Mobiilivarmenne on turvallinen (oikein käytettynä)

Kirjoitukseni mobiilivarmenteen ongelmista herätti paljon keskustelua, joten pitää palata vielä aiheeseen. Joku saattoi saada käsityksen, ettei mobiilivarmenne ole lainkaan turvallinen, kun kyse oli vain siitä, että huijari voi erehdyttää uhria antamaan luvan oman varmenteensa asentamiseen rosvon puhelimeen. 

Varmennetta ei varsinaisesti "kaapata", se vain otetaan vieraan henkilön käyttöön luvatta. Tämä kuitenkin edellyttää, että uhri käyttää pankkitunnuksiaan väärällä sivulla ja on muutenkin huolimaton.

Mobiilivarmenne on turvallisempi kuin pankkitunnus lähinnä siksi, ettei se ole pankkitunnus ts. turvallisuudessa itsessään ei ole eroa, mutta mobiilivarmenteella ei pysty vahingossa avaamaan kalastelusivulle pääsyä omaan pankkiinsa.

Keksintönä mobiilivarmenne on vanha, mutta se alkoi levitä toden teolla vasta kun kohu verkkopankkihuijauksista alkoi. Syntyi käsitys, että mobiilivarmenne on lähtökohtaisesti turvallisempi kuin pankkitunnukset. Viranomainenkin suositteli käyttämään tunnuksia vain pankkiasiointiin ja kirjautumaan kaikkialle muualle mobiilivarmenteella. 

Pankit, joille tunnistuskertojen myynti on pienimuotoinen bisnes, eivät olleet hyvillään tällaisesta rinnastuksesta. Julkisesti ne eivät voineet kritisoida mobiilivarmennetta.

Vaikkei varmenteella pääse isoihin pankkeihin (pieniin kylläkin), niillä voi ottaa pikavippejä, tehdä rekisterimerkintöjä (VTJ, PRH ym) ja esimerkiksi poistaa omaehtoisen luottokiellon, mikä helpottaa tilauspetosta uhrin nimissä.

Kun käyttäjien määrä kasvoi, rosvot löysivät mobiilivarmenteen. Samalla huomattiin, että operaattorit olivat varsin huolettomasti kehuneet varmennetta unohtaen, että silläkin voitiin huijata. Poliisin tiedote toi huijaukset julkisuuteen kesällä 2025:

Poliisin tiedote 25.6.2025

Vieläkin monelle tulee yllätyksenä tieto häirinnänestokoodista ja sen tarpeellisuudesta. Ilman koodia uhria on helpompi erehdyttää vääriin kirjautumisiin.

Ei ihme, etteivät operaattorit oma-aloitteisesti maininneet häirinnänestokoodista. Puhelinnumeron kirjoittaminen ja kaksi muistettavaa koodia tekevät varmenteesta kömpelömmän kuin pankkitunnisteista. Kirjoitettavia numeroita ja muistettavaa on enemmän. Tässäkin mukavuus kertaa turvallisuus on vakio.

Kaikkein turvallisin kirjautumistapa on varmennekortti (se alkuperäisen HST-kortin vm. 1999 nykyinen versio) eli virallinen sirullinen henkilökortti. Sitä ei voi kaapata eikä hakea vahingossa, eikä sillä pääse mihinkään pankkeihin. Siinä on käsittääkseni samanlainen DVV:n myöntämä varmenne kuin mobiilivarmenteessa, mutta upotettuna fyysiselle kortille. 

Varmennekortti on jäänyt sivuraiteille, koska hankkeista huolimatta sitä ei laitettu toimimaan mobiililaitteilla eikä sillä ollut takana kaupallista tahoa joka olisi huolehtinut markkinoinnista. Kortti vaatii usb-lukulaitteen, jonka saa marketista muutamalla kympillä. Joissakin bisnesläppäreissä (erityisesti Dell) lukija on valmiina. 

Prisman hyllyssä kortinlukijan hinta 19,95 euroa.

Kortinlukijassa on tietenkin asentamisen vaiva, mutta sellaiselle, joka käyttää palveluita kotona oikean tietokoneen tai läppärin ääressä, kortti on mainio ratkaisu. Sen voi jättää lukijaan pysyvästi ja se vaatii vain yhden nelinumeroisen PIN-koodin. 

Lähivuosina tunnistus menee entistä sekavammaksi, koska jo syksyllä on luvassa EU:n digilompakko tunnistamista varten ja ensi vuonna tulee eIDAS-sääntely. Sen jälkeen digitaalisten palveluiden - myös pankkien - on tuettava euroopanlaajuista tunnistustapaa.

