen lisätietopyynnön lähetti suomi-omavero.net domainin välittänyt ownregistrar.com:

Lisätietopyyntö

Olin ilmoittanut, että sivu on kopio Suomen verottajan sivusta ja tarjonnut siihen linkin, joten väärennös oli helppo havaita vaikka suomea ei ymmärtäisikään. 

En lähtenyt todistamaan, että Omaveron brändiä on loukattu, eikä se olisi minulle ollut edes mahdollista. Yön aikana suomi-omavero.net sisältö oli yllättäen muuttunut feikki-uutissivustoksi (tunnistautumisen alasivu oli kuitenkin yhä olemassa). Näin domain saadaan pidettyä valmiina seuraavaa huijauskampanjaa varten.

Feikki-uutissivusto

Uutissivusto on feikki, sillä uutiset on kopioitu eri lehdistä (mm. Länsi-Savo, MTV...) ja ne ovat viime vuodelta - kuitenkin sivustolla niihin on laitettu tämän vuoden elokuun päiväys. Ne ovat siis uutisia tulevaisuudesta. 

Kansalaisia on neuvottu ilmoittamaan poliisille, kyberturvallisuuskeskukselle sekä asianomaisille viranomaisille havaitsemistaan verkkovaaroista. Jos poliisi tai KTK vaatisi huijauksen lopettamista domainin välittäjältä, sillä olisi enemmän vaikusta kuin rivikansalaisten viesteillä. Tähän ei kuitenkaan ole resursseja, joten huijaussivuista on turha ilmoittaa poliisille. Ilmoitus Kelaan, Verottajalle, Kantaan tai pankille yleensä tuottaa tulosta, sillä niiden tietoturvaosastoilla on oma lehmä ojassa. (Katso myös lisäystä tekstin lopussa)

Toisaalta domain-nimet tulevat ja menevät, joten vaarallisuuden aikaikkuna on kapea. Huijauskampanjat ovat lyhytkestoisia; domainit on yleensä avattu vasta päivää tai paria aikaisemmin. Sivut voivat jäädä elämään verkkoon kampanjan loputtua, mutta vaikka niihin syöttäisi tunnuksensa, mitään ei tapahdu.

Asia on hankala myös domain-välittäjän kannalta. Kukaan ulkomailla ei voi tietää, mitä "suomi-omavero" tarkoittaa. Kerran ostetun ja maksetun domainin sulkeminen on juridisesti vaikeaa, koska se vaatisi todisteita sopimusrikkomuksesta tai laittomasta toiminnasta. Pelkän nimen osalta kyseeseen tulee lähinnä tavaramerkkirikos. Ja näitä kaikkia pitäisi tulkita kaiketi välittäjän maan mukaan (usein näkyy olleen Hollanti tai Saksa, EU-maita sentään). 

Jos sivun sisältöä muutetaan, sivun laittomuus katoaa. Pelkkä osoite suomi-omavero.net ei riko mitään lakeja, eikä sitä voi vaatia poistettavaksi. Feikit uutiset voivat toki olla tekijänoikeusrikkomuksia ja disinformaatiota.

Miten siis toimia? Jos törmäät netissä viranomaisten tai pankkien valesivuun, ilmoita siitä aidon sivun suomalaiseen ylläpitoon ja unohda sen jälkeen koko juttu. Tärkeintä on, että itse pysyt tarkkana ja luet osoiterivin aina huolellisesti ennen käyttöä.

Lisäys klo 15: Kyberturvallisuuskeskus ilmoitti Twitterissä: Moi, huijauksista tai haitallisista sivustoista on hyvä aina ilmoittaa viranomaisille. Teemme Kyberturvallisuuskeskuksessa päivittäin alasajopyyntöjä erilaisille sivustoille internetissä. Pääsääntöisesti tekemämme alasajopyynnöt tuottavat hedelmää. 

Ilmoitus kannattaa jättää tällä lomakkeella: https://www.kyberturvallisuuskeskus.fi/fi/ilmoita

Lisäys klo 21: "Uutissivusto" on poistunut ja tilalla on taas kalastelusivu.

Suomi-omavero.net on taas huijauskäytössä

Kirjautumissivu vie aidon näköiseen Nordean sivuun. Vain osoiterivin tutkiminen paljastaa huijauksen:

Nordean kirjautumisen huijaussivu.

Lisäys 28.6.2023: Tällä kertaa domain-välittäjä perui domainin ilmoitusteni perusteella, kun ei saanut yhteyttä varaajaan. 

"We have suspended the domain" - great!

Nyt osoite suomi-omavero.net antaa enää virheilmoituksen, kuten pitääkin. Seuraavaa huijausta odotellessa.

