Mistä kalasteluviestin tunnistaa, jos kieli on virheetöntä?

Ei kielestä vaan pyynnöstä. Huijaus pyytää jotakin, mitä normaali prosessi ei pyydä: kiireellistä maksua, tilinumeron vaihtoa, kirjautumista linkin kautta, lahjakortteja tai salasanan vahvistamista. Siinä on aikapaine ja syy ohittaa tavallinen tarkistus. Tuttu nimi, oikea logo ja sujuva suomi eivät todista mitään, koska ne ovat helpoin osa väärentää.

Mitä teen, kun epäilen viestiä?

Et vastaa, et avaa liitettä etkä klikkaa linkkiä. Tarkistat pyynnön toista kanavaa pitkin: soitat lähettäjälle numeroon, jonka tiedät jo, tai kysyt häneltä kasvotusten. Ilmoitat epäilyn tietoturvasta vastaavalle, vaikka kävisi ilmi, että viesti oli aito. Jos ehdit jo klikata tai syöttää tunnuksen, ilmoitat heti: nopea ilmoitus rajaa vahingon, hiljaisuus kasvattaa sitä.

Vaatiiko laki, että henkilöstö koulutetaan tunnistamaan huijaukset?

Kyberturvallisuuslain piirissä kyllä. Lain 9 § luettelee riskienhallinnan toimenpiteet, jotka toimijan on pidettävä ajan tasalla, ja niiden joukossa ovat henkilöstöturvallisuus ja kyberturvallisuuskoulutus sekä perustason tietoturvakäytännöt. NIS2-direktiivin 21 artikla sanoo saman: perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus ovat vähimmäistoimenpide. Muille organisaatioille velvoite ei tule tästä laista, mutta sama riski tulee.

Mitä tekoäly muuttaa huijauksissa?

Se poistaa vanhat tuntomerkit. Viesti on kieliopillisesti virheetön ja tyyliltään lähettäjän kaltainen, puhelussa voi kuulua esihenkilön ääni ja videopalaverissa näkyä hänen kasvonsa. Siksi tunnistaminen siirtyy sisällöstä menettelyyn: poikkeava pyyntö tarkistetaan aina toista kanavaa pitkin, oli se kuinka vakuuttava tahansa.

Tietojenkalastelu ja tekoälyhuijaukset: miten työntekijä tunnistaa huijauksen

Kalasteluviesti ei enää erotu kieliopista. Mitä työntekijän pitää tunnistaa, miksi poikkeava pyyntö tarkistetaan toista kanavaa pitkin ja mitä laki vaatii koulutukselta.

Lyhyesti

Tietojenkalastelu on huijaus, jossa viesti, puhelu tai verkkosivu esiintyy luotettavana tahona saadakseen vastaanottajan luovuttamaan tunnuksen, maksamaan laskun tai asentamaan ohjelman. Se on edelleen tavallisin tapa, jolla hyökkääjä pääsee organisaation sisään, koska se ei murra järjestelmää vaan ihmisen tavallista päivää. Tekoäly on vienyt siltä vanhat tuntomerkit: kielivirheet, kömpelön tyylin ja oudot lähettäjäosoitteet. Siksi tunnistaminen ei enää perustu siihen, miltä viesti näyttää, vaan siihen, mitä se pyytää ja miten pyyntö tarkistetaan. Kyberturvallisuuslaki tekee tästä osaamisesta lakisääteisen riskienhallinnan osan.

Miksi kielioppi ei enää kerro mitään

Vielä muutama vuosi sitten työpaikan tietoturvakoulutus opetti etsimään virheitä: huonoa suomea, väärää logoa, osoitetta, jossa oli yksi kirjain pielessä. Nämä ohjeet eivät ole vääriä, mutta ne ovat riittämättömiä. Kielimalli kirjoittaa virheettömän suomen ja matkii lähettäjän tyyliä, kun sille annetaan muutama hänen aiempi viestinsä. Puheen kloonaamiseen riittää lyhyt äänite, ja videopalaverissa vastassa voi olla esihenkilön kasvot ja ääni ilman esihenkilöä.

Kirjastomme taitokatalogi nimeää tämän taidon tietojenkalastelun ja manipuloinnin tunnistamiseksi, ja sen sisältö on sähköpostikalastelu, tekoälyavusteiset huijaukset ja syväväärennökset, puhelinhuijaukset ja toimitusjohtajapetos. Yhteistä niille on, että ne ovat ensisijaisesti sosiaalista manipulointia, eivät tekniikkaa. Hyökkääjä ei tarvitse haavoittuvuutta, jos hän saa ihmisen tekemään asian itse.

Mitä huijaus pyytää

Kun ulkoasusta ei voi päätellä mitään, katsotaan pyyntöä. Huijauksilla on sama rakenne riippumatta kanavasta.

Tuntomerkki	Miltä se näyttää työssä
Poikkeava pyyntö	Tilinumeron vaihto laskulle, kiireellinen maksu, lahjakorttien osto, tunnuksen vahvistaminen linkistä, liitteen avaaminen "tarkistusta varten"
Aikapaine	"Tänään", "ennen kokousta", "johtaja on lentokoneessa eikä ehdi vastata"
Syy ohittaa prosessi	"Älä mainitse tästä vielä muille", "normaali reitti on liian hidas", "tämä on luottamuksellinen hanke"
Tuttuuden tunne	Oikea nimi, oikea titteli, viittaus todelliseen projektiin tai äskeiseen tapahtumaan
Kanavan vaihto	Sähköposti pyytää jatkamaan WhatsAppissa, puhelu pyytää vahvistusta tekstiviestillä

Yksi tuntomerkki ei todista mitään. Kiireellisiä ja poikkeavia pyyntöjä tulee oikeassa työssäkin. Ratkaiseva ei ole se, että pyyntö on poikkeava, vaan se, mitä sen jälkeen tehdään.