Saapa nähdä, millaisia sotkuja siitä saadaan aikaan. Tunnistaminen on verkkopalvelujen kulmakivi ja siksi jatkossakin nettirosvojen tärkein kiinnostuksen kohde.

Lisäys 17.3.2026: Finanssialan kirjoitus EUDI Wallet -tietoturvariskien keskustelun puuttumisesta. 

Tekstiä muokattu 17.3.2026

Mobiilivarmenteen kaappaus yhdellä pankkitunnistuksella

Puhelimeen kilahtelee jatkuvasti kalasteluviestejä, joilla yritetään saada uhri luovuttamaan pankkitunnuksensa. Juuri nyt aktiivisena on ovela kampanja, jossa ilmoitetaan ajanvarauksesta lääkäriin tai sosiaalitoimen palveluun, ja tarjotaan linkki perumista varten. Peruminen vaatii tietenkin tunnistautumisen, johon kelpaavat vain pankkitunnukset. 

Minulta kysytään usein, miksi huijarit kalastelevat pankkitunnuksia. Eihän yhdellä tunnistuskerralla voi edes siirtää rahaa.

Yksikin tunnistuskerta saattaa riittää pankin tunnistusohjelman asentamiseen rosvon puhelimeen, jolloin tilin hallinta menetetään täydellisesti. Toinen mahdollisuus on mobiilivarmenteen kaappaaminen.

Mobiilivarmenne omaan puhelimeen voidaan hakea pelkällä pankkitunnistamisella. Juju on siinä, ettei hakemisen yhteydessä tarkisteta, kenen puhelimeen varmenne varsinaisesti tulee. Jos uhri erehtyy syöttämään pankkitunnuksensa kalastelusivulle, rosvo saa hänen mobiilivarmenteen omaan puhelimeensa ja pystyy siitä eteenpäin todentamaan itsensä vahvasti moniin viranomais- ja lainapalveluihin.

Pahinta tässä on se, että uhri luulee selvinneensä säikähdyksellä. Tilille ei päästy eikä rahaa kadonnut. Vahinko paljastuu vasta myöhemmin, kun mobiilivarmenteella on otettu esim. pikavippejä tai asioitu uhrin puolesta viranomaisiin päin. Myös epäluotettava (ex-)puoliso voi napata identiteetin omaan puhelimeensa ja aiheuttaa monenlaista vahinkoa.

Olen yrittänyt herättää tästä keskustelua, mutta laihoin tuloksin. Viranomaiset suosittelevat mobiilivarmennetta pankkien ulkopuoliseen asiointikäyttöön, joten olisi kohtuullista että ne myös varoittaisivat väärinkäytön mahdollisuuksista tai vaatisivat lisää suojakeinoja.

Kokeilin asiaa käytännössä tuttavan puhelimella. Hänellä sattui olemaan Telian liittymä, joten esimerkit ovat sieltä. Käsittääkseni käytäntö on sama kaikilla operaattoreilla.

Erittäin turvallinen, helppokäyttöinen.

Mobiilivarmenteen aktivointi käynnistyy operaattorin sivulta. 

Voit itse valita numeron, johon varmenne asennetaan.

Puhelinnumeroa kysytään, mutta missään ei tarkisteta, kenelle liittymä kuuluu. Mahdotonta se olisikin, koska liittymä voi olla yrityksen nimissä. Aiemmin mobiilivarmenteen pystyi hakemaan vain henkilökohtaisella käynnillä asiointipisteeseen ja vain henkilökohtaiseen liittymään, mutta vaatimuksista luovuttiin kilpailun lisäämiseksi. Se johti turvallisuuden heikkenemiseen.

Asiakas hyväksyy Palvelun erityisehdot, joiden kohta 2. Palvelun käyttöönotto käsittelee juuri tätä tilannetta:

Palvelun voi rekisteröidä itselleen sen matkapuhelinliittymän tunnistettu käyttäjä, jonka matkapuhelinliittymään Palvelua ollaan liittämässä. Telia tekee tarvittaessa tarkistuksen, onko liittymä Käyttäjän hallussa.

Käyttäjä vastaa siitä, että hänellä on liittymän omistajan (”Asiakas”) valtuutus Palvelun tilaamiseen.

Operaattori varaa itselleen oikeuden tehdä tarvittaessa tarkistuksia liittymän todellisen käyttäjän henkilöllisyydestä. Oikeus siis on, mutta sen käyttäminen lienee harvinaista. Joka tapauksessa riski on tiedostettu myös operaattorin päässä.

