Uusi uhka tietoturvalle: e-sim

Helsingin Sanomat kertoi 25.3.2026 pankkihuijauksesta, jossa e-sim tekniikalla oli merkittävä rooli. Tällaisia huijauksia on osattu odottaa, poliisi varoitti asiasta jo viime syksynä omalla tiedotteellaan: Poliisi varoittaa puhelinliittymien kaappauksista. Liittymän kaappaaminen (sim swapping) on ollut ennenkin mahdollista, mutta e-sim tekee sen entistä helpommaksi.

Mikä siis on e-sim (eSIM)? Perinteinen SIM (Subscriber Identity Module) on pieni muistkortti (oik. älykortti), johon operaattorin asiakkuus on sidottu. Kymmenkunta vuotta sitten markkinoille tulivat ensimmäiset puhelimet, joihin sim-toiminnallisuuden voi ladata ohjelmallisesti suoraan verkosta. Tästä käytetään nimitystä e-sim. 

Esimerkiksi turisti voi ostaa helposti paikallisen liittymän jo ennen matkaa (tai sen aikana), ja näin välttää kalliit roaming-hinnat reissun aikana. Itse olen käyttänyt Airalo-palvelua ja se on toiminut hyvin. Puhelimessa voi olla useita liittymiä, joita vaihdetaan puhelimen asetuksista tarpeen mukaan. Oikein näppärää - mutta juuri siksi myös vaarallista. 

Verkkopankissa riski on suurin niillä, joiden tunnistus perustuu tekstiviestillä saataviin koodeihin eikä pankin omaan todennussovellukseen. Kaappaamalla liittymän itselleen rosvo pystyy tyhjentämään tilin, koska hän saa kaikki koodit ja lisävarmistukset itselleen.

Mitä tapahtui?

Tässä tapauksessa uhri yritti kirjautua Omavero-palveluun, ja kirjoitti iPadin osoitekenttään pelkän sanan Omavero. Se on tietenkin virhe, osoite pitäisi kirjoittaa aina kokonaisena, eikä luottaa hakukoneeseen. Uhri päätyi valesivulle, jolle hän yritti ensin kirjautua oikeaoppisesti mobiilivarmenteella. Se antoi kuitenkin virheilmoituksen (usein merkki huijaussivusta). Sen jälkeen uhri kokeili Aktian pankkitunnistusta. Hän syötti tunnukset neljä kertaa muutaman minuutin aikana, mutta virheilmoitus toistui itsepintaisesti.

Lopulta asiakas luovutti, mutta rosvot olivat jo saaneet haluamansa. Liittymän siirto e-simille vaati Telian sivulla kaksi vahvaa todennusta ja QR-koodin, joka näkyi rosvoille. Uhrin puhelimeen tuli vain viesti, että e-sim on aktivoitu.

Sen jälkeen liittymä lakkasi toimimasta alkuperäisessä puhelimessa ja rosvoilla oli täysi hallinta uhrin tilille. Rosvot yhdistivät rahaa toiselta tililtä päätilille ja ottivat vielä luottoa, minkä jälkeen kaikki siirrettiin Italiaan. Uhri menetti yhteensä 23 632 euroa. Vastaanottajien tileissä näkyy kaksi marokkolaista naisten nimeä, luultavasti muuleja. Myös ip-lokitieto viittaa Marokkoon.

Uhri ei ollut koskaan aiemmin siirtänyt rahaa ulkomaille. Eri tileillä olevien varojen yhdistämisen, luoton ottamisen ja sen jälkeen tilin tyhjentämisen olisi pitänyt olla punainen lippu pankille, mutta sen järjestelmät eivät reagoineet. Kiitos EU:n pikamaksun rahat lähtivät muutamassa sekunnissa Italiaan ja hävisivät. 

Uhri huomasi asian vasta seuraavana aamuna, kun hänen puhelimensa oli lakannut toimimasta. Yhteydenotto pankkiin toisella puhelimella ei enää auttanut, rahat olivat poissa. Poliisi otti vastaan rikosilmoituksen, mutta lopetti tutkinnan viikon päästä, koska summa oli alle 10 000 euroa ja kyse kansainvälisestä rikollisuudesta. Koko summa oli yli 20 000 euroa, mutta tiedon korjaaminen ei enää vaikuttanut poliisin toimintaan.

Onneksi tällä kertaa FINE asettui uhrin puolelle ja suositteli Aktiaa korvaamaan vahingon. Vaikka asiakas oli kieltämättä huolimaton, pankki itse oli vielä huolimattomampi. 

Pankkien ja operaattorien vastuu?

Aktia-pankilla on oma todennussovellus, joka olisi luultavasti estänyt rahojen siirron. Sen kuittaus on sidottu nettiyhteyteen ja laitekohtaiseen tunnisteeseen, ei liittymän puhelinnumeroon. Miksi Aktia edes sallii vanhan ja turvattoman menetelmän käytön? Varmaan siksi, ettei kaikilla asiakkailla vieläkään ole älypuhelinta. Se ei kuitenkaan vapauta pankkia vastuusta: kaikkien tunnistustapojen pitää olla asiakkaalle turvallisia. Pankilla on tiedollinen ylivoima, joka tuo vastuuta. 

Uhri luuli kirjautuvansa Omaveroon, mutta koodit tulivatkin kirjautumisesta pankkiin. Tämä tieto ei näkynyt tekstiviestissä, vaikka se olisi ollut helppo lisätä. Tekstiviesti oli samanlainen myös Telian liittymäsiirtoa tehtäessä. Kohteen maininta tekstiviestissä voi olla teknisesti mahdotonta, mutta ainakin pankin oma kirjautuminen pitäisi näkyä viestissä ("Olet kirjautumassa Aktian pankkipalveluun..." vs. "Olet kirjautumassa johonkin muuhun kuin Aktian palveluun, varmista osoitteen oikeellisuus").

Telian e-sim -aktivointiviesti ei myöskään sisältänyt mitään varoitusta luvattomasta käyttöönotosta. Tämän pitäisi olla yleinen käytäntö, kuten nettipalvelujen sähköposti-ilmoitukset osoittavat: "Yrititkö kirjautua tilillesi... jos et ollut sinä, vaihda salasanasi" tms. Uhri ei ymmärtänyt, mikä on e-sim, ja miksi hän sai siitä operaattoriltaan ilmoituksen.

Tämä jaksaa aina ihmetyttää minua. Pankkien ja operaattorien pitäisi tietää riskit. Heillä on tietoturvaihmisiä, jotka työkseen seuraavat uhkia ja tapahtumia maailmalla. Silti he eivät mieti väärinkäytön mahdollisuuksia ja varaudu niihin ennakolta. Kaikki jää asiakkaan vastuulle ja ongelmat ovat hänen omaa huolimattomuuttaan.

Monella on myös vääriä käsityksiä nykyisten suojakeinojen toimivuudesta, vaikka ne on tehty erilaiseen uhkaympäristöön. Kuvitellaan, että pankkien siirtorajoitukset estävät vahingot, koska sama periaate toimii pankkiautomaateilla. Verkkopankissa se ei auta, sillä jos tilin saa hallintaansa, rajoitukset voi poistaa. Osa pankeista tekee sen vielä helpommaksi sallimalla lennossa kielen vaihdon englanniksi.

Tai että "ei vaaraa, koska siirtoihin/sim-tilaukseen vaaditaan vahva tunnistaminen". Rosvot osaavat kiertää nämä huijaamalla uhria. Edes IT-ammattilaiset eivät aina näe heikkouksia siellä, missä ne ovat, koska he luottavat liikaa teknisiin suojakeinoihin. Yksi syy tähän on salailu: pankit eivät kerro tapauksista julkisesti vaan vetoavat aina tietosuojaan.

