Rosvoja tuomiolla, mutta yrittäjiä riittää

Viime vuonna tuli runsaasti uutisia pankkihuijausten uhriksi joutuneista asiakkaista. Tänä vuonna uutisointi on ollut hiljaisempaa, mikä toivottavasti kertoo pankkien suojausten parantumisesta. Pankkien tietoon tulleet huijaukset lisääntyivät v. 2025 148 miljoonaan euroon (+38% edelliseen vuoteen verrattuna), mutta tärkeämpää on, että estettyjen ja palautettujen maksujen määrä kasvoi +70 % kun taas menetysten kasvu oli "vain" +15 %. Trendi on siis oikeaan suuntaan.

Nordean viiveellistä tiliä tosin odotetaan vieläkin, vaikka luvatusta aikataulusta on kulunut jo puolitoista vuotta.

Pankit ovat ottaneet käyttöön itse asetettavia maksu- ja siirtorajoituksia. Ne kannattaa asettaa, mutta ihmisillä on turhan optimistinen kuva niiden tehosta. Jos rosvo saa aktivoitua tunnistuksen omaan puhelimeensa, uhri käytännössä menettää tilinsä hallinnan, eikä itse asetetuilla rajoilla ole vaikutusta. 

Kuka tahansa voi joutua pankkihuijauksen uhriksi. Paras suojautumiskeino on se, ettei säilytä tilillä suuria rahamääriä ja pitää luotto-ominaisuuden mahdollisimman pienenä. Se vähentää vahinkoa, jos rosvo pääsee läpi.

Iltalehti siteeraa jälleen hyvää työtä tekevän Itä-Suomen poliisin kuvauksia toteutuneista huijauksista. On erikseen pankkihuijaukset ja sitten sijoitushuijaukset. Yhteistä tapauksille tuntuu olevan uhrien ikä: valtaosa heistä on syntynyt 1950-luvulla. Lukuisat varoitukset turvatileistä, etäkäyttöohjelmien asentamisesta ja suurista sijoitustuotoista eivät näytä vieläkään tavoittaneen kaikkia. Summat ovat edelleen suuria ja menetykset lasketaan viisinumeroisissa luvuissa.

Yksi tapauksista koskee nuorempaa uhria. Tietoturva-asiantuntijaksi esittäytynyt huijari vei 1980-luvulla syntyneen naisen ja hänen hallitseman yhdistyksen tililtä yli 17 000 euroa. Nelikymppisen, joka lisäksi hallitsee yhdistyksen rahaliikennettä, pitäisi olla tietoinen huijaussoittojen vaaroista. Tapaus muistuttaa siitä, että kuka tahansa voi mennä ansaan.

Median otsikoissa kerrotaan rikoksista ja epäonnistumisista. Uutiset tuomioista ovat harvinaisia, mutta niitäkin löytyy.

21-vuotias tamperelaismies tuomittiin 4,5 vuoden vankeuteen 650 00 euron tekstiviestihuijauksesta. Uhreja oli kymmenittäin, suurin menetys 170 000 euroa. Tekijä Jasper Laine kertoi saaneensa ohjeet tuntemattomalta henkilöltä ja oman 30 000 euron palkkionsa kryptovaluuttana. Alle viiden prosentin "provisio" vakavista rikoksista kuulostaa pieneltä.

Toisessa tapauksessa Turun seudulla asunut nuorimies huijasi 177 000 euron arvosta rikoshyötyä Mobilepayn nimissä lähetetyillä huijausviesteillä. Huijaamisen hyötysuhde on huono: 91 000 tekstiviestillä sai kalasteltua vain 17 uhria, mutta huijausten keskimääräiseksi arvoksi tulee kuitenkin 10 000 euroa. 

Toivottavasti uutiset välittävät tiedon rikollisille asti. Pankkihuijaukset eivät ole helppo tapa tehdä rahaa, vaan oikeita rikoksia, joista jää nykyään myös kiinni. 

E-laskujen ihmeellisyydet

Siirtyminen paperilaskuista sähköiseen laskutukseen oli iso askel yrityksille joskus 2010-luvulla. Laskun tiedot viitteineen menevät suoraan taloushallinnon järjestelmästä toiseen, mikä nopeuttaa suuresti työtä. Nyt 2020-luvulla myös kuluttajat ovat tulleet e-laskujen piiriin. Siitä herää ainakin itselleni kysymyksiä.

Ensin muutama sana e-laskuista. Suomessa käytetään Finvoice-standardia, jossa yrityksen OVT-osoite alkaa numeroilla 0037 ja sen jälkeen tulee numerosarjana Y-tunnus.

Syystä, jota itse en tiedä, tarvitaan erikseen e-laskujen välittäjäyritys, jonka senkin numerosarja alkaa 0037 ja menee helposti sekaisin OVT-osoitteen kanssa. Miksei e-lasku voisi mennä suoraan lähettäjältä vastaanottavan yrityksen pankkiin, siis tyyliin Ytunnus@pankki.fi? Tai edes Ytunnus@valittaja.fi, jos välittäjä halutaan säilyttää.

Jos joutuu lähettämään e-laskuja, vastaanottajan OVT-osoite kannattaa tarkistaa sivulta www.verkkolaskuosoite.fi. Se näyttää Y-tunnuksen ja välittäjäyrityksen tiedot. Hakua voi kokeilla ihan huvikseen, sillä se löytää kohteen ällistyttävän nopeasti, vaikka muistissa on 374 930 organisaatiota. Toimisipa kaikki yhtä vauhdikkaasti!

Äskeisen hämmennyksen herättämänä lähdin selvittelemään kuluttajien e-laskutusta hieman syvemmältä, koska en ole nähnyt asiaa avattuna missään. Tässä kirjoituksessa se, mitä asiasta selvisi. 

Varsinaisen laskun tiedot välitetään koneluettavassa XML-muodossa. Verkkopankki voi sitten näyttää tiedot miten haluaa, ja jokainen haluaa tehdä sen eri tavalla. Itse olen käyttänyt lähinnä Nordeaa, eikä sen käyttöliittymä ole selkein mahdollinen. 

Kuva 1: E-laskun maksutietojen perusikkuna.

Painike Tulosta käynnistää selaimessa tulostuskomennon, mutta listauksessa on vain perustiedot: maksupäivä, määrä, viite ja tilinumerot. Hieman vaikea ymmärtää, mitä hyötyä tällaisesta tulostuksesta on.

Linkki Katso lasku näyttää laskun tiedot vakiomuodossa. 

Kuva 2: Elisan lasku Nordean verkkopankissa avattuna.

Samat tiedot saa selkeämmässä muodossa Tulostettava versio -painikkeella. Se sopii paremmin paperille tulostettavaksi, jos haluaa omaan arkistoon paperikopion. 

Kuva 3: Laskun tulostettava versio.

Näytölle ilmestyy pdf-tiedosto nimellä retrieve.pdf, jonka voi ladata omalle koneelle selaimen latauspainikkeesta tai tulostaa selaimen tulostuspainikkeesta. 

Sitten on vielä painke Lataa, jonka edessä on XML. Se avaa laskun alkuperäisessä konekielisessä XML-muodossa. Vaihtoehto PDF lataa laskun pdf-versiona, eli tekee saman kuin edellä, mutta nyt tiedostonimenä on download.pdf. 

Kuva 4: Lasku konekielisessä XML-muodossa.

Finvoicen XML-tageista näkee, ettei tekniikkaa ole tarkoitettu kuluttaja-asiakkaille, sillä vastaanottaja on merkitty organisaatioksi:

<BuyerPartyDetails>

<BuyerOrganisationName>Petteri</BuyerOrganisationName>

<BuyerOrganisationName>Järvinen</BuyerOrganisationName>

Näiden lisäksi Nordean ohjelmassa on Näytä laskuttajan erittely -linkki, joka esimerkkilaskun tapauksessa avaa laskun näköiskopion Stralfors.fi-palvelusta (ilmeisesti osa PostNordia). 

Kuva 5: Elisan laskun havainnollisin versio on näköiskopio.

Kaikissa versioissa on samat tiedot, mutta kuva 5 on kuluttajalle se tutuin näkymä: siinä on kuvat ja logot ja laskurivien erittely on kaikista selkeintä. Nyt painike Avaa laskun kuva lataa kysymättä satunnaisesti numeroidun PDF-tiedoston, jossa on sama lasku pdf-tiedostona. Siirry laskuerittelyyn näyttää yksittäiset laskutusrivit. 

Tässä onkin jo tullut esille monta ongelmaa. Terminologia on päällekkäistä joten pitää vain kokeilla, mitä tapahtuu. "Laskun kuva" on väärä termi, kun kyse on pdf-tiedostosta eikä kuvatiedostosta. Ärsyttää, että Nordean pankkiohjelmasta kaikki pdf-tiedostot latautuvat vakionimellä (joko retrieve tai download), mikä tekee niiden arkistoinnin omalle koneelle hankalaksi.

Miksei tiedostonimissä voisi lukea laskuttavan yrityksen nimi ja laskun numero tai päivämäärä? Miksei näissä ole mitään yhdenmukaisuutta eri laskuttajien ja eri pankkien välillä? 

Nordean palvelussa on vielä erikseen toiminnot laskuille, jotka ovat saapuneet ja odottavat hyväksyntää, sekä niille, jotka odottavat automaattista maksupäivää. Jos saapuneen e-laskun hyväksyy ja vaihtaa eräpäivän aiemmaksi, se näkyy silti avoimena eräpäivään asti. Ei kovin selkeää tämäkään.