Lisäksi sopimus mainitsee erikseen, että jos rekisteröijä ei ole liittymän haltija, asiakassuhde syntyy käyttäjän ja operaattorin välille:

Jos henkilö, joka on rekisteröimässä itselleen Palvelua, ei ole kyseisen matkapuhelinliittymän omistaja, syntyy Palvelua koskevan hakemuksen hyväksymisen seurauksena asiakassuhde varmenteen hakijan ja Telian välille. Käyttäjää koskevat Palveluun liittyvät velvoitteet ovat Käyttäjän ja Telian väliset

Kohdassa 6 todetaan vielä, että Käyttäjä on velvollinen säilyttämään Tunnistusvälinettä huolellisesti, eikä sitä saa luovuttaa toisen käyttöön.

Pankkitunnuksissa on samat velvoitteet, mutta pankit todella tarkistavat asiakkaan ennen verkkopankkitunnusten luovuttamista. Jos esimerkiksi vanhus vaikuttaa epävarmalta eikä kykene nettiasiointiin, tunnuksia ei luovuteta. 

Mobiilivarmenteen saa ilman mitään tarkistuksia, vaikka molemmilla on sama vahvan todennuksen luottamusasema. 

Sitten tulee kriittinen kohta: mobiilivarmenteen hakijan pitää tunnistautua pankkitunnuksilla tai varmennekortilla. Jostain syystä HighTrust-ohjelma ei kelpaa, vaikka se on Suomi.fi-portaalin listalla.

Tähän kohtaan kalasteluhuijarit iskevät.

Tässä kohdassa kalasteluhuijarit iskevät. Kun uhri saadaan kirjautumaan edes kerran omilla pankkitunnuksillaan, rosvo saa asennettua hänen mobiilivarmenteensa itselleen. 

Kaikki ilmoitukset uuden varmenteen käyttöönotosta tulevat alussa annettuun puhelinnumeroon, joten uhri ei näe niitä. Uhri ei välttämättä havaitse lainkaan, että hänen vahva sähköinen identiteettinsä on siirtynyt toiseen puhelimeen ja siten toisen henkilön käyttöön. Tämä antaa huijarille aikaa toimia. 

Samanaikaisesti voimassa olevia mobiilivarmenteita voi hakea useisiin puhelimiin, mitään rajoitusta ei ole. Vähintäänkin pitäisi olla palvelu, josta voisi itse tarkistaa, kuinka monta mobiilivarmennetta omalla HETUlla on käytössä, missä numeroissa ne ovat ja mihin niillä on viimeksi tunnistauduttu.

Muutama huomautus on paikallaan. Puhelimessa voi olla vain yksi varmenne, joten tarvitaan liittymä, johon varmennetta ei vielä ole aktivoitu. Varmennetta ei voi saada prepaid-liittymiin, joten rosvo tarvitsee "oman" puhelimen. 

Liittymää avattaessa operaattori tarkistaa asiakkaan henkilöllisyyden, koska kyse on luotollisesta postpaid-sopimuksesta. Huono juttu rosvon kannalta. Siksi huijarit käyttävät varastettuja puhelimia tai muuleja, jotka luovuttavat puhelimensa pientä korvausta vastaan. Liittymän pitää olla sellainen, ettei siihen ole aiemmin aktivoitu mobiilivarmennetta.

Tarkkaavainen uhri voi ihmetellä, miksi pankkivarmennuksessa otsikossa lukee "Mobiilivarmenne rekisteröinti" eikä kirjautuminen terveyskeskuksen tai sosiaalipalvelun portaaliin.

Tämä voi paljastaa huijauksen, jos on tarkkana.

Vielä viimeinen yksityiskohta: mobiilivarmenne on voimassa viisi vuotta. Joissakin tapauksissa sim-kortti pitää käydä vaihtamassa uuteen, joillakin operaattoreilla varmenteen voi uusia verkkopalvelussa tunnistautumalla. (Tekstiä muokattu) Elisalla varmenne on aina sidottu sim-korttiin eikä sitä voi uusia netissä, vaan kortti pitää vaihtaa asiakaspalvelussa. DNA:lla ja Telialla (?) uusinta onnistuu nettisivulta.

eSIMiä käyttävät puhelimet ovat vielä oma lukunsa. Yleensä niissä on myös tavallinen SIM-paikka, ilmeisesti iPhone Air on ainoa Suomessa myytävä puhdas eSIM-malli (?). Telia tarjoaa mobiilivarmenteen myös eSIMiin. 

Sitten on vielä toinenkin tapa huijata uhria, mutta se on erillisen kirjoituksen asia.

Lisäys: suojakeinoista: uuden mobiilivarmenteen käyttöönotto pitäisi vaatia vähintään kaksi pankkitunnistusta. Se ainakin vaikeuttaisi aktivointia.