Olen ehdottanut pankeille käytännön turvaparannuksia niin monta kertaa, että toistan ne vain lyhyesti: viiveelliset siirrot ulkomaille, ulkomaansiirtojen lukitus jos ei siirtoja ulkomaille kahteen vuoteen, isojen siirtojen lisävarmistus etukäteen nimetylle varahenkilölle, tilin tyhjennyksen + luoton estäminen ilta-aikaan... Kaikki nämä keinot ovat Ruotsin pankeilla käytössä, Suomessa ei kellään. Kukaan ei halua olla ensimmäinen, koska silloin muut pankit joutuisivat seuraamaan, ja se maksaisi.

Suomi oli joskus verkkopankkien turvallisuuden edelläkävijä. Nykyinen tilanne harmittaa ja suututtaa. Sekin harmittaa, ettei asia tunnu kuuluvan kenellekään. Odotetaan, että markkinat ratkaisevat ongelman. Lupauksista huolimatta mitään näkyvää ei ole tapahtunut. Pankit eivät halua nähdä vaivaa ja hankkia lisäkustannuksia, ellei niitä velvoiteta siihen.

Niinpä ongelmista räksyttäminen jää minulle, vaikka olen ulkopuolinen enkä haluaisi kritisoida pankkeja tai operaattoreita.

Lopuksi erittäin tärkeä neuvo: varmista omalta lähipiiriltäsi (isä, äiti, isoisä, isoäiti ym) ettei heillä ole käytössä pelkkään tekstiviestitunnistukseen perustuvaa verkkopankkia. Tekstiviesteihin ei voi enää luottaa!

PS. E-sim mahdollistaa myös tupla-sim-huijauksen, jossa rosvo voi saada tekstiviestillä tulevat varmistuskoodit huomaamatta omaan puhelimeensa. 

Lisäys 28.5.2026: Poliisi varoittaa käynnissä olevista e-sim-huijauksista: https://www.is.fi/digitoday/tietoturva/art-2000012039052.html

Digijäteille lisää vastuuta huijauksista - niin myös pankeille

"Miljardivoitot ja nollavastuu eivät sovi yhteen - EU vetää alustajättejä vastuuseen huijausten mahdollistamisesta", otsikoi Finanssiala viime perjantaina tiedotteensa. Ja toden totta - on kestämätöntä, että sosiaalisen median yritykset voivat ilman seurauksia julkaista huijausmainoksia, joihin uskoneet asiakkaat menettävät rahansa.

Reuters uutisoi äskettäin Metan sisäisistä tiedoista, joiden mukaan jopa 10 prosenttia sen vuonna 2024 myymistä mainoksista liittyi huijauksiin ja muihin epäilyttäviin toimiin. Taloudellisesti Meta hyötyi huijauksista jopa 16 miljardia dollaria.

Ei ihme, ettei jättämilläsi ilmiannoilla tunnu olevan mitään vaikutusta. Samat huijaukset pyörivät Facebookissa vuodesta toiseen. Vaikka yritys seuraa tarkasti käyttäjiään ja tuntee heidät läpikotaisin, se tuntuu aivan kädettömältä estämään samojen mainosten ilmestymistä yhä uudelleen ja uudelleen.

"Miljardivoitot ja nollavastuu eivät sovi yhteen" on osuvampi otsikko kuin tiedotteen laatija ehkä huomasikaan. Sama pätee nimittäin Finanssialan omiin jäseniin eli pankkeihin. Niilläkin tuntuu olevan nollavastuu huijauksista, sillä onnistuneet huijaukset voi melkein aina vierittää asiakkaan törkeän huolimattomuuden piikkiin.

Euroopan neuvosto ja parlamentti ilmoittivat 27.11.2025 päässeensä alustavaan sopuun uudesta maksamisen sääntelystä (Payment Services Regulation), minkä yhteydessä vanha PSD2 korvataan uudella PSD3:lla. Pankkien vastuu huijausten havaitsemisesta lisääntyy varsinkin tapauksissa, joissa uhrille on soitettu työntekijän tai viranomaisen nimissä. Pankeille suunnitellaan myös velvollisuutta kertoa havaitsemistaan uhkista muille pankeille, siis päinvastoin kuin nyt.

Ymmärrettävästä syystä Finanssialan tiedote ei mainitse pankkeja koskevasta osuudesta mitään, onhan kyse alan etujärjestöstä. 

Finanssialaa valvoo Suomessa Finanssivalvonta. Sillä on töissä vajaat 300 ihmistä, jotka valvovat 1177 yritystä tai rahoitusalan toimijaa. FiVan toimintavaltuudet ovat kuitenkin hyvin rajalliset. Se itse voi antaa vain suosituksia, joiden noudattaminen on pankkien omassa harkinnassa. 

Tällä hetkellä suosituksena on, että pankit tarjoavat asiakkaiden tilisiirtoihin kerta- ja vuorokausimääräiset ylärajat, mutta tätäkään suositusta kaikki pankit eivät vielä ole noudattaneet. Suositus ei auttaisi rosvoihin, jotka saavat tilin haltuunsa tai huijaavat uhria itseään siirtämään rahat, joten sen merkitys on joka tapauksessa vähäinen.

Taitaa olla myös niin, että tilille päässyt rosvo voi perustaa uuden tilin, ja sitä eivät koske aiemmat rajoitukset. Sen jälkeen hän siirtää rahat vanhoilta tileiltä tälle uudelle (ei vaadi todennusta, koska sisäinen tilisiirto) ja lopulta sitten ulos itselleen. Tässäkään skenaariossa siirtorajoilla ei ole merkitystä. 

FiVan järeämmät oikeudet rajoittuvat niiden säädösten valvontaan, joita eduskunta ja EU ovat asettaneet. Toistaiseksi niitä on melko vähän, koska globaali pankkiasiakkaiden huijausbisnes on niin uutta. FiVa ei voi itse antaa pakottavia määräyksiä. Tästäkin syystä PSD3 tuo huomattavan parannuksen.

"Nyt vastuuta palautuu sinne, missä on myös vaikutusmahdollisuuksia", toteaa Ahosniemi tiedotteessa digijäteistä. 

Juuri niin. Pankkien asiakkaat kiittävät.

Pikaista parannusta on silti turha odottaa. Lopullista tekstiä odotetaan 2026 keväällä ja sen jälkeen alkaa jopa parin vuoden mittainen siirtymävaihe. Jos huijaussoitot ja mobiilipankin aktivointi rosvon laitteessa onnistutaan vuoteen 2028 mennessä estämään, rosvoille jää runsaasti aikaa keksiä uusia temppuja.

Itä-Suomen poliisi näyttää mallia paljastaessaan verkkohuijarien koko kirjon, ja se on kauhistuttava

Itä-Suomen poliisilaitos on taas ollut kiitettävän avoin ja julkaissut kuvauksen joistakin lokakuun 2025 aikana sen tietoon tulleista nettihuijauksista. Lista on pitkä ja tapahtumainkuvaukset saavat ihmettelemään sekä rikollisten röyhkeyttä että kekseliäisyyttä. Poliisin mukaan "nämä ovat vain poimintoja paljon isommasta juttumassasta", joten todellinen tilanne on vielä synkempi.

Pieni pätkä huijauskuvauksista Hesarin uutisesta.

Esiin nousevat varsinkin turvatili- ja kryptovaluuttahuijaukset. Uhreina ovat enimmäkseen vanhemmat ihmiset, mutta kryptohuijauksissa on myös keski-ikäisiä. Jos tässä on pieni lista yhden poliisipiirin alueella yhdessä kuussa jätetyistä rikosilmoituksista, miten synkkä mahtaakaan olla koko Suomen tilanne?

