Valepoliisit soittavat nyt videopuheluita poliisiylijohtajan kasvoilla – KRP näkee viitteitä deepfake-tekniikasta

Neljä viikkoa riitti. Kesäkuun lopussa videopuheluissa esiintyi vielä kasvoton valepoliisi, joka pyysi uhria näyttämään maksukorttinsa kameralle. Heinäkuussa soittajalla on oikean, nimetyn poliisijohtajan kasvot.

Keskusrikospoliisi kertoi keskiviikkona, että poliisin nimissä soitettavat videopuheluhuijaukset jatkuvat ja kehittyvät. Puheluissa on nyt käytetty tunnettujen poliisien kasvoja, muun muassa Ilkka Koskimäen, poliisiylijohtajan.

Koskimäki ei tietenkään soittele kenellekään, vaan rikolliset käyttävät hänen kasvojaan luvatta. Keskusrikospoliisi toteaa tiedotteessaan, että osassa tapauksista on viitteitä deepfake-teknologian hyödyntämisestä. Myös Yle uutisoi varoituksesta keskiviikkona iltapäivällä.

Huijauksen perusmekanismi on pysynyt samana. Rikolliset soittavat Google Meetin kautta, esiintyvät Suomen poliisina ja tavoittelevat maksu- tai tunnistautumistietoja. Osa uhreista on ehtinyt luovuttaa soittajille verkkopankkitunnuksensa.

Alustana toimii siis tavallinen Google Meet eli sama palvelu, jolla pidetään etäpalavereita ja sukujuhlia. Juuri arkisuus tekee soitosta uskottavan.

Kohteeksi valikoituvat erityisesti Suomessa asuvat ulkomaalaiset, ja puheluita on käyty sekä englanniksi että suomeksi. Uhkaus pidätyksestä tai maasta poistamisesta osuu ihmiseen, joka ei välttämättä tunne suomalaisia viranomaiskäytäntöjä.

Mikä videopuhelussa oikeastaan tehoaa? Tutut kasvot ruudulla luovat auktoriteetin tunteen, jota pelkkä tekstiviesti ei saa aikaan. Kiire ja uhkaukset hoitavat loput.

Keskusrikospoliisin ohje on yksiselitteinen.

– Poliisi, pankki tai mikään muukaan laillinen toimija ei koskaan kysy pankki- tai tunnistautumistietoja puhelimessa tai videoyhteydellä, tiedotteessa todetaan.

Kesäkuusta heinäkuuhun

Ilmiöstä varoitettiin ensimmäisen kerran 25. kesäkuuta. Silloin uhreja pyydettiin näyttämään maksukorttia tai henkilöllisyystodistusta kameralle ja uhkailtiin tilin sulkemisella, pidätyksellä ja maasta poistamisella. Jo tuolloin kohteina olivat erityisesti Suomessa asuvat ulkomaalaiset, mutta soittajien kasvoista ei kerrottu mitään erityistä.

Nimetyt poliisikasvot ja deepfake-viitteet ovat siis ilmestyneet kuvioon vajaassa neljässä viikossa. Sama huijausperhe on päivittynyt viikkojen sykleissä läpi kesän.

Uhrimääristä tai menetetyistä summista ei ole toistaiseksi julkaistu lukuja. Tiedotteen ainoa summa, 88 miljoonaa euroa, kuvaa vahingollisimpien petosluokkien yhteenlaskettuja kirjattuja vahinkoja viime vuodelta, ei tämän huijauksen saalista. Mukana ovat muun muassa kalastelu-, sijoitus- ja romanssihuijaukset.

Kyberturvallisuuskeskus ei ole kommentoinut videopuheluhuijauksia. Keskus on kuitenkin kuvannut toimitusjohtajahuijauksia käsittelevässä artikkelissaan, miten deepfake-puheluilla huijataan yrityksiä.

Artikkeli ei kommentoi poliisin nimissä tehtyjä puheluita, vaan kuvaa saman tekniikan käyttöä yritysten huijaamisessa. Tekniikka itsessään ei siis ole viranomaisille uusi.

Tunnistusmerkit

Miten huijauspuhelun sitten erottaa aidosta viranomaisyhteydenotosta? Nyrkkisääntö on hyvin lyhyt, sillä Suomen poliisi ei soita videopuheluita kansalaisille lainkaan. Tiedotteiden kuvaamissa puheluissa toistuvat lisäksi seuraavat piirteet.

• Videopuhelu tulee yllättäen Google Meetissä, usein tuntemattomasta osoitteesta
• Soittaja esiintyy poliisina ja kysyy pankki-, kortti- tai tunnistautumistietoja
• Puhelussa uhkaillaan tilin sulkemisella, pidätyksellä tai maasta poistamisella
• Maksukorttia tai henkilöllisyystodistusta pyydetään näyttämään kameralle
• Kasvot voivat kuulua tutulle poliisille, mutta kuva saattaa nykiä tai ilmeet elää oudosti

Mitä tehdä

Vahingon sattuessa nopeus ratkaisee. Ensimmäinen soitto kuuluu omalle pankille, jotta tunnukset saadaan suljettua, ja vasta sen jälkeen kannattaa käyttää aikaa rikosilmoitukseen.

• Katkaise puhelu heti. Poliisi ei hoida virka-asioita videopuhelulla.
• Rajoita Google Meetin asetuksista saapuvat puhelut omiin yhteystietoihin.
• Jos ehdit antaa pankkitunnuksia tai korttitietoja, soita välittömästi omaan pankkiisi.
• Tee sen jälkeen rikosilmoitus poliisi.fi-palvelussa.
• Huijausyrityksestä voi ilmoittaa myös Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.

Kesä on näyttänyt suunnan. Kasvoton soittaja sai neljässä viikossa poliisiylijohtajan kasvot. Jää nähtäväksi, millaisena sama huijaus palaa syksyllä.