Kansanedustajien kodeissa avoimet ovet?

Eilen kerrottiin hämmentävä uutinen, että kansanedustajien kodeissa on käyty salaa. Mitään ei ole viety, mutta koteihin on jätetty mahdollisen pelotevaikutuksen vuoksi merkki käynnistä. 

"Poliisi tutkii tunkeutumisia kansanedustajien koteihin."

Saan itsekin soittoja huolestuneilta kansalaisilta, jotka epäilevät puhelimessaan olevan vakoiluohjelma ja että joku käy heidän kotonaan salaa. Tavaroita katoaa tai niitä siirrellään. Todennäköisin selitys on kuitenkin muistisairaus tai alkava mielenterveyshäiriö. 

Toivottavasti kansanedustajien kohdalla kyse ei ole tästä. Silloin asia on vakava, monellakin tavalla. Uutisen mukaan tapauksia on ollut "alle 20", joten määrä on merkittävä eikä enää selity yksittäisen edustajan unohduksella tai pitkäksi venähtäneellä yöllisellä "edustuksella".

Taas kerran voimme vain spekuloida, kun emme tiedä yksityiskohtia. Joten spekuloidaan sitten: mitä hittoa? Miten on mahdollista, että kansanedustajien kodeissa voidaan käydä kenenkään huomaamatta? Ei murtojälkiä, ei ilmeisesti edes havaintoja naapureilta. Eivätkö kansanedustajat osaa pitää huolta turvallisuudestaan? Mitä yhteistä näillä tapauksilla on - asunnon tyyppi, sijainti, edustajan puoluekanta, ikä, sukupuoli...? Uutisissa puhutaan kodeista, mutta onko kyse kuitenkin vain asunnoista?

Näissä tapauksissa kävijä on halunnut jättää tarkoituksella merkin käynnistään. Sehän tarkoittaa, että kodeissa on voitu käydä aiemminkin kenenkään huomaamatta, lukemassa papereita, kopioimassa muistitikkuja, lisäämässä vakoiluohjelmia it-laitteisiin tai asentamassa salakuuntelulaitteita. Pelottavaa.

Oletettavasti kyse on vain edustajien kaupunkiasunnoista, jotka ovat pieniä ja tarkoitettu lähinnä nukkumiseen. Toivottavasti siellä ei säilytetä arkaluonteista turvallisuus- tai ulkopolitiikkaan liittyvää aineistoa. Vanhojen asuntojen lukot ovat tiirikoitavissa ja porraskäytävään voi livahtaa toisen perässä, mutta ettei kukaan toinen asukas huomaisi mitään? Tämä voisi onnistua muutaman kerran, mutta että näin laajassa mitassa? Entä jos kyse olisi häiriköstä tai vakavammasta?

Jos kyse on tavanomaisista kodeista eri puolilla Suomea, kodeissa pitäisi vähintään olla hälytysjärjestelmä, joka vaatii pin-koodin kun ulko-ovi avataan. Alle sadalla eurolla saa valvontakameroita, joilla omakotitalon pihapiirin kulkijoiden kuvat jäävät pilveen tai kameran omalle muistikortille, ja ilmoittavat kuvan kanssa tapahtuneesta puhelimeen.

Onko mahdollista, ettei edustajien turvallisuuskoulutuksessa ole mainittu asiasta? Tietoturvariskeistä on puhuttu paljonkin, mutta ovatko normaalit kulunvalvonta-asiat unohtuneet?

Asia on yleistettävissä kaikkiin etätyöläisiin. Toimistolla kulunvalvonta ja vartiointi tulevat talon puolesta automaattisesti, kotona niistä joutuu huolehtimaan itse. Yrityksen pitäisi varmistaa, että työntekijät huolehtivat asiasta, eivätkä toimi kuten kansanedustajat. 

Ex-supo Saana Nilsson: "Kaikki kummalliset asiat eivät välttämättä liity Venäjään."

Nykyään on tapana nähdä hybridivaikuttamista joka asiassa, mikä jo itsessään on hybridivaikuttamista. Jos tapaukset ovat todellisia, tämä vaikuttaminen on sieltä pahimmasta päästä ja vaatii suuria muutoksia eduskunnan turvakulttuuriin. 

Ylireagointi tai väärinkäsitykset olisivat äärimmäisen nolo selitys, niin edustajien itsensä kuin koko Suomen maineen kannalta.

Lisäys 14.10.2026: Ilmeisesti edes Jarno Limnellillä ei sotilastaustasta huolimatta ole kodissa valvontakameraa tai kunnon turvavalvontaa. Ja tapauksia on nyt jo viisikymmentä. Erittäin merkillistä. Toivottavasti saamme pian lisätietoja. https://www.is.fi/politiikka/art-2000012341643.html

Ensimmäinen valtiollinen kyberhyökkäys Suomea vastaan?

Tällä viikolla rävähti todellinen megaluokan tietoturvauutinen: Nordean mukaan sitä vastaan tehdyt palvelunestohyökkäykset ovat niin kehittyneitä ja pitkäkestoisia, että niiden toteuttaminen on maksanut kymmeniä miljoonia euroja. Koska pankilta ei ole kiristetty rahaa, taustalla täytyy olla valtiollinen toimija - ilmeisesti Venäjä? Lyhytkestoisia palvelunestohyökkäyksiä on ollut aina, mutta ne ovat lähinnä pr-toimintaa ja kiusantekoa. Tämä on jotain muuta.

Jos Nordean arvelut ovat totta, Suomen historiassa kääntyy uusi luku. Edellisestä valtiollisesta hyökkäyksestä Suomea vastaan on yli 80 vuotta.

Toisaalta tätä on osattu odottaa. Helmikuusta 2022 lähtien viranomaiset ovat valmistelleet suomalaisia itärajan takaa tulevaan kiusantekoon ja kyberhäirintään. Jos se nyt on vihdoin alkanut, miksi viranomaiset nyt ovat hiljaa? Pankkijärjestelmän jälkeen hyökkääjä saattaa iskeä muihin kansallisesti tärkeisiin kohteisiin.

Miksei kukaan sano mitään? Miksei Suomi reagoi millään tavalla ulospäin?

On vaikea uskoa, että pankki kertoisi tällaisia asioita ilman, että tiedottamisesta on sovittu viranomaisten kanssa. Nordean edustajat kävivät myös eduskunnan maanalaisessa turvahuoneessa kertomassa havainnoistaan kansanedustajille. Vaikka attribuutio ja syyllisen osoittaminen on vaikeaa, viranomaiset tietävät varmasti enemmän kuin haluavat kertoa. Nyt ilmassa on paljon kysymyksiä.

Sivujuonteena tähän liittyvät kotien älylaitteet, joiden tietoturvariskeistä mm. suojelupoliisi on varoittanut ainakin kahdesti.

Pankki on kertonut vain, että hyökkäysliikenteen volyymi on ollut 15-kertaista aiempaan nähden, ja että liikennettä on tullut Suomen ja Ruotsin sisältä niin, ettei tavanomaisia maaestoja liikenteen blokkaamiseen ole voinut käyttää.

Nyt olisi kiinnostavaa tietää, mitä tekniikkaa hyökkääjät ovat käyttäneet. Onko liikennettä luotu monistamalla sitä suojaamattomien kotireitittimien kautta vai ovatko hyökkääjät päässeet jotenkin käsiksi pilven kautta etäohjattaviin älylaitteisiin? Jälkimmäinen kuulostaa hankalalta, koska jokaisella älylaitteella on oma ohjaustapansa. 

Tiedot olisivat kuitenkin oleellisia suojautumisen kannalta. Jos Nordean syyttävä sormi osoittaa meihin suomalaisiin, pitäisi kertoa tarkemmin, miten toimitaan. Mitä laitteita hyökkäyksiin on valjastettu ja miten? Voisivatko operaattorit tunnistaa tällaisia laitteita myös hyökkäysten välillä ja informoida niistä kotitalouksia?