Laskun näköisversio on pakkoratkaisu, josta yritykset haluaisivat eroon. Siksi jokainen laskuttaja on toteuttanut sen eri tavalla, tai jättänyt toteuttamatta kokonaan. Kaikki tiedot liikkuvat laskuttajalta pankkiin XML-versiona, jonka pankin oma palvelu sitten muuntaa selaimessa tai mobiilisovelluksessa näkyviksi kentiksi valitsemallaan tavalla.

Näköisversio on kuluttajalle kaikkein selkein. Jos kansiossa on kymmeniä laskuja, niiden hahmottaminen on paljon helpompaa näköisversioina kuin pankin vakiomuotoisina pdf-tiedostoina (kuva 2) -- varsinkin, jos laskuttaja ei selviä edes tiedostonimestä.

Pankit voisivat ladata näköisversiot asiakkaan puolesta automaattisesti itselleen ja tarjota ne kertalatauksena asiakkaan omalle levylle. Ehkä tällaista palvelua ei nähdä enää kehittämisen arvoisena, sillä useimmille riittää vain saapuneen laskun hyväksyminen. Senkin saa automaattiseksi, kunhan summa jää alle etukäteen asetetun maksimirajan.

Suurin osa asiakkaista unohtaa hoidetut laskut nopeasti. Pankit säilyttävät niitä kaiketi kaksi vuotta, kunhan pankin asiakkuus jatkuu. Omassa Nordean Hallinnoi e-laskuja > Arkisto vanhin lasku on marraskuulta 2024, eli säilytysaika on ollut vain puolitoista vuotta. Yllättäen vanhoissa laskuissa on linkki sekä verkkopankin omaan muotoon että alkuperäiseen näköiskopioon, joka edelleen toimii. Ilmeisesti laskuttajat säilyttävät pdf-versioitaan ainakin yhtä pitkään kuin pankit.

Jos laskuissa tulee epäselvyyksiä tai pitää selvitellä asioita esimerkiksi perunkirjoitusta varten, omasta laskujen pdf-arkistosta on paljon hyötyä. Sieltä voi myös seurata, miten palveluiden hinnat ovat vuosien varrella muuttuneet.

Vaikka levytila ja arkistointi on nykyään liki ilmaista, historiattomuus ja vanha data tuntuu olevan monille tarpeetonta. Hetkessä eläminen voi kuitenkin kostautua.

Digiongelmia PDF-tiedostojen ja e-laskujen kanssa

Moni suhtautuu nihkeästi palveluiden siirtymiseen verkkoon. Aina kyse ei ole muutosvastarinnasta vaan siitä, että käytössä tulee yllättäviä ongelmia, joihin ei saa mistään apua. Otan yksinkertaisen esimerkin, johon olen törmännyt itse: e-laskut.

Yritykset suosivat e-laskuja, koska niiden lähettäminen on edullista paperikirjeisiin verrattuna. Toisaalta asiakkaan on helpompi pitää kirjaa paperilaskuista, nähdä niiden erittelyt ja merkitä kynällä paperiin, milloin lasku on maksettu. Sitten vain laskut mappiin, ihan vanhanaikaiseen tyyliin.

Moderni tapa on ottaa vastaan kaikki e-laskuina pankkiin ja asettaa niille automaattinen hyväksyntä tiettyyn rajaan asti. Tai sitten laskut voi käydä hyväksymässä yksitellen, kun ne saapuvat. Valitettavasti jokaisella pankilla e-laskujen hallinta tapahtuu eri tavalla.

Automaattinen maksatus on mukavaa, mutta entä jos haluan nähdä, mitä maksullisia SMS-palveluita operaattori oli veloittanut, paljonko sähköä oli kulunut tai mikä oli ostettujen tavaroiden ALV-osuus kirjanpitäjää varten? Silloin haluan laskun PDF-version, jotta voin tallentaa sen omalle levylle. Verkkopankissa laskut säilyvät kaksi vuotta, omalla levyllä ikuisesti, eivätkä estä pankkiasiakkuuden vaihtoa.

Osa 1: E-lasku

Nordeassa PDF-laskun katsominen ja hakeminen omalle levylle on tehty hankalasti. Tänään huomasin, että jos katson laskua ensin ja hetken kuluttua yritän avata sen uudelleen tallennusta varten, tuleekin outoja virheilmoituksia:

"Linkki on käytetty tai vanhentunut"

 

"Ei ole enää saatavilla esilläpitopalvelussa."

Mitä nämä oikein tarkoittavat? Ilmeisesti kyse on laskujen välittäjän (ei pankin, ei laskun lähettäjän) järjestelmästä. Asiakas ei tiedä, mikä on "esilläpitopalvelu", eikä tarvitsekaan tietää.

Ilmeisesti kyseessä on jokin bugi tai tietoturvaominaisuus, johon muutama muukin käyttäjä oli törmännyt. Kun syy selviää, päivitän sen tämän sivun loppuun.

Oleellista on kuitenkin se, että tällaiset ilmoitukset hämmentävät kokenuttakin käyttäjää. Pankki vaatii huijatulta asiakkaalta liki täydellistä huolellisuutta ja virheettömyyttä, mutta miten virheetöntä on sen oma toiminta? Pankki tarjoaa asiakkaalle näkyvän palvelun ja joutuu siten vastaamaan myös ketjussa aiemmin olevista toimijoista.

Osa 2: Chrome

Nordean yrityspankissa tulee virheilmoitus, kun kirjoitettua e-laskua yrittää tallentaa PDF-tiedostona omalle levylle. Tämä liittyy ilmeisesti Chromeen ja on ollut näin jo muutaman vuoden ajan. Jokin yhteensopimattomuus ilmeisesti? Sama virhe on tullut joistain muistakin sivuista, joten tämä ei ole Nordean yksinoikeus.

Virhe on onneksi helppo kiertää tulostamalla sivulla näkyvä lasku PDF-tiedostoksi. Silti ärsyttävä yksityiskohta, jonka korjaantumista olen pitkään odotellut.

Osa 3: Windows

Okei, sitten kun lasku on saatu PDF-tiedostona levylle, kaikki on hyvin? No ei, sillä viime lokakuun päivityksen (2025-10 KB5066835) jälkeen Windows alkoi estää kaikkien netistä ladattujen PDF-tiedostojen näyttämisen esikatseluikkunassa. Tuloksena on vain virheilmoitus "Tiedostot, joita yrität esikatsella, voi olla tietokoneelle haitallinen. Jos luotat tiedostoon ja lähteeseen, josta sen sait, avaa tiedosto ja tarkastele sen sisältöä."

Esikatselun virheilmoitus.

Kun PDF-tiedostoja on paljon, esikatselun estäminen on ärsyttävää. Ilmeisesti kyse on taas tietoturvasta. PDF esikatselussa ei ole vaarallinen, mutta esimerkiksi tallennetut html-sivut voivat olla. 

Eston voi poistaa tiedostokohtaisesti sen ominaisuuksista ("Suojaus: Tämä tiedosto on peräisin toisesta tietokoneesta, ja se on estetty tietokoneen suojaamiseksi", rastita kohta Salli).

Jos tiedostoja on paljon, suojauksen poisto käy helpommin käynnistämällä PowerShell-komentotulkki järjestelmänvalvojan oikeuksilla (Start-valikosta Pääte ja sitten Suorita järjestelmänvalvojana). Sitten annetaan esimerkiksi komento

Unblock-File -Path "C:\Users\<tunnus>\Downloads\*.pdf"

missä <tunnus> on käyttäjätunnus (kotikansion nimi). Esimerkki poistaa turhan suojauksen kaikilta latauskansion PDF-tiedostoilta. 

Jotta uudet ladattavat PDF:t eivät saisi suojausta, pitää puukottaa järjestelmärekisteriä:

Tietokone\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\

Tämän alle avain Attachments ja sen alle DWORD-arvo SaveZoneInformation yksi. 

Netistä ladatun tiedoston turhan suojauksen poisto.

Monet muutkin ovat tuskailleet tämän muutoksen kanssa. Lisätietoja aiheesta on Microsoftin sivulla https://learn.microsoft.com/en-us/answers/questions/5585704/windows-preview-pane-stopped-working-with-10-15-20. 

Lisäksi on vielä tapaus, jossa tiedostot sijaitsevat jaetulla verkkolevyllä. Sen suojaus saadaan poistettua kirjoittamalla Win+R -komennon perään (tai komentoikkunassa Start) inetcpl.cpl, joka käynnistää vanhan verkkotasojen hallintapaneelin.

Jaettu verkkolevy lisätään Paikallinen intranet-ikkunaan joko sisäverkon IP-osoitteen perusteella tai rastittamalla ylin rivi "Havaitse intraneverkot automaattisesti". Turvallisiksi katsotut web-sivut voi myös listata Luotetut sivustot -kohdassa, jolloin niistä ladatut tiedostot eivät saa suojausmerkintää.

Verkkolevyn määrittäminen turvalliseksi.

Isommassa yrityksessä tietohallinto tekee tällaiset asetukset keskitetysti, mutta pk-yrityksen tai kotikäyttäjän tapauksessa työt jäävät itselle.

Yksinkertaiselta vaikuttanut asia "lataanpa e-laskut PDF-tiedostoiksi omalle koneelle" onkin lopulta yllättävän hankala, koska osapuolia on monta ja kaikki liikkuu ajassa. Tähän liittyen katso seuraava kirjoitus E-laskujen ihmeellisyydet.

Uusi uhka tietoturvalle: e-sim

Helsingin Sanomat kertoi 25.3.2026 pankkihuijauksesta, jossa e-sim tekniikalla oli merkittävä rooli. Tällaisia huijauksia on osattu odottaa, poliisi varoitti asiasta jo viime syksynä omalla tiedotteellaan: Poliisi varoittaa puhelinliittymien kaappauksista. Liittymän kaappaaminen (sim swapping) on ollut ennenkin mahdollista, mutta e-sim tekee sen entistä helpommaksi.

