Kalasteluviestit yritykselle: näin toimit

Kalasteluviesti on sähköposti, jolla rikollinen yrittää saada sinut luovuttamaan tunnuksesi, korttitietosi tai rahaa esiintymällä jonain tuttuna: pankkina, viranomaisena, yhteistyökumppanina tai oman yrityksesi väkenä. Yrittäjälle kalasteluviestit ovat arkinen asia, koska sama postilaatikko ottaa vastaan tarjouspyynnöt, laskut ja huijaukset samassa listassa.

Olemme tehneet yli 300 kotisivua suomalaisille pienyrityksille, ja sama kysymys nousee esiin yhä uudelleen: mistä tämän viestin tunnistaa, ja mitä tekisin, jos ehdin jo klikata. Tässä oppaassa käydään molemmat läpi käytännön tasolla. Jos etsit samalla toimivat kotisivut yrityksellesi, katso Kotisivut.fi-palvelu ja sen esikatselu.

Mitä kalasteluviesti on ja mitä sillä tavoitellaan

Kalasteluviesti eli tietojenkalastelu tarkoittaa viestiä, joka on muotoiltu näyttämään luotettavan tahon lähettämältä, jotta vastaanottaja luovuttaisi jotain arvokasta. Tavoite on lähes aina yksi kolmesta: kirjautumistunnukset, maksu väärälle tilille tai kortti- ja henkilötiedot. Viesti voi tulla sähköpostiin, tekstiviestiin tai pikaviestisovellukseen.

Pienyritys ei ole liian pieni kohteeksi. Kyberturvallisuuskeskuksen mukaan ilmoitetuissa tapauksissa on käytetty tunnettujen brändien ja organisaatioiden logoja ja esiinnytty valheellisesti organisaation työntekijänä. Huijarit keräävät uhreistaan taustatietoa avoimista lähteistä, kuten sosiaalisen median profiileista ja organisaatioiden verkkosivuilta. Yrityksen omat yhteystiedot ovat julkisia, joten niiden perusteella viesti on helppo räätälöidä uskottavaksi.

Yksi tunnus aukaisee usein muutakin. Sähköpostitililtä löytyvät vanhat laskut, asiakasosoitteet ja salasanan palautusviestit, joten yhden tunnuksen menettäminen voi johtaa seuraavaan. Siksi tunnusten vaihtaminen kannattaa tehdä heti eikä ensi viikolla.

Tavallisimmat kalasteluviestit yrityksen postilaatikossa

Viestit vaihtelevat, mutta ne asettuvat muutamaan toistuvaan muottiin. Kun tunnistat muotin, yksittäisen viestin arviointi vie sekunteja.

Verkkotunnus- ja laskuviestit

Klassikko on viesti, joka muistuttaa yrityksen verkkotunnuksen uusimisesta tai hakukonenäkyvyyden laskusta ja liittää mukaan laskun tai maksulinkin. Osa näistä on suoraa laskutushuijausta ilman mitään kalastelua, ja ne käsitellään erikseen artikkelissa verkkotunnushuijaus ja laskuhuijauksen tunnistaminen. Kalastelumuodossa lasku onkin linkki, joka pyytää sinua kirjautumaan "verkkotunnuspalveluun" ja ottaa tunnukset talteen.

Valepomon viesti eli toimitusjohtajahuijaus

Tässä muodossa viesti näyttää tulevan omalta esihenkilöltä tai yrityksen omistajalta ja pyytää hoitamaan maksun nopeasti ja hiljaisuudessa. Kyberturvallisuuskeskuksen mukaan viestit suunnataan erityisesti laskutusta, palkanmaksua ja henkilöstöasioita hoitaville, ja kanavana käytetään sähköpostin lisäksi WhatsAppia ja puheluita. Tunnusmerkkejä ovat kiire, auktoriteettiin vetoaminen ja pyyntö ohittaa normaali käytäntö.

Pakettiviestit ja toimitusilmoitukset

Viesti kertoo, että lähetys odottaa pientä tullimaksua tai osoitteen vahvistusta. Yrittäjällä on usein oikeasti paketteja tulossa, joten viesti osuu sopivaan hetkeen. Aito kuljetusliike ei pyydä korttitietoja sähköpostilinkin takana olevalle lomakkeelle.

