Tietojenkalastelu (phishing) yrittää saada tunnuksesi, salasanasi tai korttitietosi huijaussivulle tai viestin kautta. Tyypillinen keino on kiire ja viranomaisen tai pankin nimi. Traficom muistuttaa, että aidot viranomaiset eivät pyydä pankkitunnuksia sähköpostilla tai tekstiviestillä.
Miten tunnistaa huijaus
Tarkista lähettäjän osoite merkkimerkillä. Nimi voi näyttää oikealta, mutta domain on väärä. Linkin kohde näkyy usein kun viet kursorin päälle – vertaa sitä viralliseen osoitteeseen. Kirjoitusvirheet, uhkaava sävy („tilisi suljetaan tänään“) ja pyyntö kirjautua viestin linkistä ovat klassisia merkkejä.
Traficom ja Suomi.fi-viestit eivät lähetä WhatsApp- tai tekstiviestejä, joissa on kirjautumislinkki. Suomi.fi-sähköposti-ilmoituksissa ei ole klikattavaa kirjautumislinkkiä; asiointi tapahtuu menemällä itse osoitteeseen suomi.fi/viestit. Pankkiin kirjaudutaan kirjanmerkistä tai virallisesta sovelluksesta, ei viestin napista.
Jos klikkasit tai annoit tietoja
Vaihda salasanat heti toisella laitteella jos mahdollista, ota yhteyttä pankkiin ja lukitse kortit ohjeen mukaan. Tee rikosilmoitus poliisille. Ilmoita tapauksesta myös Kyberturvallisuuskeskukselle (Traficom) – ilmoitukset auttavat tilannekuvaa. Seuraa tilejä ja aseta tarvittaessa vahvistusilmoitukset.
Älä maksa „teknikkohuoltoa“ joka soittaa pian huijauksen jälkeen. Katkaise puhelu ja soita itse viralliseen numeroon, jonka löydät organisaation sivuilta – ei soittajan antamasta numerosta.
Arjen torjunta
Käytä kirjanmerkkejä tärkeisiin palveluihin. Pidä laitteet ja selain ajan tasalla. Monivaiheinen tunnistus vähentää vahinkoa, jos salasana vuotaa. Älä käytä samaa salasanaa pankissa ja somessa. Työpaikalla ilmoita IT-tukeen heti epäilyttävästä viestistä; älä testaa linkkiä „uteliaisuudesta“.
Opeta myös läheisiä: huijarit kohdistavat usein ikääntyneisiin kiireellisillä laskuilla. Sopikaa perheen kesken, että isoja siirtoja ei tehdä puhelinpaineessa ilman toisen henkilön tarkistusta.
Viranomaisten oikeat kanavat
Traficomin ohjeet aitojen sivujen tunnistamiseen korostavat osoiteriviä: lukkosymboli kertoo salauksesta, ei sivuston aitoudesta. Pienet kirjoitusvirheet domainissa (esim. traficom-suomi.fi) paljastavat usein huijauksen. Epäillessäsi soita asiakaspalveluun numeroon, jonka etsit itse.
Yhteenveto: älä kirjaudu viestin linkistä, tarkista domain, käytä kirjanmerkkejä ja toimi nopeasti jos annoit tietoja. Kalastelu voitetaan rauhallisuudella, ei nopeudella.
Työpaikka ja somelinkit
Älä kirjaudu työvälineillä epäilyttäviin linkkeihin. Jos saat kollegan nimissä kiireellisen maksupyynnön, varmista toisella kanavalla (puhelu tunnettuun numeroon). Toimitusjohtajahuijaukset käyttävät samaa kiireen logiikkaa kuin pankkikalastelu.
Somessa jaetaan lyhytlinkkejä – avaa ne vain jos luotat jakajaan ja ymmärrät kohteen. Kaksivaiheinen tunnistus somessa ei korvaa harkintaa, mutta hidastaa kaapparia. Pidä erilliset selaimet tai profiilit työlle ja arjelle, jos käsittelet arkaluonteista dataa.
Harjoittele: lähetä tiimille harmiton testihuijaus vain jos tietoturva on sen hyväksynyt. Ilman lupaa „testaaminen“ voi aiheuttaa vahinkoa. Parempi on käydä Traficomin esimerkit yhdessä läpi.
Pidä lista virallisista numeroista jääkaapissa tai jaetussa tiedostossa. Kun stressi iskee, et etsi numeroa hakukoneen mainoksista – jotka voivat itse olla huijauksia.
Ennen päätöstä lue vähintään kaksi virallista lähdettä ja merkitse päivä, jona tiedot tarkistit – ohjeet päivittyvät. Jos jokin jää epäselväksi, kysy ammattilaiselta, ei vain foorumilta.
Yleistä tietoturvaohjeistusta; akuutissa petoksessa ota yhteyttä pankkiin ja poliisiin.
Esimerkkejä ja harjoituslista
Esimerkki 1: viesti väittää että paketti odottaa ja linkki vie kirjautumiseen – älä kirjaudu, mene kuljetusyhtiön sivulle kirjanmerkistä. Esimerkki 2: „pankki“ pyytää vahvistamaan tilin – soita pankin viralliseen numeroon. Esimerkki 3: työkaveri pyytää lahjakortteja chatin kautta – varmista puhelimitse. Kirjoita nämä kolme itsellesi muistiin; kriisissä muisti pettää.
Pidä erillinen sähköposti uutiskirjeille ja toinen tärkeille palveluille. Näin kalasteluviestit eivät sekoitu laskuihin. Suodata ulkomaiset domainit jos et odota viestiä. Älä avaa liitteitä .html /.js /.iso päätteillä tuntemattomilta.
Lapset ja nuoret: harjoitelkaa yhdessä tunnistamaan kiireen kieli. Sopikaa että isoja ostoksia tai tunnuksia ei jaeta ilman toisen aikuisen tarkistusta. Sama sääntö suojaa myös isovanhempia, joihin huijarit usein iskevät.
Älä syötä tunnuksia hakukoneen ensimmäiseen mainoslinkkiin; kirjoita osoite tai käytä kirjanmerkkiä. Mainokset voivat matkia pankin nimeä.
Jos epäilet että laite on saastunut, käytä toista puhelinta pankkiyhteydenottoon. Älä käytä samaa selainistuntoa huijauksen jälkeen.
Yrityksissä pidä erillinen prosessi: kuka saa hyväksyä maksun muutoksen sähköpostitse. Kaksi silmäparia estää toimitusjohtajahuijauksen.
Ilmoita läheisille, jos sinua yritettiin huijata – sama kampanja leviää usein saman päivän aikana alueella.
Pidä kriisinumerot pankki ja poliisi paperilla, jos puhelin on lukittu tai akku loppu. Digitaalinen lista ei auta kun laite on poissa käytöstä.
Älä koskaan jaa kertakäyttökoodeja puhelimitse henkilölle joka väittää olevansa tuki. Aito tuki ei pyydä niitä cold callissa.
Muistiinpano 601: kirjaa vertailun tulos ja päivämäärä ylös, jotta seuraava päätös perustuu muistiin eikä arvailuun. Lyhyt loki riittää.