Mikä siis on e-sim (eSIM)? Perinteinen SIM (Subscriber Identity Module) on pieni muistkortti (oik. älykortti), johon operaattorin asiakkuus on sidottu. Kymmenkunta vuotta sitten markkinoille tulivat ensimmäiset puhelimet, joihin sim-toiminnallisuuden voi ladata ohjelmallisesti suoraan verkosta. Tästä käytetään nimitystä e-sim. 

Esimerkiksi turisti voi ostaa helposti paikallisen liittymän jo ennen matkaa (tai sen aikana), ja näin välttää kalliit roaming-hinnat reissun aikana. Itse olen käyttänyt Airalo-palvelua ja se on toiminut hyvin. Puhelimessa voi olla useita liittymiä, joita vaihdetaan puhelimen asetuksista tarpeen mukaan. Oikein näppärää - mutta juuri siksi myös vaarallista. 

Verkkopankissa riski on suurin niillä, joiden tunnistus perustuu tekstiviestillä saataviin koodeihin eikä pankin omaan todennussovellukseen. Kaappaamalla liittymän itselleen rosvo pystyy tyhjentämään tilin, koska hän saa kaikki koodit ja lisävarmistukset itselleen.

Mitä tapahtui?

Tässä tapauksessa uhri yritti kirjautua Omavero-palveluun, ja kirjoitti iPadin osoitekenttään pelkän sanan Omavero. Se on tietenkin virhe, osoite pitäisi kirjoittaa aina kokonaisena, eikä luottaa hakukoneeseen. Uhri päätyi valesivulle, jolle hän yritti ensin kirjautua oikeaoppisesti mobiilivarmenteella. Se antoi kuitenkin virheilmoituksen (usein merkki huijaussivusta). Sen jälkeen uhri kokeili Aktian pankkitunnistusta. Hän syötti tunnukset neljä kertaa muutaman minuutin aikana, mutta virheilmoitus toistui itsepintaisesti.

Lopulta asiakas luovutti, mutta rosvot olivat jo saaneet haluamansa. Liittymän siirto e-simille vaati Telian sivulla kaksi vahvaa todennusta ja QR-koodin, joka näkyi rosvoille. Uhrin puhelimeen tuli vain viesti, että e-sim on aktivoitu.

Sen jälkeen liittymä lakkasi toimimasta alkuperäisessä puhelimessa ja rosvoilla oli täysi hallinta uhrin tilille. Rosvot yhdistivät rahaa toiselta tililtä päätilille ja ottivat vielä luottoa, minkä jälkeen kaikki siirrettiin Italiaan. Uhri menetti yhteensä 23 632 euroa. Vastaanottajien tileissä näkyy kaksi marokkolaista naisten nimeä, luultavasti muuleja. Myös ip-lokitieto viittaa Marokkoon.

Uhri ei ollut koskaan aiemmin siirtänyt rahaa ulkomaille. Eri tileillä olevien varojen yhdistämisen, luoton ottamisen ja sen jälkeen tilin tyhjentämisen olisi pitänyt olla punainen lippu pankille, mutta sen järjestelmät eivät reagoineet. Kiitos EU:n pikamaksun rahat lähtivät muutamassa sekunnissa Italiaan ja hävisivät. 

Uhri huomasi asian vasta seuraavana aamuna, kun hänen puhelimensa oli lakannut toimimasta. Yhteydenotto pankkiin toisella puhelimella ei enää auttanut, rahat olivat poissa. Poliisi otti vastaan rikosilmoituksen, mutta lopetti tutkinnan viikon päästä, koska summa oli alle 10 000 euroa ja kyse kansainvälisestä rikollisuudesta. Koko summa oli yli 20 000 euroa, mutta tiedon korjaaminen ei enää vaikuttanut poliisin toimintaan.

Onneksi tällä kertaa FINE asettui uhrin puolelle ja suositteli Aktiaa korvaamaan vahingon. Vaikka asiakas oli kieltämättä huolimaton, pankki itse oli vielä huolimattomampi. 

Pankkien ja operaattorien vastuu?

Aktia-pankilla on oma todennussovellus, joka olisi luultavasti estänyt rahojen siirron. Sen kuittaus on sidottu nettiyhteyteen ja laitekohtaiseen tunnisteeseen, ei liittymän puhelinnumeroon. Miksi Aktia edes sallii vanhan ja turvattoman menetelmän käytön? Varmaan siksi, ettei kaikilla asiakkailla vieläkään ole älypuhelinta. Se ei kuitenkaan vapauta pankkia vastuusta: kaikkien tunnistustapojen pitää olla asiakkaalle turvallisia. Pankilla on tiedollinen ylivoima, joka tuo vastuuta. 

Uhri luuli kirjautuvansa Omaveroon, mutta koodit tulivatkin kirjautumisesta pankkiin. Tämä tieto ei näkynyt tekstiviestissä, vaikka se olisi ollut helppo lisätä. Tekstiviesti oli samanlainen myös Telian liittymäsiirtoa tehtäessä. Kohteen maininta tekstiviestissä voi olla teknisesti mahdotonta, mutta ainakin pankin oma kirjautuminen pitäisi näkyä viestissä ("Olet kirjautumassa Aktian pankkipalveluun..." vs. "Olet kirjautumassa johonkin muuhun kuin Aktian palveluun, varmista osoitteen oikeellisuus").

Telian e-sim -aktivointiviesti ei myöskään sisältänyt mitään varoitusta luvattomasta käyttöönotosta. Tämän pitäisi olla yleinen käytäntö, kuten nettipalvelujen sähköposti-ilmoitukset osoittavat: "Yrititkö kirjautua tilillesi... jos et ollut sinä, vaihda salasanasi" tms. Uhri ei ymmärtänyt, mikä on e-sim, ja miksi hän sai siitä operaattoriltaan ilmoituksen.

Tämä jaksaa aina ihmetyttää minua. Pankkien ja operaattorien pitäisi tietää riskit. Heillä on tietoturvaihmisiä, jotka työkseen seuraavat uhkia ja tapahtumia maailmalla. Silti he eivät mieti väärinkäytön mahdollisuuksia ja varaudu niihin ennakolta. Kaikki jää asiakkaan vastuulle ja ongelmat ovat hänen omaa huolimattomuuttaan.

Monella on myös vääriä käsityksiä nykyisten suojakeinojen toimivuudesta, vaikka ne on tehty erilaiseen uhkaympäristöön. Kuvitellaan, että pankkien siirtorajoitukset estävät vahingot, koska sama periaate toimii pankkiautomaateilla. Verkkopankissa se ei auta, sillä jos tilin saa hallintaansa, rajoitukset voi poistaa. Osa pankeista tekee sen vielä helpommaksi sallimalla lennossa kielen vaihdon englanniksi.

Tai että "ei vaaraa, koska siirtoihin/sim-tilaukseen vaaditaan vahva tunnistaminen". Rosvot osaavat kiertää nämä huijaamalla uhria. Edes IT-ammattilaiset eivät aina näe heikkouksia siellä, missä ne ovat, koska he luottavat liikaa teknisiin suojakeinoihin. Yksi syy tähän on salailu: pankit eivät kerro tapauksista julkisesti vaan vetoavat aina tietosuojaan.

Olen ehdottanut pankeille käytännön turvaparannuksia niin monta kertaa, että toistan ne vain lyhyesti: viiveelliset siirrot ulkomaille, ulkomaansiirtojen lukitus jos ei siirtoja ulkomaille kahteen vuoteen, isojen siirtojen lisävarmistus etukäteen nimetylle varahenkilölle, tilin tyhjennyksen + luoton estäminen ilta-aikaan... Kaikki nämä keinot ovat Ruotsin pankeilla käytössä, Suomessa ei kellään. Kukaan ei halua olla ensimmäinen, koska silloin muut pankit joutuisivat seuraamaan, ja se maksaisi.

Suomi oli joskus verkkopankkien turvallisuuden edelläkävijä. Nykyinen tilanne harmittaa ja suututtaa. Sekin harmittaa, ettei asia tunnu kuuluvan kenellekään. Odotetaan, että markkinat ratkaisevat ongelman. Lupauksista huolimatta mitään näkyvää ei ole tapahtunut. Pankit eivät halua nähdä vaivaa ja hankkia lisäkustannuksia, ellei niitä velvoiteta siihen.

Niinpä ongelmista räksyttäminen jää minulle, vaikka olen ulkopuolinen enkä haluaisi kritisoida pankkeja tai operaattoreita.

Lopuksi erittäin tärkeä neuvo: varmista omalta lähipiiriltäsi (isä, äiti, isoisä, isoäiti ym) ettei heillä ole käytössä pelkkään tekstiviestitunnistukseen perustuvaa verkkopankkia. Tekstiviesteihin ei voi enää luottaa!

PS. E-sim mahdollistaa myös tupla-sim-huijauksen, jossa rosvo voi saada tekstiviestillä tulevat varmistuskoodit huomaamatta omaan puhelimeensa. 

Lisäys 28.5.2026: Poliisi varoittaa käynnissä olevista e-sim-huijauksista: https://www.is.fi/digitoday/tietoturva/art-2000012039052.html

Kannan huolta pankkihuijauksista, koska kyse ei ole yksinomaan pankeista vaan koko suomalaisen verkkoasioinnin tulevaisuudesta. Siihen liittyvä kolumnini Tivi-lehdestä. 

Digiturva horjuu – Tämä taho voisi pelastaa suomalaisten luottamuksen

Suomalaiset ovat luottavaista kansaa. Luotamme viranomaisiin, painettuun sanaan ja toisiin suomalaisiin. Mutta edes suomalainen luottamus ei kanna loputtomiin.