Pikanttina yksityiskohtana on tapaus, jossa soittaja kertoi uhrin puhelimessa olevan niin pahan viruksen, että pankin turva-asiantuntija tulee hakemaan sen puhdistettavaksi. Saatuaan puhelimen "turva-asiantuntija" oli ilmeisesti puhdistanut myös tilin. 

Tapausselostukset ovat opettavaista luettavaa. Niistä kannattaa varoittaa omia vanhempia ja isovanhempia. Edelleen ihmettelen, miksei Yleisradio ota koppia asiasta ja lähetä televisiossa iltaisin tietoiskuja huijausten välttämiseen. Televisio tavoittaisi hyvin kaikkein haavoittuvimman kohderyhmän ja toisto saisi asian menemään perille. 

Mutta ei. Samoja keskusteluja turvallisuuspolitiikasta ja Venäjän uhkasta illasta toiseen. 

Itä-Suomen poliisilaitos tuntuu olevan ainoa taho, joka edes yrittää tehdä asialle jotain. Muille viran- ja asianomaisille nettirikolliset vaikuttavat olevan niin hankala pala, ettei konkreettisia toimia saada aikaan. Edes muut poliisilaitokset eivät julkaise vastaavaa listaa. Terveisiä ja kiitokset sinne Kuopioon!

Muilla toimijoilla ei ole resursseja, ei kuulu meidän vastuulle, olisi tehotonta, pitäisi keksiä jotain uutta... helpompaa jatkaa entiseen malliin. Tekemisen tahtotila ja kunnianhimo puuttuvat. Ilahduttavana poikkeuksena ovat Traficomin puheluestot ja sms-rekisteröinti, vaikka puheluestojakin pidettiin aluksi mahdottomina toteuttaa. Kun on tahtoa, tie yleensä löytyy.

Pankit korostavat tekevänsä paljonkin, vaikka teot eivät näy julkisuuteen. Tämän listan perusteella työtä riittää vielä. Odotan kiinnostuneena koko vuoden tilastoja. Jos huijauksissa menetettyjen rahojen määrä on edelleen kasvanut, pankkien strategia ei selvästikään riitä.

Sitä odotellessa yksikään pankki ei halua livetä ruodusta ja tehdä turvallisuudesta pankkipalvelujen kilpailutekijää, koska se aiheuttaisi kustannuksia ja pakottaisi muut toimimaan samoin.

Vielä yksi ajatus: miksi nettirikollisuus saa rehottaa näin vapaasti? Jos kyse olisi väkivallasta, rasismista, raiskauksista, lapsen oikeuksista tai melkein mistä tahansa muusta rikoslajista, jokin viranomainen tai uhreja edustava järjestö olisi jo nostanut metelin asiasta. 

Nettirikollisuuden uhrit jäävät yksin ja saavat nuolla haavansa itse. Oma vikansa, kun menivät halpaan.

Lisäys: Puhelimen noutava huijari olikin jäänyt jo kiinni, eikä kyse ollut yksittäisestä tapauksesta: Huijauspuhelun jälkeen rikollinen tulee hakemaan pankkikortin ovelta – Uskomaton rikossarja käynnissä pitkin Suomea

Kannan huolta pankkihuijauksista, koska kyse ei ole yksinomaan pankeista vaan koko suomalaisen verkkoasioinnin tulevaisuudesta. Siihen liittyvä kolumnini Tivi-lehdestä. 

Digiturva horjuu – Tämä taho voisi pelastaa suomalaisten luottamuksen

Suomalaiset ovat luottavaista kansaa. Luotamme viranomaisiin, painettuun sanaan ja toisiin suomalaisiin. Mutta edes suomalainen luottamus ei kanna loputtomiin.

Digi- ja väestötietovirasto teettää vuosittain Digibarometri-kyselyn, joka mittaa kansalaisten asenteita tietoturvaan ja verkkoasiointiin.

Tämän syksyn tulosten perusteella 38 prosenttia vastaajista kokee luottamuksensa digitaaliseen turvallisuuteen heikentyneen, kun viime vuonna näin tunsi 36 ja sitä edellisenä ainoastaan 28 prosenttia.

Luottamuksen rapistuminen on huolestuttava trendi, sillä ensi vuoden alusta viranomaiset alkavat viestiä kansalaisiin päin ensisijaisesti sähköisesti. Paperiposteista ja lomakkeista halutaan eroon.

Miten sähköinen kanava voi toimia, jos kansalaiset eivät luota verkkoasiointiin? Moni ei uskalla enää avata edes sähköposteja eikä vierailla nettisivuilla pelätessään, ettei erota niitä huijauksista.

On oikeastaan ihme, että luottamus on näinkin korkealla tasolla, sillä turvallisuuden tunne on psykologiaa. Uutiset huijareista ja digitaalisista pankkirosvoista huolestuttavat kokenuttakin nettikäyttäjää.

Tilanne ei kuitenkaan ole toivoton. Digibarometrin mukaan 11 prosenttia kokee luottamuksensa jopa vahvistuneen, kun vastaava luku vuosi sitten oli kymmenen ja kaksi vuotta sitten vain yhdeksän prosenttia.

Kaikkialla yleistyvä polarisaatio jakaa käyttäjiä voittajiin ja häviäjiin myös turvallisuudessa. Vuoteen 2023 verrattuna voittajien määrä on kasvanut kaksi prosenttiyksikköä, häviäjien kymmenen prosenttiyksikköä. Entistä harvemman luottamus säilyy ennallaan.

Voittajia ovat ne, jotka jaksavat seurata asioita ja kehittää omaa osaamistaan. Huijauksista uutisointi ja tapausten avaaminen julkisuuteen auttavat välttämään niitä omalla kohdalla.

Häviäjät nostavat kädet pysytyn ja ripustavat hiiren naulaan. He katsovat pudonneensa kelkasta ja asioivat verkossa vain, kun on pakko.

Jotta yhä useampi saataisiin häviäjistä voittajien puolelle, tarvitaan uusia toimia.

Medialla on keskeinen rooli turvallisuuden tunteen luomisessa. Moni kyberhyökkäystä tai hybridivaikuttamista hehkuttanut uutinen on myöhemmin paljastunut tavalliseksi rikollisuudeksi tai tahattomaksi tekniseksi ongelmaksi.

Ei ole viisasta, että teemme hybridiuhkien uutisoinnista itse hybridiuhkan.

Kriittisin sähköisen asioinnin kohde on oma pankki. Uutiset tilien tyhjentämisestä pelottavat enemmän kuin vanhan ajan pankkiryöstöt. Niissä vahinko jäi pankin tappioksi, kun taas digirosvon uhri joutuu nuolemaan haavansa itse.

Tähän asti pankkien ulospäin näkyvät toimet luottamuksen vahvistamiseksi ovat jääneet vähäisiksi, mutta jatkossa voi olla toisin.

Korkein oikeus otti äskettäin käsittelyyn pankkiasiakkaan törkeän huolimattomuuden arvioinnin. Huijaukset ovat yhä kehittyneempiä, joten huolellinenkin asiakas voi joutua uhriksi. KKO:n linjaus toivottavasti selkeyttää tilannetta ja lisää painetta pankkien suuntaan.

Yksi luottamusta lisäävä tekijä ovat rangaistukset. Välillä tuntui, että verkkorikollinen pääsee aina kuin koira veräjästä. Viime aikoina poliisi on kuitenkin pystynyt selvittämään muutamia isoja tapauksia, kuten Vastaamon tietomurron, S-pankin tilien tyhjennykset sekä laajan huijaussoittojen verkoston.