Vaatimus henkilökohtaisesta käynnistä asiointipisteessä voi olla liikaa vaadittu, etenkin jos halutaan säilyttää käyttö myös yritysliittymissä. Lisäksi uutta varmennetta käyttöönotettaessa operaattorin pitäisi tarkistaa, onko samalla SATUlla jo aiempia varmenteita, ja informoida niiden omistajia (vaikka tekstiviestillä?). Pitäisi myös olla palvelu (SATUja hallinnoiva DVV?) josta näkee, kuinka monta mobiilivarmennetta itsellä on ja mihin niitä on viimeksi käytetty.

Lisäys 31.8.2026: Telia parantaa mobiilivarmenteen käytön turvallisuutta. Sitä ei voi jatkossa ottaa käyttöön pelkällä pankkitunnistuksella ja eSim-kortilla. 

Ennen kaikkea pitää olla tietoinen tästäkin väärinkäytön mahdollisuudesta. Jos uhri ei tunnista nimissään tehtyjä sitoumuksia, hänen tai poliisin pitäisi osata tarkistaa, onko käytössä ollut muita uhrin identiteettiin liittyviä varmenteita.

Lisäys 13.3.2026: Mobiilivarmenteella vietiin yritykseltä lähes 200 000 euroa. Vaikka pankkiin ei pääse, taloushallinnon ohjelmasta voi tehdä isojakin rahansiirtoja. 

Lisäys 6.10.2026: Nyt myös S-pankki varoittaa tässä kirjoituksessa kuvaamastani eSim-uhkasta: Tietojenkalasteluun voi liittyä myös puhelinliittymän kaappaus.

Tietoturvan ohjeet eivät ole ehdottomia, joskus niitä täytyy rikkoa

Digitaalisen pankkirosvon iskiessä pankit vetoavat asiakkaan törkeään huolimattomuuteen. Pitäisi aina noudattaa tietoturvan yleisiä ohjeita, jotka mm. kieltävät klikkaamasta sähköpostilla tulevia linkkejä ja varsinkin kirjautumasta niiden perusteella palveluihin.

Mutta mitä tehdä, kun palvelut itse rikkovat ohjeita vastaan? 

DNA:n sähköposti kehottaa kirjautumaan ja tunnistautumaan

Huolestunut käyttäjä lähetti ruutukaappauksen DNA:lta aiemmin syksyllä saamastaan tiedotteesta. Tiedote kertoi webmail-palveluun tulevista muutoksista, jotka vaativat kaikkia asiakkaita kirjautumaan uudelleen. Ilman kirjautumista sähköposti uhkasi lakata toimimasta.

Sähköpostissa oli painike "Tunnistaudu tästä", jolla piti tehdä juuri se kielletty asia: kirjautua linkin perusteella. Kuulin, että DNA on saanut paljon huolestuneita asiakaskyselyitä sähköpostistaan, mikä kertoo ohjeiden menneen hyvin perille.

Myös digitaalisesti allekirjoitettavat sopimukset tulevat sähköpostilla, jolloin ne pitää hyväksyä klikkaamalla. Niin ikään olen nähnyt vakuutusyhtiön lähettämän tekstiviestin, jossa pyydettiin klikkaamaan mukana ollutta linkkiä ja menemään palveluun. Ei näitä pysty välttämään.

Säännöt ovat hyviä, mutta niistä on aina poikkeuksia. Ei ole kansalaisen tietoturvallinen digielämä helppoa, ei. 

Sain eilen puhelun kansalaiselta, joka oli hämmentynyt mobiilivarmenteesta. Hänellä (kuten monella muullakin) oli käsitys, että mobiilivarmenne kannattaa hankkia, koska sillä ei voi kirjautua verkkopankkiin. 

Hän oli kuitenkin huomannut, että ainakin Norwegian Bank, Alisa Pankki ja joukko muita pieniä pankkia käyttää yleistä Signicatin kirjautumissivua, jossa on perinteisten pankkien lisäksi myös mobiilivarmenne. Mobiilivarmenteella pääsee sittenkin pankkeihin!

Norwegian pankkiin mobiilivarmenteella.

En tiedä, onko joku oikeasti luvannut, ettei mobiilivarmenteella voi kirjautua pankkiin. Kyse on yhdestä vahvan tunnistuksen muodosta, jota myydään palveluna yrityksille. Toistaiseksi isot pankit eivät ole halunneet tukea mobiilivarmennetta, vaan ne suosivat mieluummin omaa järjestelmäänsä. Mobiilivarmenne on jäänyt lähinnä viranomaispalveluihin. 

