Psykoterapiakeskus Vastaamon tietomurto oli vasta alkua – Huijarifirmat, valeverkkokaupat, romanssipetkuttajat ja petolliset linkit vaanivat nykyään ketä tahansa

Johanna Jurkka

Psykoterapiakeskus Vastaamon tietomurto jää suomalaiseen rikoshistoriaan yhtenä aikakauden rumimmista ja röyhkeimmistä. Keskusrikospoliisin esitutkinnasta on ilmennyt, että psykoterapiakeskuksen palvelimelle hyökännyt mies hyödynsi järjestelmän tietoturvapuutteita. Ne olivat huomattavia.

Hyökkääjä pääsi käsiksi kymmenientuhansien asiakkaiden arkaluontoisiin potilastietoihin, ja käytti niitä hyväkseen kiristysyrityksissä. Keskeisimpiä verkon suojaamiskeinoja oli laiminlyöty. Käytössä oli esimerkiksi ollut sama, heikko salasana vuodesta 2012.

Tietomurron uhriksi joutunut, anonyymina pysyttelevä Vastaamon asiakas kertoo omien, arkaluonteisten henkilötietojensa päätyneen salattuun Tor-verkkoon tuntemattomien käyttäjien nähtäville. Välittömästi asian paljastumisen jälkeen rikosilmoituksen tehnyt asiakas toivoo nyt vain sitä, että kaikki asianomistajat saavat oikeutta.

– Se hetki, kun selvisi, että terapiassa puhumani asiat oli vuodettu pimeään verkkoon, oli shokeeraava, uhri sanoo.

– Käsittämätöntä, miten huonosti tietojen suojaus oli Vastaamossa hoidettu. Heidänkin on kannettava vastuunsa. Yhtä lailla myös he ovat syyllisiä tähän kaikkeen, koska tiedot olivat kauan hakkeroitavissa. Kuka tahansa olisi voinut ne vuotaa. Ihmisillä on erilainen moraali. Onneksi on olemassa myös valkohattuhakkereita, jotka voivat auttaa, hän viittaa teon jäljityksessä auttaneisiin.

Ensimmäisissä lehtikuvissa epäillystä uhri kertoo nähneensä "sieluttomat silmät ja katseen".

– Sisimmässäni tiesin, että jossain vaiheessa pakomatkallaan hän tekee virheen. Hänet saadaan kiinni ja oikeuden eteen, uhri sanoo.

. Huijauksiin haksahdetaan usein kiireessä Vastaamon tietoturvajuttu, joka tuli käräjäoikeuden käsittelyyn Helsingissä perjantaina, oli vasta jäävuoren huippu. Verkkorikollisuuden kirjo on laaja, ja se yltää aina henkilötietojen ja pankkitunnusten kalastelusta verkkokauppapetoksiin, romanssisumutuksiin ja sijoitus- ja lomakeosakehuijauksiin saakka.

Kilpailu- ja kuluttajaviraston (KKV) ylijohtajan, kuluttaja-asiamies Katri Väänäsen mukaan digihuijaukset ovat kasvava maailmanlaajuinen trendi.

– Harvinaisena kielialueena Suomi on ennen ollut vähän suojassa, mutta enää ei siltä näytä. Huijaukset lisääntyvät koko ajan, ja ne ovat yhä taitavammin toteutettuja. Ne rantautuvat ulkomailta meille samalla tavalla kuin muuallekin. Varmasti meillä on myös niihin osallistuvia kotimaisia tahoja, Väänänen sanoo.

Aivan tavallista kuluttajaa uhkaavat yhä vakuuttavammilta vaikuttavat huijausverkkosivut, joilta ostaja ei saa sitä mitä kuvittelee tilaavansa.

Ennen internetin feikkisivut tunnisti tökeröstä ulkoasusta ja kömpelöstä, Googlen konekääntäjän suoltamasta kieliasusta. Enää näin ei välttämättä ole. Verkkosivun osoite voi olla uskottavalta vaikuttava ja kielikin harhauttavan hienoa suomea.

– Vieläkin huijausten kieli voi olla vähän huonoa suomea ja niistä voi huomata jotakin outoa, mikä saa lamput syttymään. Mutta suuntaus on se, että taitavasti toteutettujen huijaussivujen kieli on hyvää ja sivut voivat näyttää todella hyvin rakennetuilta ja aidoilta. Sivuilla myydään esimerkiksi kalliiden merkkilaukkujen kopioita aitoina. Kuluttajat eivät saa mitään tai heille lähetetään mitä sattuu.

Verkkohuijausten kohteiksi joutuvat kuluttaja-asiamiehen mukaan kaikenlaiset, kaiken ikäiset ihmiset.

– Tyypillistä on se, että ihmiset tekevät ostoksia kiireessä, miettimättä onko asialla oikea yritys. Silloin huijauksiin haksahdetaan. Se on ihan inhimillistä, Väänänen sanoo.