Jokainen yritys voi osaltaan lisätä luottamusta huolellisella viestinnällä. Koneellisesti käännetyt nettisivut ja tekoälyn kirjoittamat sähköpostit vievät turhaan uskottavuutta.

Jos luottamuksen laskevaa trendiä ei saada käännettyä, Suomi ajautuu vaikeuksiin. Lisääntyvä vanhusväestö pitäisi tavalla tai toisella saada mukaan sähköiseen itsepalveluun.

Yksi toimija voisi olla keskeisessä roolissa: Yleisradio. Ikääntyvät ihmiset ovat television suurkuluttajia. Ylen ajankohtaisohjelmat paukuttavat heille joka ilta samaa virttä talouden vaikeuksista, Venäjän uhkasta ja Gazan sodasta.

Etäisten uhkien sijaan Yle voisi pyörittää joka ilta tietoiskuja, joissa varoitettaisiin yleisistä huijauksista ja opastettaisiin digiajan vaaroihin. Riittävällä toistolla tieto uppoaisi myös alkavasta muistisairaudesta kärsivään mökin mummoon.

Kansalaisten sivistäminen digiaikaan jos mikä olisi Yleisradion lakisääteistä julkista palvelua ja hyödyttäisi koko suomalaista yhteiskuntaa.

Hätätilassa riko lasi ja soita 020 333

Edellisessä kirjoituksessa iäkäs uhri teki virheen, kun lähti keskipäivällä vanhasta muistista pankkiin selvittämään huijausepäilyä. Hänen tapauksessaan konttori ei ollut auki, mutta useimmille käynti konttorissa ei ole edes mahdollinen, koska niitä ei käytännössä ole. Lisäksi huijarit iskevät usein iltaisin, etenkin perjantai-iltaisin, koska tietävät, että asian selvittely pankissa alkaa vasta viikonlopun jälkeen.

Seitsemällä pankilla on kuitenkin yhteinen sulkunumero 020 333, johon soittamalla pystyy sulkemaan sekä luotto/pankkikortit että verkkopankkitunnukset. Jos siis epäilee haksahtaneensa huijaukseen, nopea soitto numeroon voi vielä pelastaa tilanteen. Numero kannattaa ohjelmoida puhelimeen valmiiksi kansainvälisessä muodossa +358 20 333, jotta se toimii myös vahingon sattuessa ulkomailla.

Kyse on vanhasta luottokorttien sulkunumerosta, joten se päivystää 24/7. Jostain syystä pankit eivät ole pahemmin mainostaneet, että Netsin (entinen Luottokunta) hoitama numero pystyy sulkemaan myös verkkopankin.

Järjestelmässä ovat mukana S-pankki, Nordea, Säästöpankki, OmaSP, POP, Ålandsbanken ja Hypoteekkiyhdistys. OP:lla on oma numero 0100 0555 ja Danskella 0200 2585.

Kannattaa selvittää jo etukäteen, mikä on oman sekä (iso)vanhempien pankin numero. Paniikissa ja kiireessä, ehkä illalla viinilasinkin jälkeen sitä on myöhäistä kaivaa esiin. Yhteisnumeron muistamista helpottaa sääntö "kolme kolmosta".

Kiitos pikamaksun tilisiirrot liikkuvat kaikkialla EU-alueella 10 sekunnissa maasta toiseen. Jos huijari iskee, on todella kiire toimia. 

Älä epäröi tarvittaessa vaikka rikkoa lasia, kunhan soitat heti!

Eräs pankkihuijaus avattuna - nämä opit varoitukseksi kaikille

Pankkihuijauksissa pankeilla on tiedollinen ylivoima. Ne vetoavat pankkisalaisuuteen eivätkä kerro tarkemmin, miten huijaus onnistui. Se on tavallaan ymmärrettävää, koska silloin wanna-be huijarit eivät saa turhaan opetusta. Toisaalta tapausten avaaminen auttaisi muita suojautumaan ja arvioimaan, ovatko pankkien omat ohjeet ja suojaustoimet riittäviä. Nyt tässäkin kaikki valta on pankeilla itsellään.

Pahinta on, etteivät uhrit itsekään saa kaikkia tietoja. Moni ihmettelee, miten kummassa eläkesäästöni vietiin, vaikka en antanut tunnustani mihinkään. Kafkamainen tilanne. Uhrit uskovat, että puhelimessa (tai jopa pankin järjestelmässä) on täytynyt olla haittaohjelma.

Pankit vaikenevat, mutta Vakuutus- ja rahoitusneuvonta FINE avaa päätöksissään tapahtumien taustoja. Esimerkiksi elokuussa annettu lautakunnan ratkaisu FINE-72843-D4F5P4 käsittelee kahden vuoden takaista tapahtumia. Tapahtumainkuvaus vaikuttaa hyvin samanlaiselta kuin eräässä tämän kevään tapahtumassa. Siinäkin uhri on ymmällään mitä hänelle oikein tapahtui.

FINEn ratkaisu on pitkä, joten yritän tiivistää siitä avainkohdat. Uhri oli saanut pankilta tekstiviestin, jonka mukaan verkkopankki ja pankkikortti on jäädytetty epätavallisen toiminnan vuoksi. Viestissä oli linkki pankkia muistuttavaan com-loppuiseen osoitteeseen, jonka luvattiin palauttavan käyttöoikeuden. 

Uhri meni halpaan ja syötti valesivulle pankkitunnuksensa. Sen jälkeen alkoi tapahtua.

Pankki lähetti englanninkielisen (!) tekstiviestin "Read carefully!..." jossa kerrottiin pankkitunnusohjelman asentamisesta uuteen puhelimeen ja annettiin koodi 03705, joka piti syöttää pankin mobiilisovellukseen.

Saatuaan uhrin tilin näin haltuunsa rosvot siirsivät kolmella Visa-kortin pankkisiirrolla 36 500 euroa, luottokortilta 1258 euroa Revolut-pankkiin ja ottivat vielä 15 000 euron täsmäluoton. Kaikki menivät läpi pankin järjestelmistä, vaikka tunnistusvälineen aktivointi juuri siirtoja ennen uudessa laitteessa oli selkeä hälytysmerkki.

Ensimmäinen tekstiviesti tuli maanantaina 24.7.2023 klo 11.03 irlantilaisesta numerosta. Yli 70-vuotias uhri lähti välittömästi selvittämään asiaa pankin konttoriin, mutta havaitsi konttorin olevan suljettu.

Samaan aikaan rosvot hakivat uhrin operaattorilta eSIM-kortin ja siirsivät uhrin puhelinnumeron itselleen, jolloin uhrin soitto pankin turvallisuusnumeroon katkesi kesken puhelun. Uhri soitti uudelleen vaimonsa puhelimella ja sai pankkitunnukset kuoletettua. Vahinko oli kuitenkin jo tapahtunut. Kokonaisuutena tapahtumiin kului 2 tuntia 10 minuuttia. Tästä varsinaiset siirrot ja sulku toteutuivat 37 minuutin sisällä.

FINE-lautakunnan neljän jäsenen yksimielinen kanta on, että uhri oli toiminut törkeän huolimattomasti eikä se suosita korvauksia. Koko tappio jää uhrin itsensä maksettavaksi, ellei hän lähde käräjöimään asiasta oikeuteen ja onnistu vakuuttamaan tuomaria. Siinä vielä kukaan ei ole onnistunut.

