Johdanto

Suomessa havaitaan jatkuvasti huijausyrityksiä, joissa rikolliset esiintyvät tunnettujen pankkien ja maksupalveluiden nimissä. Ilmiö ei koske vain yksittäistä toimijaa, vaan kohteina ovat muun muassa Aktia, Nordea, OP, Revolut, MobilePay ja oikeastaan kaikki luotettavat toimijat. Näissä tapauksissa huijauksen tarkoituksena on lähes poikkeuksetta saada käyttäjä luovuttamaan pankkitunnuksia, maksukorttitietoja tai vahvistamaan maksutapahtumia, joita hän ei ole itse käynnistänyt.

Viranomaiset ja pankit ovat toistuvasti korostaneet, että huijaukset eivät perustu tekniseen murtoon vaan käyttäjän harhauttamiseen. Siksi tunnistaminen ja ennaltaehkäisy ovat keskeisiä keinoja vahinkojen estämisessä.

Aktia huijaus – pankin nimeä hyödyntävä tietojenkalastelu

Aktia huijaus -tapauksissa rikolliset esiintyvät usein pankkina ja väittävät, että asiakkaan tilillä on havaittu poikkeavaa toimintaa. Viestit voivat saapua tekstiviestinä tai sähköpostina ja sisältää linkin, jonka kautta käyttäjää kehotetaan kirjautumaan palveluun.

Aktia on toistuvasti muistuttanut, ettei pankki pyydä asiakkaita kirjautumaan verkkopankkiin viestissä olevan linkin kautta eikä koskaan kysy pankkitunnuksia sähköpostitse tai tekstiviestillä. Huijauksissa käytetään usein kiireen tunnetta, joka heikentää harkintaa ja lisää virheellisen toiminnan riskiä.

Nordea huijaus – uskottavat viestit ja aidon näköiset sivut

Nordea huijaus on yksi yleisimmistä pankkien nimissä tehdyistä huijaustyypeistä Suomessa. Huijauksissa hyödynnetään Nordean laajaa asiakaskuntaa ja pankin tunnettua visuaalista ilmettä. Viestit voivat näyttää ulkoisesti uskottavilta ja ohjata sivuille, jotka muistuttavat aidosti pankin kirjautumisnäkymää.

Nordea on korostanut, että pankin viesteissä ei ole linkkejä kirjautumissivuille eikä asiakkaita koskaan pyydetä antamaan tunnuksia viestien kautta. Huijauksen tunnistamisessa keskeistä onkin tarkistaa, miten kirjautumista pyydetään ja mistä yhteydenotto on lähtöisin.

OP huijaus – vahva brändi rikollisten työkaluna

OP huijaus perustuu usein siihen, että viestissä viitataan asiakkaan turvallisuuteen tai maksujen estämiseen. OP:n nimen käyttö lisää viestin uskottavuutta, mutta toimintamalli on samankaltainen kuin muissa pankkihuijauksissa: linkki ohjaa sivulle, jossa pyydetään tunnuksia tai maksuvahvistusta.

OP on ohjeistanut, että kaikki kirjautumiset tulee tehdä vain pankin omien sovellusten tai suoraan selaimeen kirjoitetun osoitteen kautta. Mikäli asiakas toimii toisin, hän voi huomaamattaan luovuttaa tunnuksensa rikollisille.

Revolut huijaus – kansainvälisen palvelun väärinkäyttö

Revolut huijaus eroaa perinteisistä pankkihuijauksista siinä, että kyse on kansainvälisestä maksupalvelusta, jota käytetään pääosin mobiilisovelluksen kautta. Huijaukset liittyvät usein viesteihin, joissa väitetään tilin olevan rajoitettu tai maksutapahtuman vaativan vahvistusta.

Koska Revolut ei ole suomalainen pankki, käyttäjät eivät aina tunne sen virallisia toimintatapoja yhtä hyvin kuin kotimaisten pankkien. Tämä voi lisätä riskiä toimia huijausviestin ohjeiden mukaisesti. Viranomaisten näkökulmasta huijauksen mekanismi on kuitenkin sama: käyttäjää painostetaan luovuttamaan pääsyoikeudet itse.

MobilePay huijaus – maksusovelluun kohdistuva harhautus

MobilePay huijaus liittyy usein tilanteisiin, joissa käyttäjälle lähetetään maksupyyntö tai viesti, joka vaikuttaa tulevan toiselta käyttäjältä tai palvelulta. Joissakin tapauksissa huijarit esiintyvät MobilePayn tukena ja pyytävät varmistamaan tietoja tai palauttamaan "virheellisen maksun".

MobilePay on korostanut, että sovelluksen sisällä tapahtuvat maksut näkyvät aina käyttäjälle selkeästi, eikä ulkopuolisten viestien kautta tule tehdä maksuihin liittyviä toimia. Huijauksissa riski syntyy, jos käyttäjä toimii sovelluksen ulkopuolella saamansa ohjeen perusteella.

Yhteiset tunnusmerkit pankki- ja maksupalveluhuijauksissa

Vaikka yllämainitut huijaus esimerkit kohdistuvat eri palveluihin, niissä on useita yhteisiä piirteitä:

• yhteydenotto on yllättävä ja kiireellinen
• viestissä pyydetään toimintaa linkin tai maksupyynnön kautta
• vedotaan turvallisuuteen, tilin estämiseen tai virheelliseen tapahtumaan
• käyttäjää pyydetään toimimaan nopeasti ilman lisävarmistusta

Kyberturvallisuuskeskuksen mukaan tällaiset huijaukset perustuvat sosiaaliseen manipulointiin (*social engineering), eivät tekniseen murtoon. Tämä tarkoittaa, että käyttäjän oma toiminta on ratkaisevassa roolissa. Viesteissä tai sähköposteissa olevia linkkejä ei tule KOSKAAN klikata, vaan esimerkiksi pankin sivuille kannattaa mennä suoraan itse selaimelle kuten yleensä.

Miten suojautua käytännössä

Viranomaisten ja pankkien ohjeet ovat yhteneväisiä:

• Älä kirjaudu pankkiin tai maksupalveluun viestissä olevan linkin kautta
• Käytä vain virallisia sovelluksia ja kirjoita verkkosivujen osoitteet itse
• Älä luovuta tunnuksia tai vahvistuskoodeja kenellekään
• Reagoi epäilyttävään viestiin ottamalla itse yhteys pankkiin tai palveluun
• Ilmoita huijauksesta pankille ja tee tarvittaessa rikosilmoitus

Nämä perusperiaatteet ovat tehokkain keino estää vahingot riippumatta siitä, minkä pankin tai maksupalvelun nimissä huijaus tehdään.

Yhteenveto

Pankkien ja maksupalveluiden nimissä tehdyt huijaukset ovat vakiintunut osa verkkorikollisuutta Suomessa. Artikkelissa mainittujen pankkien ja rahalaitosten nimissä toimivat huijarit noudattavat pitkälti samaa kaavaa, vaikka kohde ja viestin muoto vaihtelevat. Yhteistä niille on pyrkimys saada käyttäjä toimimaan itse vastoin pankkien ja viranomaisten ohjeita.

Tietoisuus, kriittinen suhtautuminen yllättäviin viesteihin ja virallisten kanavien käyttö ovat keskeisiä tekijöitä, joilla huijausten vaikutuksia voidaan merkittävästi vähentää.

Lähteet ja lisätietoja muualta

Kyberturvallisuuskeskus Traficom Nordea Osuuspankki Aktia Revolut MobilePay Yle Uutiset Helsingin Sanomat

*Kirjoittanut Ylläpito*