– Tämä koskettaa meitä kaikkia. Ansaan meneminen ei ole enää mikään niin sanottujen heikkojen kuluttajaryhmien ongelma. Kun pakettiaan odottavan kiireisen ihmisen sähköpostiin tulee esimerkiksi jokin DHL:n nimissä lähtenyt tietojenkalasteluviesti, jossa kerrotaan, että sinulle on paketti, siihen haksahtaa ihan kuka tahansa.

. Romanssihuijauksista ei kerrota, koska ne hävettävät Yhteistä useimmille verkkohuijauksille on taloudellisen hyödyn tavoittelu petoksella. Kuluttajien verkkorikollisten takia menettämiä rahasummia ei tiedetä, koska koottua tietoa ei ole missään rekistereissä ja ilmoituksia huijauksista tehdään KKV:n lisäksi useille eri tahoille, esimerkiksi pankeille, poliisille ja kyberturvallisuuskeskukselle.

– Ongelmana on se, ettei meillä ole tietoa siitä, miten paljon haittaa huijaukset kuluttajille ja pk-yrityksille aiheuttavat. Myös yrityksissä tämä on todellinen ongelma. Huijauksissa virtaavat isot summat, Väänänen sanoo.

– Romanssihuijauksissa ihmiset lankeavat siihen, että saattavat lähettää satoja tai jopa tuhansia euroja tuntemattomalle halutessaan auttaa häntä. Kun tällainen ihminen paljastuu huijariksi, on ihan varmaa, että rahoja on todella vaikea saada takaisin. Eihän ulkomailla toimiviin verkkokauppoihinkaan yleensä enää huijauksen jälkeen saa yhteyttä.

Luottamuksellisen suhteen luomiseen perustuvat romanssihuijaukset köyhdyttävät uhria tämän huomaamatta.

– Huijarit osaavat käyttää hyväkseen käyttäytymisvinoumia. Huijaaminen ei ala heti. Se alkaa usein sillä, että huijari lypsää ensin ihan pieniä summia, muutamia kymppejä. Mittasuhteet kasvavat vähitellen, Väänänen sanoo.

– Me ihmiset olemme luontaisesti melko hyväuskoisia. Haluamme auttaa muita. Tätä manipuloivat huijarit käyttävät taitavasti hyväkseen. Kun huijaus paljastuu, ihmiset eivät halua edes uskoa tulleensa petetyiksi.

Sitä, miten paljon verkkohuijauksia jää kokonaan ilmoittamatta, ei tiedetä. Ansaan lankeamista pidetään häpeällisenä.

– Olisi tärkeää, että huijaukset tulisivat tietoon muiden varoittamiseksi. Paljon niistä jää häpeän takia pimentoon.

. Keskitetty yhteydenottopiste on tarpeen Kootun tiedon keräämiseksi KKV ehdottaa keskitetyn, kuluttajille suunnatun virtuaalisen yhteydenottopisteen perustamista. Sen mallina voisi Väänäsen mukaan toimia Britanniassa käytössä oleva Action Fraud -verkkopalvelu, jonne kaikista huijauksista voi ilmoittaa.

Sivu mahdollistaa nopean reagoinnin rikosepäilyihin ja niistä varoittamisen, sekä neuvonnan ja ohjaamisen eteenpäin.

– Tällainen yhteyspiste olisi hyvä olla Suomessakin, koska huijausilmiö ei poistu. Se auttaisi myös huijausten tunnistamisessa varhaisessa vaiheessa. Mahdollisuutemme saada huijarit pois markkinoilta ovat aika vähäisiä. Voimme vain neuvoa kuluttajia välttämään hätiköintiä, harkitsemaan ostopäätöksiä ja googlaamaan vähänkin epäilyttävää yritystä, Väänänen sanoo.

– Jos tarjous tuntuu liian hyvältä ollakseen totta, se ei silloin, ikävä kyllä, yleensä ole totta. Silloin taustalla on yleensä huijaus.

Verkko-ostokset Väänänen kehottaa maksamaan aina luottokortilla, koska petostilanteessa luottoyhtiö on vastuullinen veloituksista ja maksun palauttamisesta. Tosin luottokorttitietojen jättämisestäkin voi joskus seurata ikävyyksiä. Tilausansahuijauksessa kuluttaja saattaa havaita, että pankkitililtä alkavat lähteä kuukausiveloitukset.

. Veronpalautuksilla on yritetty huijata lähes säännöllisesti Digitaalinen maailma on haavoittuvainen, ja esimerkkejä siitä riittää pilvin pimein. Ohjelmistoyhtiö Microsoft varoitteli vuonna 2021 tuhansia pilvipalveluasiakkaitaan tietokantavuodosta. Myös kokoussovellus Zoomin tietosuoja on herättänyt huolta.

Verohallinnon ylijohtajana aiemmin työskennellyt valtiovarainministeriön ict-johtaja Jarkko Levasma joutui vuonna 2021 varoittelemaan verottajan nimissä liikkuneista huijausviesteistä, joilla suomalaisilta kalasteltiin sähköpostitse pankkikortti- tai verkkopankkitunnuksia. Täkynä digihuijarit käyttivät tekaistuja veronpalautuksia.

