Tietojenkalastelu kasvaa: näin suojaat tiimisi
Tietojenkalasteluviestit ovat ammattimaistuneet ja kohdistuvat yhä useammin pk-yrityksiin. Käymme läpi nykytilan, viisi suojaustasoa ja konkreettiset toimenpiteet jotka tiimisi voi ottaa käyttöön viikossa.
Tietojenkalastelu (engl. phishing) on edelleen yleisin tapa, jolla hyökkääjät pääsevät käsiksi yritysten järjestelmiin. Verizonin 'Data Breach Investigations Report 2024' -raportin mukaan ihmistekijä oli mukana 68 prosentissa kaikista tietomurroista, ja näistä valtaosa alkoi tietojenkalastelusta tai sosiaalisesta manipulaatiosta. ENISA Threat Landscape -raportti (ENISA, 2024) listaa tietojenkalastelun edelleen pääasialliseksi alkureiteiksi sekä kiristyshaittaohjelmissa että tilien kaappauksessa.
Pienissä ja keskisuurissa yrityksissä tilanne on hankala kahdesta syystä. Ensinnäkin viestit eivät enää ole kirjoitusvirheillä täytettyjä yleishuijauksia, vaan kohdennettuja, oikealla suomella kirjoitettuja ja juuri yrityksesi kontekstiin viritettyjä. Toiseksi pk-yrityksissä ei ole erillistä tietoturvatiimiä, joka tarkistaisi epäilyttävät viestit puolesta — vastuu jakautuu jokaiselle työntekijälle.
Mikä on muuttunut viime vuosina
Generatiivinen tekoäly on poistanut tietojenkalasteluviestien klassiset tunnusmerkit. Aiemmin epäilyä herättivät kielioppivirheet, suomenkielen taivutusongelmat ja epämääräiset puhuttelut. Nykyään hyökkääjä voi automatisoidusti tuottaa virheettömän, asiakaskontekstiin sopivan viestin, joka näyttää tulevan oikealta toimittajalta tai kollegalta.
Toinen merkittävä muutos on ns. business email compromise -hyökkäysten yleistyminen. Hyökkääjä murtautuu ensin yhteen postilaatikkoon, seuraa keskusteluja, ja lähettää sitten ajoitetusti viestin oikean keskusteluketjun jatkona — esimerkiksi pyytää siirtämään laskun maksun uudelle tilille. Microsoftin 'Digital Defense Report' (Microsoft, 2024) raportoi, että BEC-tapaukset ovat kasvaneet voimakkaasti pk-yrityssektorilla.
Viisi suojaustasoa
Tehokas suoja ei rakenne yhden työkalun varaan. Se on viiden tason yhdistelmä, joista jokainen pysäyttää osan hyökkäyksistä. Mitä useampi taso, sitä vähemmän loppukäyttäjän klikkauksesta riippuu organisaation turvallisuus.
- Tekninen suodatus — Microsoft Defender for Office 365 tai vastaava sähköposti-suodatin estää tunnetut huijaukset ennen kuin ne saapuvat postilaatikkoon
- Domainin todennus — SPF, DKIM ja DMARC -tietueet estävät hyökkääjää lähettämästä viestiä yrityksen oman domainin nimissä
- Pääsynhallinta — monivaiheinen tunnistautuminen (MFA) ja Conditional Access -säännöt estävät tilin kaappauksen vaikka salasana paljastuisi
- Käyttäjäkoulutus — säännöllinen harjoittelu turvallisesti oikeilla tietojenkalasteluviesteillä, ei pelkät kirjalliset ohjeet
- Häiriöprosessi — selkeä, dokumentoitu toimintamalli kun joku raportoi tai klikkasi epäilyttävää viestiä
Käyttäjäkoulutus on tärkein investointi
Vaikka tekninen suodatus on parantunut, osa viesteistä pääsee aina läpi. Tällöin viimeisenä puolustuslinjana on käyttäjä — ja häntä on autettava onnistumaan. Tutkimukset (mm. KnowBe4 'Phishing by Industry Benchmarking Report', 2024) osoittavat, että ilman koulutusta n. 32 % käyttäjistä klikkaa oikein muotoiltua tietojenkalasteluviestiä. Säännöllisen koulutuksen jälkeen luku tippuu tyypillisesti alle 5 prosenttiin 12 kuukauden aikana.
Toimivin koulutustapa on simulaatioharjoittelu: yritys lähettää itse turvallisia, harmittomia tietojenkalasteluviestejä ja antaa välitöntä palautetta klikanneille. Tämä ei ole rangaistus vaan oppimismahdollisuus. Yhdistettynä lyhyihin (5–10 min) sisäisiin koulutusmoduuleihin tämä rakentaa tiimin refleksin: epäilyttävän viestin kohdalla tarkistetaan, ei klikata.
- Simulaatioviestit kuukausittain — eri teemoista (kalenterikutsu, lasku, M365-vahvistus, johtajan pyyntö)
- Välitön palaute klikanneille: lyhyt selitys mitä viestistä olisi pitänyt huomata
- Vuosittainen koko tiimin koulutus (30–60 min) ajankohtaisista uhkista
- Selkeä raportointitapa: yksi nappi tai sähköpostiosoite, johon epäilyttävän viestin voi välittää
Kun joku silti klikkasi — toimi näin
Inhimilliset virheet tapahtuvat, ja tärkeintä on rajoittaa vahinkoa. Hyvin valmisteltu reagointiprosessi voi pienentää tietomurron vaikutuksen kymmenesosaan verrattuna kaaokseen, jossa kukaan ei tiedä kenelle ilmoittaa.
Käytännön minimi on, että yrityksessä on dokumentoitu: kuka ottaa vastaan ilmoituksen, mitä toimenpiteitä tehdään ensimmäisten 30 minuutin aikana (tilin lukitus, salasanan vaihto, sessioiden katkaisu), milloin asiakas tai viranomainen tarvittaessa informoidaan. NIS2-direktiivin alaiset toimijat ovat velvollisia ilmoittamaan merkittävän häiriön viranomaiselle 24 tunnin sisällä.
- Lukitse käyttäjätili ja katkaise aktiiviset sessiot
- Vaihda salasana ja pakota MFA-uudelleenrekisteröinti
- Tarkista lähetetyt viestit ja sääntömuokkaukset (hyökkääjät asentavat usein automaattisia välityssääntöjä)
- Käy läpi kirjautumisloki epätavallisten IP-osoitteiden ja maantieteellisten sijaintien varalta
- Dokumentoi tapaus ja ilmoita tarvittaessa viranomaiselle (Kyberturvallisuuskeskus, NIS2-velvolliset)
Usein kysyttyä
Haluatko vahvistaa tiimisi tietojenkalastelusuojausta?
Autamme rakentamaan kerroksittaisen suojauksen Microsoft 365 -ympäristöön, määrittelemään domainin todennustietueet ja käynnistämään säännöllisen simulaatiokoulutuksen tiimillesi.
Ota yhteyttä