Tavanomainen "päivitä kaikki älylaitteet" on niin yleinen fraasi, ettei se aiheuta kodeissa mitään uusia toimia. Suoran hyökkäyksen alla tarvitaan täsmällisiä vastatoimia. Uutisoinnissa pankkia pommitettiin pesukoneilla, mutta tästä ei tietääkseni ole mitään näyttöä. Mistä siis pesukoneet tulivat otsikkoon?

Myös se mietityttää, onko kohteena tässä Suomi vai Ruotsi? Mikseivät edes Ruotsin viranomaiset sano mitään, vaikka heillä on FRA-urkinnan ansiosta paljon Suomea pidempi kokemus verkkoliikenteen seurannasta ja jäljittämisestä?

Nordean ulostulo ja viittaaminen kansalliseen turvallisuuteen jäi tasolle, jossa se lähinnä lisää huolta ja epävarmuutta. Juuri sitä, mihin hyökkääjä ehkä pyrkiikin.

Nyt jonkun viranomaistahon pitäisi kertoa lisää. 

Lisäys 18.10.2024: Poikkeuksellisen voimakas hyökkääjä, KRP tutkii asiaa. 

Bailaava pääministeri - riski Suomelle?

Pääministerin bailaamisesta levinnyt video aiheutti mediakohun. Aihe on herkkä ja jakaa ihmisiä. Marinin kannattajat ovat yhtä innokkaita kuin Trump-fanit Yhdysvalloissa - mikään kohu tai kritiikki ei ole oikein, vika on aina mediassa. Marin on puolueelleen yhtä tärkeä kuin Trump omalleen. Näkyvä hahmo, joka ristiriitaisuudesta huolimatta pitää puolueen otsikoissa ja tuo paljon kannatusta. Molemmat ovat myös nousseet valtiojohdon huipulle äkillisesti ja perinteisen urapolun ulkopuolelta. 

Marinin puolustajat leimaavat kritiikin naisvihaksi ja setämiesten marinaksi. Jälkimmäinen on yhtä epäkunnioittavaa ja vähättelevää kuin setämiesten aiemmin suosima tytöttely. Mutta potut pottuina, kai. 

Itse en ole koskaan tytötellyt, mutta nyt marisen setämiehenä. Nuorella pääministerillä on oikeus vapaa-aikaan ja rentoutumiseen, jopa humaltumiseen. Sanna Marin on kuitenkin keski-ikäinen, 36-vuotias ja perheellinen. Hänen toistuva tapansa hakeutua nuorten pintajulkkisten seuraan bailaamaan on kuitenkin hämmentävää.

Kuka tahansa vaikutusvaltainen henkilö tietää varoa kotibileissä kännykkäkameroita. Erityisesti diginatiivien 80- ja 90-luvulla syntyneiden pitäisi tietää, miten videot leviävät. Marinin tapauksessa kyse ei edes ollut salakuvauksesta, vaan hän poseerasi itse auliisti vieraalle kameralle. Sellainen osoittaa täydellistä harkinnan pettämistä. 

Tässä yhteydessä "vieras kamera" tarkoittaa "ei oma". Kuvaaja saattoi olla Marinille tuttu ja luotettava, mutta toisin kuin pääministerin, hänen puhelimensa ei ollut suojattu. Siellä saattoi olla esim. vakoiluohjelmia, joilla on aiemmin urkittu Euroopan johtajia (Espanjan pää- ja puolustusministereitä vakoiltiin Pegasuksella, samoin Suomen diplomaatteja). Vakoojat tietävät, että kohde on suojattu, mutta lähipiiri on heikko kohta. Vielä pari vuotta sitten Suomen pääministeri ei ollut erityisen kiinnostava, mutta Ukrainan sota ja Nato ovat muuttaneet tilanteen. En voi uskoa, etteikö valtioneuvoston turvaosasto olisi varoittanut pääministeriä näistä asioista.

Koko kevät meitä kehotettiin varautumaan Venäjän kiukutteluun ja hybridivaikuttamiseen Nato-päätöksen vuoksi. Meitä neuvottiin olemaan erityisen varovaisia verkossa ja pitämään pää kylmänä, jos jotain ilmenee. Pääministeri näyttää unohtaneen varovaisuuden.

Marin itse on kertonut haluavansa uudistaa pääministeri-instituutiota. Se ei kuitenkaan ole pelkkä ilmoitusasia, sillä pääministeri on Suomen vaikutusvaltaisin poliitikko, joka edustaa maata kansainvälisissä tilaisuuksissa. Miten vakavasti Naton, Venäjän tai muiden maiden setämiehet suhtautuvat Suomen pääministeriin, kun ovat nähneet tämän pelleilevän kameralle humalaisen teinin tavoin? Se on tietysti väärin, mutta yhtä inhimillistä kuin Marinin oma toiminta. Kansainvälisen median myönteinen julkisuus on imartelevaa ja hyvää PR:ää Suomelle, mutta isot päätökset ratkaisevat.

Marinin tavoittelema asema sopisi puoluejohtajalle. SDP:n vetäjänä hän voisi uudistaa traditiota ja piristää (varsin iäkkäiden) puoluejäsenten mieliä olemalla "cool" ja rento. Vanhat AY-jyrät ja puolueaktiivit ovat epäilemättä tyytyväisiä siihen, että Marin on tuonut uutta verta jo hiipumassa olleeseen liikkeeseen. Puoluejäsenten keski-ikä lieneekin laskenut reippaasti Marinin ansiosta. Puoluejohtajana vain jäsenillä olisi valta kritisoida toimintaa. Pääministeriä saavat kritisoida kaikki, koska hän on kaikkien pääministeri.

Niin epäreilua kuin se onkin, tällaiset kuvat jäävät elämään.

Asiassa on myös vakavampi puoli. Emme tiedä, onko Marinin vapaa-ajanvietosta kertynyt arkaluonteista aineistoa, jota ei vielä ole julkaistu, ja kenen hallussa se on. Julkinenkin aineisto toimii Venäjän käsissä Suomelle epäedullisella tavalla puhumattakaan, että sitä alettaisiin manipuloida tai tehostaa deepfake-tekniikoilla. Jos seuraava video on väärennös, miten uskottavasti sen voi kiistää? (Aihetta onkin näköjään jo käsitelty uutisessa)

Ulkomaiset tiedustelupalvelut ovat aina keränneet korkean tason vaikuttajista aineistoa, josta voi olla hyötyä. Miespoliitikkojen aikakaudella käytettiin hunaja-ansoja. Olisi täydellistä kyvyttömyyttä Venäjän tiedustelulta, ellei se käyttäisi tilaisuutta hyväkseen. Marin antaa heidän käsiinsä materiaalia julkisesti, joten mitä mahtaa tapahtua pinnan alla? Emme tiedä kaikkea edes tämän videon taustoista tai sen levittämisestä. Erityisessä vaarassa on kohteen lähipiiri, joka ei osaa suojautua samalla tavalla kuin kohde itse. Radiojuontajilla, somevaikuttajilla ja pintajulkkiksilla puhelimen tietoturva ei ole samalla tasolla kuin pääministerillä itsellään.

On myös pakko huolestua pääministerin fyysisestä turvallisuudesta. Ruotsin ulkoministeri Anna Lindh puukotettiin tavaratalossa (2003) ja ex-pääministeri Olof Palme ammuttiin kadulle (1986). Suomi ei ole lintukoto. Vaikka turvaorganisaatio vakuuttaa kaiken olevan kunnossa, videoista saa käsityksen, että yöllinen hyökkäys pääministeriä kohtaan olisi liian helppo toteuttaa.

Pääministerin tehtävä on Suomen korkein luottamustehtävä. Se asettaa henkilölle monia rajoituksia ja tekee elämän hankalaksi. Ketään ei pakoteta luopumaan oikeuksistaan ja ottamaan tehtävää vastaan. Silti paikalle on jatkuvasti tunkua.