Kiinalaiset nettivaatekaupat huijaavat laajasti ja avoimesti

Luulitko löytäneesi edullisen ulkomaisen nettikaupan, joka myy merkkivaatteita tai lenkkareita erittäin edullisesti? Unohda koko juttu, sivut ovat luultavasti huijausta. Tein vähän tutkimusta aiheesta ja hämmästyin, miten paljon huijauskauppoja on yhä olemassa ja miten avoimesti ne saavat toimia. Aihe sinällään ei ole uusi, siitä on muutama vuosi sitten kertonut mm. Yle. 

Lähes kaikki kokeilemani huijauskaupat toimivat Ali Baban pilvipalvelussa ja takana on ilmeisesti kiinalainen yritys. Sivut näyttävät uskottavilta ja hyvälaatuisia kuvia on paljon. Ilmeisesti huijarit ovat tehneet valmiin leiskan, joka sitten vain monistetaan eri nimille. Moni kokenutkin käyttäjä on kertonut olleensa vähällä langeta huijaukseen. 

Asiakasta kiinnostavat halvat hinnat ja tilauksen tekeminen. Jos jaksaisi perehtyä kaupan yhteystietoihin, tietosuojaselosteeseen tai palautusehtoihin, huomaisi tekstin näyttävän kummalliselta. Esimerkiksi "yksityisyyssuojassa" jokaisen sanan ensimmäinen kirjain on isolla. 

Huijauskaupan "yksityisyyssuoja".

Teksti itsessään on virheetöntä, sillä se on kopioitu sanasta sanaan suomalainen Halonen-vaatekaupan sivulta:

Halosen tietosuojaseloste.

Huijauskauppoja löytyy kaikilta tunnetuilta brändeiltä: Helly Hansen, Nike, Dubarry, Jordan, Hoka, Rieker, Asics, Sanuk, Merrel, Salomon, Panama Jack, Sorel... huomattavan moni näistä liittyy jalkineisiin, varsinkin lenkkareihin, jotka ovat haluttuja nuorten keskuudessa.

Koska huijarit toimivat Kiinasta käsin, toimintaan on vaikea puuttua. Länsimaiset brändit kiristelevät hampaitaan ja harmittelevat huijauksiin lankeavien asiakkaiden puolesta. Huijarit ovat ovelia: vaikka ne eivät toimita juuri pyydettyä tuotetta, ne toimittavat sentään jotain. Halpa kaulahuivi tuntui olevan yleinen valinta. Väärän tuotteen voi aina selittää vahinkona ja luottokortilla maksanut asiakas saa lopulta rahansa takaisin, jos jaksaa vääntää luottokorttiyhtiön ja kaupan kanssa tarpeeksi pitkään. Harva jaksaa. Ja sen varaan nämä laskevatkin. 

Kirjoitin aiheesta eilen pidemmän blogitekstin, jossa listasin huijauskauppoja, mutta Google poisti kirjoituksen yhteisösääntöihin vedoten. Varmuuden vuoksi en siis mainitse nyt yhtään kauppaa nimeltä enkä laita heti osoitteita edes kuvina.

Yksittäisiä kauppoja oleellisempaa on tämä: miten tunnistaa huijauksen? Epäilyttäviä merkkejä ovat:

• Hinnat 25-50 % normaalitasoa edullisempia. 
• Epätyypilliset hinnat - ei siis tyyliin "39,95" vaan ihan sattumanvaraisia numeroita, joita oikeissa tarjoushinnoissa ei käytettäisi.
• Sivulla on kirjoitusvirheitä tai erikoisia ilmaisuja, joita suomalainen ei käyttäisi. Valitettavasti myös osa oikeista kaupoista on konekäännettyjä, jolloin sivuilla on huijauksiin viittaavia virheitä.
• Alussa ei tule eväste-popup-lupakyselyä.
• Domain-nimessä esiintyy "suomi", "fi" tai "finland".
• Yhteystiedot ovat Gmail-osoitteeseen tai pelkkänä palautelomakkeena.
• Maksutapana on usein vain luottokortti.
• Varmenteen on myöntänyt ilmainen Let's Encrypt.
• Whois-haku näyttää epäilyttäviä yhteystietoja (tätä kriteeriä on kuitenkin vaikea tulkita).

Aiemmin varmenteen tiedot kertoivat, kenelle varmenne oli myönnetty. Nyt aitojenkin kauppojen omistajana saattaa näkyä pelkkä domain-nimi ilman yhteystietoja, joten sitä ei voi käyttää aitouden arviointiin. Ja aidotkin kaupat saattavat käyttää ilmaista Let's Encryptiä.