Mobiilivarmenteen turvallisuutta parantava vaikutus perustuu siihen, ettei käyttäjä kirjaudu vahingossa (asiaa ymmärtämättä) viranomaispalvelun sijaan verkkopankkiinsa. Perinteisissä pankkitunnuksissa kirjautuminen perustuu pankin asiakasnumeroon, jolloin esimerkiksi valesivun kautta Verottajalle pyrkivä kansalainen tuleekin vahingossa avanneeksi pankkiyhteyden.

Mobiilivarmenteessa tällaista vaaraa ei ole, koska siinä on vain PIN-koodi, joka ei lähde puhelimesta mihinkään. Tunnistaminen yksilöi henkilön SATUn perusteella ja varmistaa henkilöllisyyden, mutta siinä ei ole mukana pankin asiakasnumeroa. Tältä osin mobiilivarmenne on turvallisempi, vaikka sitä käytettäisiinkin pankkiin kirjautumisessa.

Lisäksi yksittäinen kirjautuminen, tapahtui se tahallaan tai vahingossa, ei koskaan riitä tilin tyhjentämiseen. Pankkitunnuksia ei voi "kaapata" kuten salasanaa. Asiakkaan omien tilien väliset siirrot eivät välttämättä vaadi tunnistusta, mutta siirrot ulos pankista on aina vahvistettava erikseen.

Tietoturvan yleisohjeet ovat hyviä ja tarpeellisia, mutta valitettavasti aina niitä ei voi noudattaa. Siksi on mahdotonta sanoa, että jokin yleisohjeiden vastainen teko olisi automaattisesti törkeää huolimattomuutta.

Lisäys 13.12.2024: Lukija kertoi kokemuksestaan: oli asioinut S-ryhmän verkkoruokakaupassa ja päätynyt tilanteeseen, jossa maksukortilla ei ollut riittävästi katetta. Tässä tilanteessa hän sai sähköpostin, jossa oli linkkinä epäilyttävältä näyttävä https://s-kaup.at/QC1cDEFG (viimeiset merkit kuvitteellisia). Sen painaminen vei sivulle, jossa pyydettiin ensin henkilötiedot:

Ensin kysytään henkilötiedot.

Syötin lomakkeelle Joulu Pukin tiedot, eikä palvelu tarkistanut niitä mitenkään, vaan siirtyi kysymään maksukortin tietoja - juuri siten kuin tilaushuijaukset tekevät.

Ja sitten luottokortin tiedot, kiitos.

S-ryhmä ei tarkista henkilötietojen oikeellisuutta, vaan luottaa ohjeeseen, jonka mukaan "Huomaathan, että tietojen tulee vastata maksukorttiisi liitettyjä tietoja". 

Epäilyttävä linkki, henkilötietojen kysyminen ilman tarkistusta ja lopuksi kaikki maksukortin tiedot. Mikään tässä ei mene suositusten mukaisesti. 

Suomen digipalveluiden rakenteellinen ongelma on pankkitunnusten käyttö kaikkialla

Huijarien lähettämät tekstiviestit ja sähköpostit houkuttelevat liki päivittäin kansalaisia kirjautumaan verottajan, Postin, Omakannan tai Suomi.fi-sivun palveluihin. Tässä suomalaisella digiajalla on rakenteellinen ongelma: käytämme tunnistautumiseen pankin tunnuksia, jotka mahdollistavat rikolliselle pääsyn tilille. Uutiset kertovat uhreista, jotka ovat menettäneet kaikki tilillä olevat rahat.

Emme tiedä, kuinka laajasta ongelmasta on kyse, sillä pankit eivät oma-aloitteisesti raportoi onnistuneista rikoksista. Ne tulevat julki lähinnä oikeudenkäyntien kautta. Harva kuitenkaan lähtee käräjöimään pankkiaan vastaan, sillä pankilla on juridinen ja tiedollinen ylivoima. Häviämien voi tulla kalliiksi. Vuonna 2017 juttunsa Nordeaa vastaan hävinneet vanhukset tuomittiin maksamaan 37 000 euroa oikeudenkäyntikuluja.

Finanssineuvonta FINE arvioi asiakkaiden ja pankkien välisiä riitoja ja yleensä pankit noudattavat sen suosituksia korvauksista. Pankki voidaan katsoa maksajaksi, mikäli asiakas on toiminut huolellisesti. Törkeän huolimaton asiakas saa kärsiä itse seuraukset.