Tapaus herättää lukuisia kysymyksiä, joiden reiluutta jokainen voi mielessään arvioida. Avainkohtia ovat nähdäkseni seuraavat:

• Uhri ei tiedä, miten rosvot pääsivät hänen tililleen. Uhrin mielestä mobiilipankkiohjelmassa oli tuolloin mahdollisuus liittää pankkikortti Google Pay-järjestelmään ilman pankkikortin tietoja, eikä liittäminen vaatinut erillistä vahvistamista.
• Uhrin mielestä Android-selaimessa on ollut päällä automaattinen tekstiviestin vahvistuskoodi, joka on syöttänyt pankin lähettämän turvakoodin automaattisesti. Uhri ei ollut tietoinen tästä automatiikasta (olisitko itse ollut?) eikä huomannut sitä. Pankit eivät ole varoittaneet tästä ominaisuudesta (ei tullut itsellekään mieleen, vaikka olen seurannut useita tapauksia).
• Tekstiviesti on tullut englanniksi, eikä uhri ole täysin ymmärtänyt sen sisältöä. Rosvot olivat vaihtaneet nettipankin kielen englanniksi hämätäkseen uhria.
• Kuin kirsikkana kakun päällä pankki on vielä klo 16 lähettänyt uhrille tekstiviestillä linkin palautekyselyyn (ilmeisesti luokkaa "kuinka hyvin palvelumme tänään onnistui?").
• FINEn ratkaisukäytännön perusteella tunnusten ja avainlukulistan koodin syöttäminen valesivulle ei vielä ollut törkeän huolimatonta, mutta uhrin reagointi mobiilisovelluksen asentamiseen liittyvään englanninkieliseen viestiin oli.
• Pankin mielestä korttitietoja ei voi saada pankin nettipalvelusta, vaan uhrin on täytynyt kirjoittaa tiedot ja antaa aktivointikoodi. Uhri itse kiistää tämän.
• Vastineessaan pankki pahoittelee asian selvittämiseen liittyvää viestinnän epäselvyyttä reklamaatioprosessin aikana; viestintä uhrin suuntaan kärsi, koska tietopyyntöjä selvitettiin usean eri tahon toimesta eikä tieto kulkenut luotettavalla tavalla. Pankki tulkitsi aikajanaa aluksi väärin ja korvasi 96 euron tilisiirron vasta yli vuosi tapahtumien jälkeen.

Jos ilmoitus olisi ollut suomeksi, uhri olisi varmaankin reagoinut siihen paremmin. Tältä osin ratkaisu toteaa seuraavaa: "lautakunta on katsonut, että pankin vastuulla puolestaan on, että pankin asiakkaalle lähettämät viestit ovat sisällöltään ymmärrettäviä... Pankkilautakunta on ratkaisukäytännössään (kuten FINE-057082, annettu 6.6.2024) katsonut, että mikäli asiakas ei kielimuurin vuoksi ymmärrä tai voi olla varma, mihin esimerkiksi pankin tekstiviestitse toimittama koodi on tarkoitettu, tulisi hänen huolellisesti toimiessaan keskeyttää asiointinsa ja olla esimerkiksi yhteydessä pankkiinsa varmistuakseen menettelyn tarkoituksesta ja asianmukaisuudesta. Pankkilautakunta katsoo tässäkin tapauksessa, että asiakkaan olisi vetoamastaan kielimuurista huolimatta ja myös kielimuurista johtuen tullut ymmärtää keskeyttää asiointinsa, koska hän ei ole voinut varmistua pankilta tekstiviestitse saamansa koodin käyttötarkoituksesta."

Toisin sanoen pankeilla on velvollisuus viestiä asiakkaille ymmärrettävästi, mutta jos viestit tulevat vieraalla kielellä, vastuu siirtyy uhrille. Tämä on aika kova linjaus.

Miksi ihmeessä pankit sallivat asiointikielen vaihdon, jolla huijataan uhreja? Kuinka moni asiakas haluaa oikeasti kesken pankkiasioinnin vaihtaa palvelun kielen suomesta englanniksi?

Pankki tai lautakunta eivät pysty kertomaan tarkasti, minkä virheen uhri on tehnyt, mutta päättelevät hänen toimineen väärin, koska muutakaan selitystä ei ole. Säästönsä menettäneen uhrin kannalta tämä on tylyä. Pitäisikö pankin järjestelmien olla sellaisia, että niissä jäisi riittävä ja myös käyttäjän ymmärtämä jälki kaikesta tapahtuneesta?

Pankeilla on aina ollut tekninen ja juridinen tiedon ylivoima. Miksei niiden järjestelmä havainnut selkeää rosvousta ja estänyt sitä? Pankin olisi pitänyt soittaa asiakkaalle eikä päinvastoin.

OP-pankin selkeä ilmoitus uuden puhelimen aktivoinnista (ei liity tähän tapaukseen).

Ei ole oikein, että pankkitunnuksilla voi sulkea tai siirtää uhrin puhelinliittymän, jolloin kaikki uudet vahvistuskoodit ja varoitukset tulevat rosvon puhelimeen. Yksikin virhe voi siis johtaa koko tilin hallinnan menettämiseen. Tilille asetetuilla siirto- tai maksurajoituksilla ei ole merkitystä, koska rosvo poistaa ne. Yllä olevan kuvan varoitus on siis äärimmäisen tärkeä lukea ja ymmärtää! 

Tämä asetus kannattaa tarkistaa Android-puhelimissa.

Onko automaattinen tekstiviestikoodin syöttö vielä käytössä sivustoilla? Ilmeisesti kyse on tästä ominaisuudesta, joka voi olla vaarallinen. Kannattaa tarkistaa Asetukset > Google > Kaikki palvelut > Vahvistuskoodit tekstiviestillä.

Kun lautakunta kerran avaa tapahtumat näinkin selvästi, mikseivät pankit itse voi tehdä samaa? Tässä on paljon opittavaa kaikille.

Nähdäkseni pankit eivät ole myöskään mainostaneet tarpeeksi pankkitunnusten sulkunumeroa. 

Tekstiä täydennetty 3.11.2025

Vielä ideoita verkkopankin tietoturvan kehittämiseen (4)

Tämä on neljäs ja tällä erää viimeinen kirjoitukseni todennuksen ja verkkopankkien turvallisuudesta. 

Pistää vihaksi, että huijarit tyhjentävät vanhusten elinikäiset säästöt, eikä kukaan voi tehdä mitään. Tuoreen Ylen uutisen mukaan poliisi saa 200-500 ilmoitusta kuukaudessa kalasteluista, joissa menetetään 2-4 miljoonaa euroa.

Tuore esimerkki on Kokkolasta, jossa 88-vuotiaan lääkärin tililtä vietiin 88 409,09 euroa. Uhri oli erehtynyt syöttämään S-pankin tunnukset kalastelusivulle, jolloin rosvot saivat asennettua verkkopankin omaan puhelimeensa ja tyhjensivät tilin yön aikana yli sadalla erillisellä siirrolla. Eikä pankki huomannut mitään.

Uuden päätelaitteen käyttöönotto ja heti seuraavana yönä tilin tyhjentäminen on niin selvä merkki rikoksesta kuin vain voi olla. Sen tunnistamiseen ei tarvita edes tekoälyä, muutama IF-lause riittää. Jos pankin valvonta ei  havaitse näin räikeää tekoa, pankki on itse toiminut huolimattomasti.

Miksi uhri hyväksyi rikollisten tunnistuspyynnön? Hän oli samaan aikaan itse asioimassa verkkopankissa, jolloin huijauspyynnöt sekoittuivat aitoihin kuittauksiin. Tällainen moka voi sattua kenelle tahansa.