Whois-haku näyttää domainin rekisteröijän yhteystiedot, mutta niissäkin yhteystiedot voivat olla pilvipalveluun tai piilotettuja, joten tulkinta on vaikeaa.

Suomi ei ole suinkaan ainoa kohdemaa. Domain-nimien perusteella vastaavia kauppoja on kohdennettu ainakin Uuteen-Seelantiin, Norjan Osloon sekä Egyptiin. 

Lähes kaikki huijauskaupat näyttävät olevan saman tahon tekemiä. Haluaisinpa nähdä, kuinka iso yritys Kiinassa näitä kaikkia pyörittää? Siellä täytyy olla kymmeniä pienipalkkaisia ihmisiä luomassa verkkokauppoja eri kielialueille ja eri brändeille. Jos yksin Suomeen suunnattuja kauppoja on kymmeniä, eri kielialueet huomioiden niitä on oltava tuhansia. On siinä ylläpidettävää!

Kuriositeettina huijauskauppojen joukossa on myös yksi fi-loppuinen, joka liittyy Salomon-brändiin. 

Verkkotunnuksen tiedot.

Domain-nimen varaus on tehty jo puoli vuotta sitten. Koska tunnus on fi-juuressa, Traficom voisi puuttua asiaan.

Pieni lista parhaillaan aktiivisista huijauskaupoista. Jos tämäkin blogipostaus häviää, Googlen automatiikka on katsonut osoitteet yhteisösääntöjen vastaiseksi.

Valeverkkokauppoja.

Lisäys 22.11.2023: F-Securella on verkkokaupan luotettavuuden tarkistuspalvelu osoitteessa https://www.f-secure.com/fi/online-shopping-checker.

Iltalehden sovelluksen kryptohuijaus pelästytti vanhan rouvan

Saan usein puheluita ihmisiltä, jotka ovat pulassa todellisten tai kuviteltujen tietoturvaongelmien kanssa. Eilen illansuussa soitti eläkeläisrouva, joka äänen perusteella kuulosti hyvin terävältä ja pirteältä. Ei mikään höppänä mummeli, mutta koki silti alati lisääntyvän digiasioinnin ahdistavana ja vaikeana.

Hän oli lukenut uutisia Iltalehden sovelluksella, kun oli huomannut pääministeri Marinista kertovan punaisen otsikon "Marinin ura katkeaa tähän" ja painanut sitä. Näytölle oli tullut lisää punaisia tekstejä ja nainen oli tajunnut joutuneensa haittaohjelmasivulle. Hän oli äkkiä sulkenut puhelimen ja tyhjentänyt sivuhistorian, mutta oli huoli jäi kalvamaan: oliko haittaohjelma päässyt puhelimeen? Vieläkö sitä uskalsi käyttää?

Lohdutin soittajaa sanoen, että mobiililaitteet ovat paljon turvallisempia kuin uutisista voisi päätellä. Ellei mene asentamaan ohjelmia itse, ei ole oikeastaan mitään vaaraa (paitsi maksulliset tekstiviestipalvelut ja valtiolliset vakoiluohjelmat).

Kunpa ihmiset ymmärtäisivät ottaa kuvan epäilyttävästä sisällöstä tai edes url-osoitteesta, se helpottaisi asioiden selvittämistä jälkeenpäin. Rouva sanoi olleensa liki paniikissa ja harmitteli itsekin, että reagoi hätiköidysti. Sen ymmärtää.

Ilmeisesti kyseessä ei ollut mikään haittaohjelma vaan kryptohuijauksen mainossivu, joita on tunnettujen toimittajien ja vaikuttajien (Rönkä, Harkimo ym) nimissä. Jostain syystä Google ja Facebook eivät saa niitä kuriin. Iltalehden sovelluksessa mainokset sulautuvat uutisotsikoihin tavallista nettisivua paremmin, joten mainosten erottaminen on vaikeaa. Twitterissä kysymällä selvisi, että muutama muukin oli nähnyt saman mainoksen ja se oli hävinnyt noin puolen tunnin jälkeen.

Iltalehti on mainosvälittäjien armoilla, mutta käyttäjä odottaa, että sovelluksen sisällä Iltalehti vastaa uutisista ja sisällön vaarattomuudesta. Kryptohuijausten ei pitäisi päästä sovellukseen asti.

Laitoin vielä illalla asioita selviteltyäni tekstiviestin soittajalle ja hän oli hyvin helpottunut, pystyy jatkossa taas nukkumaan yönsä kunnolla.