Ilmoitus tilin sulkeutumisesta

"Salasanasi vanhenee tänään", "postilaatikkosi tila on täynnä", "tilisi suljetaan 24 tunnin kuluessa". Näiden tehtävä on saada sinut kirjautumaan väärennetylle kirjautumissivulle. Kirjautumissivu näyttää oikealta, koska se on usein kopio aidosta.

Jaettu tiedosto tai allekirjoituspyyntö

Viestissä on ilmoitus, että joku on jakanut kanssasi tiedoston tai lähettänyt sopimuksen allekirjoitettavaksi. Painike vie kirjautumissivulle. Jos et odottanut tiedostoa, kysy lähettäjältä puhelimitse, ennen kuin avaat sen.

Mistä tunnistat kalasteluviestin

Yksittäinen tunnusmerkki ei todista huijausta, mutta kaksi yhtä aikaa riittää syyksi pysähtyä. Käy nämä kuusi läpi silloin, kun viesti koskee rahaa tai tunnuksia.

Näin tarkistat linkin, ennen kuin avaat sen

Linkin oikea kohde näkyy aina, ennen kuin sitä painetaan. Tietokoneella vie hiiri linkin päälle ja katso osoite selaimen alareunasta. Puhelimessa paina linkkiä pitkään, jolloin osoite avautuu esikatseluun, ja valitse sitten peruuta.

Kun osoite on näkyvissä, lue se oikeasta kohdasta. Merkitsevä osa on verkkotunnus, eli osoitteen kaksi viimeistä osaa ennen polun aloittavaa kauttaviivaa. Osoitteessa kirjautuminen.pankki.esimerkki-tili.fi verkkotunnus on esimerkki-tili.fi, ei pankki. Huijari laittaa tutun nimen osoitteen alkuun juuri siksi, että se luetaan vasemmalta oikealle ja lukeminen lopetetaan kesken.

Yksinkertaisin tapa on olla käyttämättä viestin linkkiä lainkaan. Kirjoita palvelun osoite itse selaimeen tai käytä omaa kirjanmerkkiäsi, ja katso, onko siellä sama ilmoitus. Jos ei ole, viestillä ei ole asiaa. Kyberturvallisuuskeskus muotoilee saman asian näin: voit aina varmistaa lähettäjältä viestin todenperäisyyden. Käytä kuitenkin jotain muuta viestintäkanavaa. Käytännössä se tarkoittaa puhelua numeroon, jonka olet itse hakenut, et viestissä annettuun numeroon.

Näin toimit, jos annoit tunnuksesi

Klikkaus tapahtuu kiireessä, ja se sattuu myös tarkoille ihmisille. Tärkeintä on, että seuraavat minuutit käytetään toimintaan eikä harmitteluun. Käy nämä viisi askelta läpi samana päivänä.

1. Vaihda salasana heti. Vaihda kyseisen palvelun salasana ja vaihda se myös kaikkialle muualle, missä olet käyttänyt samaa salasanaa.
2. Soita pankkiin. Jos annoit pankkitunnukset, kortin numeron tai vahvistuskoodin, ota yhteys pankkiisi ja sulje kortti. Pankki ehtii usein pysäyttää maksun.
3. Kerro asiasta niille, joita se koskee. Kerro kirjanpitäjälle, työkavereille ja tarvittaessa asiakkaille, että osoitteestasi on voinut lähteä viestejä. Näin seuraava vastaanottaja osaa varautua.
4. Tee rikosilmoitus. Tee rikosilmoitus poliisille verkossa. Poliisin ohje kehottaa ottamaan ensin yhteyttä pankkiin ja tekemään sen jälkeen rikosilmoituksen.
5. Ilmoita Kyberturvallisuuskeskukselle. Ilmoita tapauksesta Kyberturvallisuuskeskukselle. Yritykset ja organisaatiot voivat ilmoittaa tietojenkalastelusta samalla lomakkeella kuin yksityishenkilöt.