Digi- ja väestötietovirasto teettää vuosittain Digibarometri-kyselyn, joka mittaa kansalaisten asenteita tietoturvaan ja verkkoasiointiin.

Tämän syksyn tulosten perusteella 38 prosenttia vastaajista kokee luottamuksensa digitaaliseen turvallisuuteen heikentyneen, kun viime vuonna näin tunsi 36 ja sitä edellisenä ainoastaan 28 prosenttia.

Luottamuksen rapistuminen on huolestuttava trendi, sillä ensi vuoden alusta viranomaiset alkavat viestiä kansalaisiin päin ensisijaisesti sähköisesti. Paperiposteista ja lomakkeista halutaan eroon.

Miten sähköinen kanava voi toimia, jos kansalaiset eivät luota verkkoasiointiin? Moni ei uskalla enää avata edes sähköposteja eikä vierailla nettisivuilla pelätessään, ettei erota niitä huijauksista.

On oikeastaan ihme, että luottamus on näinkin korkealla tasolla, sillä turvallisuuden tunne on psykologiaa. Uutiset huijareista ja digitaalisista pankkirosvoista huolestuttavat kokenuttakin nettikäyttäjää.

Tilanne ei kuitenkaan ole toivoton. Digibarometrin mukaan 11 prosenttia kokee luottamuksensa jopa vahvistuneen, kun vastaava luku vuosi sitten oli kymmenen ja kaksi vuotta sitten vain yhdeksän prosenttia.

Kaikkialla yleistyvä polarisaatio jakaa käyttäjiä voittajiin ja häviäjiin myös turvallisuudessa. Vuoteen 2023 verrattuna voittajien määrä on kasvanut kaksi prosenttiyksikköä, häviäjien kymmenen prosenttiyksikköä. Entistä harvemman luottamus säilyy ennallaan.

Voittajia ovat ne, jotka jaksavat seurata asioita ja kehittää omaa osaamistaan. Huijauksista uutisointi ja tapausten avaaminen julkisuuteen auttavat välttämään niitä omalla kohdalla.

Häviäjät nostavat kädet pysytyn ja ripustavat hiiren naulaan. He katsovat pudonneensa kelkasta ja asioivat verkossa vain, kun on pakko.

Jotta yhä useampi saataisiin häviäjistä voittajien puolelle, tarvitaan uusia toimia.

Medialla on keskeinen rooli turvallisuuden tunteen luomisessa. Moni kyberhyökkäystä tai hybridivaikuttamista hehkuttanut uutinen on myöhemmin paljastunut tavalliseksi rikollisuudeksi tai tahattomaksi tekniseksi ongelmaksi.

Ei ole viisasta, että teemme hybridiuhkien uutisoinnista itse hybridiuhkan.

Kriittisin sähköisen asioinnin kohde on oma pankki. Uutiset tilien tyhjentämisestä pelottavat enemmän kuin vanhan ajan pankkiryöstöt. Niissä vahinko jäi pankin tappioksi, kun taas digirosvon uhri joutuu nuolemaan haavansa itse.

Tähän asti pankkien ulospäin näkyvät toimet luottamuksen vahvistamiseksi ovat jääneet vähäisiksi, mutta jatkossa voi olla toisin.

Korkein oikeus otti äskettäin käsittelyyn pankkiasiakkaan törkeän huolimattomuuden arvioinnin. Huijaukset ovat yhä kehittyneempiä, joten huolellinenkin asiakas voi joutua uhriksi. KKO:n linjaus toivottavasti selkeyttää tilannetta ja lisää painetta pankkien suuntaan.

Yksi luottamusta lisäävä tekijä ovat rangaistukset. Välillä tuntui, että verkkorikollinen pääsee aina kuin koira veräjästä. Viime aikoina poliisi on kuitenkin pystynyt selvittämään muutamia isoja tapauksia, kuten Vastaamon tietomurron, S-pankin tilien tyhjennykset sekä laajan huijaussoittojen verkoston.

Jokainen yritys voi osaltaan lisätä luottamusta huolellisella viestinnällä. Koneellisesti käännetyt nettisivut ja tekoälyn kirjoittamat sähköpostit vievät turhaan uskottavuutta.

Jos luottamuksen laskevaa trendiä ei saada käännettyä, Suomi ajautuu vaikeuksiin. Lisääntyvä vanhusväestö pitäisi tavalla tai toisella saada mukaan sähköiseen itsepalveluun.

Yksi toimija voisi olla keskeisessä roolissa: Yleisradio. Ikääntyvät ihmiset ovat television suurkuluttajia. Ylen ajankohtaisohjelmat paukuttavat heille joka ilta samaa virttä talouden vaikeuksista, Venäjän uhkasta ja Gazan sodasta.

Etäisten uhkien sijaan Yle voisi pyörittää joka ilta tietoiskuja, joissa varoitettaisiin yleisistä huijauksista ja opastettaisiin digiajan vaaroihin. Riittävällä toistolla tieto uppoaisi myös alkavasta muistisairaudesta kärsivään mökin mummoon.

Kansalaisten sivistäminen digiaikaan jos mikä olisi Yleisradion lakisääteistä julkista palvelua ja hyödyttäisi koko suomalaista yhteiskuntaa.

Vielä ideoita verkkopankin tietoturvan kehittämiseen (4)

Tämä on neljäs ja tällä erää viimeinen kirjoitukseni todennuksen ja verkkopankkien turvallisuudesta. 

Pistää vihaksi, että huijarit tyhjentävät vanhusten elinikäiset säästöt, eikä kukaan voi tehdä mitään. Tuoreen Ylen uutisen mukaan poliisi saa 200-500 ilmoitusta kuukaudessa kalasteluista, joissa menetetään 2-4 miljoonaa euroa.

Tuore esimerkki on Kokkolasta, jossa 88-vuotiaan lääkärin tililtä vietiin 88 409,09 euroa. Uhri oli erehtynyt syöttämään S-pankin tunnukset kalastelusivulle, jolloin rosvot saivat asennettua verkkopankin omaan puhelimeensa ja tyhjensivät tilin yön aikana yli sadalla erillisellä siirrolla. Eikä pankki huomannut mitään.

Uuden päätelaitteen käyttöönotto ja heti seuraavana yönä tilin tyhjentäminen on niin selvä merkki rikoksesta kuin vain voi olla. Sen tunnistamiseen ei tarvita edes tekoälyä, muutama IF-lause riittää. Jos pankin valvonta ei  havaitse näin räikeää tekoa, pankki on itse toiminut huolimattomasti.

Miksi uhri hyväksyi rikollisten tunnistuspyynnön? Hän oli samaan aikaan itse asioimassa verkkopankissa, jolloin huijauspyynnöt sekoittuivat aitoihin kuittauksiin. Tällainen moka voi sattua kenelle tahansa.

On helppo neuvoa pankkeja ja vaatia niiltä parempia suojauksia tai tekoälyn tehokkaampaa käyttöä. Teknisten muutosten tekeminen pankin järjestelmiin on kuitenkin iso ja raskas operaatio. Muutokset tuottavat aina vääriä hälytyksiä ja kuormittavat asiakaspalvelua. Siksi pankit pyrkivät viimeiseen asti ratkaisemaan ongelmat sisäistä valvontaa tehostamalla. Se ei vain näytä riittävän.

Huijaukset ja niiden yritykset kuormittavat jo nykyisellään raskaasti pankkien asiakaspalvelua. Lisäksi parempien suojausten tarjoaminen, vaikka asiakkaat eivät niitä ottaisikaan, olisi pankeille keino välttää omaa vastuuta tyyliin ”me tarjosimme kyllä tällaista viivästettyä tilimuotoa/turvatiliä, mutta asiakas ei sitä ottanut”. Operaattorit ovat tehneet turvallisuudesta kilpailuedun, pankkien pitäisi toimia samoin.

Olen esitellyt lukuisia ideoita turvallisuuden parantamiseen: viivästetyt siirrot, hyväksynnän vaatiminen uhrin sijaan luottohenkilöltä, ulkomaanestot, toimintaan kytketyt värit ja äänimerkit, puhelinsoiton vaatiminen asennettaessa mobiilipankkiohjelmaa uuteen päätelaitteeseen, pankkien yhteinen 24/7 puhelinpalvelu ja niin edelleen. Näitä voisi keksiä lisääkin, jos pankit kertoisivat, miten onnistuneet huijaukset tapahtuvat. Turvallisuuteen ja yksityisyydensuojaan vedoten tapauksia ei avata, joten tiedollinen ylivoima ja velvollisuus toimia jää niille itselleen. Me ulkopuoliset voimme vain spekuloida.

Spekuloidaan siis. Voisiko pankkitunnusten protokollaan jotenkin lisätä tiedon siitä, mistä ip-osoitteesta yhteys on lähtenyt tai mihin url-osoitteeseen se liittyy? Pankkitunnusten luvallisilla hyödyntäjillä pitää olla sopimus pankin kanssa, koska he maksavat jokaisesta tunnistamisesta. Auttaisiko tämä tunnistamaan kalastelusivuja? 

Myös käyttäjällä on vastuu rahojensa turvallisuudesta. Miksi ihmiset seisottavat isojakin rahasummia tavallisilla tileillä, jotka on helppo yhdistää ja siirtää ulos? Mikään siirtoraja tai ulkomaanesto ei auta, jos asiakas voi itse asettaa ja rosvo yhtä helposti poistaa sen. Pakollisen aikaviiveen lisääminen näihin ei olisi pankille vaikeaa.