Hänen tilanteensa on kuitenkin tuttu monille. Mitä tehdä, kun digiarjessa tapahtuu jotain epäilyttävää - kenelle voi soittaa ja kysyä neuvoa? Kuka vastaisi kansalaiselle, joka on nähnyt liikaa tietoturvauutisia? Poliisia on turha vaivata, ellei rikos ole jo tapahtunut, ja silloinkin poliisin apu rajoittuu lähinnä rikosilmoituksen tekemiseen.

It-ammattilaisille, nuorille ja ruuhkavuosissa juokseville digiarki on suuri helpotus, mutta on paljon niitäkin, joita voimattomuus digijumalien ja sähköisten itsepalvelujen armoilla ahdistaa.

Jos voit, auta edes omia sukulaisiasi ja lähipiiriäsi.

Facebook-huijarin huono päivä

Nettirikollisuus on isoa bisnestä, mutta kaikki tekijät eivät ole ammattilaisia. Joukkoon mahtuu hölmöjä, joiden rikolliset taidot ovat lähinnä säälittäviä. Herää epäilys, että nämä kaverit ovat nuoria miehiä, jotka jossain pikku kylässä yrittävät ansaita rahaa nettikahviloissa istumalla ja varakkaita länsimaalaisia huijaamalla. 

"Moi, voitko antaa minulla matkapuhelinnumerosi?" -huijaus alkoi levitä vuoden 2021 marraskuussa. Huijari kaappaa Facebook-tilin ja lähettää sen jälkeen uhrin kavereille ilmoituksia, joissa luvataan 8100 euron rahallista voittoa. Pitää vain kertoa oma tilin numero sekä jotain ihmeellisiä koodeja, joita tarvitaan saapuvan maksun vahvistamiseen.

Aina saadessani huijausviestin lähden kiusaamaan huijaria. Viimeksi näin kävi pari päivää sitten:

Hei, voitko antaa minulle matkapuhelinnumerosi?

Vertailun vuoksi aiempi huijaus 8 kuukautta aiemmin helmikuussa:

Aiempi huijaus, erona vain tervehdys.

Käsikirjoitus on aivan sama, vain tervehdys on vaihtunut Moi-sanasta Hei-sanaan. Olisi kiinnostavaa tietää, kuka tämän skriptin on laatinut. Selvästikään sen käyttäjät eivät ymmärrä asiasta mitään. 

Koska fraasit ovat aina samat, Facebookin olisi helppo tunnistaa ne ja lopettaa viestittely yhteisönormien vastaisena. Facebook tarkkailee viestintää muutenkin ja monelle bänni tulee täytenä yllätyksenä. Missä on valvonta silloin, kun siitä olisi jotain hyötyä käyttäjille itselleen?

Puhelinnumeron lähettämisessä ei ole mitään vaaraa, vaikka tietenkin numero voi jäädä huijarien käyttöön ja johtaa myöhemmin huijaussoittoihin. Mitään erityistä en kuitenkaan ole huomannut, vaikka olen jo pitkään levittänyt numeroani huijauksiin.

Kuinka ollakaan, kilpailusta tulee voitto:

Kävipä taas tuuri!

Tämä kuva on helmikuun huijauksesta, voittomäärät ovat aina 4050+4050 euroa ja keltainen onnittelugrafiikka on sekin vakio. 

Sen jälkeen huijari haluaa siirtää rahat ja pyytää tilinumeroa. Annan tietenkin ihan väärät numerot.

Kun koodit eivät toimineet, hän vain toisti pyyntöjä yhä uudelleen ja uudelleen, samoilla perusteluilla. Kun se ei toiminut, hän alkoi pyytää luottokortin numeroita, voimassaolopäivää ja CVV-koodia. 

Tässä yhteydessä näkyy, miten huijari yrittää rakentaa luottamusta vannomalla, että hän toimii oikein ja haluaa vain auttaa. 

"Vannon, että yritän vain auttaa."

Luottavainen suomalainen saattaa jopa uskoa. Minä en tietenkään uskonut. Huijari väitti sinnikkäästi olevansa Leena Espoosta ja kun häntä todisteeksi kertomaan Espoon säätilan, hän ilmeisesti googlasi sen. 

"Vannon olevani Leena"

Yleensä huijari älyää lopettaa, kun huomaa paljastuneensa. Tämä ei tajunnut. Hän vain toisteli yhä uudelleen samoja fraaseja ja vakuutti olevansa Leena. Touhu oli niin säälittävää, että minun piti vähän auttaa häntä. Korjasin, että "odata" pitää olla "odota". On helppo ymmärtää, että huonosti käännöstä vilkaiseva ulkomaalainen tulkitsee odota-sanan dataksi.  Huvittavasti hän lupasi tulla päivälliselle, kun rahat on siirretty. Tämä poikkesi selvästi valmiista käsikirjoituksesta.