Yllättävän moni on muistuttanut aiempien poliitikkojen viinaongelmista. Kekkosen ja Karjalaisen sekoiluista vaiettiin, mutta maailma olikin silloin aivan toinen. Ei ollut sosiaalista mediaa eikä kameroita kaikkialla. Myös arvot olivat toiset. Toimittajat itse käyttivät päivisin reippaasti alkoholia, työpaikoilla oli seksuaalista ahdistelua, kaikkialla sai tupakoida, raiskaus oli tuskin edes rikos mutta homoseksuaalisuus sairaus, lapsia sai kurittaa fyysisesti... lista on pitkä. Tiedotustilaisuudessa tupakoiva ministeri saisi nyt kuraa niskaansa, sukupuolesta riippumatta. Maailma on muuttunut.

Jopa tasa-arvo tuntuu kääntyneen päälaelleen. Perheellinen miespoliitikko ei voisi tanssia vieraan naisen kanssa julkisessa tilassa kännissä ilman, että siitä nousisi kohu.

Muokattu 22.8.2022

Ensin ilman korttimaksuja, sitten ilman sähköä - havaintoja kantapään kautta

Venäjän hyökkäyksen jälkeen uutiset ovat herkistäneet kansalaisten mielen odottamaan häiriöitä. Ja kun häiriöitä odottaa, niitä näköjään myös tulee.

OSA I - pankkikortti ei toimi

Muutama viikko sitten suuren espoolaisen kauppakeskuksen K-Citymarketissa tapahtui häiriö, joka mykisti sähköiset maksut. Tulin paikalle vasta, kun ovia avattiin uudelleen, mutta ilmeisesti iso kauppa oli pantu hetkeksi kokonaan kiinni.

Kaiuttimista kuulutettiin, että varmuudella vain käteismaksut toimivat. Itsepalvelukassat oli tietenkin suljettu, ihmiset jonottivat perinteisille kassoille. Harvalla näytti enää olevan käteistä, joten ostoksia hylättiin kassan lähelle.

Kun systeemit eivät toimi, cash is king.

Ja toden totta, "Tapahtuma hylätty, Poista kortti" ilmestyi maksupäätteeseen, kun yritin aluksi maksaa puhelimen lähimaksuna ja sen jälkeen pankkikortilla. Onneksi itsellä sattui olemaan 50 euron seteli, jolla sain ostokseni kuitattua. 

Myöhemmin Länsi-Uudenmaan pelastuslaitos tiedotti, että kauppakeskuksessa oli ollut "rakennuspalo: keskisuuri, pelastuslaitos tuulettaa tiloja". Onneksi kassajärjestelmä kuitenkin toimi, jolloin ne pystyivät ottamaan vastaan käteistä ja antamaan vaihtorahaa.

Pahempi tilanne olisi kassajärjestelmän kaatuminen tai laaja sähkökatko. Silloin kauppa ei voisi myydä edes käteisellä. Olemme todella tekniikan vankeja.

Moni haluaisi siirtää kaikki toiminnot puhelimeen ja päästä kokonaan eroon lompakosta. Huoltomekaanikko Aki Yrttiaho kertoi vuonna 2019 Ilta-Sanomien haastattelussa, että pyrkii hoitamaan kaiken puhelimella eikä pidä mukanaan senttiäkään käteistä. Hän ennakoi pystyvänsä luopumaan lompakosta vuoden kuluttua.

Kaikeksi onneksi kauppakeskuksessa on molempien keskusliikkeiden kaupat, käytävän toisella puolella olisi voinut maksaa myös sähköisesti. Tällä kertaa kukaan ei siis jäänyt nälkäiseksi. Ei edes Aki Yrttiaho, jos sattui kauppaan juuri katkon hetkellä. Ensi kerralla voi olla huonommin.

OSA II - sähkökatko

Tänään 30.3.2022 tasan klo 12.00 Otaniemen alueella alkoi laaja sähkökatko. Vastaavaa ei ole ollut koskaan ennen. Carunan tiedotussivu näytti nopeasti useita vikakohteita.

Carunan vikasivu.

Sähkökatkossa ei ole mitään ihmeellistä, mutta kun sellainen näinä aikoina sitten tapahtuu, tulee mieleen monia ajatuksia. 

Ensimmäinen reaktio oli yllätys, sitten harmitus. Vaikka välitallennusten tekeminen on selkäytimessä, muutama tekstipätkä hävisi Powerpointin ja Windowsin kadotessa alta.

Sitten tuli hiljaisuus. Niin kova hiljaisuus, että se sattui korviin. Ilmanvaihdon humina, tietokoneiden hurina ja arkipäiväiset äänet, joihin emme normaalisti kiinnitä huomiota, häviävät yhtäkkiä ja jäljelle jää vain kovaääninen hiljaisuus. Se on sekä pelottavaa että vapauttavaa.

Onneksi nykyään on älypuhelimet. Tukiasemissa riittää virtaa muutamaksi tunniksi, joten nettiyhteys sen kautta toimi. Myös läppärin sai toimimaan puhelimen avulla. Silti työn tekeminen loppui.

Suuri toimistotalo hiljeni kerralla, ja myös pimeni. Vihreät hätävalot toimivat, samoin käytävien sähkölukot, mutta neuvotteluhuoneet jäivät lukkoon. Ravintola pimeni, mutta ihmiset saivat ruokaa kirjoittamalla tietonsa kynällä paperille. Onneksi oli päivä, joten aulassa ja ravintolassa riitti runsaasti luonnonvaloa. Pimeällä tilanne olisi ollut vaikea.

Käyhän se näinkin: nimi paperiin ja maksu myöhemmin. 

Katkosta tuli 48 minuutin mittainen, sitten sähköt palasivat. 

Toimistotalossa on erikseen "ATK-pistokkeet", joiden sähkön pitäisi olla UPSin takana. Ne laitteet lähtivät toimimaan vasta 22 minuuttia toimistosähköjen palautumisen jälkeen. Yhteensä työhön tuli siis 1 h 10 minuutin totaalinen katkos.

Muutamia oppeja ja ajatuksia:

• Pidä vähän käteistä pieninä seteleinä. Liian suuret summat ovat jo itsessään turvallisuusriski. Varaudu siihen, ettei pahan sähkökatkon aikana käteinen kelpaa kaupoissa.
• Pidä läppärin ja puhelimen akut ladattuina.
• Älypuhelimen taskulamppu on todella hyödyllinen, jos käytävät ovat pimeät. Tarkista, mistä lampun saa päälle. 
• Kokeile, pääsetkö alas kerroksista ilman hissiä. Korkeissa rakennuksissa tai liikuntaesteiselle asia ei ole ihan yksinkertainen.
• Hätätapauksessa puhelinta voi ladata autossa, samoin analogisesta autoradiosta voi kuunnella vaaratiedotteita ja suojautumisohjeita.
• Jos katko kestää useamman tunnin, tukiasemien akut sammuvat ja silloin alkavat todelliset ongelmat. Siksi veivattavista generaattoreista ei ole paljon iloa puhelimen lataukseen.
• Myös hissien hälytyspuhelimet mykistyvät muutaman tunnin jälkeen. Niiden akut loppuvat ja hissit alkavat lähettää ilmoituksia keskukseen tukkien sen.
• Selvitä oman sähkönsiirtoyhtiösi nimi ja vikatiedotesivun osoite. On hyvä tietää, kuinka laajasta katkosta on kyse ja yhtiön arvio sen kestosta.
• Täydellinen hiljaisuus alkaa käydä hermoille, varsinkin jos siihen liittyy epävarmuus tulevasta tai esimerkiksi talviaikaan pelko tilojen kylmenemisestä. 
• Odottavan aika on pitkä.

Sitten vain toivotaan, että kyberturvallisuus on kunnossa, eikä tähän listaan koskaan jouduta turvautumaan.

Tietomurto eduskunnan sähköpostiin saa Suomen näyttämään lampaalta

KRP tiedotti tänään 28.12.2020 niukkasanaisesti tutkivansa eduskunnan tietojärjestelmiin kohdistunutta tietomurtoa. Media ehti jo otsikoida tapahtuman kyberhyökkäykseksi. Meille ei tietenkään kerrota mitään, mutta tasavallan presidentti Niinistön kommenteista päätellen ("kyberhyökkäys vakava loukkaus suomalaista demokratiaa vastaan") tapaus on harvinainen ja vakava.