Säilytä alkuperäinen viesti, kunnes ilmoitukset on tehty. Siitä näkyy lähettäjän osoite ja ajankohta, ja ne ovat hyödyllisiä tietoja sekä poliisille että omalle palveluntarjoajallesi. Poista viesti vasta sen jälkeen.

Mihin kalasteluviestistä ilmoitetaan

Ilmoittaminen ei ole pelkkä muodollisuus. Se auttaa pysäyttämään kampanjan, ennen kuin se osuu seuraavaan yritykseen, ja se voi olla edellytys vahingon korvaamiselle.

Traficomin Kyberturvallisuuskeskus ottaa vastaan ilmoituksia tietoturvaloukkauksista ja niiden yrityksistä. Yksityiset henkilöt, yritykset ja organisaatiot voivat ilmoittaa esimerkiksi tietojen kalastelusta, ja ilmoituksen voi jättää myös nimettömänä vinkkinä.

Poliisille tehdään rikosilmoitus silloin, kun rahaa on menetetty tai tunnuksia on käytetty väärin. Ota talteen viestit, tiliotteet ja muu aineisto ennen ilmoitusta.

Tietosuojavaltuutetun toimistolle ilmoitetaan, jos huijauksessa on päässyt vuotamaan asiakkaiden tai työntekijöiden henkilötietoja ja loukkauksesta voi aiheutua riski heidän oikeuksilleen ja vapauksilleen. Ohjeen mukaan henkilötietojen tietoturvaloukkauksesta ilmoitetaan ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun asia on tullut tietoon. Määräaika alkaa havaitsemisesta, joten selvittely ja ilmoitus kulkevat rinnakkain.

Miten oma verkkotunnus ja sähköpostiosoite liittyvät asiaan

Oma verkkotunnus ja sen mukainen sähköpostiosoite helpottavat tunnistamista molempiin suuntiin. Kun osoitteesi on muotoa etunimi@yrityksesi.fi, asiakas näkee heti, kenen kanssa hän asioi, ja poikkeava osoite erottuu. Aihetta on käsitelty tarkemmin artikkeleissa yrityksen sähköposti omalla domainilla ja domain eli verkkotunnus yritykselle.

Osoite ei silti ole henkilöllisyystodistus. Lähettäjän nimi ja osoite voidaan väärentää viestiin, ja tavallisinta on lähelle osuva osoite: yksi kirjain vaihdettu, .fi muuttunut joksikin muuksi tai yrityksen nimeen lisätty väliviiva. Siksi tunnistaminen nojaa aina sisältöön ja varmistukseen, ei pelkkään osoitteeseen. Jos harkitset verkkotunnuksen päätettä, vertailu löytyy artikkelista .fi vai .com verkkotunnus.

Verkkotunnuksen hallinta kannattaa pitää omissa nimissä ja voimassaolo kunnossa, koska vanhentunut tunnus on houkutteleva kohde. Mitä tapahtuu, jos verkkotunnus vanhenee, on käyty läpi omassa artikkelissaan. Kotisivujen ylläpito hoitaa tämän puolestasi: Kotisivut.fi-palvelun 25 €/kk sisältää verkkotunnuksen, palvelintilan, varmuuskopiot ja teknisen ylläpidon. Sähköpostilaatikot hankitaan erikseen omalta palveluntarjoajalta, joten ne eivät sisälly ylläpitoon, ja vaihtoehdot on vertailtu artikkelissa ilmainen sähköposti omalla domainilla. Sivuston oma turvallisuus on eri asia kuin postilaatikon turvallisuus, ja se puoli on käyty läpi artikkelissa kotisivujen tietoturva.

Näin pidät asian hallinnassa arjessa

Kalasteluviestejä ei saa loppumaan, mutta niiden vaikutuksen saa pieneksi muutamalla käytännöllä, jotka eivät vie aikaa.

Yksi sääntö rahasta. Jokainen tilinumeron muutos ja jokainen poikkeuksellinen maksupyyntö varmistetaan soittamalla numeroon, joka on omissa tiedoissa. Sääntö koskee myös yrityksen omaa väkeä ja pitkäaikaista kumppania, koska juuri heitä huijauksessa esitetään.