"Lupaan nähdä sinut illalla"

Kiistely vääristä koodeista jatkui vielä seuraavanakin päivänä. Lopulta hän uhkasi tehdä minusta rikosilmoituksen.

Uhkaus rikosilmoituksesta.

Yhteydenpito lakkasi, mutta huijari palasi asiaan vielä kolmantenakin päivänä. Hän ei voinut hyväksyä ajatusta, että oli saanut uhrin koukkuun, mutta ei saanut tätä luovuttamaan oikeita tunnuksia, vaikka oli käyttänyt jo kaksi työpäivää aikaa.

Olin yrittänyt saada selville, mistä maasta hän on. Aiemmat huijarit ovat saaneet Microsoftin lähettämään tekstiviestivahvistuksen, jonka kielestä maa käy ilmi, kuten tämä helmikuinen tapaus.

Turkki paljastaa huijauksen.

Jostain syystä tämän huijarin vahvistukset eivät tulleet läpi, mutta sitten hän lähetti avuksi ruutukuvan luottokorttinumeroiden lomakkeesta, ja se oli turkkia. Edellinen huijari oli Kroatiasta, joten nämä eivät ole pelkkä turkkilainen erikoisuus.

Google Translatoria voi käyttää kaksikin. Vaihdoin kielen turkiksi, jolloin hän esitti tyhmää.

En ymmärrä turkkia.

Lopulta huijari kuitenkin näytti tajuavan häviönsä ja sulki Messengerin. Häntä saattoi hieman harmittaa - kolmen päivän työ valui hukkaan. Kuka käski lyödä omaa päätä seinään vielä senkin jälkeen, kun huijaus oli jo paljastunut?

Valitettavasti kaikki nettirosvot eivät ole yhtä typeriä.

Kukaan ei valvo laittomia mainoksia

Sähkön korkealle pompannut hinta on saanut vauhtia huijareihin. Aiempi mainos laitteesta, joka lupaa vähentää kodin sähkönkulutusta jopa 90 prosentilla, on taas saanut uutta eloa ja sen voi bongata erilaisilta nettisivuilta. Nyt tuotteen nimenä on VoltPlug. 

Täysin laiton mainos.

Miten pienentää sähkölaskua -otsikolla houkuttelevan mainoksen olen nähnyt ainakin Suomen sotilas- ja Verkkouutiset-julkaisujen sivulla, asiatekstiin upotettuna. 

Sama mainos, eri kuva - nyt brittiläisellä sähköpistokkeella.

Jo kuvasta näkee, että mainos on laiton. Sähköverkkoon ei saa kytkeä tarkastamattomia laitteita, eikä kuvan laite edes ole se, mitä yritetään mainostaa. Tarkempi laite-esittely löytyy mainosta klikkaamalla. 

"Sähkölasku alenee 90 prosentilla" - ihan varmasti.

Yleinen elämänviisaus on, ettei liian hyvältä kuulostava tarjous ole totta. Tässä se toteutuu konkreettisesti. Ei ole mitään tekniikkaa, jolla sähkönkulutusta voisi oleellisesti laskea vain kytkemällä pistorasiaan jonkin uuden laitteen. 

Näin se ei toimi.

Mainossivun lopussa on lista kuvalla varustettuja testimoniaaleja, joissa muka kehutaan laitteen tehokkuutta. Kaikki kehut ovat tietenkin väärennöksiä. 

"Vakauta sähkövirtasi, poista likainen sähkö."

Vuosi sitten laitetta myytiin nimellä VoltBox. Silloin Kuluttaja-lehti varoitti kansalaisia menemästä halpaan. 

Huuhaa-laite nyt tarjouksessa!

VoltPlugin tarjoushinta on "vain" 59 euroa. Somessa joku huomasi, että saman laitteen voi tilata alle 10 eurolla suoraan Kiinasta. Kyse on siis samanlaisesta mainoshuijauksesta kuin pari vuotta sitten Youtubessa pyörineet valheelliset videot suomalaisista keksijöistä (blogitekstini parin vuoden takaa). Huijarit ostavat laitteita Kiinasta, tekevät niihin valheelliset mainokset ja myyvät tuotteita suurella katteella. 

Youtubesta löytyy useita videoita, joissa laite on avattu ja tutkittu, esimerkiksi tämä ja tämä. 

On kestämätöntä, että Google jakaa laittomien ja toimimattomien laitteiden mainoksia piittaamatta lainkaan asiasta. Kyse on paitsi huijauksesta, myös sivustolle koituvasta mainehaitasta. Toivottavasti sivustot reklamoivat asiasta Googlelle, tavallisten käyttäjien valituksilla ei ole arvoa.