Vaarassa ovat varsinkin vanhemmat ihmiset, joille on kertynyt eläkesäästöjä. Mikä olisi sellainen turvatili, johon varat voisi siirtää ilman pelkoa tyhjennyksestä? Kaikki eivät halua sijoittaa säästöjään osakkeisiin tai rahastoihin, joiden arvo voi myös laskea. Rahojen palautus turvatililtä kestäisi esimerkiksi kolme pankkipäivää, mikä oli pankin oman edun mukaista.

Voisiko pankki oma-aloitteisesti tarjota turvatiliä iäkkäämmille asiakkailleen, joilla on esimerkiksi yli 10 000 euroa tilillä? Tai voisiko osan tavallisen käyttötilin varoista jäädyttää niin, ettei uhri itse voisi tyhjentää kaikkia varoja, ei edes usealla pienellä siirrolla? Jonkinlainen minimisaldon vaatimus, siis. Tässäkin olisi tuotekehityksen paikka.

("Turvatili" -nimitys on tässä tarkoituksella, mutta sekaannusvaaran vuoksi pankin ei itse kannata nimetä turvatiliään juuri näin.)

< Edellinen kirjoitus

Mobiilivarmenne pankkitunnuksilla on riski ja käytettävyys kaipaa muutenkin kohentamista (3)

Tietoturvaviranomaiset suosittelevat mobiilivarmenteen käyttöä asiointipalveluihin ja pankkitunnusten rajoittamista vain pankkikäyttöön. Ajatus on hyvä, mutta silloin mobiilivarmenteen soisi olevan pomminvarma ja kaikissa tilanteissa helppokäyttöinen. Vielä ei olla sillä tasolla.

Hyvä puoli on, että sim-kortilla oleva varmenne toimii käyttöjärjestelmästä riippumatta ja jopa vanhalla Nokian peruspuhelimella. Sitä ei tarvitse - eikä voikaan - päivittää. Huono puoli on, että toiminta Android-maailmassa voi vaihdella valmistajasta riippuen. Esimerkiksi oma Android-puhelimeni ei näytä tapahtumatunnistetta lainkaan.

Suomessa varmenteen teknisestä toteutuksesta vastaa Telia, jonka palvelua DNA ja Elisa myyvät myös omiin liittymiinsä. Peruskäyttäjä hämmentyy nähdessään toisen operaattorin kirjautumisaikkunan asioidessaan. Ehkä samasta syystä johtuvat myös ajoittaiset virheilmoitukset. Pankkitunnusten etuna on se, että ne toimivat pomminvarmasti - onhan kyse pankkien omista rahoista (no, pankkien palveluissakin on katkoksia, mutta syy ei ole tunnistamistekniikassa).

"Odottamaton virhe" - tätä ei pankkitunnuksilla tapahdu.

Edullisiin Moi-liittymiin tai prepaid-liittymiin mobiilivarmennetta ei saa lainkaan. Telian omissa Dot-liittymissä ei puolestaan toimi mobiilivarmenteen häiriönestokoodi.

Niin, häiriönestokoodi. Sen asettaminen on tarpeettoman hankalaa. Telian ohjeen mukaan koodi asetetaan tekstiviestillä numeroon 15011 ja avainsanalla ESTO. "Koodi voi olla 3–10 merkkiä pitkä numeroista ja kirjaimista koostuva jono", mutta jättää avoimeksi ovatko numerot pakollisia. Ääkköskielto on ymmärrettävä.

DNA:n mobiilivarmenneohje neuvoo asettamaan estokoodin nettisivulta mobiilivarmenne.dna.fi. Tässä  ohjeessa "Koodin tulee alkaa kirjaimella ja sen pituus voi olla 4-8 merkkiä. Loput merkit voivat olla kirjaimia tai numeroita. Isot ja pienet kirjaimet huomioidaan." - öh, siis mitä? Ovatko numerot pakollisia vai eivät? Onko isoilla ja pienillä kirjaimilla eroa? (Ilmeisesti ei)

Elisan liittymissä häirinnänestokoodin "tulee olla 3-16 merkkiä pitkä. Ensimmäisen merkin tulee olla kirjain, ja koodin tulee sisältää myös numeroita". Tämä teksti näkyy puhelimen asetuksissa. Hämmentävästi numeroita ei ole pakko syöttää, mutta silloin estokoodi ei vain toimi. Mitään  tarkistusta ei ole eikä virheilmoitusta tule.

Elisan ohje kertoo lähettämään tekstiviestin "STKSPAM koodi" numeroon 18258. Koodin voi asettaa myös puhelimesta, Android-puhelimissa on sitä varten Elisa-niminen sim-kortin palvelujen hallintasovellus. 

Elisan sim-palvelujen hallintasovellus.

iPhone-puhelimissa se löytyy (jos vain osaa etsiä) puhelimen sim-asetuksista Mobiilidata > SIMit ensisijainen > SIM-sovellukset > Tunnusluvut > Häirinnänestokoodi ja sen jälkeen joko Aseta estokoodi tai Poista estokoodi. Vastaava asetuspolku pitäisi olla myös Android-puhelimissa, mutta omista malleistani en sitä löytänyt.

iPhonen SIM-sovellukset asetusvalikosta pääsee Tunnuslukuihin.

Tunnistusta käytettäessä kirjoitetaan oma puhelinnumero, odotetaan kunnes palvelu tarkistaa onko sim-kortilla käytössä estokoodi, kysytään sitä, syötetään se ja lopuksi kirjoitetaan pin-koodi puhelimella. Ei ihme, että nopeammat ja yksinkertaisemmat pankkitunnukset ovat yhä laajassa käytössä.

Mobiilivarmenne on voimassa viisi vuotta kerrallaan. Kun aika umpeutuu, sim-kortti pitää vaihtaa, koska sille voi asentaa vain yhden varmenteen kerrallaan. Varmenteeni vanheni ja se irtisanottiin Elisan liikkeessä, mutta nyt pitää odottaa kaksi viikkoa sopimuksen irtisanomista, ennen kuin uusi varmenne alkaa toimia. Siis kaksi viikkoa ilman tunnistuspalvelua.

Jos tämä on viranomaisten suosittelema tunnistusmenetelmä, se kaipaa vielä hiomista. Ilmeisesti on niin, ettei mobiilivarmennetta juuri käytetä maailmalla ja siksi sen tuki päätelaitteissa vaihtelee, eivätkä suomalaisetkaan operaattorit ole panostaneet siihen ihan täysillä. 

Aiemmin varmenteen käyttöönotto vaati asiointia myymälässä ja henkilöllisyyden varmistamista, mutta nykyisin sen voi aktivoida pankkitunnuksilla suoraan netistä. Tässä piilee iso riski. Jos rikollinen pääsee toimimaan uhrin puolesta pankkitunnuksilla, hän voi aktivoida mobiilivarmenteen omaan puhelimeensa ja sen jälkeen tunnistautua vahvasti uhrin nimissä. 

Varmennetta ei ole sidottu liittymän omistamiseen. Esimerkiksi puoliso voi aktivoida toisen identiteetin omaan puhelimeensa, jos pääsee tunnistautumaan kerran tämän puolesta pankkiin. Perheen sisällä tai lähipiirissä tämä ei yleensä ole ongelma. 

Käyttö on tietenkin laitonta, mutta teknisesti mahdollista. Feikkipuhelimessa on oltava liittymä, jossa varmennetta ei vielä ole. Prepaid-liittymät eivät käy, koska niihin varmennetta ei saa. 

Nordealla pankkitunnistuksen voi itse valtuuttaa uuteen puhelimeen, mutta puhelimet pitää nimetä ja alkuperäinen käyttäjä näkee, että toinenkin päätelaite on valtuutettu käyttäjäksi. Muilla pankeilla saattaa olla eri käytännöt. Myös mobiilivarmenteeseen tarvittaisiin toiminto josta näkisi, mihin sim-kortteihin oma identeetti on asennettu.

Kesällä 2022 S-pankilla oli tietoturvakatastrofi, jossa nuoret miehet pääsivät mellastamaan asiakkaiden tileillä eikä pankki aluksi uskonut saamiaan vikailmoituksia. Samassa yhteydessä tekijät onnistuivat ilmeisesti myös luomaan uusia mobiilivarmenteita ja siten varastamaan muiden identiteettejä. He tyytyivät nostamaan 60 000 euroa lainoja, mutta tilanteessa oli aineksia paljon pahempaankin.

Vahvan tunnistuksen huijaaminen tällä tavalla olisi pitänyt soittaa hälytyskelloja viranomaisissa, mutta jostain syystä asia meni ohi tavanomaisena huijausuutisena.

Lisäys 3.9.2025: Varmenteen päivittämisestä tuli parin päivän operaatio, kun myymälän asiantuntija tai chatin tekninen tuki eivät osanneet auttaa. Tieto 14 vrk odotuksesta oli virheellinen, tietokannan päivittämiseen kuluu normaalisti noin vuorokausi. Lopulta varmenne lähti toimimaan, kun valmis kuusinumeroinen PIN-koodi syötettiin puhelimen omalla Elisa-ohjelmalla eikä ohjeiden mukaan nettisivulta.

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>

Suomalainen digitunnistus sotkee tärkeän periaatteen (2)

Toinen blogiteksti liittyen digiasioinnin turvallisuuteen. 

Yksi syy pankkihuijauksiin on suomalainen digitunnistus, joka sekoittaa kaksi tärkeää periaatetta keskenään: tunnistuksen ja allekirjoituksen. Kaikki kuitataan yhdellä ja samalla PIN-koodilla, mikä avaa mahdollisuuden huijaukseen. Uhri luulee kirjautuvansa vaikkapa Omakantaan, mutta rosvo käyttääkin saamansa tunnistuksen rahansiirtoon tai mobiilipankin asentamiseen uuteen puhelimeen.