Tietojen (tai pikemminkin niiden puuttumisen) valossa kyseessä on todennäköisesti samanlainen operaatio, joka kohdistui Norjan parlamentin sähköposteihin elokuussa, joka havaittiin syyskuussa ja tiedotettiin julkisuuteen lokakuun alkupuolella. Norjan salainen poliisi (PST, Police Secret Service - oletettavasti Supoa vastaaa taho) julkisti oman raporttinsa joulukuussa. Sen mukaan Norjaan kohdistunut teko oli osa laajempaa kampanjaa, jonka takana on Venäjän sotilastiedustelu ja sen APT28 ("Fancy Bear") -yksikkö. 

Tällaisia syytöksiä ei heitetä kevein perustein, joten Venäjän osuutta voidaan pitää käytännössä varmana. Ja Suomi reagoi kuten Venäjän toimiin aina: varovasti ja hiljaa.

Tästä eteenpäin oletan, että eduskuntaan kohdistuneen teon takana ovat samat tahot kuin Norjassa (ja Saksassa 2015). Mitään todisteita ei ole, mutta toisaalta eipä mikään todista myöskään päinvastaista. Kuten aina, KRP perustelee vaitonaisuutta tutkinnan turvaamisella. Perustelut kuulostavat jopa koomisilta: "...perustelee niukkaa tiedottamista tutkinnan turvaamisella. Tekijä todennäköisesti seuraa tiedotusvälineitä." Valtiollisen toimijan ei tarvitse seurata tiedotusvälineitä tietääkseen, miten tutkinta edistyy.

Tuskin on sattumaa, että tieto julkistettiin juuri tänään, kun suomalaisessa mediassa on vain minimimiehitys ja Venäjän lomakausi on juuri alkanut. Tarkemmin ajatellen päivämäärä voi olla jopa viesti Venäjälle: tiedämme kyllä, että te olitte asialla.

Norjan raportin mukaan kansanedustajien sähköpostin heikkoja salasanoja yritettiin murtaa ja näin päästä sisään järjestelmään. KRP ei kerro, oliko tämä tekotapana myös meillä ja millaista tietoa mahdollisesti saatiin. Toivottavasti kansanedustajien tietoturva on paremmalla tasolla kuin vuosia sitten, jolloin vuoti lista edustajien salasanoista. Ne olivat naurettavan helppoja. Eräskin tunnettu edustaja käytti salasanana tyttärensä etunimeä.

Kansanedustajien sähköposteja tärkeämpiä ovat sieltä avautuvat reitit muihin palveluihin ja syvemmälle verkkoon sekä pilvipalveluihin. Lisäksi teko on jo itsessään isku demokratiaa vastaan ja lietsoo  epäluottamusta, aivan kuten hyökkääjä toivookin.

Lokakuussa 2013 kerrottiin Ulkoministeriön verkosta löytyneestä vakoiluohjelmasta. Itse asiassa niitä oli useampia erilaisia. KRP on tutkinut asiaa nyt runsaat seitsemän vuotta, eikä ole tiedottanut mitään, koska virallisesti tutkinta on yhä kesken. Mediat ovat sentään kertoneet, että jäljet johtivat tässäkin itänaapuriin.

Mietitäänpä vielä Suomen tilannetta. Kun Norjassa paljastuu tietomurto, tieto kulkee varmasti pohjoismaiden ja muidenkin länsimaiden välillä. Suomessa on varmasti osattu epäillä jotain jo alkusyksystä. Nyt kerrotaan, että KRP on tehnyt tutkintaa loppusyksystä alkaen. Jostain syystä siitä päätettiin ilmoittaa juuri tänään, kertomatta silti varsinaisesti mitään.

Tieto tuli yllätyksenä myös kansanedustajille, jopa puolustusvaliokunnan jäsenille. Jos Suomea vastaan tehdään määrätietoinen verkkomurto, miksi valiokunnan jäsenet saavat kuulla siitä mediasta? Varmaan siksi, ettei KRP usko heidän pitävän salaisuuksia. Herää silti kysymys, mitä eduskunnassa on tehty murron paljastuttua, ja miten mahdolliset puhdistus/suojaustoimet ovat jääneet edustajilta huomaamatta? Eikö kukaan ole todellakaan huomannut mitään?

Olisi helppoa selvittää, onko asialla sama ryhmä ja sama tekniikka kuin Norjassa, ja kertoa se julkisesti. Tutkinnalliset syyt johtavat tälläkin kertaa siihen, ettei tutkintaa koskaan muodollisesti päätetä, jolloin siitä ei koskaan tarvitse kertoa tämän enempää.

Onneksi muiden maiden turvallisuusviranomaiset ovat avoimempia. Voimme lukea heidän tiedotteitaan sekä uutisia mediasta ja tehdä omat johtopäätöksemme Suomen tapahtumista. 

Tällä hetkellä johtopäätös on, että me suomalaiset olemme aikamoisia lampaita.

Lisäys 30.12.2020: Joku saattoi pahastua lammas-vertauksesta, mutta se tulee mieleen kun muistelee vuoden 2013 tapahtumia. Ulkoministeriön vakoiluohjelman paljastuttua ministeriön valtiosihteeri Pertti Torstila uhosi, että "Suomi aikoo läksyttää kunnolla ulkoministeriön tietoverkon vakoilijaa" kun tekijä selviää. En muista, että Suomi olisi esittänyt protestia tai muutakaan läksytystä Venäjälle ja Kiinalle senkään jälkeen, kun niiden syyllisyyttä pidettiin selvitettynä.

Lisäys 26.5.2026: Tässä tekijäksi paljastui Kiina.

Kuinka pakottaa Suomi polvilleen?

Puolustusasiat ovat niin tärkeitä, ettei niihin kaivata maallikoiden mielipiteitä. Sotilaat tietävät parhaiten, mitä vastapuolen sotilaat ajattelevat. Siksi kansanedustajatkin ovat asiasta poikkeuksellisen yksimielisiä.

Kaikesta huolimatta annan nyt mielikuvituksen lentää. Pontimena oli viime viikon A-talkin keskustelu. Hävittäjäkauppaa analysoimaan studioon oli kutsuttu neljä mieskansanedustajaa, jotka kaikki olivat samaa mieltä: uudet hävittäjät tarvitaan, eikä taloustilanne saa vaikuttaa.

Sotilaalliset uhkakuvat tulevat historiasta. Jos Suomea vielä joskus kohtaa aseellinen konflikti, se on todennäköisesti aivan erilainen kuin mihin olemme valmistautuneet. Digitalisaatio on mullistanut myös sodankäynnin. Uusia hävittäjiä tarvitaan tunnistustehtäviin, elektronisen sodankäynnin ja tiedustelun alustaksi ja kansaa hurmaaviin lentonäytöksiin, mutta lentokone lentokonetta vastaan (dog-fight) on äärimmäisen epätodennäköinen. Viimeksi sellainen nähtiin kai 1990-luvun lopulla Balkanin sodassa.

Hyökkääjän kannalta paras sota on sellainen, jota ei tarvitse käydä, tai ainakin joka voitetaan ilman aseellista yhteenottoa. Miksi lähettää armeija taisteluun, joka tulee kalliiksi ja uhraa sotilaita, jos vihollinen saadaan taipumaan tahtoon muilla keinoilla?

Näiden keinojen torjumiseen pitäisi panostaa huomattavasti nykyistä enemmän. Kyse on tietenkin kyberturvallisuudesta ja nettivaikuttamisesta, karkeimmillaan trollauksesta mutta myös sen monista hienostuneemmista muodoista, joita emme useinkaan edes havaitse.

Yhdysvallat on hyökännyt useita kertoja häpeilemättä ja avoimesti mainostaen Iranin tietojärjestelmiin. Hiljattain Iran iski vuorostaan Israeliin ja päinvastoin. Financial Timesin juttu tapahtumista on kiinnostava. Molemminpuolisista hyökkäyksistä huolimatta en huomannut, että asiaa olisi Suomen mediassa noteerattu lainkaan.

