Supo ja sotilastiedustelu varoittavat Laundry Bearista – venäläisvakoilu on kohdistunut myös Suomeen

Venäjän valtioon kytkeytyvä vakoiluryhmä on yrittänyt murtautua sähköpostijärjestelmiin myös Suomessa, ja suomalaisviranomaiset ovat jo joutuneet torjumaan sen toimintaa. Asiasta kertoo Suojelupoliisi, joka julkaisi perjantaina yhteisen varoituksen sotilastiedustelun kanssa. Läntiset kumppanimaat olivat julkaisseet oman varoituksensa jo keskiviikkona.

Varoituksen kohde on Laundry Bear -nimellä tunnettu valtiojohtoinen kyberuhkatoimija, joka pyrkii tiedotteen sanoin murtautumaan erityisesti organisaatioiden sähköpostijärjestelmiin. Suomi-kytköksestä Supo puhuu poikkeuksellisen suoraan.

– Toiminta on kohdistunut myös Suomeen. Suomen viranomaiset ovat reagoineet toimintaan ja auttaneet siltä suojautumisessa, tiedotteessa sanotaan.

Tuollainen myöntö on suomalaiselta turvallisuusviranomaiselta varsin harvinainen. Yleensä tiedotteissa tyydytään kuvaamaan uhkia yleisellä tasolla kertomatta, onko mitään jo tapahtunut. Nyt Supo sanoo ääneen sekä kohdistumisen että sen, että torjuntatoimiin on ryhdytty.

Supo arvioi uhkan vakavimmaksi julkishallinnon, kriittisen infrastruktuurin ja puolustusteollisuuden parissa toimiville organisaatioille. Riskiryhmässä ovat myös teknologiayritykset ja kolmas sektori.

Vakoilu siirtyy verkkoon

Miksi venäläisryhmä jahtaa juuri sähköposteja? Supo tarjoaa tiedotteessaan selityksen. Venäjän henkilötiedustelun edellytykset toimia lännessä ovat heikentyneet, joten tiedonhankintaa siirretään verkkoon.

Sähköposti on vakoojalle tehokas kohde. Yksi onnistunut murto avaa kerralla organisaation sisäisen viestinnän, henkilöstön yhteystiedot ja usein myös kumppaniverkoston.

Sama suunta näkyy varoitusten tahdissa. Kyseessä on jo toinen heinäkuussa julkaistu kansainvälinen varoitus, johon Suomi on liittynyt. Supo ja Puolustusvoimat varoittivat 13. heinäkuuta myös Venäjän turvallisuuspalvelu FSB:hen kytkeytyvästä kybertoimijasta.

Puolustusvoimat julkaisi perjantaina myös oman englanninkielisen tiedotteensa, joka vahvistaa varoituksen sisällön. Taustalla on lisäksi 16 maan yhteinen, Yhdysvaltain NSA:n vetämä varoitus, jonka Suomi allekirjoitti alkuviikosta. Näin leveää allekirjoittajarintamaa nähdään kybervaroituksissa harvoin.

Sama ryhmä iski Alankomaiden poliisiin

Laundry Bear ei ole uusi tuttavuus. Hollannin tiedustelupalvelut nimesivät ryhmän toukokuussa 2025, ja sen tunnetuin isku kohdistui Alankomaiden poliisiin.

Microsoft seuraa samaa toimijaa nimellä Void Blizzard, kertoo uutissivusto The Record. Sama sivusto huomauttaa, että kyseessä on eri ryhmä kuin tunnetumpi Fancy Bear.

Kansainvälinen varoitus koskee Zimbra Collaboration -sähköpostiohjelmiston käyttäjiä, sillä ryhmä on hyödyntänyt ohjelmiston haavoittuvuutta murtautumisissaan. Korjaus haavoittuvuuteen on jo olemassa, joten päivittämättömät järjestelmät ovat nyt suurimmassa vaarassa.

Uutissivusto BleepingComputer kertoo, että murretuista järjestelmistä on viety viimeisten 90 päivän sähköpostit, osoitekirjat, salasanoja ja kaksivaiheisen tunnistautumisen tunnisteita. Pelkät osoitekirjatkin kelpaavat vakoojalle, sillä niistä rakennetaan seuraavan kalasteluaallon kohdelistat. Varastetut salasanat ja tunnisteet taas pitävät ovet auki senkin jälkeen, kun alkuperäinen aukko on tukittu.

Koskeeko tämä tavallista lukijaa?

Suoraan kohteena tavallinen kuluttaja ei ole, koska kyse on organisaatioihin kohdistuvasta vakoilusta. Menetelmät ovat silti hyvin tuttuja arkihuijauksista, sillä ryhmä nojaa kalasteluun ja varastettuihin tunnuksiin.

Jos työpaikan sähköposti pyörii Zimbra-pohjaisella järjestelmällä, päivityksistä huolehtiminen on nyt IT-osaston asia. Ohjelmisto on maailmalla melko yleinen etenkin julkishallinnossa ja oppilaitoksissa.

Mittasuhteet kannattaa silti pitää mielessä. Tavallista lukijaa suojaavat samat rutiinit kuin pankkihuijauksiakin vastaan, eli terve epäily, nopea ilmoittaminen ja päivitetyt ohjelmat.

Mitä tehdä

• Suhtaudu epäillen työsähköpostiin tulleisiin kirjautumispyyntöihin ja linkkeihin, vaikka viesti näyttäisi tulevan tutulta organisaatiolta.
• Ilmoita epäilyttävät viestit heti työpaikan IT-tuelle. Valtiollisten ryhmien kalastelu erottuu harvoin arkihuijauksista päällepäin.
• Jos organisaatiosi käyttää Zimbraa, varmista IT-osastolta, että ohjelmisto on päivitetty.
• Organisaatiot voivat ilmoittaa tietoturvaloukkauksista Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.

Tätä artikkelia kirjoitettaessa Supo ei ole kertonut, mihin suomalaisiin organisaatioihin toiminta on kohdistunut tai milloin siihen on puututtu. Myös Yle uutisoi varoituksesta perjantaina ilman yksityiskohtia kohteista.

Yksi asia tiedotteesta silti välittyy. Kun perinteinen vakoilu käy lännessä vaikeaksi, sähköpostilaatikoista tulee tiedustelun etulinjaa. Paluuta vanhaan tuskin nähdään ihan heti. Jää nähtäväksi, kuinka monta samanlaista varoitusta loppukesä vielä tuo.