Käyttäjän tunnistaminen (todennus) ja toimenpiteen hyväksyminen (allekirjoitus) ovat kaksi aivan eri asiaa. Perinteisessä pankkitoiminnassa asiakas tunnistetaan ensin henkilöllisyystodistuksesta ja sen jälkeen rahojen siirto varmistetaan allekirjoituksella. Harva enää asioi pankissa muutoin kuin korkeintaan lainaa nostamassa, mutta periaate pätee muuallakin. Kauppakirja tai lainasopimus on pätevä vasta, kun se on molempien osapuolten allekirjoittama ja sitä ennen osapuolten henkilöllisyydet on varmistettu. 

Verkkopankin ongelma on siinä, että kaikki hoidetaan pelkällä henkilöllisyyden todentamisella. Perinteiseen tilanteeseen sovellettuna tämä tarkoittaisi sitä, että asuntokaupat voitaisiin tehdä vain todentamalla henkilöllisyys.

Jotta rahojen siirto verkkopankissa olisi turvallista, hyväksyntä pitäisi erottaa käyttäjän tunnistamisesta. Se vaatisi erillistä PIN-koodia tai kokonaan erillistä todennusohjelmaa. On helppo nähdä, miksi pankit eivät ole lähteneet tähän. Kaksi erillistä järjestelmää olisi kallis ylläpitää ja asiakkaan kannalta vaikea muistaa. Turvallisuudesta on tingitty mukavuuden ja helppokäyttöisyyden vuoksi. Se ei aikanaan ollut ongelma, mutta nyt turvallisuustilanne on aivan toinen.

Ironista on, että mobiilivarmenteessa ja varmennekortissa on erikseen allekirjoitus-PIN. Se on oikeaoppisesti pidempi (6-8 numeroa) kuin tavallinen todennus-PIN (4 numeroa), koska sitova allekirjoitus on paljon kriittisempi kuin pelkkä käyttäjän todennus. 

Käsittääkseni mobiilivarmenteen allekirjoitusta ei juuri hyödynnetä, koska varmennetta käytetään asiointipalveluissa lähinnä käyttäjän todentamiseen. Mobiilivarmenteella voi kuitenkin ottaa pikavippejä ja tehdä muita taloudellisia sitoumuksia.

Mitä pankkien sitten pitäisi tehdä? Jos kaksi PIN-koodia tai erilliset ohjelmat ovat liian hankalia, eikö pankin oma todennusohjelma voisi vaikka vaihtaa väriä tai antaa erilaiset äänimerkit riippuen siitä, ollaanko kirjautumassa palveluun (todennus) vai siirtämässä rahaa (allekirjoitus)? Väristä ja äänistä käyttäjä erottaisi tapahtumat toisistaan.

Jätän tämän idean ilmaiseksi pankkien käytettäväksi, enkä tule vaatimaan siitä IPR-oikeuksia. Digiasioinnin ja pankkien verkkotoiminnan turvaaminen on yhteinen asiamme.

---

Havainnollistan tätä vielä. Nykyisellään tilanne on tämä:

Nordea kirjautuminen verkkopankkiin.

Maksun vahvistaminen näyttää erilaiselta, mutta ei kovin paljoa:

Nordea tilisiirron vahvistaminen.

Suunnittelija on epäilemättä ollut tyytyväinen: kirjautumisen ja maksamisen vahvistusikkunat ovat aivan erilaiset. Mutta vanhempi ihminen tai kiireinen keski-ikäinen ei jaksa aina lukea tekstejä, vaan naputtelee tottuneesti PIN-koodin (tai kuittaa ilmoituksen sormenjäljellä, katseella tms. niissä pankeissa, missä se on mahdollista).

Entä jos tilisiirron vahvistaminen olisi vaikka punaisella taustalla:

Entä jos tilisiirron vahvistus olisikin punaisella värillä?

Käyttäjä havahtuisi paremmin, jos rahansiirto olisi eri värillä kuin tunnistaminen. OP-pankilla erot ikkunoissa ovat jo lähtökohtaisesti Nordeaa selkeämmät. 

OP-mobiilikirjautuminen.

Rahansiirron hyväksymisen ikkuna:

"Maksun hyväksyntä" on isolla fontilla, samoin summa näkyy selkeämmin.

Silti myös OP:n maksuikkuna olisi havainnollisempi vaikkapa punaisena:

Maksuvahvistus punaisella.

Selkeyden vuoksi myös kirjautumisikkuna voisi olla värikoodattu jollain toisella värillä.

Uhrin kannalta kaikkein vaarallisin on tilanne, jossa rosvo saa huijattua luvan asentaa mobiilipankin ohjelma omaan puhelimeensa. Sen jälkeen hän saa tilin täydellisesti hallintaansa. Voisiko tässä yhteydessä olla vielä erityinen varoitus - vaikkapa vilkkuva punainen näyttö, joka huutaisi: OLETKO NYT IHAN VARMA MITÄ OLET TEKEMÄSSÄ? On hyvin harvinaista, että mobiilipankki halutaan asentaa uuteen päätelaitteeseen. Voisi jopa vaatia, että siihen haetaan erityinen koodi puhelinpalveluun soittamalla. 

Vielä yksi asia: huomasitko, mikä oli Nordean ja OP:n lähettämä koodi? Et varmaankaan, eihän sitä kukaan katso. Suunnittelija on ajatellut, että tietenkin asiakas vertaa nettisivulla näkyvää koodia Nordean todennusohjelman koodiin (vinkki: se oli XCNL, niinpä tietysti) tai OP:n koodiin (DD88), mutta kuinka moni oikeasti tekee niin?

Miksei koodien sijaan käytetä vaikka avainsanoja, kuten "possu", "lehmä", "kuorma-auto", "viisas"... Ne kiinnittäisivät ihmisen huomion paljon paremmin kuin koodit.

Insinöörin sijaan psykologiaa, sitähän ne huijauksetkin nykyään ovat.

Muokattu 3.9.2025

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>

Mobiilivarmenne ilman häirinnänestokoodia on turvaton (1)

Tämä on ensimmäinen blogiteksti liittyen digiasioinnin turvallisuuden kohentamiseen.

Operaattorit ja viranomaiset ovat kehottaneet kansalaisia suosimaan mobiilivarmennetta, koska se on turvallisempi kuin pankkitunnukset. Mobiilivarmenne on turvallisempi lähinnä vain siksi, ettei se ole pankkitunnus, ts. sillä ei pääse vahingossa (=huijattuna) pankkiin. Teknisessä mielessä mobiilivarmenteessa on omat puutteensa ja käytettävyyskin voisi olla parempi.

Mobiilivarmenteen suurin ongelma on siinä, ettei käyttäjä voi tietää, mihin tapahtumaan tunnistuspyyntö liittyy. Nettipalvelu näyttää kyllä tapahtumatunnisteen, mutta se ei näy puhelimessa.

Tunnistus Suomi.fi-palveluun mobiilivarmenteella alkaa puhelinnumeron kysymisellä.

Kun palvelun tunnistuspyyntö lähtee puhelimeen, sim-kortille upotettu toiminta ottaa puhelimen haltuunsa ja kysyy mobiilivarmenteen PIN-koodia.

PIN-koodi puhelimessa (Android).

Samalla alkuperäinen palvelu näyttää nettisivulla tapahtumatunnisteen: 

Tapahtumatunniste??

(EDIT: Seuraava ilmiö johtuu puhelimesta tai sim-kortista, eikä koske käyttäjien enemmistöä) Käyttäjän on mahdotonta tietää varmaksi, mihin hän on tunnistautumassa. Nettisivulla tehdyn aloituksen ja puhelimella annetun koodin välillä on vain ajallinen yhteys. Kriittisin vaihe, PIN-koodin syöttö puhelimella, ei kerro mihin palveluun koodi liittyy. Tämä on vakava puute.

Tapahtumatunniste voisi nimensä mukaisesti sitoa tapahtumat yhteen, mutta se pitäisi näyttää nettisivulla jo aloituksen yhteydessä ja tietenkin myös puhelimessa, jotta käyttäjä voisi verrata koodeja keskenään.

Tällaisena järjestelmä mahdollistaa helpon huijauksen. Jos uhri saadaan houkuteltua valesivulle ja kirjautumaan sieltä mobiilivarmenteella, hän tuleekin antaneeksi oikean PIN-koodinsa huijarin taustalla käyttämään palveluun.

Ilmeisesti tästä on kyse poliisin kesällä julkaisemassa tiedotteessa, jossa kerrottiin mobiilivarmenteella tehdyistä huijauksista. Varmenne on teknisesti turvallinen, mutta puolitiehen jääneen toteutuksen vuoksi uhrin huijaaminen sillä on helppoa - etenkin, kun media ja viranomaiset ovat suositelleet sen käyttöä juuri turvallisuuden vuoksi.

Poliisin tiedotteessa kerrotaan vielä yksinkertaisempi huijaustapa: rikollinen lähettää uhrille ilmoituksen, että varmenne on vanhentumassa ja pitää uusia kirjautumalla. Jos uhri saadaan aktivoimaan tunnistus pelkän tekstiviestin tai sähköpostin perusteella, edes valesivua ei tarvita.

(Poliisi on korjannut kaikessa hiljaisuudessa tiedotteen sanamuotoja. Alun perin siinä väitettiin, että rikolliset olivat kalastelleet uhreilta mobiilivarmenteen tunnuslukuja - siitä ei ollut kyse. Ihan hyvä että korjasivat, mutta kun on kyse viranomaisen tiedotussivusta, olisi syytä ilmaista että sivua on muokattu alkuperäisen julkaisun jälkeen.)