Kyse olikin lähinnä koputtelusta: tiedämme, missä asut -- käyttäydy siivosti. Muuten iskemme oikeasti.

Harva ymmärtää, miten haavoittuva nykypäivän Suomi on. Yhteiskunnan ja talouden toiminnot ovat erittäin keskittyneitä. Esimerkiksi lääkehuolto on kahden yhtiön varassa. Niistä toisen varasto on Espoossa, toisen Tampereella. Viimeksi kun kävin paikalla, oli vielä rauhallista:

Puolet Suomen lääkehuollosta.

Matalalla lentävät risteilyohjukset, räjähteillä lastatut lennokkiparvet tai ballistiset ohjukset ovat liki mahdottomia torjua uusimmillakaan hävittäjillä (esim. tämä 10-kertaisella äänennopeudella lentävä hypersoninen Kinzhal). Syksyllä 2017 saimme esimakua siitä, mitä lääkehuollon katkeaminen voi aiheuttaa. Silloin kyseessä oli vain tahaton tietojärjestelmähäiriö Oriolan tehtaalla, mutta sen vaikutukset kestivät kuukausia ja Suomi pelastui vain, koska Tamro pystyi paikkaamaan osan kilpailijansa jakelusta.

Sähkönjakelu on toinen herkkä kohta. Muutama keskeinen runkolinja tai ison voimalan tuhoaminen syöksisi Suomen kaaokseen. Kotirintama ei kestäisi lääkehuollon ja sähkön loppumista. Toisin kuin talvi- ja jatkosodissa, maalle ei voi enää paeta.

Päivittäistavarakauppa on sekin kahden suuren keskusliikkeen hallussa. Yhden jättivaraston lamauttaminen saisi vessapaperin oikeasti hupenemaan kaupoista. Maaliskuussa näimme, mitä pelkkä epäily wc-paperin saatavuudesta riittää aiheuttamaan.

Maaliskuussa hamstrattiin wc-paperia Triplan City-Marketissa.

Jos tilanne kiristyisi ja Suomi haluttaisiin polvilleen, vihollinen voisi tuhota aluksi yhden voimalan tai varaston, ja kysyä sen jälkeen, vieläkö halutaan jatkaa. Mitä vastaisimme? Olisiko miljardien sotakoneista apua?

Some-keskustelussa sain kuulla, että tällainen skenaario on ihan typerää, eihän Syyriaa tai Irakia ole lannistettu muutamalla ohjuksella. Ei, koska ne eivät olleet kehittyneitä länsimaita, joissa kaikki toiminta on keskitetty ja riippuvuus sähköstä/nettiyhteyksistä täydellistä. Syyria, Irak ja muut kriisialueet ovat resilienttejä, koska väestö on tottunut kestämään kovia. Siksi Yhdysvallat ja Venäjä käyttävät aluetta oman sotatekniikkansa myyntinäyttelynä.

Suomen tilanne olisi pahan päivän tullen aivan erilainen.

Suomalaisten turvallisuusajattelua ohjaavat talvi- ja jatkosodan muistot. Venäjällä historian painolastina ovat niin mongolien, Napoleonin kuin Natsi-Saksankin hyökkäykset; nykyisin pelko Naton piirittämästä karhulinnakkeesta. Tämän muistaen parantaisiko USA:n uusimpien hävittäjien tuominen rajalle todella Suomen turvallisuutta?

Toivottavasti pahaa päivää ei koskaan tule. Toivottavasti osaamme varautua oikeanlaisiin uhkiin, emmekä tuijota yksinomaan peräpeiliin.

Jk. Fingridin sivu (grafiikka aivan sivun lopussa) antaa reaaliaikaisen tilannekuvan Suomen sähköntuotannosta. Nytkin, kesäkuun alussa, olemme täysin tuontisähkön varassa.

Sähkön tuonti ja vienti perjantaina 5.6.2020 klo 16.30

HX-hävittäjät eivät torju hyökkäystä sähköverkkoon

Lauantaina 14. syyskuuta huthi-kapinalliset iskivät öljynjalostamoon Saudi-Arabiassa. Jälki oli tuhoisaa, sillä valtio-omisteisen Aramcon öljynjalostuskapasiteetti putosi puoleen.

Tapahtuma oli vakava isku Saudi-Arabian taloudelle, mutta myös sen itsetunnolle.

Maa on maail­man suurin aseostaja. Sen ilmavoimilla on 228 F-15-hävittäjää, 53 Eurofighteria, 81 Tornadoa ja viisi Awacs-tutkavalvontakonetta. Ne eivät pystyneet torjumaan hyökkäystä öljyteollisuutta vastaan.

Sotilaat olivat jämähtäneet väärälle aikakaudelle ja tuhlanneet öljymiljardeja vanhoihin sotaoppeihin.

Ensimmäisessä maailmansodassa kunnostautunut Ranskan armeijan marsalkka Ferdinand Foch muistetaan parhaiten lyhytnäköisestä ennustuksesta: lentokoneet ovat kiinnostavia leluja, mutta niillä ei ole sotilaallista arvoa.

Viime vuosien konflikteissa juuri ilmavoimat on ollut ratkaisevassa roolissa. Saudi-Arabian tapahtumat osoittavat, että elämme Foch-hetkeä, jossa vanhoja oppeja pitää arvioida uudelleen.

Vihollinen ei hyökkää näkyvästi tankeilla ja pommikoneilla, vaan salakavalasti uudella teknologialla. Droonit ja risteilyohjukset ovat vaikeita torjua, sillä ne hajauttavat iskuvoiman useaan osaan. Uusi tekniikka hyödyntää tekoälyä, konenäköä ja robotiikkaa, eikä edes maksa paljon.

Voisiko koneiden määrää vähentää ja kehittää kyberpuolustusta?

Edellisen kerran Aramco joutui hyökkäyksen kohteeksi elokuussa 2012. Silloin kohdistettu Shamoon-virus tuhosi 30 000 työaseman tiedostot. Uskotaan, että iskun takana oli Iran, ja että kyseessä oli kosto vähän aiemmin paljastuneesta Stuxnet-haittaohjelmasta.

Saudien mahtava sotakoneisto oli aseeton myös Shamoon-viruksen edessä. Armeija katseli vierestä, kun bitit raivosivat maailman arvokkaimman yrityksen tietojärjestelmissä aiheuttaen valtavaa tuhoa.

Suomen kannalta Foch-hetki on erityisen tärkeä, sillä meitä odottaa puolustusvoimien historian kallein päätös: HX-hanke eli Hornet-hävittäjien seuraajan valinta.

Pelkät lentokoneet maksavat noin 10 miljardia euroa, niiden käyttö toisen mokoman. Pienelle maalle hintalappu on käsittämättömän suuri, sillä koko puolustusvoimien vuosibudjetti on kolme miljardia.

Uudet hävittäjät säilyvät käytössä 2060-luvulle asti. Ne saattavat kuitenkin vanhentua ennenaikaisesti, sillä seuraavan sukupolven hävittäjät ovat luultavasti jo robottiohjattuja. Ne pystyvät epäinhimilliseen liikehdintään ja toimimaan yhtenä parvena tekoälyn ohjauksessa.

Moderni yhteiskunta on erittäin haavoittuva, ja hyökkääjä tietää sen. Sähkön ja tietoliikenteen katkaisu riittää pysäyttämään koko maan. Hyökkäystä ei tarvitse edes toteuttaa, pelkkä vakavasti otettava uhkaus riittää.

Kesällä uutisoitiin, että Venäjä ja Yhdysvallat ovat varautuneet iskemään kyberaseilla toistensa sähköverkkoihin. Irania vastaan kyberiskuja myös toteutettiin. Suurvallat tietävät, mihin kehitys on menossa. Suomi odottaa yhä talvisodan uusintaa.