Toinen kanava ratkaisee

Sääntö, joka kestää tekoälyn, on yksinkertainen: poikkeava pyyntö tarkistetaan aina toista kanavaa pitkin, joka ei ole peräisin viestistä itsestään. Jos sähköposti pyytää vaihtamaan toimittajan tilinumeron, soitetaan toimittajalle numeroon, joka on jo sopimuksessa, ei viestin allekirjoituksessa olevaan. Jos esihenkilö pyytää Teamsissa kiireellistä maksua, kävellään hänen huoneeseensa tai soitetaan hänelle. Jos pankki soittaa, lopetetaan puhelu ja soitetaan pankin omaan numeroon.

Tämä on taitokatalogimme tason 2 kuvaus sanasta sanaan: tunnistaa kalasteluviestin tuntomerkit, tarkistaa poikkeavan pyynnön toista kanavaa pitkin ja ilmoittaa epäilystä. Se on taso, jota jokaiselta työntekijältä voi odottaa, ja se ei vaadi teknistä osaamista. Se vaatii, että organisaatio on sanonut ääneen, että tarkistaminen on sallittua ja toivottua, myös silloin, kun pyytäjä on toimitusjohtaja.

Ilmoituskynnys pidetään matalalla

Toinen puoli taidosta on ilmoittaminen. Työntekijä, joka epäilee viestiä, ilmoittaa siitä tietoturvasta vastaavalle, ja työntekijä, joka ehti klikata, ilmoittaa heti. Jälkimmäinen on se, joka ratkaisee vahingon suuruuden: varastettu tunnus on käyttökelpoinen hyökkääjälle vain siihen asti, kun salasana vaihdetaan ja istunnot katkaistaan. Jokainen tunti hiljaisuutta on hyökkääjän tunti.

Siksi tasolla 3, esihenkilön tasolla, katalogi edellyttää, että ilmoitukset käsitellään niin, ettei ilmoituskynnys nouse. Työntekijä, jota nuhdeltiin virheestä, ei ilmoita seuraavaa. Organisaatio, joka kiittää aiheettomasta ilmoituksesta, saa myös aiheelliset.

Mitä laki vaatii koulutukselta

Kyberturvallisuuslaki (124/2025) toi NIS2-direktiivin Suomeen. Lain 9 § velvoittaa toimijan toteuttamaan riskienhallinnan toimintamallin mukaiset hallintatoimenpiteet ja luettelee, mitä mallissa on ainakin otettava huomioon ja pidettävä ajan tasalla. Luettelossa ovat henkilöstöturvallisuus ja kyberturvallisuuskoulutus sekä perustason tietoturvakäytännöt toiminnan, tietoliikenteen, laitteiden, ohjelmistojen ja tietoaineistojen turvaamiseksi. NIS2-direktiivin 21 artiklan 2 kohta nimeää vähimmäistoimenpiteeksi perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutuksen.

Laki ei sano, montako tuntia tai kuinka usein. Se sanoo, että koulutus on osa riskienhallintaa, ja riskienhallinnan toimenpiteet on suhteutettava toiminnan laatuun ja riskeihin. Tietojenkalastelu on riski, joka koskee jokaista, jolla on sähköposti, joten sen tunnistaminen kuuluu jokaisen koulutukseen. Kenelle laki itse soveltuu, kerrotaan artikkelissa Koskeeko NIS2 ja kyberturvallisuuslaki organisaatiota?, ja koulutusvelvoitteen kokonaisuus artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?.

Mitä tämä ei tarkoita

Tunnistaminen ei korvaa teknisiä suojauksia. Monivaiheinen tunnistautuminen, roskapostisuodatus ja maksujen hyväksyntäketju ottavat kiinni suuren osan yrityksistä ennen kuin kukaan näkee niitä, ja kyberturvallisuuslain 9 § edellyttää myös niitä. Ihmisen tunnistuskyky on viimeinen kerros, ei ensimmäinen.

Tekoälyasetuksen 50 artikla velvoittaa syväväärennöksen tuottavan järjestelmän käyttöönottajan ilmoittamaan, että sisältö on keinotekoisesti tuotettu. Huijari ei noudata sitä. Artikla auttaa erottamaan rehellisen tekoälysisällön, ei paljastamaan rikollista, ja siksi työpaikan ohje ei voi nojata merkintään. Mitä läpinäkyvyysvelvoite vaatii omalta organisaatiolta, kerrotaan artikkelissa Tekoälyasetuksen 50 artikla.

Miten taito opetetaan niin, että se pysyy

Yksi vuosittainen koulutustilaisuus ei pidä tunnistuskykyä yllä, koska huijaukset muuttuvat nopeammin kuin kalenteri. Taito pysyy, kun sitä kerrataan lyhyesti ja säännöllisesti, ja kun sitä harjoitellaan oikeilla esimerkeillä: viestillä, jossa kaikki näyttää oikealta ja vain pyyntö on väärä. Siitä, miksi lyhyt ja toistuva voittaa koulutuspäivän, kerrotaan artikkelissa Mikro-oppiminen työpaikalla.