Turvallisuutta voi parantaa merkittävästi ottamalla puhelimessa käyttöön häirinnänestokoodin. Sen jälkeen kirjautumisen aluksi puhelinnumeron ohella pitää syöttää lisäkoodi: 

Kirjautuminen häirinnänestokoodilla.

Taas uusi koodi muistettavaksi. Elisalla koodissa pitää olla 3-16 merkkiä, joista ainakin ensimmäinen on kirjain. Ehkä tämänkin olisi voinut tehdä helpommaksi? 

Tunnistuspyyntö puhelimeen lähtee vasta, kun oikea koodi on syötetty. Sen jälkeen puhelin ilmoittaa saapuvasta tunnistuspyynnöstä ja nyt näkyy myös tapahtumatunniste. Mutta miksei tunnisteen sijalla voisi olla numerokoodin sijaan palvelun nimi? 

"Telia Tunnistus" on turha tieto, koska se on vain tunnistuksen toteuttaja. Käyttäjän ajatuksissa tunnistuspyyntö tulee oikealta palvelulta, ei tunnistuspalvelulta. "Telia Tunnistus" sijaan pitäisi lukea Suomi.fi, KELA, Vero tms.

Nyt tunnistepyyntökin näkyy, mutta ei palvelun nimeä (iPhone).

Mobiilivarmenteen toteutus on kovin tekninen. Näytöllä on numeroita ja outoja sanoja, mutta käyttäjän kannalta tärkein informaatio (palvelu nimi) puuttuu. 

(Ensisijainen)? 

Ja vielä kolmaskin ikkuna, ennen kuin haluttu palvelu lopulta avautuu:

(Ensisijainen) Pyyntöä lähetetään.

Suomi oli joskus sähköisen asioinnin pioneeri, mutta ei ole enää. Kuvaavaa onkin, että DNA ja Elisa ilmoittivat äskettäin sovelluspohjaisen mobiilivarmenteen kehityksen viivästymisestä. On epävarmaa, jatketaanko kehitystä enää lainkaan. 

Mikrobitin jutussa Elisan ja DNA:n johtajat kommentoivat että "mobiilivarmenne on nykymuodossaankin jo helppokäyttöinen ja toimiva". Tästä rohkenen olla eri mieltä.

Lisäys: Palautteesta päätellen osalla käyttäjistä mobiilivarmenne toimii eri tavalla ja näyttää tapahtumatunnisteen, vaikka häiriönestokoodia ei olisi asetettu. Olisiko niin, että uudemmat mobiilivarmenteet ovat tässä suhteessa parempia? Omani ovat vanhoja, koska hankin ne kauan sitten. Joka tapauksessa häirinnänestokoodi kannattaa asettaa sen tuomasta lisävaivasta huolimatta, sillä on varmaa että huijarit oppivat uusia kikkoja myös varmennekäyttäjien huijaamiseen.

Suomen tunnistuksessa on muutakin vikaa, niistä lisää seuraavissa kirjoituksissa.

Muokattu 1.9.2025, lisätty maininta puhelimen tai sim-kortin rajoituksesta kun tapahtumatunniste ei näy oikein.

Seuraava kirjoitus tästä aiheesta >

Tietoturvan ohjeet eivät ole ehdottomia, joskus niitä täytyy rikkoa

Digitaalisen pankkirosvon iskiessä pankit vetoavat asiakkaan törkeään huolimattomuuteen. Pitäisi aina noudattaa tietoturvan yleisiä ohjeita, jotka mm. kieltävät klikkaamasta sähköpostilla tulevia linkkejä ja varsinkin kirjautumasta niiden perusteella palveluihin.

Mutta mitä tehdä, kun palvelut itse rikkovat ohjeita vastaan? 

DNA:n sähköposti kehottaa kirjautumaan ja tunnistautumaan

Huolestunut käyttäjä lähetti ruutukaappauksen DNA:lta aiemmin syksyllä saamastaan tiedotteesta. Tiedote kertoi webmail-palveluun tulevista muutoksista, jotka vaativat kaikkia asiakkaita kirjautumaan uudelleen. Ilman kirjautumista sähköposti uhkasi lakata toimimasta.

Sähköpostissa oli painike "Tunnistaudu tästä", jolla piti tehdä juuri se kielletty asia: kirjautua linkin perusteella. Kuulin, että DNA on saanut paljon huolestuneita asiakaskyselyitä sähköpostistaan, mikä kertoo ohjeiden menneen hyvin perille.

Myös digitaalisesti allekirjoitettavat sopimukset tulevat sähköpostilla, jolloin ne pitää hyväksyä klikkaamalla. Niin ikään olen nähnyt vakuutusyhtiön lähettämän tekstiviestin, jossa pyydettiin klikkaamaan mukana ollutta linkkiä ja menemään palveluun. Ei näitä pysty välttämään.

Säännöt ovat hyviä, mutta niistä on aina poikkeuksia. Ei ole kansalaisen tietoturvallinen digielämä helppoa, ei. 

Sain eilen puhelun kansalaiselta, joka oli hämmentynyt mobiilivarmenteesta. Hänellä (kuten monella muullakin) oli käsitys, että mobiilivarmenne kannattaa hankkia, koska sillä ei voi kirjautua verkkopankkiin. 

Hän oli kuitenkin huomannut, että ainakin Norwegian Bank, Alisa Pankki ja joukko muita pieniä pankkia käyttää yleistä Signicatin kirjautumissivua, jossa on perinteisten pankkien lisäksi myös mobiilivarmenne. Mobiilivarmenteella pääsee sittenkin pankkeihin!

Norwegian pankkiin mobiilivarmenteella.

En tiedä, onko joku oikeasti luvannut, ettei mobiilivarmenteella voi kirjautua pankkiin. Kyse on yhdestä vahvan tunnistuksen muodosta, jota myydään palveluna yrityksille. Toistaiseksi isot pankit eivät ole halunneet tukea mobiilivarmennetta, vaan ne suosivat mieluummin omaa järjestelmäänsä. Mobiilivarmenne on jäänyt lähinnä viranomaispalveluihin. 

Mobiilivarmenteen turvallisuutta parantava vaikutus perustuu siihen, ettei käyttäjä kirjaudu vahingossa (asiaa ymmärtämättä) viranomaispalvelun sijaan verkkopankkiinsa. Perinteisissä pankkitunnuksissa kirjautuminen perustuu pankin asiakasnumeroon, jolloin esimerkiksi valesivun kautta Verottajalle pyrkivä kansalainen tuleekin vahingossa avanneeksi pankkiyhteyden.

Mobiilivarmenteessa tällaista vaaraa ei ole, koska siinä on vain PIN-koodi, joka ei lähde puhelimesta mihinkään. Tunnistaminen yksilöi henkilön SATUn perusteella ja varmistaa henkilöllisyyden, mutta siinä ei ole mukana pankin asiakasnumeroa. Tältä osin mobiilivarmenne on turvallisempi, vaikka sitä käytettäisiinkin pankkiin kirjautumisessa.

Lisäksi yksittäinen kirjautuminen, tapahtui se tahallaan tai vahingossa, ei koskaan riitä tilin tyhjentämiseen. Pankkitunnuksia ei voi "kaapata" kuten salasanaa. Asiakkaan omien tilien väliset siirrot eivät välttämättä vaadi tunnistusta, mutta siirrot ulos pankista on aina vahvistettava erikseen.

Tietoturvan yleisohjeet ovat hyviä ja tarpeellisia, mutta valitettavasti aina niitä ei voi noudattaa. Siksi on mahdotonta sanoa, että jokin yleisohjeiden vastainen teko olisi automaattisesti törkeää huolimattomuutta.

Lisäys 13.12.2024: Lukija kertoi kokemuksestaan: oli asioinut S-ryhmän verkkoruokakaupassa ja päätynyt tilanteeseen, jossa maksukortilla ei ollut riittävästi katetta. Tässä tilanteessa hän sai sähköpostin, jossa oli linkkinä epäilyttävältä näyttävä https://s-kaup.at/QC1cDEFG (viimeiset merkit kuvitteellisia). Sen painaminen vei sivulle, jossa pyydettiin ensin henkilötiedot:

Ensin kysytään henkilötiedot.

Syötin lomakkeelle Joulu Pukin tiedot, eikä palvelu tarkistanut niitä mitenkään, vaan siirtyi kysymään maksukortin tietoja - juuri siten kuin tilaushuijaukset tekevät.

Ja sitten luottokortin tiedot, kiitos.

S-ryhmä ei tarkista henkilötietojen oikeellisuutta, vaan luottaa ohjeeseen, jonka mukaan "Huomaathan, että tietojen tulee vastata maksukorttiisi liitettyjä tietoja". 

Epäilyttävä linkki, henkilötietojen kysyminen ilman tarkistusta ja lopuksi kaikki maksukortin tiedot. Mikään tässä ei mene suositusten mukaisesti. 

Pankkien hauskat mainokset tietoturvan puolesta

Tietoturva-alalla on ikuinen ongelma: miten tavoittaa ohjeilla ne, joita asia ei liiemmin kiinnosta - ainakaan ennen kuin huijaus osuu omalle kohdalle. Entä jos loputtomien varoitusten ja sääntöjen sijaan kokeiltaisiin huumoria? 

DNA:lla on parikin mainiota radiomainosta. "Kirottua, DNA kirottua!" alkaa pahanörtti86:n avoin kirje yhtiölle. Siinä huijari valittaa, miten aiemmin tehokkaat huijaukset ovat lakanneet toimimasta DNA:n uusien turvapalvelujen myötä. DNA:n jinglen jälkeen tulee vielä huijarin närkästynyt kommentti "tää ei ollut mikään mainos". Loistava yksityiskohta, onnittelut copywriterille. 