Sitä ei tule. Sähköverkkoon osuva kyberase riittää kukistamaan Suomen laukaustakaan ampumatta. Jos kyber ei tehoa, saman vaikutuksen saa tuhoamalla pari keskeistä sähköasemaa samaan tapaan kuin Saudi-Arabiassa tapahtui.

Rintamalinja ei kulje itärajalla vaan arjen infrastruktuurissa. Miten hyvin HX-hävittäjät pystyvät puolustamaan sitä?

Hävittäjiä ei hankita pelkkää ilmasotaa varten. On epä­todennäköistä, että ne koskaan joutuisivat perinteiseen ilmataisteluun mies miestä ja kone konetta vastaan. Hävittäjillä tehdään myös tunnistuslentoja ja niitä esitellään pr-henkisesti lentonäytöksissä.

”Kukaan ei voi ennustaa, mitä tuleva sota on”, sanoi ilmavoimien komentaja Sampo Eskelinen keväällä. Siksi kaikki mahdollisuudet on pidettävä avoinna. On pohdittava, miten vähistä miljardeista saadaan mahdollisimman suuri hyöty.

Yksi kysymys on koneiden määrä. Sotilaiden mukaan koko maan puolustamiseen tarvitaan 64 konetta, mutta onko sekään enää realismia? Puoli Suomea tyhjenee vääjäämättä väestökehityksen vuoksi, joten kannattaako sitä varautua puolustamaan?

Voisiko koneiden määrää vähentää ja käyttää niistä säästyvät rahat kyberpuolustuksen kehittämiseen? Osaamisvaje ja kyberomavaraisuuden puute ovat huutavia.

Hävittäjäkaupoissa yksi miljardi on pikkuraha, mutta verkkopuolustuksessa sillä tekisi ihmeitä.

(Julkaistu Tivi-lehden kolumnina 10/2019)

Yhdysvaltojen haavoittuvuudesta kertoo Kyberuhkia ja somesotaa -kirjani sivu 95:

Kyberuhkia ja somesotaa -kirjani kertoo mm. sähköverkon turvallisuudesta, sivu 95

Vielä talvisodan aikaan kansalaiset lähtivät kaupungeista sotaa pakoon maalle. Tänään maaseutu on vähintään yhtä riippuvainen sähköstä ja tietoliikenteestä kuin kaupungit. Pakopaikkaa ei ole. Siksi sähköverkon turvaaminen on kansallisen turvallisuuden ja maanpuolustuksen tärkeimpiä tehtäviä.

HX on voimaton drooniparven edessä. Kannattaisiko panostaa lasertorjuntaan? Tässä yksi malli: https://www.popularmechanics.com/military/research/a29727696/athena-laser-weapon/

Lisäys 2.3.2020: https://www.defensenews.com/digital-show-dailies/air-warfare-symposium/2020/02/28/spacex-founder-tells-the-air-force-the-era-of-fighter-jets-is-ending/

Suomi 2018 on turvallisempi kuin koskaan ennen

Suomi ei ole koskaan ollut niin turvallinen maa kuin vuonna 2018. Jos vertailukohdaksi otetaan 1980- ja 1990-luvut, tilastojen viesti on selvä: riski kuolla liikenneonnettomuudessa, väkivaltarikoksen uhrina, työtapaturmassa tai muussa vastaavassa on nyt selvästi alempi. Jopa itsemurhat ovat vähentyneet merkittävästi.

Helpointa on vertailla liikenneturvallisuutta, koska siinä tilastointi on yksinkertaista. Nousukauden huumassa vuonna 1989 liikenne vaati 677 uhria (loukkaantuneita 9005), vuonna 2012 enää 255 (loukkaantuneita 5490). Autojen määrään suhteutettuna turvallisuus on parantunut vielä enemmän, mutta se olisi tämän vertailun kannalta epäreilua. Sen sijaan autoilun lisääntyminen kertoo elintason ja mukavuuden noususta.

Itsemurhia tehdään nyt noin 600 vuodessa, kun määrä 80-90-luvuilla oli 900-1200. Henkeen ja terveyteen kohdistuneiden rikosten määrä on kasvanut loivasti elintason myötä vuodesta 1980 lähtien (notkahdus 90-luvun laman aikaan), mutta henkirikoksissa kuolleiden määrä vuodesta 1985 on laskenut (IL-juttu aiheesta).

Lyhyesti sanoen: suomalaisen riski kuolla tai loukkaantua vakavasti on merkittävästi pienempi kuin aiemmin. Elinikä on pidempi ja terveys keskimäärin parempi kuin koskaan ennen.

Miksi sitten turvallisuus tuntuu huonontuneen? Miksi pelkäämme nyt enemmän kuin 80- ja 90-luvuilla?

Keskeisin syy on mediassa. Se uutisoi dramaattiset tapahtumat näkyvämmin ja henkilökohtaisemmin kuin aiemmin. Lisäksi ulkomailla sattuneet tapaukset sulautuvat uutisvirtaan, emmekä lopulta tee eroa niiden välillä. Kaikenlaista karmeaa sattuu joka päivä.

Netti ja sosiaalinen media pahentavat tilannetta. Niiden kautta ihmiset pääsevät purkamaan omia tunteitaan, jolloin uutinen jää elämään ja muuttuu henkilökohtaisemmaksi. Uhrit eivät ole enää pelkkiä numeroita uutisissa, vaan he muuttuvat ihmisiksi, melkein kuin omiksi läheisiksi.

Ne, joilla on omakohtaisia kokemuksia 1980- ja 1990-luvuista, huomaavat ajan myös kullanneen muistoja. Kun oli itse 30 vuotta nuorempi, elämä tuntui helpolta ja onnelliselta. Ikävät asiat ovat unohtuneet, eikä nuorena muutenkaan murehtinut niin paljon kaikesta.

Ei ollut myöskään nettiä, jossa roikkua lukemassa, miten huonosti itsellä/hyvin muilla on asiat ja miten turvattomaksi oma maa on muuttunut. Tiedonvälitys oli kahden tv-kanavan ja paikallisen sanomalehden varassa. Tyydyttiin kirkonkylän ainoaan pizzeriaan ja siihen, että kaupat menivät kiinni arkisin viimeistään kello 20 ja olivat sunnuntaina kokonaan kiinni. Amerikkalainen elokuva tai suosikkisarjan jakso jommallakummalla tv-kanavalla oli viikon kohokohta, joka nauhoitettiin VHS-kasetille.

Ja totta sekin, että monen työelämään siirtyneen luottamus työnantajaan oli 1980-luvulla suurempaa kuin nyt. Valtion ja kunnan työpaikat olivat ikuisia ja turvallisia. Nykyisen työelämän epävarmuus heijastuu myös arjen turvattomuutena.

Turvallisuus ei olekaan pelkkiä tilastoja. Turvallisuus on tunne. Ja tätä tunnetta käytetään myös poliittisesti hyödyksi.

Presidentinvaaleissa perussuomalaisten Laura Huhtasaaren vaalislogan on "Suomi takaisin". Takaisin mistä? Takaisin mihin? Eroon EU:sta ja takaisin onnelliselle 1980-luvulle? Olivatko asiat oikeasti silloin paremmin?

Vaalisivuston perusteella slogan viittaa erityisesti maahanmuuttoon ja tuleviin uhkiin: Ulkoinen turvallisuus tuottaa sisäistä turvallisuutta. Mikäli emme hoida asiaa rajoilla, joudumme sietämään aseistettuja poliiseja kaduillamme, hyvätuloisia eristäytyneillä asuinalueillaan, luokkayhteiskuntaa, kahden kerroksen työmarkkinoita. Joudumme luopumaan hyvästä Suomesta, joudumme pelkäämään.

Elokuinen terrori-isku Turun torilla ja uutiset maahanmuuttajien tekemistä rikoksista lisäävät turvattomuuden tunnetta. Media ruokkii pelkoa, koska se elää sen myymisestä. Sosiaalisen median käyttövoima on viha ja tyytymättömyys. Vaikka tilastot ovat ristiriidassa median ja somen kanssa, jälkimmäiset vievät voiton.