Kaksivaiheinen kirjautuminen käyttöön. Kun kirjautuminen varmistetaan puhelimella, pelkkä salasanan päätyminen vääriin käsiin ei riitä tilin avaamiseen. Tämä on yksi tehokkaimmista yksittäisistä toimista.

Sovi etukäteen, että virheestä kerrotaan. Jos työntekijä pelkää moitteita, hän kertoo klikkauksesta vasta kun vahinko näkyy. Kerro etukäteen, että ilmoittaminen on oikea toimintatapa, niin tieto tulee tunnissa eikä viikossa.

Erottele laskutus ja markkinointi. Kun laskuihin liittyvät asiat kulkevat yhden osoitteen kautta, poikkeava reitti huomataan helpommin. Sivuston yhteydenottolomake kannattaa ohjata eri osoitteeseen kuin laskutus.

Usein kysyttyä

Mistä tunnistan kalasteluviestin nopeasti?

Katso kolmea asiaa: onko viestissä kiire, pyydetäänkö sinulta tunnuksia tai rahansiirtoa, ja osoittaako linkki oikeaan verkkotunnukseen. Jos yksikin näistä särähtää, älä klikkaa vaan varmista asia soittamalla. Kyberturvallisuuskeskus kehottaa varmistamaan viestin todenperäisyyden lähettäjältä, mutta jotain muuta viestintäkanavaa pitkin.

Mitä teen, jos klikkasin linkkiä mutta en antanut mitään tietoja?

Pelkkä sivun avaaminen on selvästi pienempi tapaus kuin tunnusten antaminen. Sulje sivu, älä täytä mitään kenttää ja vaihda salasana varmuuden vuoksi, jos olet epävarma siitä, mitä ehdit tehdä. Pidä seuraavat päivät silmällä tiliotetta ja kirjautumisilmoituksia.

Voiko huijari lähettää viestin minun osoitteestani?

Lähettäjän nimi ja osoite voidaan väärentää viestiin, joten ne eivät yksin todista mitään. Tavallisempaa on, että huijari käyttää osoitetta, joka muistuttaa sinun osoitettasi yhden kirjaimen verran. Jos vastaanottajat kertovat saaneensa sinun nimissäsi outoja viestejä, kerro asiasta heille ja tarkista oman postilaatikkosi kirjautumishistoria.

Kannattaako kalasteluviestiin vastata?

Ei kannata. Vastaus kertoo lähettäjälle, että osoite on käytössä ja että viestit luetaan, ja se yleensä lisää yhteydenottoja. Merkitse viesti roskapostiksi ja poista se. Jos viesti liittyy rahaan tai tunnuksiin, varmista asia suoraan oikean yhteyshenkilön numerosta.

Mihin kalasteluviestistä ilmoitetaan Suomessa?

Tietojenkalastelusta voi ilmoittaa Traficomin Kyberturvallisuuskeskukselle, ja rahaa menetettäessä poliisille tehdään rikosilmoitus. Jos huijauksessa on päässyt vuotamaan asiakkaiden henkilötietoja ja siitä voi aiheutua riski heidän oikeuksilleen ja vapauksilleen, asiasta ilmoitetaan myös tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa.

Yhteenveto: rauhallinen varmistus riittää useimmiten

Kalasteluviestit yritykselle on tehty näyttämään aidoilta, joten tunnistaminen ei nojaa kirjoitusvirheisiin. Se nojaa kahteen kysymykseen: kiirehditäänkö minua, ja pyydetäänkö minulta tunnuksia tai rahaa. Kun vastaus on kyllä, viesti käsitellään vasta puhelun jälkeen. Yksi soitto oikeaan numeroon on halvempi kuin yksikään näistä huijauksista.

Jos ehdit jo antaa tunnukset, tärkeintä on nopeus: salasana vaihtoon, pankkiin yhteys, ilmoitukset tehdyksi. Ja kun sivustosi ja verkkotunnuksesi ovat hoidossa, yksi asia on pois listalta. Katso, miten Kotisivut.fi hoitaa kotisivut ja ylläpidon puolestasi tai tutustu kotisivut pienyritykselle -sivuun, niin näet, mitä palvelu sisältää.