Voi tietenkin yrittää. Googlen mainosikkunoiden oikeasta ylänurkasta löytyy painike, josta saa lisätietoja mainoksesta. 

Miksi tämä mainos? Niinpä.

VoltPlugin mainostajaksi kerrotaan liettualainen UAB Commerce Core. Ei todellakaan herätä luottamusta. Ikkunassa on myös painike "Tee ilmoitus tästä mainoksesta". 

Kannattaa hyödyntää joukkovoimaa ja tehdä, vaikka sillä tuskin vaikutusta onkaan. Google kuuntelee euroja ja dollareita, ei viranomaisia eikä käyttäjiä.

EU säätelee monta asiaa hyvinkin pikkutarkasti ja suojelee kansalaisten henkilötietoja mm. juuri someyhtiöiden mielivallalta. Selviin huijauksiin se ei näytä pystyvän puuttumaan, vaikka tämänkin mainoksen ostanut firma on EU-alueen sisällä. 

Epäilyttävä Hyperfund verkostomarkkinointi jatkaa yhä

Hyperfund kaatui jo maailmalla, mutta Suomessa verkosto on edelleen aktiivinen. Niin aktiivinen, että uusi kirjoitus on paikallaan, vaikka aiempi viime lokakuulta pitää yhä paikkansa.

Top-Teamin tuore esitys 13.2.2022 (Zoom-tallenne löytyy ainakin vielä netistä) on kuin uusi versio Onecoin-huijauksesta. Maajohtajana ja videolla puhuu Matti Lassila Tampereelta (yllätys). Suomen Top-Teamin perustajiksi mainitaan Seppo Metsälä (Onecoinista tuttu "Sauna-Seppo", yllätys) ja Filippiineiltä Hannu Väistö. Yksi puuhamiehistä on myös vaasalainen D. B., hänkin entinen Onecoin-aktiivi (yllätys). 

Top-Team, itsenäinen suosittelutiimi.

Nytkin tarjolla on koulutusta ja vuonna 2020 perustetun yhtiön johtaja on Ruja Ignatovan kaltainen visionääri Ryan Xu, jolla ei ole mitään kiirettä rahastaa menestyksellään. 

Ryan Xu (oik. Zijing Xu, lempinimi "marsilainen") on kiistanalainen hahmo, joka oli mukana Bitcoin-piireissä alusta lähtien ja ansaitsi isot rahat Bitcoin-louhinnalla ja Bitmain-yhtiöllä, joka oli aikoinaan Bitcoin-louhintakoneiden markkinajohtaja. 

Tunnin esityksessä Matti maalaa laajoja visioita maailman johtavasta blockchain-technologystä ja alan tunnetuimmista nimistä, yhteistyöstä IBM:n kanssa kvanttisalauksen kehittämiseksi (!) ja lopulta mukaan tulee Metaversumi, johon jäsenillä on nyt mahdollisuus päästä alusta lähtien mukaan. Matti rinnastaa tämän matka- ja älypuhelinten tai internetiin - olisi kannattanut olla mukana heti alusta lähtien. On Hyperfundia, Hypertechiä, Hyperverseä ja muuta hypeä.

Hyperfundiin pääsee mukaan laittamalla rahaa 300, 500, 1000 tai 10 000 dollaria. Kiinnostavaa on, että rahaa ei voi laittaa euroina, vaan eurot pitää ensin vaihtaa dollarin arvoon sidottuun Tether (USDT) -kryptovaluuttaan. Näin järjestelmä kiertää pankkivalvontaa, mikä koitui Onecoinin ongelmaksi, kun pankit lopettivat rahojen siirron rikollisten tilille. Tether on oikea kryptovaluutta, mutta sen hankkiminen ei ole ihan mutkatonta. 

Sisään laitetut varat muutetaan HU-yksiköiksi ja ne tuottavat 0,5 % joka päivä. Toisin kuin Onecoinissa, varat voi nostaa milloin tahansa, mutta HU:t pitää ensin vaihtaa Hyperversen omistamissa julkisissa kryptopörsseissä tavalliseksi valuutaksi. Erilaisilla palkkioilla yritetään houkutella jäseniä pitämään rahat sisällä mahdollisimman pitkään ("rebuy").

Suosittelupalkkiot aina 20 tasoon asti.

Uusia jäseniä ei ole pakko värvätä, mutta monitasoinen palkkiojärjestelmä (lue: pyramidi) houkuttelee siihen. Ylälinja ansaitsee osuuden alalinjan tuotoista aina 20. tasolle asti. 