Somessa nostetaan esiin raiskauksen riskin lisääntyminen. Eniten tuntuvat olevan huolissaan ne, joiden riski joutua uhriksi on kaikkein pienin. Lisäksi on mahdoton arvioida, miten raiskausten tai esimerkiksi lasten hyväksikäyttöjen riski on muuttunut 80- ja 90-luvuista, koska teot eivät silloin tulleet ilmi eivätkä aina olleet edes rikoksia (raiskaus avioliitossa kriminalisoitiin vasta 1994 -- sitä ennen vaimon oli pakko antaa, tai miehellä oli lupa ottaa väkisin).

Pian valittava presidentti saa johdettavakseen maan, joka on kaikilla mittareilla aiempaa turvallisempi (ja useilla myös parempi) maa. Kuka oikeasti haluaisi palata takaisin vanhaan Suomeen, jossa riskit olivat suurempia -- olkoonkin ettemme tienneet niistä?

NFC-maksu (lähimaksu) ja tietoturva kortilla - älä usko kaikkea

Lähimaksun turvallisuudesta kysytään usein. Kun maksu tapahtuu niin nopeasti ja helposti, eikä edes PIN-koodia kysytä, se ei mitenkään voi olla turvallista, eihän? Kerrotaan, että maailmalla rikolliset skannaavat laitteillaan ohikulkijoiden korttitiedot lompakosta tai käsilaukusta.

STT:n välittämän "uutisen" mukaan lähimaksun hakkerointi on helppoa ja onnistuu jopa metrin päästä. Tiedote on mennyt läpi ainakin Verkkouutisilla, joka julkaisi sen. Uutisessa viitataan yrityksen markkinointivideoon, joka alalle ominaiseen tapaan liioittelee ja dramatisoi.

Ensinnäkään kortin lukeminen ei tietääkseni ole mahdollista metrin päästä -- ei millään laitteella. Lukuherkkyyden lisääminen ei riitä, koska siru on passiivinen ja lukijan pitää lähettää siihen myös energiaa. Siksi metrin päästä lukemisen voi unohtaa. Joka toista väittää, näyttäköön siihen pystyvän laitteen sen sijaan, että siteeraa netissä liikkuvia väitteitä.

Videolla hakkeri istuu toisen henkilön viereen, sijoittaa puhelimensa uhrin käsilaukun lähelle ja lukee kortin tiedot langattomasti. Ilmeisesti puhelin toimii proxy-laitteena, joka välittää kortin tiedot langattomasti hakkerin kumppanin puhelimeen, joka samanaikaisesti maksaa tiskillä oluet.

"Uusin tapa" liittynee siis korttitietojen välittämiseen puhelimesta toiseen ja suoraan kassalla tapahtuvaan maksamiseen. Idea on sama kuin autojen älyavainten huijaamisessa proxyn avulla. Tämä on kieltämättä näppärää: jos temppu onnistuu, uhrin on vaikea huomata ylimääräisiä veloituksia, koska hän on itsekin asioinut kyseisessä kaupassa. Vielä vaikeampaa olisi todistaa, että kahviosto oli kyllä oma, mutta oluita en ostanut.

Video näyttää aivan suomalaiselta, mutta on kansainvälinen mainos ja siitä on eri kielisiä versioita, mm. englanti ja ruotsi.

Näin helppoa on maksukortin etäluku ja varkaus - väitetään.

Videolla mainitaan myös Credit Card Reader -niminen Android-sovellus. Kokeilin oman Nordean Mastercard-kortin lukemista sillä. Luku onnistui pitämällä puhelinta enintään muutaman millin päässä kortista, eikä puhelin saanut liikkua yhtään. Kortin pitää olla puhelimen keskellä, missä NFC-lukija sijaitsee.

Luku onnistuu vain, mikäli puhelin pysyy aivan paikallaan. 

Se siitä metrossa tai bussissa ohimennen lukemisesta. Ei onnistu ainakaan tavallisella puhelimella. Erikoislaite voi olla tehokkaampi ja nopeampi.

Kun luku sitten onnistui, tuloksena oli oikea voimassaoloaika, mutta kortilta saatu numero oli debit-numero, jota ei voi käyttää ulkomaisista verkkokaupoista tilaamiseen (tämä korjattu 8.11.2017). Myöskään kortilla olevaa nimeä saati kääntöpuolen CVV-koodia ei saatu luettua. Varmuuden vuoksi tiedot on kuvassa osittain peitetty.

Kortilta luetut tiedot.

Kiinnostavaa kyllä, Transactions-sivulla näkyi todellakin kortilla tehdyt viimeiset ostokset päivämäärineen ja summineen, sekä maksullisessa (5,49 euroa) Pro-versiossa myös transaktioiden laskuri (1839).

Voi olla, että jokin toinen ohjelma lukisi numeron oikein. Ja on muutamia harvoja nettikauppoja, joista voi ostaa pelkällä kortin numerolla ja voimassaoloajalla. Silti korttitietojen kaappaamisen riski on vähäinen. Lähimaksun kokonaisturvallisuus on hyvä, sillä riskialtis PIN-koodin syöttö jää pois ja lähimaksun ostos on rajattu 25 euroon.

Älypuhelinten lähimaksut (Apple Pay, Nordea Pay) ovat vielä turvallisempia, koska niissä maksu aktivoidaan vasta kassalla, eikä tietoja voi lukea salaa.

Video mainostaa ratkaisuna Cardprotect-suojakuorta (www.cardprotect.fi, 19,90 euroa), joka estää kortin tietojen lukemista. Kyse on siis mainoksesta, jonka perustelut ovat vähintään liioittelevia ja osin jopa valheellisia.

Mainos väittää, ettei kaksi päällekkäistä lähimaksukorttia estäisi etälukua. Olen kokeillut asiaa kassakoneella ja todennut, että kyllä estää. Korttien pitää kuitenkin olla oikein päin, niin että sirut osuvat päällekkäin. Mainosvideolla alimpana käytetään HSL:n matkakorttia, joka ei toimi tässä tarkoituksessa. Mutta toinen pankki- tai luottokortti toimii, sillä etälukija ei pysty erottamaan korttien siruja toisistaan.

Ei siis kannata uskoa kaikkea pelottelua, mitä turvallisuuden nimissä harrastetaan! Tämän päivän tilanteessa lähimaksu on turvallista ja näppärää.

Meillä tällaista ei voisi sattua

Päivän uutinen paljastaa, miten täpärästi säästyimme pahalta junaonnettomuudelta viime maaliskuussa. Riihimäeltä lähtenyt juna ajoi Hyvinkään aseman vaihteisiin 150 kilometrin tuntinopeutta, vaikka rajoitus olisi ollut 80 km/h. Syynä oli osittain inhimillinen erehdys: kuljettaja ei ollut muistanut kytkeä automaattista kulunvalvontajärjestelmää päälle, koska oli lähdön aikaan räplännyt puhelintaan.

Aiemmin junassa ovat häirinneet lähinnä kovaäänisesti puhelimeensa pälättävät matkustajat. Eipä näköjään kuljettajistakaan voi olla varmoja.

Maikkarin rikostoimittaja Jarkko Sipilä kaivoi Twitterissä esiin parin vuoden takaisen Hesarin uutisen, joka oli kirjoitettu Espanjan vakavan junaturman jälkimainingeissa.

"Meidän järjestelmämme on aukoton"

Tekstissä Liikenneviraston tekninen johtaja Markku Nummelin kehaisee, ettei meillä voisi sattua vastaavaa onnettomuutta, koska "järjestelmä on parasta, mitä Euroopassa on, ja tehty aukottomaksi". Samaa mieltä on Trafin johtava asiantuntija Kari Alppivuori: "Ei junaturvallisuus voi enää nykypäivänä olla siitä kiinni, että kuljettaja muistaa jarruttaa mutkassa".

Nyt on käynyt ilmi, että Suomen järjestelmä on "aukoton" vain, jos kuljettaja itse muistaa kytkeä sen päälle.