Pankin tekniset virheet ovat oma, harvinainen lukunsa (paitsi S-pankin laaja tapaus kesältä 2022). Yleensä huijaukset onnistuvat, koska asiakas ei lue saamaansa viestiä huolellisesti, ei ymmärrä sen merkitystä tai tarkista selaimen osoiterivillä näkyvää tekstiä. Vika on siis asiakkaan päässä. Mutta asia ei ole näin yksinkertainen. Pankit ovat tehneet kaikkensa, jotta asiakkaat siirtyisivät sähköiseen itsepalveluun. Vaihtoehtoista tapaa ei useinkaan ole. 

Etenkään vanhemmilta ihmisiltä ei voi edellyttää samaa tarkkaavaisuutta kuin aktiiviväestöltä. Koska pankit ovat avainasemassa on kysyttävä, ovatko ne varmasti tehneet kaikkensa palvelujen helppokäyttöisyyden ja turvallisuuden eteen? Miten on mahdollista, että eri tilien saldot voi yhdistää ja siirtää ulos pankista? Pienillä muutoksilla turvallisuutta voisi parantaa, mutta pankit eivät ole toteuttaneet niitä. 

Kuva tilien tyhjennyksistä syntyy nyt median uutisista ja voi olla vääristynyt. Ehkä uhreja on niin vähän, ettei pankkien kannata tehdä ongelmalle mitään. Uutisointi laskee kuitenkin asiakkaiden luottamusta ja myös se tulee kalliiksi. Pankit pitäisi velvoittaa raportoimaan tapahtumista oma-aloitteisesti.

Pankit eivät liioin kerro, miten tilien tyhjentämisessä on onnistuttu. Pidetään turvallisuusriskinä, jos tapahtumia lähdetään avaamaan julkisuuteen. Kuitenkin se auttaisi asiakkaita suojautumaan nykyistä paremmin ja kertoisi viranomaisille, tarvitseeko sääntelyä kiristää. Yksi yleinen kikka tuntuu olevan se, että Veron tai Omakannan varjolla saatua tunnuslukua käytetään mobiilipankin asentamiseen. Sen jälkeen mikään perinteinen suojakeino tai lisävarmistukset eivät auta, koska rosvo hallitsee ohjelmaa. 

Viranomaisten omakin toiminta on ollut hapuilevaa. Kun verottaja avasi henkilökohtaisen Omavero-palvelun, sitä varten ei varattu fi-osoitetta, vaan asiakkaiden piti käyttää osoitetta vero.fi/omavero. Onneksi omavero.fi rekisteröinyt henkilö oli kujeilija, joka ei yrittänytkään käyttää tilaisuutta väärin.

On helppo kritisoida huijauksen uhreja huolimattomuudesta, mutta itse uskon, että kuka tahansa voi mennä halpaan, jos viesti tulee juuri sopivalla hetkellä tai joutuu jostain syystä toimimaan kiireessä. Ja vaikka tämän päivän palvelut tuntuvat aktiiviväestöstä selkeiltä, miten uskot pärjääväsi sitten, kun olet 80-vuotias ja pankkipalvelut ovat aivan erilaisia kuin nyt?

Pankit velvoittavat asiakkaita huolellisuuteen, mutta niiden omat palvelut muuttuvat koko ajan. Nordean sivulla oli syksyllä kirjoitusvirhe, joka herätti epäilyksen huijauksesta. 

Pahinta ovat kuitenkin maksuvälittäjät, jotka tulevat asiakkaan ja myyjän väliin. Tunnuksia kysytään moneen kertaan, kielikin saattaa vaihtua. Kokenutkaan käyttäjä ei voi olla varma, että on laillisessa palvelussa.

Finnairin lentolipun maksu muuttuu välillä englanniksi. Onko tämä huijausta?

Aina yhtä hämmentävää on nähdä samassa ikkunassa sekä Nordea että OP tai Telia. Vaikka maksu menee Nordean tililtä ja sen tunnuksilla, ikkunassa lukee toisenkin pankin nimi. 

Nordea vai Telia?

Ilmeisesti tilanne on aidosti paha, sillä verottaja kertoo huijausriskin räjähtäneen käsiin. Näin ei voi jatkua. Viranomaisasiointia varten pitää hankkia mobiilivarmenne, eikä tunnistusta saisi tehdä pankkitunnuksilla. Koska mobiilivarmenne toimii kaikilla puhelimilla, jopa vanhoilla älyttömillä nokialaisilla, valtio voisi suorastaan velvoittaa varmenteen hankkimiseen ja tukea sitä. 

Suomessa sähköinen tunnistaminen jäi markkinavoimille, jolloin päätökset teki se, jolla oli eniten voimaa (=pankit). Tässä asiassa olisi kaivattu sääntelyä ja valtion ohjausta. 

Seuraava kirjoitus: Ruotsissa Nordealla tili, jossa viive-ominaisuus.