Esityksen alussa Matti kertoo, että Top-Teamissa on lähes 7000 suomalaista, jotka ovat sijoittaneet keskimäärin 2300 dollaria, joten rahaa on liikkunut yli 15 miljoonaa euroa. Luulisi poliisin tai Finanssivalvonnan kiinnostuvan. 

Amazon Prime tuottama Next Blockchain -sarjan kuudes jakso käsittelee Ryan Xu'ta. Jostain syystä ko. jaksoa ei löydy ainakaan Primen Suomen-versiosta, mutta Youtubessa se on. Jakson aiheena on Bitcoin-louhintalaitteiden kehitys ja siinä Bitmain-yhtiöllä oli ratkaiseva rooli. Jakso ei siis mitenkään liity Hyperfundiin tai muihin Xu'n kyseenalaisiin hankkeisiin.

Verkostoa ei ilmeisesti haittaa, vaikka Ryan Xu on hävinnyt jonnekin Dubaihin, sen jälkeen kuin hänen ja yhtiökumppani Sam Leen edellinen huijaus Blockchain Global kaatui lokakuussa 2021.

Top-Teamilla on ilmeisesti tulevana viikonloppuna esittelytilaisuus Pohjanmaalla. Jos joku ehtii mukaan, olisi kiinnostavaa kuulla lupauksista.

Itselleni ei selvinnyt, mikä on varsinainen tuote tai palvelu, jota tässä myydään. Raha näyttää tulevan vain uusilta jäseniltä. Silloin kyseessä on ponzi-huijaus. MLM-paljastussivuston mukaan rahojen nosto loppui viime joulukuussa, mutta ilmeisesti suomalaisella sisulla homma saadaan pidettyä käynnissä.

Lisäys 8.1.2024: Nyt on Hyperfund sitten hävinnyt bittiavaruuteen, Top-Teamin sivut vievät jonnekin ihan muualle. Matti, Seppo ja Hannu ovat uhreilleen selityksen velkaa. 

Lisäys 31.1.2024 Behindmlm: "HyperFund co-founder Sam Lee and promoter Brenda Indah Chunga have been charged by the SEC. The SEC cites HyperFund as a ~$1.7 billion dollar Ponzi scheme. Lee, an Australian national who fled to Dubai in 2021, and Chunga, aka Bitcoin Beautee, have been charged with multiple violations of the Securities Act." 

Lisäys 30.7.2026 Behindmlm: Rodney Burton tuomittu 32 kuukaudeksi vankeuteen, Sam Lee piileskelee kaiketi Dubaissa. Mitähän Top-Team tästä sanoo? 

Turkkilainen Facebook-huijari joutui huijatuksi - isketään takaisin

Nettikäyttäjien asema on kurja. Huijauksia tulee oikealta ja vasemmalta, eikä niille voi tehdä mitään. Poliisi ei tutki tapauksia ja kaikki on oman tarkkaavaisuuden varassa. Ei tämän näin pitäisi olla. 

Miksi emme maksaisi samalla mitalla ja iskisi takaisin? 

Aamulla sain taas kerran "Voitko antaa minulle matkapuhelinnumerosi?" -Facebook-huijauksen:

Tästä se taas alkaa.

Tällä kertaa päätin kokeilla nöyrän uhrin sijaan jotain uutta. Vastasin myöntävästi ja lähetin puhelinnumeroni:

Lähdetään mukaan huijaukseen.

Kului jonkin aikaa ja puhelimeen tuli nelinumeroinen Microsoftin tunnistuskoodi. Huijaus toimii siis edelleen, eikä Facebook välitä suodattaa huijausviestejä, vaikka se oli teknisesti hyvin helppoa. Mutta kuten Frances Haugen sanoi, Facebook ei viitsi tuhlata rahaa muiden kuin yhdysvaltalaisten suojaamiseen (ZDNet: Facebook gives non-US users less protection from harmful content to save money).

Turkinkielinen Microsoft-ilmoitus paljastaa huijauksen.

Koodi tulee Microsoftilta, mutta saateteksti on turkkia ja ilmoittaa, että "Tämä on Microsoft-koodisi". Huijarin kotimaasta ei ole epäselvyyttä. Syötin Facebookin Messengeriin tietenkin ihan väärän koodin. Jos tässä vaiheessa syöttää oikean koodin, Facebook-tili kaapataan ja sitä käytetään uusien uhrien huijaamiseen. 

Väärä koodi huijarille. 

Taisi olla onnenpäiväni, sillä vääräkin koodi antoi 4050 euron voiton:

Voitto tuli väärälläkin koodilla!