On helppo neuvoa pankkeja ja vaatia niiltä parempia suojauksia tai tekoälyn tehokkaampaa käyttöä. Teknisten muutosten tekeminen pankin järjestelmiin on kuitenkin iso ja raskas operaatio. Muutokset tuottavat aina vääriä hälytyksiä ja kuormittavat asiakaspalvelua. Siksi pankit pyrkivät viimeiseen asti ratkaisemaan ongelmat sisäistä valvontaa tehostamalla. Se ei vain näytä riittävän.

Huijaukset ja niiden yritykset kuormittavat jo nykyisellään raskaasti pankkien asiakaspalvelua. Lisäksi parempien suojausten tarjoaminen, vaikka asiakkaat eivät niitä ottaisikaan, olisi pankeille keino välttää omaa vastuuta tyyliin ”me tarjosimme kyllä tällaista viivästettyä tilimuotoa/turvatiliä, mutta asiakas ei sitä ottanut”. Operaattorit ovat tehneet turvallisuudesta kilpailuedun, pankkien pitäisi toimia samoin.

Olen esitellyt lukuisia ideoita turvallisuuden parantamiseen: viivästetyt siirrot, hyväksynnän vaatiminen uhrin sijaan luottohenkilöltä, ulkomaanestot, toimintaan kytketyt värit ja äänimerkit, puhelinsoiton vaatiminen asennettaessa mobiilipankkiohjelmaa uuteen päätelaitteeseen, pankkien yhteinen 24/7 puhelinpalvelu ja niin edelleen. Näitä voisi keksiä lisääkin, jos pankit kertoisivat, miten onnistuneet huijaukset tapahtuvat. Turvallisuuteen ja yksityisyydensuojaan vedoten tapauksia ei avata, joten tiedollinen ylivoima ja velvollisuus toimia jää niille itselleen. Me ulkopuoliset voimme vain spekuloida.

Spekuloidaan siis. Voisiko pankkitunnusten protokollaan jotenkin lisätä tiedon siitä, mistä ip-osoitteesta yhteys on lähtenyt tai mihin url-osoitteeseen se liittyy? Pankkitunnusten luvallisilla hyödyntäjillä pitää olla sopimus pankin kanssa, koska he maksavat jokaisesta tunnistamisesta. Auttaisiko tämä tunnistamaan kalastelusivuja? 

Myös käyttäjällä on vastuu rahojensa turvallisuudesta. Miksi ihmiset seisottavat isojakin rahasummia tavallisilla tileillä, jotka on helppo yhdistää ja siirtää ulos? Mikään siirtoraja tai ulkomaanesto ei auta, jos asiakas voi itse asettaa ja rosvo yhtä helposti poistaa sen. Pakollisen aikaviiveen lisääminen näihin ei olisi pankille vaikeaa.

Vaarassa ovat varsinkin vanhemmat ihmiset, joille on kertynyt eläkesäästöjä. Mikä olisi sellainen turvatili, johon varat voisi siirtää ilman pelkoa tyhjennyksestä? Kaikki eivät halua sijoittaa säästöjään osakkeisiin tai rahastoihin, joiden arvo voi myös laskea. Rahojen palautus turvatililtä kestäisi esimerkiksi kolme pankkipäivää, mikä oli pankin oman edun mukaista.

Voisiko pankki oma-aloitteisesti tarjota turvatiliä iäkkäämmille asiakkailleen, joilla on esimerkiksi yli 10 000 euroa tilillä? Tai voisiko osan tavallisen käyttötilin varoista jäädyttää niin, ettei uhri itse voisi tyhjentää kaikkia varoja, ei edes usealla pienellä siirrolla? Jonkinlainen minimisaldon vaatimus, siis. Tässäkin olisi tuotekehityksen paikka.

("Turvatili" -nimitys on tässä tarkoituksella, mutta sekaannusvaaran vuoksi pankin ei itse kannata nimetä turvatiliään juuri näin.)

< Edellinen kirjoitus

Pankkien hauskat mainokset tietoturvan puolesta

Tietoturva-alalla on ikuinen ongelma: miten tavoittaa ohjeilla ne, joita asia ei liiemmin kiinnosta - ainakaan ennen kuin huijaus osuu omalle kohdalle. Entä jos loputtomien varoitusten ja sääntöjen sijaan kokeiltaisiin huumoria? 

DNA:lla on parikin mainiota radiomainosta. "Kirottua, DNA kirottua!" alkaa pahanörtti86:n avoin kirje yhtiölle. Siinä huijari valittaa, miten aiemmin tehokkaat huijaukset ovat lakanneet toimimasta DNA:n uusien turvapalvelujen myötä. DNA:n jinglen jälkeen tulee vielä huijarin närkästynyt kommentti "tää ei ollut mikään mainos". Loistava yksityiskohta, onnittelut copywriterille. 

Nordealta silmiin osui asiallinen tv-mainos. Kuvallinen kerronta saa muistamaan ohjeet paremmin kuin nettisivulta luetut varoittavat bulletpointit.

Nordean tietoturvan tv-mainos.

Näillä mainoksilla pankit itsekin myöntävät, että huijaukset ovat vakava ongelma, ja että nykyinen turvallisuustyö ei tuota riittävästi tuloksia. Yleensä yritykset mainostavat omia tuotteitaan ja palveluitaan, joten tällaiset varoitusmainokset ovat hyvin poikkeuksellisia.

Mutta missä on Yleisradio? Eikö kansalaisten tietoturvatietämyksen kasvattaminen olisi juuri sen tehtävä, osa julkista palvelua? Yle voisi palata vanhaan käytäntöön ja esittää yleishyödyllisiä tietoiskuja vaikka joka ilta ennen pääuutislähetystä. Ne tavoittaisivat hyvin keski-ikäiset ja sitä vanhemmat ihmiset, jotka ovat erilaisten huijausten kohdeyleisöä. Tietoturvan lisäksi voisi käsitellä muitakin digimaailman ja sähköisen asioinnin aiheita, joita kyllä riittää.

Siitä määrästä viihdettä, jota Yle nyt tuottaa, voisi hyvin lohkaista palan kansan sivistämiseen. Opettaminen ei ole vanhanaikaista, vaan kuten pankkien oma mainonta osoittaa, erittäin tarpeellista ja hyödyksi kaikille. 

Vihdoinkin: Nordea tuo uuden säästötilin, jonka nostoissa on kolmen vuorokauden viive

Verkkopankin turvallisuus ansaitsee vielä yhden kirjoituksen. Tuoreen uutisen mukaan viime vuonna verkkohuijarit yrittivät viedä 76,9 miljoonaa euroa, mistä pankit pystyivät estämään väliintulollaan 32,7 miljoonaa euroa. Huijarien saaliiksi päätyi siis 44,2 miljoonaa, missä on kasvua 36 % edelliseen vuoteen verrattuna. Hyvä uutinen on, että pankkien esto- ja palautustoimet lisääntyivät paljon enemmän, 132 %. Kehitys on siis oikeansuuntaista, mutta riittämätöntä.

Aiemmissa kirjoituksissa olen kuvannut uhrien surkeaa asemaa. Tapauksista on kirjoitettu myös julkisuudessa (ensimmäinen ja toinen). Toista minulle soittanutta uhria sapetti erityisesti se, ettei pankin turvaosastolta saa kiinni henkilöitä ja soittoyrityksistä asian selvittämiseksi oli kertynyt 40 euron lisä puhelinlaskuun. 

Verkkouutisten sivulla silmiini osui Nordean petostorjunta-asiantuntija Sara Helinin kommentti: "Nämä eivät ole koskaan uhrin vika, vaan rikoksentekijän syy". Pankin viesti asiakkaalle on kuitenkin toinen: oma vikasi, että lankesit huijaukseen, olit huolimaton emmekä korvaa mitään. Jos vika ei olekaan uhrin, eikö pankin pitäisi vähintäänkin tulla vastaan? 