Pojat ryöstivät pankin - eikä pankki edes huomannut

S-Pankin tunnistusongelmasta saadut lisätiedot auttavat hahmottamaan tapahtunutta. Pojat olivat huomanneet, että kirjoittamalla verkon kirjautumislomakkeelle satunnaisen asiakasnumeron he pääsivät joko täysin vieraan henkilön tilille tai sitten mitään ei tapahtunut, ja he yrittivät toisella numerolla uudelleen. 

Kirjaimellisesti lapsellisen helppoa. Pojat (no, 16-vuotias päätekijä ja mukana myös vanhempia) olivat sitten siirtäneet rahoja ulos tileiltä, vaihtaneet niitä kryptovaluutoiksi ja käyttäneet makeaan elämään. Yhteensä he ehtivät suorittaa 20.4-5.8.2022 välisenä aikana 53 maksuvälinepetosta (siis luvatonta tilisiirtoa) ja ainakin 150 tietomurtoa (pääsyä toisen tilille, mutta siellä ei ollut tarpeeksi rahaa). Yksi tileistä oli todellinen jackpot - sieltä siirrettiin yli 400 000 euroa.

Käytännössä pojat ryöstivät pankin, saivat 940 000 euron saaliin, eikä pankki huomannut mitään. Käsittämätöntä. Ja samaan aikaan viranomaiset kehottivat kaikkia olemaan varpaillaan Venäjän kyberuhkien vuoksi. Voi pojat, uhka olikin paljon lähempänä. 

Poikien olisi pitänyt tietää, että tällaisesta teosta jää kiinni. Rahojen takaisin periminen voi tosin olla vaikeaa. Onneksi pojat eivät tarjonneet ideaa ammattirikollisille tai ulkomaisille toimijoille, he olisivat voineet rahastaa kunnolla ja pysyä itse tuntemattomina.

Käytännössä S-Pankin virhe mahdollisti vahvan sähköisen tunnistamisen ilman salasanaa. Voi vain kuvitella, miten tällainen virhe oli päässyt syntymään. Koodari kysyy tunnuksen ja salasanan, lähettää salasanan tarkistettavaksi tietokantaan, mutta ei huomioi tietokannan palauttamaa vastausta. Vaikka tietokanta sanoisi "väärä salasana!", koodi jatkaa palveluun käyttäjätunnuksen perusteella.

Virhe ei paljastu testauksessa, koska usein testataan vain sitä, minkä pitäisi toimia - ei sitä, mikä ei saisi toimia. Testaaja on käyttänyt oikeita tunnuksia ja salasanoja, ja kun pääsy on avautunut, hän on kuvitellut kaiken olevan kunnossa. 

Näin alkeellisella virheellä pankkimaailmassa pääsisi Guinnesin Mokailujen Ennätysten kirjaan. Ehkä todellinen selitys on vähän monimutkaisempi, mutta en usko, että paljon.

Pankki sai tiedon asiasta vasta, kun rehellinen valkohattuhakkeri huomasi pääsevänsä sisään väärällä numerolla, ja ilmoitti asiasta. Emme tiedä, oliko joku muukin huomannut asian.

Pankki piiloutuu teknisten selittelyjen taakse, mikä ei ole täysin uskottavaa. Miksei testauksessa huomattu, että väärätkin salasanat toimivat? Miten on mahdollista, että pankilta ryöstetään 940 000 euroa eikä se huomaa, mitä on tekeillä? 

Pankit ovat valvonnan ammattilaisia. Ne valvovat asiakkaiden tilinylityksiä, rahanpesua, luottokortin käyttöä ja -varkauksia, omaa henkilökuntaa... mutta lähes miljoonan menetykset pankki kuittaa vain asiakkaiden omana huolimattomuutena, ja vierittää vastuun heille. 

En tiedä, miten paljon pankilla normaalisti on luvattomia rahansiirtoja neljän kuukauden aikana, mutta miljoonan lisäys kuulostaa silti paljolta. Eikö edes yhdeltä tililtä kadonnutta jättisummaa huomattu?

Paljon kysymyksiä. On ikävä lyödä lyötyä, mutta nähdäkseni kansalaiset ansaitsevat rehellisiä vastauksia. Vain ne voivat palauttaa luottamuksen sähköiseen asiointiin.

S-pankki koettelee luottamusta verkkopankkeihin

S-pankki kertoi tänään tietoturvamokasta, joka on periaatteellisella tasolla yhtä iso juttu kuin Vastaamon tietovuoto kaksi vuotta sitten. Yksityiskohtia ei (taaskaan) kerrota, mutta useat ihmiset ovat päässeet kirjautumaan S-pankin tunnuksilla toisten henkilöiden nimissä. Tilillä ei ehkä ole paljon rahaa, mutta tunnuksilla on voinut tehdä kaikenlaista muuta pahaa.