– Suurin piirtein joka vuosi on liikkeellä veronpalautuksiin liittyviä huijaussähköpostikampanjoita. Verohallinnossa vedin sitä linjausta, että veroviranomainen ei koskaan lähetä sähköpostitse linkkejä, Levasma sanoo.

– Sähköpostin kanssa kannattaa olla aina tarkkana. Ihan samalla tavalla, kun kuka hyvänsä pystyy lykkäämään postia postilaatikkoon, pystyy kuka tahansa laittamaan sähköpostia.

. "Yleensä kyse ei ole oikeasta sähköpostista" Tietotekniikan osaajilta huijaussähköpostiviestin lähettäminen viranomaisen nimissä hoituu suhteellisen helposti – tosin valtaosa tiedetyistä sähköpostihuijauksista on ollut yksinkertaisia, helposti jäljitettäviä ja tökeröitä. Viesteissä vastaanottajia on esimerkiksi saatettu syyttää kovista rikoksista ja vaatia lunnaita niiden sovittamiseksi.

– Koskaan ei voi olla varma siitä, että sähköposti on tullut oikeasta osoitteesta. Jos sähköpostitse tulee jotakin yllättävää tai liian hyvältä kuulostavaa, tai jos "viranomaiselta" tulee jotakin poikkeuksellista, on syytä olla valppaana. Viranomaiset eivät ikinä lähetä linkkejä eivätkä henkilötietoja, koska se on täysin suojaamaton kanava, Levasma painottaa.

– Hälytyskellojen pitäisi aina soida, jos "viranomainen" kehottaa sähköpostissa klikkaamaan linkkiä, antamaan tietoja tai maksamaan jotakin. Semmoisia ei pitäisi koskaan uskoa. Jos epäilyttää, kannattaa käydä viranomaisen nettisivuilla. Yleensä sieltä selviää, ettei kyse ole oikeasta sähköpostista.

. Venäjän hyökkäyssodan takia organisaatiot petrasivat turvallisuuttaan Levasma muistuttaa, että viranomaiset viestivät pääosin Digi- ja väestötietoviraston ylläpitämän Suomi.fi -verkkopalvelun välityksellä. Sen käyttöönottoa Levasma suosittelee tietoturvasyistä aivan kaikille.

Miten luotettavia viranomaisten verkkosivut sitten ovat? Periaatteessa mikään digitaalisessa maailmassa ei ole täysin suojassa. Verkkorikollisuutta motivoi myös informaatiovaikuttaminen.

– Kun riittävästi nähdään vaivaa, kaikki on periaatteessa mahdollista murtaa, mutta tyypillisesti digimaailmassa murtaudutaan sinne, minne on helpointa murtautua. Mitä paremmat suojaukset, sitä epätodennäköisempää se on. Viranomaisten verkkosivuille murtautuminen on hyvin epätodennäköinen riski, Levasma vastaa.

– Venäjän hyökkäyssota nosti kyberrikollisuuden määrää. Siitäkin syystä moni organisaatio on petrannut turvallisuuttaan. Informaatiovaikuttamisen helpoin väylä on sosiaalinen media.

Varsinainen riski piilee haittaohjelmissa, joilla voidaan saada paljon vahinkoa aikaan.

– Isoimpia, tämän hetken hankalimpia kyberrikollisuuden ongelmia organisaatioille ovat kiristyshyökkäykset. Yleensä järjestelmiin onnistutaan murtautumaan jonkin haittaohjelman kautta, minkä jälkeen saaduista tiedoista voidaan vaatia lunnaita.

Tällaista on Levasman mukaan tapahtunut julkishallinnon puolella joissakin kunnissa, mutta isoja vahinkoja ei onneksi ole koitunut.

. Fakta

Verkkohuijaukset Kilpailu- ja kuluttajavirasto saa dvuosittain noin tuhat ilmoitusta verkkohuijauksista. Ilmoituksia saavat myös Kyberturvallisuuskeskus, tietosuojavaltuutettu, poliisi, Finanssivalvonta, Kuluttajaliitto ja pankit.

Finanssiala tiedotti viime vuonna suomalaisten menettäneen vuonna 2021 erilaisten verkkohuijausten takia noin 47 miljoonaa euroa. Suurimpia summia verkkopetoksilla varastivat sijoitushuijarit, joiden alaa ovat esimerkiksi osakkeet, joukkolainat ja kryptovaluutta.

Näin parannat omaa tietoturvaasi

Käytä vahvoja salasanoja, suosi kaksivaiheista tunnistautumista, älä jätä välistä päivityksiä, ota varmuuskopioita. Varatoimenpiteillä vähennät sitä riskiä, että haittaohjelmat vievät tiedostosi lopullisesti.

Lataa sovellukset vain luotettavimmista, virallisista sovelluskaupoista. Näin vältät väärennetyt tai tietojasi vakoilevat sovellukset.

Lähde: Kilpailu- ja kuluttajavirasto, Finanssivalvonta

Kirjaudu sisään

Psykoterapiakeskus Vastaamon tietomurto oli vasta alkua – Huijarifirmat, valeverkkokaupat, romanssipetkuttajat ja petolliset linkit vaanivat nykyään ketä tahansa

Tilaa Ilkka-Pohjalaisen uutiskirje