Toisessa jutussa pankin edustajat kertovat, että lähteviä maksuja kyllä tarkkaillaan. Siitä kertoo myös parantunut torjuntaprosentti. Mutta sitten S-pankin edustaja sanoo näin: "Jos henkilö on luovuttanut omat pankkitunnuksensa, niin pankin päähän se näyttää siltä, että sovelluksen käyttöönotto on laillinen. On ihan tavallista, että asiakkaan puhelin menee rikki tai henkilö vaihtaa puhelinta, jolloin uuteen laitteeseen asennetaan pankin sovellus." 

Puhelimen vaihto on jo itsessään keltainen lippu, mutta todella punaiseksi se muuttuu, mikäli uudesta puhelimesta tyhjennetään heti perään koko tili. Tällainen tapahtumaketju pitäisi olla helppo tunnistaa; siihen ei tarvita tekoälyä eikä kehittynyttä analytiikkaa.

Jutun ingresissä "Pitkään pankkiturvallisuuden parissa työskennellyt toteaa, että osa huijauksista on hyvin taitavia". Silti pankin mielestä huijauksen uhri on yksin vastuussa.

Samassa jutussa Finanssialan petos- ja rikostorjunnasta vastaava johtaja Niko Saxholm, jonka kanssa väittelin asiasta televisiossa jo pari vuotta sitten, epäilee ehdottamaani luottohenkilön ratkaisua. En ehdota, että lapset kuittaisivat hoitaisivat maksut vanhempiensa puolesta, vaan että asiakas voisi nimetä luottohenkilön, joka vahvistaisi suuret ja poikkeukselliset siirrot - ja nekin vasta sen jälkeen, kun tilin haltija on itse ensin hyväksynyt maksut. 

En näe tässä mahdollisuutta luottohenkilön epärehellisyyteen. Itsemääräämisoikeus ja pankkisalaisuuden vaarantuminen ovat eri asia, mutta ehkä asiakas voisi halutessaan joustaa näistä turvallisuuden nimissä?

Vielä tuli mieleeni yksi turvakeino: entä jos älypuhelimen pankkisovellus kertoisi ääneen, mitä on tapahtumassa? Ei kysyisi pelkkää PIN-koodia, sormenjälkeä tai kasvokuvaa, vaan sanoisi kaiuttimesta "Olet siirtämässä 20 000 euroa puolalaiselle tilille, jonka omistaja on N. N. ja rahat siirretään välittömästi. Jos hyväksyt siirron, paina OK tai sano mikrofoniin 'hyväksyn siirron'". 

"Näitä ehdotuksia monesti tehdään miettimättä niitä sen kummemmin", Saxholm heittää. Niinpä, jonkun ulkopuolisen niitä pitää tehdä, koska ala itse on konservatiivinen ja tarkkaan säädelty. 

Uudella tekniikalla olisi tehtävissä paljonkin, mutta inside the box -ajattelu saa vain kiristämään vanhoja keinoja. Lisätään uusia pin-koodeja ja vahvistuksia, vaikka tämä lähestymistapa on kuljettu loppuun.

Onneksi vihdoin jotain näyttää olevan tapahtumassa. Olen jo parin vuoden ajan ehdottanut vapaaehtoista viivettä rahansiirtoihin ja nyt vihdoin se näyttää toteutuvan. Tänään tulleen tiedotteen mukaan Nordea tarjoaa uudenlaista säästötiliä, jossa on korkeampi korko, mutta rahojen nostossa kolmen vuorokauden viive.

Tiedote on ruotsiksi, koska se tuli Ruotsin Nordealta. Toivottavasti sama palvelu saadaan myös Suomeen ja sen jälkeen muihinkin pankkeihin. Miten paljon helpompaa kaikki olisikaan, jos pankit ottaisivat turvallisuuden kilpailutekijäksi! Nyt sitä pidetään itsestäänselvyytenä, mitä se ei tämän päivän maailmassa ole. 

Huijaukset lisääntyvät kaikkialla maailmassa. Suomi oli 1990-luvulla verkkopankin turvallisuuden edelläkävijä ja olisi voinut olla sitä nytkin, mutta juna taisi jo mennä.

Lisäys 8.3.2024: Nopea reagointi kannattaa - mies sai takaisin 93 000 euroaan kun ehti ilmoittaa pankille riittävän nopeasti. Olisinpa halunnut nähdä rosvon ilmeen kun hän huomaa onnistuneen huijauksen jälkeen, ettei rahoja tulekaan! Uutisesta ei käy ilmi, olivatko rahat lähteneet ulkomaille tai kotimaisille tileille, mutta pakollinen viive tai ulkopuolisen henkilön kuittaus olisi estänyt rikoksen onnistumisen. 

Suomen digipalveluiden rakenteellinen ongelma on pankkitunnusten käyttö kaikkialla

Huijarien lähettämät tekstiviestit ja sähköpostit houkuttelevat liki päivittäin kansalaisia kirjautumaan verottajan, Postin, Omakannan tai Suomi.fi-sivun palveluihin. Tässä suomalaisella digiajalla on rakenteellinen ongelma: käytämme tunnistautumiseen pankin tunnuksia, jotka mahdollistavat rikolliselle pääsyn tilille. Uutiset kertovat uhreista, jotka ovat menettäneet kaikki tilillä olevat rahat.

Emme tiedä, kuinka laajasta ongelmasta on kyse, sillä pankit eivät oma-aloitteisesti raportoi onnistuneista rikoksista. Ne tulevat julki lähinnä oikeudenkäyntien kautta. Harva kuitenkaan lähtee käräjöimään pankkiaan vastaan, sillä pankilla on juridinen ja tiedollinen ylivoima. Häviämien voi tulla kalliiksi. Vuonna 2017 juttunsa Nordeaa vastaan hävinneet vanhukset tuomittiin maksamaan 37 000 euroa oikeudenkäyntikuluja.

Finanssineuvonta FINE arvioi asiakkaiden ja pankkien välisiä riitoja ja yleensä pankit noudattavat sen suosituksia korvauksista. Pankki voidaan katsoa maksajaksi, mikäli asiakas on toiminut huolellisesti. Törkeän huolimaton asiakas saa kärsiä itse seuraukset.

Pankin tekniset virheet ovat oma, harvinainen lukunsa (paitsi S-pankin laaja tapaus kesältä 2022). Yleensä huijaukset onnistuvat, koska asiakas ei lue saamaansa viestiä huolellisesti, ei ymmärrä sen merkitystä tai tarkista selaimen osoiterivillä näkyvää tekstiä. Vika on siis asiakkaan päässä. Mutta asia ei ole näin yksinkertainen. Pankit ovat tehneet kaikkensa, jotta asiakkaat siirtyisivät sähköiseen itsepalveluun. Vaihtoehtoista tapaa ei useinkaan ole. 

Etenkään vanhemmilta ihmisiltä ei voi edellyttää samaa tarkkaavaisuutta kuin aktiiviväestöltä. Koska pankit ovat avainasemassa on kysyttävä, ovatko ne varmasti tehneet kaikkensa palvelujen helppokäyttöisyyden ja turvallisuuden eteen? Miten on mahdollista, että eri tilien saldot voi yhdistää ja siirtää ulos pankista? Pienillä muutoksilla turvallisuutta voisi parantaa, mutta pankit eivät ole toteuttaneet niitä. 

Kuva tilien tyhjennyksistä syntyy nyt median uutisista ja voi olla vääristynyt. Ehkä uhreja on niin vähän, ettei pankkien kannata tehdä ongelmalle mitään. Uutisointi laskee kuitenkin asiakkaiden luottamusta ja myös se tulee kalliiksi. Pankit pitäisi velvoittaa raportoimaan tapahtumista oma-aloitteisesti.