Turvallisuusasiat ovat vaikeita. Pahinta niissä on liian suuri itseluottamus ja "meillä kaikki on kunnossa" -asenne. Me Suomessa olemme tottuneet uskomaan siihen, että vahinkoja sattuu vain muualla, koska olemme itse niin hyviä ja huolellisia. Uusinkaan tekniikka ei auta, jos sitä ei kytketä päälle.

Voi vain ihmetellä, kuka on hyväksynyt turvajärjestelmän, joka on kuljettajan oman muistamisen varassa. Ja kuka kehtaa kutsua sellaista aukottomaksi?

Ainoa tie oikeaan turvallisuuteen on nöyryys ja jatkuva parantaminen. Suomi sai molemmista vakavan varoituksen. Onneksi tällä kertaa selvittiin pelkällä säikähdyksellä.

Etäluettava sähkömittari -- turvallisuusriski?

Jokin aika sitten turvallisuudesta huolestunut henkilö lähetti minulle kysymyksen: onko etäluettava sähkömittari turvallisuusriski? Voivatko rosvot päätellä sähkönkulutuksesta milloin asukkaat ovat poissa kotoa ja ajoittaa murtonsa sen perusteella?

Periaatteessa kyllä, mutta riski ei taida olla kovin iso. Mittari lähettää kulutuslukeman sähkölaitokselle muutaman kerran vuorokaudessa, mutta koska tiedot siirretään tavallisena mobiilidatana, sen kaappaaminen on vaikeaa.

Monet sähköyhtiöt tarjoavat asiakkailleen web-sivun, josta voi seurata omaa kulutustaan graafisesti ja lähes reaaliajassa. Esimerkiksi Helsingin energian palvelu on varsin näppärä ja havainnollinen. Espoossa lienee vastaava, mutta sähköyhtiö ei ole tiedottanut asiasta. Eivät ehkä halua kotiasiakkaita kuormittamaan palveluaan, varsinkin kun tieto todennäköisesti laskisi kulutusta.

Web-palveluun kirjaudutaan käyttäjätunnuksella ja salasanalla. Niiden urkkiminen tai arvaaminen avaisi tiedot rosvoille, mutta maksaako se vaivan? On paljon helpompaa käydä tarkistamassa, onko asunnossa iltaisin valot päällä.

Voi tietysti olla, että asuntoon on jätetty ajastin, joka sytyttelee ja sammuttelee valoja omia aikojaan. Kellon tarkkuudella toistuva valojen kytkentä ja sammutus on varma merkki siitä, että asunto on tyhjänä -- mutta tämäkin tieto on helpompi havainnoida aistinvaraisesti kuin murtaa netistä.

Fiksu rosvo voisi analysoida kulutuksen vaihteluita niin tarkkaan, että havaitsisi esimerkiksi lieden käytön aiheuttaman kulutuspiikin, tai tv-katselun tuoman lisäyksen. Mutta miksi nähdä vaivaa, kun Kamppi-Eira-lehti tietää kertoa paljon yksinkertaisemmasta kikasta.

Taitaa olla niin, että etäluettavat sähkömittarit kiinnostavat lähinnä nörttejä. Rosvoilla on aivan toinen logiikka.

Onneksi.

Uskomaton moka? Tunnusluku painettiin pankkikorttiin

Iltapäivälehdessä on uutinen: "Uskomaton moka - tunnusluku painettiin pankkikorttiin". Kysymysmerkkiä otsikossa ei ollut, sen olen lisännyt itse.

Kyseessä on yksinkertainen juttu: asiakas oli hieraissut silmiään havaittuaan, että pankkikortin neljä viimeistä numeroa olivat samat kuin pankkikortin tunnusluku. Suora lainaus: Pyörittelin päätäni ja ihmettelin. Kortin ohjeissa lukee, että salaista tunnuslukua ei saa kirjoittaa minnekään ylös, ei ainakaan pankkikorttiin. Ja siinä se nyt on painettuna.

Pankissa asiakkaan kertomusta ei aluksi tahdottu uskoa, mutta kortin nähtyään paikallisen konttorin toimitusjohtaja lupasi "luonnollisesti asiakkaalle uuden kortin". Säästöpankin kehitysjohtajan mielestä kyseessä on uskomaton sattuma.

Sen vielä ymmärtää, jos tavallinen asiakas tai pankinjohtaja ei tunne todennäköisyyslaskentaa, mutta pankin kehitysjohtajan luulisi ymmärtävän paremmin. Asia on hyvin yksinkertainen: todennäköisyys sille, että kortin neljä viimeistä numeroa ovat samat kuin kortin PIN-koodi, on 1/10 000. Jos pankilla on kymmeniä tuhansia asiakkaita, tällaisia tapauksia on todennäköisesti useita. Kukaan asiakkaista ei vain ole kiinnittänyt huomiota asiaan.

Se, mikä vaikuttaa satumaiselta sattumalta tai yhtä epätodennäköiseltä kuin lottovoitto, onkin todellisuudessa aivan arkipäiväistä. Pankit eivät vain halua mainita asiasta, joten tietoturvariskeillä pelotetut asiakkaat ovat ihmeissään. Pari vuotta sitten nousi vastaava kohu TUPAS-tunnisteiden väärästä kirjautumisesta. Vahvana todennuksena pidetty TUPAS ei olekaan kovin vahva.

Ja viimeistään tässä vaiheessa on selvää, ettei kyseessä ollut mikään moka, vaan luonnollinen ja harmiton sattuma. Todennäköisyys sille, että oman pankki- tai luottokorttinumeron keskeltä löytyy niin ikään PIN-koodi, on vielä paljon suurempi. Siitä vain etsimään! PIN-koodi on siten "painettu" satoihin tai jopa tuhansiin maksukortteihin.

Itse olisin vain tyytyväinen, jos pankkikortin lopussa olisi tunnusluku - olisipahan helppo muistaa eikä silti hyödyttäisi mitenkään varasta.

Käänteinen PIN-koodi ("anti-PIN")

Tulipa mieleeni ajatus, josta voisi olla apua pankkikorttivarkauksiin. Monta tiliä on tyhjennetty, koska varastetussa lompakossa tai kännykässä on ollut kortin PIN-koodi. Totta, PIN-koodin säilyttäminen tällä tavalla on ohjeiden vastaista, mutta numeroiden muistaminen on monille vaikeaa.

Entä jos kortteihin lisättäisiin käänteinen PIN-koodi, eräänlainen anti-PIN? Jos tililtä yritettäisiin nostaa rahaa tällä koodilla, automaatti tietäisi kortin olevan varastettu. Se imaisisi kortin, ottaisi nostajasta valokuvan ja hälyttäisi saman tien poliisin paikalle (ok, kaksi jälkimmäistä ovat ehkä liioittelua).

Lompakon ryövännyt rosvo ei voisi tietää, onko PIN-koodi oikea vai väärä. Hän ottaisi riskin kokeillessaan numeroa. Näin käänteinen PIN-koodi hyödyttäisi niitäkin, joiden lompakossa on se oikea PIN.

Anti-PIN-koodista olisi hyötyä myös ryöstöissä. Jos rosvo vaatii tyhjentämään oman tilin aseella uhaten, väärä PIN kertoo automaatille, että sen pitää imaista kortti parempaan talteen. Näin ainakin rahat säästyvät, toivottavasti myös henki.


Briefly in English:

Here is an idea how to improve debit and credit card security. Too many customers can’t memorize their PIN code and therefore they write it on small piece of paper or store it on their mobile phone. If wallet and card are stolen, thief can easily withdraw all the money.

Enter anti-PIN. Here is how it works: customer gets another, false PIN code (“anti-PIN”) and writes it down or stores it in mobile phone. If this code is entered at ATM, it knows the card is stolen and swallows the card. ATM could even alarm the police or take a photo of the thief (if not done automatically anyway).

Because of the false code thief must think twice before entering the PIN. Thus the security is improved even for those who only have one, working PIN.

Anti-PIN will also save your money if somebody tries to rob you and forces you to withdraw money with a gun. By entering the false code you save your money, hopefully the robber then saves your life.