Ihmeellisintä on, että asiakkaan tunnistus on saanut olla rikki lähes neljä kuukautta ilman, että pankki on huomannut sitä. Virheitä sattuu ja ohjelmissa on bugeja. Mikään ei kuitenkaan selitä sitä, ettei pankki ole havahtunut edes asiakkaiden valitettua aiheettomista veloituksista tai muista outouksista. Ongelma paljastui vasta valkohattuhakkerin ilmoitettua siitä pankille.

Pankkitunnukset ovat suomalaisen tietoyhteiskunnan kivijalka. Aiemmin niitä niihin on luotettu kuin vuoreen, koska tunnuksilla voi tehdä sitovia toimeksiantoja, asioida Kelassa tai Omakannan terveystiedoissa ja niin edelleen. Nyt tuo luottamus on vähintäänkin koetuksella.

Pankki on sentään pyytänyt reilusti anteeksi. 

Pankin anteeksipyyntö.

Anteeksipyyntö ei kuitenkaan kata sitä peruuttamatonta vahinkoa, joka verkkopankeille tästä aiheutuu. Viime aikoina on ollut monia huijauksia, joissa asiakkaat ovat menettäneet tilillään olleet rahat. Pankki on aina vedonnut siihen, että asiakas on toiminut huolimattomasti ja huijaus olisi pitänyt torjua. Pankilla on lokit, osaaminen ja asiantuntijat. Asiakas ei pärjää oikeudessa pankkia vastaan. 

Nyt on käynyt selväksi, että vika voi olla myös pankissa. Tämä tulee näkymään tulevissa riidoissa. Pankki ei välttämättä olekaan aina oikeassa eikä asiakas väärässä.

Pahinta S-Pankin kannalta on, ettei tämä ole ensimmäinen kerta. Vuonna 2019 S-pankki huomasi, että uusi mobiilisovellus saattoi näyttää toisten asiakkaiden tilitietoja. Niin kävi noin 300 asiakkaalle, ennen kuin mobiilipankki saatiin suljettua ja ongelma korjattua. 

Kuulin tapauksesta, jossa iäkkäiden asiakkaiden tililtä oli aiheutettu toukokuussa kahden tuhannen euron vahinko. Ensin käteistilillä olleet rahat oli tyhjennetty verkko-ostoksilla ja sen jälkeen luottopuolelta oli siirretty lisää rahaa kulutukseen. Pankki syytti asiakkaita huolimattomuudesta ja peräsi tuhannen euron luotto-osuutta takaisin. 

Ei auttanut, vaikka pankin omien lokien mukaan tiliä oli käsitelty S-mobiilisovelluksella ja Samsung-puhelimella, joita kumpiakaan tilin oikeilla haltijoilla ei ollut. 

Pankki jatkoi tuhannen euron karhuamista vielä tänä syksynä, vaikka se on saanut tiedon teknisestä ongelmasta jo 5. elokuuta. Tänään pankki oli sitten yllättäen ilmoittanut, että luopuvat vaatimuksista.

Olen kuullut myös muista kyseenalaisista linjauksista, kuten siitä että mobiilipankin voi asentaa rajattomaan määrään puhelimia yhdellä tunnuksella. Lainanhakijan papereita on pyydetty lähettämään skannattuna avoimella sähköpostilla viestissä, jonka kieliasu herättää epäilyn huijauksesta. Ja muutaman muun asian, joista lupasin olla mainitsematta julkisesti.

Kaiken huipuksi eilen uutisoitiin vanhasta tapauksesta, jossa ilmeisesti sim swapping -huijauksella oli saatu tyhjennettyä uhrilta 37 000 euroa. Tähän asti on uskottu, että temppu onnistuu vain Yhdysvalloissa, joissa puhelinpalvelua on helppo huijata eikä kunnon henkkareita ole, mutta nyt on vaara, että se toimii Suomessakin.

Turvallisen verkkoasioinnin kulmakivet ovat vaarassa. Operaattorien ja pankkien on otettava ryhtiliike ja käytävä läpi omat prosessinsa huijausten estämiseksi. 

On totta, että yleensä aiheettomat veloitukset ovat joko lähipiirin kavalluksia tai pankkitunnuksia on tosiaan käytetty huolimattomasti. Mutta jokainen asiakaspalveluun soittava on otettava vakavasti ja yritettävä selvittää, mistä tällä kertaa on kyse. Pankit ja operaattorit eivät ole erehtymättömiä.