Viimeistään tässä vaiheessa on selvää, että huijaus on varsin työläs - se sitoo huijarin koneen ääreen ja pakottaa tämän käyttämään ahkerasti Googlen käännöskonetta (ellei apuna sitten ole paikallisia suomalaisia).

Huijari tuntee ilmeisen hyvin suomalaiset verkkopankit, koska se osasi kysyä suomeksi pankin nimen ja pyytää käyttäjätunnusta:

Mikä on pankin käyttäjätunnuksesi?

Annoin tähänkin väärän numeron: 

"Odottaa hyväksyntääsi"

Kiusasin huijaria väittämällä, ettei mitään kuitattavaa siirtoa ole näkyvissä. Lopulta hän halusi varmistaa, olinko kirjoittanut numeron oikein. Oli aika viheltää peli poikki.

"Luulen, että olet turkkilainen huijari" - klik.

Olisin halunnut nähdä kaverin ilmeen, kun hän huomaa käyttäneensä aikaa uhriin ja tajuaa tulleensa itse vedätetyksi. Olisin toivonut, että hän olisi avautunut huijausten toimivuudesta, mutta huijari pisti linjan poikki sen kummemmin selittämättä. Olipa tyly kaveri.

Ja nyt se opetus.

Entä, jos ottaisimme tavaksi huijata huijareita, maksaa potut pottuina? Syöttäisimme aina kalastelulomakkeisiin keksittyjä käyttäjätunnuksia ja salasanoja, tilinumeroita ja koodeja. Nykyiset välimieshyökkäykset vaativat huijareilta henkilökohtaista läsnäoloa ja ne vievät aikaa. Näitä ei voi automatisoida vanhojen kalastelujen tai pornokiristyskirjeiden tavoin.

Muutama sana luottokorteista. Satunnaiset numerot eivät enää kelpaa, kalastelusivu hyväksyy vain tarkistusnumeron osalta täsmääviä kortteja. Niitä voi kuitenkin generoida helposti esimerkiksi sivulla https://ccgen.datagemba.com/credit-card-generator/Finland. Kun numero on muodollisesti oikea, huijari joutuu testaamaan sen ja pin-koodin toimivuuden oikeassa verkkokaupassa, mikä lisää hänen työmääräänsä. Lisäksi toistuvat virheveloitukset saattavat laukaista hälytyksen kaupassa tai kortin myöntäneessä pankissa.

Tässä tapauksessa olisin voinut lisätä huijarin tuskaa vastaamalla hyvin hitaasti ja leikkimällä tyhmää, etten muka tietäisi mikä meni pieleen. Se olisi sitonut huijarin huomion pitkäksi aikaa. Ensimmäisen ja toisen viestin välissä kului kolme tuntia, minkä ajan huijari ilmeisesti työsti muita huijauksia. Vuorovaikutteiseen osuuteen kului molemmilta tunti, mutta omat viestit pystyy ajoittamaan sopiviin hetkiin, mikä vain lisää huijarin harmitusta. Microsoft-tukipuheluissa voisi teeskennellä tyhmää ja jättää linjan auki, jotta aikaa kuluu mahdollisimman paljon.

Jos riittävän moni suomalainen toimisi näin, sana voisi levitä ja huijarit oppisivat karttamaan suomalaisia uhreja tietäen, että huijarien huijaaminen on maan tapa.

Lopuksi varoituksen sana: huijaamisessa on omat riskinsä, eikä sitä kannata tehdä ellei tiedä, mihin on ryhtymässä. Väärien tietojen syöttäminen voi jossain tapauksissa olla vastoin lakia. Aina voi tosin vedota näppihäiriöön, eivätkä huijarit tule Suomeen vaatimaan oikeutta itselleen.

Sekin on mahdollista, että puhelinnumeroni päätyy huijarin kostona häirikkösoittajille tai muihin huijauksiin. Valitettavasti tämä huijaus ei toimi ilman oikeaa puhelinnumeroa, joten otin riskin.

Jotain pitäisi kuitenkin tehdä. Emme voi aina kääntää toista poskea ja olla kilttejä uhreja.

Lisäys klo 21.30: Huijari tekee pitkää päivää. Illalla tuli vielä saman uhrin kaapatulta Instagram-tililtä uusi houkuttelu. 

Instagram: "Voitko antaa minulle matkapuhelinnumerosi?"

Vastakysymys on jäänyt roikkumaan, ilmeisesti huijari pyörittää rinnakkain monia muitakin istuntoja. Jos vastaa, annan tällä kertaa toisen puhelinnumeron, jotta ei tunnista osuneensa uudelleen samaan uhriin.

Hyvä kuitenkin muistaa, että samaa huijausta levitetään myös Instagramissa.