Nordealta silmiin osui asiallinen tv-mainos. Kuvallinen kerronta saa muistamaan ohjeet paremmin kuin nettisivulta luetut varoittavat bulletpointit.

Nordean tietoturvan tv-mainos.

Näillä mainoksilla pankit itsekin myöntävät, että huijaukset ovat vakava ongelma, ja että nykyinen turvallisuustyö ei tuota riittävästi tuloksia. Yleensä yritykset mainostavat omia tuotteitaan ja palveluitaan, joten tällaiset varoitusmainokset ovat hyvin poikkeuksellisia.

Mutta missä on Yleisradio? Eikö kansalaisten tietoturvatietämyksen kasvattaminen olisi juuri sen tehtävä, osa julkista palvelua? Yle voisi palata vanhaan käytäntöön ja esittää yleishyödyllisiä tietoiskuja vaikka joka ilta ennen pääuutislähetystä. Ne tavoittaisivat hyvin keski-ikäiset ja sitä vanhemmat ihmiset, jotka ovat erilaisten huijausten kohdeyleisöä. Tietoturvan lisäksi voisi käsitellä muitakin digimaailman ja sähköisen asioinnin aiheita, joita kyllä riittää.

Siitä määrästä viihdettä, jota Yle nyt tuottaa, voisi hyvin lohkaista palan kansan sivistämiseen. Opettaminen ei ole vanhanaikaista, vaan kuten pankkien oma mainonta osoittaa, erittäin tarpeellista ja hyödyksi kaikille. 

Miten e-lasku toimii Nordean verkkopankissa - ja miten sen pitäisi toimia

Kuitit ja laskut ovat jäämässä historiaan, kaikki on jatkossa diginä jossain pilvessä. Kehityksessä on sekä hyviä että huonoja puolia. Asiakkaan kannalta e-lasku olisi toimiessaan kätevä, mutta ainakaan Nordean verkkopankissa sen toteutus ei osu yksiin oman käyttötapani kanssa. Tuntuu, että e-lasku hyödyttää paljon enemmän laskuttajaa kuin asiakasta.

Näin e-laskun pitäisi mielestäni toimia: laskut tulevat verkkopankkiin, missä ne näkyvät eräpäivän mukaan järjestettynä. Laskun voi maksaa yhdellä painalluksella heti tai hyväksyä toisella painalluksella maksettavaksi eräpäivänä. Laskun pdf-versio pitää saada yhtä helposti ladattua itselle ja omalle levylle, jotta asiakas saa itse pidettyä kirjaa tapahtumista ja laskuistaan, eikä ole sidoksissa pankin arkistoon.

Nordean verkkopankissa juuri mikään ei toimi noin. Käytän edelleen nettipankkia, koska asioiden hoitaminen isolla näytöllä ja pdf-laskujen tallentaminen omalle levylle on itselleni paras tapa. Ilmeisesti nettipankki on jäänyt lapsipuolen asemaan, kaikki kehitetään nykyään mobiili edellä.

Nettipalveluilta toivoisi loogisuutta, mutta Nordean logiikka ei täsmää ainakaan omaani. Päävalikossa on kohta Maksut > E-laskut, mutta sitä ei pidä käyttää. Se vie kohtaan "Hallinnoi e-laskuja", missä näkyvät e-laskutussopimukset. Jostain syystä DNA näkyy viiteen kertaan, eikä roskakori-kuvake tee mitään. 

Hallinnoi e-laskuja.

Arkisto-välilehdellä näkyvät menneet laskut, mutta myös tulevia, eikä niistä näe, mitkä on jo maksettu. Näytä lasku -painike ei näytä pdf-versiota vaan teknisen XML-laskun.

Ilmeisesti e-laskuihin pitää mennä aloitussivulla näkyvän "Maksujen tila" ikkunan kautta. 

Maksujen tila: vahvistamattomat ja erääntyvät.

Vaikka olen eilen maksanut Lumme Energian maksun (näkyy tilitapahtumissa), lasku näkyy edelleen Tila: Vahvistamaton. Laskuttajan erittely avaa sentään laskun pdf-version, mutta se tulee suoraan energiayhtiöltä. Ilmeisesti laskuttajan pdf-versiot eivät siirry verkkopankkiin lainkaan, vaan niiden näkyminen on kiinni laskuttajasta ja linkit osoittavat laskuttajan omaan palvelimeen. 

Erääntyvissä näkyy Elisan lasku, jonka tila pitää erikseen tarkistaa painikkeesta ("Tila: Vahvistettu"), ja jonka senkin maksoin jo eilen. 

Lyhyesti sanoen: Nordean näytöistä ei tiedä, mitä on jo maksettu ja mitä ei. Asia pitäisi tarkistaa palaamalla tilitapahtumiin ja etsimällä sieltä, onko veloitus suoritettu. Äh. 

Hoidan myös taloyhtiön laskuja. Taloyhtiöllä on oma tili, joka näkyy Nordean tunnuksillani. Verkkopankki ei mitenkään erottele taloyhtiölle ja minulle tulevia e-laskuja, vaan kaikki näkyvät samassa listassa. Jokaisen laskun kohdalla pitää erikseen tarkistaa alkuperäisestä laskusta, kummalle se on tarkoitettu, ja sen jälkeen Muokkaa-painikkeella vaihtaa tilinumeroa, koska oletusarvona kaikki menevät henkilökohtaiselta tililtä. Tupla-äh. Toiminto "Vie maksu tiedostoon" ei vie alkuperäistä laskua, vaan kirjaimellisesti pelkän tiedon maksusta. Kolmois-äh.

Sitten on vielä toiminto, jolla maksupäivää voi aikaistaa. On esimerkiksi järkevää maksaa laskut heti, eikä vasta eräpäivänä, jolloin ei tarvitse huolehtia tilin saldon riittävyydestä maksupäivään asti. 

Maksupäivää voi muuttaa kohdasta, jonka suunnittelijan haluaisin todellakin tavata. Se näyttää päivämääräkentältä, jossa on valmiina eräpäivä 22.03.2024. Jos haluan aikaistaa sen huomiselle (21.3.) klikkaan päivää (22) hiirellä, painan askelpalautinta ja kirjoitan jälkimmäisen kakkosen paikalle ykkösen. Tuloksena on tämä:

Päivämäärä menee sekaisin. Ja miksei se voi olla "maaliskuuta"?

Ainoa tapa muuttaa päiväystä on klikata hiirellä kalenterikuvaketta ja valita sieltä päivä hiirellä, mikä on työläämpää kuin suora päiväyksen kirjoittaminen. Jos päiväystä ei saa kirjoittaa itse, miksi käyttöliittymä ylipäätään sallii numerokenttään menemisen? Millään ilveellä päiväystä ei saa kirjoitettua itse numeronäppäimistöltä, koska numerot eivät mene siihen, missä vilkkuva kohdistin on. Raivostuttavaa.

E-laskutus toimii, jos asettaa päälle laskujen automaattisen hyväksynnän ja määrittää niille enimmäisrajan, ja laskut pysyvät sen alapuolella. Silloin kaikki sujuu käsin koskematta. Mutta jos haluaa itse hallita tilinsä saldoa ja arkistoida laskuja omalle levylle, siihen järjestelmä ei vain nykyisellään taivu. 

Nordealla e-laskujen käsittely esittelemälläni tavalla on yhtä painajaista. Toivon ymmärrystä kaikilta yrityksiltä, joiden laskut olen sekavan käyttöliittymän vuoksi maksanut myöhässä. Siis vielä kerran vaatimukset:

• pitää nähdä, mikä lasku on jo maksettu
• pitää nähdä, mikä lasku on asetettu maksettavaksi eräpäivänä
• pitää voida muuttaa laskun maksun eräpäivää (esim. maksa nyt heti)
• pitää saada eroteltu lista, mikä maksu kuuluu yhtiölle ja mikä henkilökohtaiselle tilille
• maksettujen e-laskujen pitää mennä arkistoon vasta kun ne on hyväksytty tai maksettu
• kieliasun ja termien tulee olla selkeitä ja ymmärrettäviä (vahvistamaton? erääntyvä? maalisk?)
• jos toiminnon nimi on maksut>e-laskut, siitä pitäisi päästä myös MAKSAMAAN niitä laskuja
• maksetuista laskuista pitäisi saada pdf-versio saada automaattisesti omalle levylle
• automaattinen maksu (kunhan alle x euroa) on ihan kiva

Paperittomuuden ja digiajan pitäisi helpottaa myös asiakkaan arkea. Minun tapauksessani on täsmälleen päinvastoin. Terveisiä vain pankin tuotekehitykseen. Oletteko te lainkaan testanneet verkkopalvelunne käytettävyyttä oikeilla asiakkailla? Miten vanhempien ihmisten odotetaan pärjäävän tällaisessa digiviidakossa?

Lisäys 21.3.2024: Aina, kun jokin asia muuttuu ja itsestä tuntuu siltä, että vanha oli parempi, on syytä pysähtyä peilin eteen kysymään itseltä, onko kyse vain muutosvastarinnasta. Onko uusi tapa sittenkin parempi ja haluan pitää kiinni vanhasta vain koska olen tottunut siihen? Voinko osoittaa uudessa järjestelmässä selkeitä puutteita, jotka eivät ole vain mielipide- tai tottumuskysymyksiä? Voinko perustella, miksi vanha oli parempi?

Mielestäni Nordean verkkopankissa kuluttaja-asiakkaan e-laskujen käsittely ON tehty huonosti, eikä pankki näytä edes kehittävän verkkopalvelua enää. Kaikkien halutaan siirtyvän mobiiliin. Vähintäänkin sen voisi sanoa selkeästi ja ilmoittaa, ettei verkkopankkia enää kehitetä.