Pankit eivät liioin kerro, miten tilien tyhjentämisessä on onnistuttu. Pidetään turvallisuusriskinä, jos tapahtumia lähdetään avaamaan julkisuuteen. Kuitenkin se auttaisi asiakkaita suojautumaan nykyistä paremmin ja kertoisi viranomaisille, tarvitseeko sääntelyä kiristää. Yksi yleinen kikka tuntuu olevan se, että Veron tai Omakannan varjolla saatua tunnuslukua käytetään mobiilipankin asentamiseen. Sen jälkeen mikään perinteinen suojakeino tai lisävarmistukset eivät auta, koska rosvo hallitsee ohjelmaa. 

Viranomaisten omakin toiminta on ollut hapuilevaa. Kun verottaja avasi henkilökohtaisen Omavero-palvelun, sitä varten ei varattu fi-osoitetta, vaan asiakkaiden piti käyttää osoitetta vero.fi/omavero. Onneksi omavero.fi rekisteröinyt henkilö oli kujeilija, joka ei yrittänytkään käyttää tilaisuutta väärin.

On helppo kritisoida huijauksen uhreja huolimattomuudesta, mutta itse uskon, että kuka tahansa voi mennä halpaan, jos viesti tulee juuri sopivalla hetkellä tai joutuu jostain syystä toimimaan kiireessä. Ja vaikka tämän päivän palvelut tuntuvat aktiiviväestöstä selkeiltä, miten uskot pärjääväsi sitten, kun olet 80-vuotias ja pankkipalvelut ovat aivan erilaisia kuin nyt?

Pankit velvoittavat asiakkaita huolellisuuteen, mutta niiden omat palvelut muuttuvat koko ajan. Nordean sivulla oli syksyllä kirjoitusvirhe, joka herätti epäilyksen huijauksesta. 

Pahinta ovat kuitenkin maksuvälittäjät, jotka tulevat asiakkaan ja myyjän väliin. Tunnuksia kysytään moneen kertaan, kielikin saattaa vaihtua. Kokenutkaan käyttäjä ei voi olla varma, että on laillisessa palvelussa.

Finnairin lentolipun maksu muuttuu välillä englanniksi. Onko tämä huijausta?

Aina yhtä hämmentävää on nähdä samassa ikkunassa sekä Nordea että OP tai Telia. Vaikka maksu menee Nordean tililtä ja sen tunnuksilla, ikkunassa lukee toisenkin pankin nimi. 

Nordea vai Telia?

Ilmeisesti tilanne on aidosti paha, sillä verottaja kertoo huijausriskin räjähtäneen käsiin. Näin ei voi jatkua. Viranomaisasiointia varten pitää hankkia mobiilivarmenne, eikä tunnistusta saisi tehdä pankkitunnuksilla. Koska mobiilivarmenne toimii kaikilla puhelimilla, jopa vanhoilla älyttömillä nokialaisilla, valtio voisi suorastaan velvoittaa varmenteen hankkimiseen ja tukea sitä. 

Suomessa sähköinen tunnistaminen jäi markkinavoimille, jolloin päätökset teki se, jolla oli eniten voimaa (=pankit). Tässä asiassa olisi kaivattu sääntelyä ja valtion ohjausta. 

Seuraava kirjoitus: Ruotsissa Nordealla tili, jossa viive-ominaisuus.

Verkkopankin turvallisuutta olisi helppo parantaa, eivätkä toimet ole edes kalliita

(Kirjoitus julkaistu alun perin Helsingin Sanomien mielipide-palstalla 24.1.2024)

Finanssiala ry:n Teija Kaarlela kiinnitti huomiota verkkopankkien tietoturvaongelmiin (HS Mielipide 22.1.). Tapauksia on määrällisesti vähän, mutta huijausyrityksiä satelee jatkuvana virtana ja aina joku menee lankaan. Pahimmillaan koko tili tyhjennetään ulkomaille.

On kohtuutonta, että jos tilille ilmestyy muutaman kymmenen euron epäilyttävä siirto, pankista otetaan yhteyttä ja kysytään selvitystä maksun alkuperästä. Tulevien maksujen kontrolli on rahanpesulakien vuoksi tarkkaa, mutta toiseen suuntaan pakollista kontrollia ei ole. Rikollinen voi siirtää tilin tyhjäksi ulkomaille ja ottaa vielä luottoa limiitin täydeltä, eikä pankki reagoi. Kaarlelan mukaan pankkien keinot rikollisten maksujen estämiseen ovat rajatut ja perustuvat pääasiassa varoituksiin. Olen eri mieltä. Pankit voisivat tehdä paljonkin huijausten estämiseksi, eivätkä toimet olisi edes teknisesti vaikeita tai kalliita.

Verkkopankin turvallisuus perustuu vanhentuneeseen uhkamalliin, jossa pyritään estämään ulkopuolisen pääsy tilille. Epäilyttävistä tapahtumista pyydetään lisävahvistus joko tunnusluvulla tai tekstiviestillä. Tämä toimi kertakäyttöisten tunnusten aikaan, mutta ei enää. Mobiililaitteen avulla rikollinen voi saada tilin kokonaan hallintaansa, jolloin hän pääsee myös kuittaamaan kaikki varmistukset.

Verkkopankin turvallisuus perustuu vanhentuneeseen uhkamalliin.

Verkkopankkihuijauksissa tärkeintä on aika. Miksei ulkomaansiirtoihin lisätä pakollista 24–48 tunnin viivettä? Miksei asiakas voi estää kokonaan maksuliikennettä ulkomaille? Luottokortissa maarajauksen voi tehdä itse, tilisiirroissa ei.

Rahaliikenteen tarkoituksellinen hidastaminen tuntuu ajatuksena oudolta, koska tähän asti on pyritty nimenomaisesti siirtojen nopeuttamiseen. Pankit voisivat kuitenkin tehdä viiveestä valinnaisen ja markkinoida sitä ”lisäturvana” halukkaille.

Tapauksessa, jossa koko tili tyhjennetään ilman ennakkoilmoitusta ulkomaille, pitäisi aina ottaa henkilökohtaisesti yhteyttä asiakkaaseen. Eikö tätä voisi vaatia osana nykyistä rahanpesusääntelyä?

Rosvon auttamiseksi joissakin verkkopankeissa kielen voi vaihtaa lennossa englanniksi. Miksi ihmeessä? Kielivalinnan pitäisi olla pysyvä ja käyttäjäkohtainen, tai ainakin vaihdossa tulisi olla samainen 24–48 tunnin viive.

Epäilyttävien siirtojen kuittauspyynnöt tilinhaltijalta ovat merkityksettömiä, jos tilin hallinta on menetetty. Entä jos riskiryhmäläiset voisivat lisätä verkkopankkiinsa luottohenkilön puhelinnumeron, jolta kuittaukset pyydettäisiin?

Viimeisenä pankkien pitäisi perustaa yhteinen 24/7-palvelunumero, johon soittamalla asiakas voisi jäädyttää kaikki tilitapahtumansa. Nyt huijatuksi tullut uhri joutuu pahimmillaan odottamaan virka-aikaan asti, vaikka pankki ja huijarit toimivat vuorokauden ympäri.

Suomalainen verkkopankki oli 1990-luvulla tietoturvan edelläkävijä, mutta asema ei säily itsestään. Uudet uhkamallit vaativat uusia toimia. On pankkien etu tehdä tämä oma-aloitteisesti.

Petteri Järvinen

Espoo