S-Pankin nimissä kulkee kolme eri huijausviestiä – yksi niistä lainaa Kanta-palvelun nimeä
Neuvo opetella tunnistamaan huijausviesti pettää silloin, kun samasta kampanjasta on liikkeellä kolme eri tarinaa. Pankki havaitsi aallon perjantaina, ja kuluttajamediaan se ehti vasta tiistaina eli vuoden suurimman maksupäivän jälkeen.
Tiivistelmä
S-Pankki sai kahden vuorokauden aikana useita kymmeniä ilmoituksia kalasteluviesteistä, joita lähetetään sen nimissä kolmena eri versiona. Yksi versio väittää kanta.fi-palvelussa odottavan palautuksen ja pyytää pankkitunnuksia. Uhrien määrää tai menetettyjä summia ei ole kerrottu, eivätkä Kyberturvallisuuskeskus tai poliisi ole kommentoineet kampanjaa.
Samaan aikaan on liikkeellä kolme eri tarinaa. Yksi kertoo pankin tehneen tärkeän päivityksen ja vaatii tilin uudelleensynkronointia linkin kautta. Toinen vetoaa tietoturvapäivitykseen ja uusiin suojausominaisuuksiin, joiden vuoksi tiedot pitäisi muka vahvistaa.
Kolmas ei puhu pankkiasioista lainkaan. Se väittää, että kanta.fi-palvelussa odottaa palautus, ja pyytää sitä varten pankkitunnukset.
Kaikkien kolmen lähettäjäksi on merkitty S-Pankki. Ilmoituksia näistä viesteistä kertyi pankille useita kymmeniä kahden vuorokauden aikana, ja havainnoistaan pankki kertoi tiedotteessaan perjantaina 31. heinäkuuta kello 14.45.
Jouni Määttä, S-Pankin senior kehityspäällikkö, vastaa talousrikollisuuden torjunnasta pankissa. Kampanjan logiikan Määttä tiivistää lyhyesti.
– Vaikka huijausviestien sisältö vaihtelee, niiden tavoite on sama: saada asiakas kirjautumaan linkin kautta rikollisten ylläpitämälle sivustolle, Määttä sanoo.
Yhden viestin tunnistaminen ei riitä
Tavallisin neuvo kuuluu, että huijausviesti kannattaa opetella tunnistamaan. Neuvo toimii ihan hyvin silloin, kun kampanjassa on yksi viesti ja yksi tarina.
Nyt tilanne on toinen.
Se, joka on lukenut varoituksen uudelleensynkronoinnista, ei ole varautunut Kanta-palvelun palautukseen, eikä tietoturvapäivityksestä varoitettu tunnista kumpaakaan muuta.
Yhteistä kaikille kolmelle on oikeastaan vain rakenne. Viesti antaa syyn kiirehtiä, tarjoaa linkin ja odottaa, että vastaanottaja kirjautuu sen kautta.
Kanta-versio menee kolmikosta kauimmas pankin omasta maailmasta. Terveystietojen palvelu ei maksa kenellekään palautuksia eikä käsittele pankkitunnuksia mihinkään tarkoitukseen.
Sama sääntö pätee kaikkiin lähettäjiin, joiden nimeä kalastelussa käytetään. Pankki tai viranomainen ei lähetä viesteissään kirjautumislinkkejä eikä kysele pankkitietoja viestillä, olipa syy miten uskottava tahansa.
Neljä vuorokautta ja vuoden suurin maksupäivä
Pankki julkaisi varoituksensa perjantaina. Kuluttajamediaan asia ehti vasta tiistaina 4. elokuuta, kun Stara kertoi siitä aamulla kello 7.03. Muuta kuluttajamedian uutisointia kampanjasta ei ole löytynyt.
Väliin osui maanantai 3. elokuuta. Verohallinto maksoi silloin veronpalautuksia 1,1 miljardia euroa yli kahdelle miljoonalle saajalle.
Koko viikko on rahaliikenteeltään poikkeuksellisen vilkas. Verohallinto kerää jäännösveroa noin 340 000 ihmiseltä yhteensä 260 miljoonaa euroa, ja kiinteistöveron eräpäivä on tätä artikkelia kirjoitettaessa huomenna 6. elokuuta. Kiinteistöveroa Verohallinto perii lähes kahdelta miljoonalta ihmiseltä yhteensä 440 miljoonaa euroa.
Pankin nimissä tullut viesti ei siis erotu tällä viikolla joukosta samalla tavalla kuin hiljaisempana ajankohtana. Moni odottaa oikeasti rahaa tilille tai on juuri maksamassa laskua.
Neljä vuorokautta on tällaisella viikolla pitkä aika.
Varoitus oli olemassa koko sen ajan, mutta se oli luettavissa lähinnä pankin omasta tiedotteesta ja tiedotepalvelusta.
Mitä kampanjasta ei tiedetä
Uhrien määrää ei ole kerrottu. Menetettyjä euroja ei myöskään, eikä sitä, kuinka moni ilmoituksen tehneistä ehti antaa tunnuksensa rikollisille.
Tiedotteesta ei käy ilmi edes se, kulkevatko viestit tekstiviesteinä vai sähköposteina. Pankki puhuu vain kalasteluviesteistä.
Kyberturvallisuuskeskus ei ole kommentoinut tätä kampanjaa, eikä sitä ole kommentoinut poliisikaan.
Kaikki kampanjasta julkaistu tieto on siis toistaiseksi pankin omaa. Ainoa julkaistu määrä on se useiden kymmenien ilmoitusten joukko, jonka pankki kirjasi kahden ensimmäisen vuorokauden aikana.
Tunnistusmerkit
- Viesti pyytää kirjautumaan pankkiin linkin kautta. Pankki ei tee näin missään tilanteessa.
- Kanta-palvelu mainitaan rahan tai pankkitunnusten yhteydessä. Terveystietojen palvelu ei tee kumpaakaan.
- Syyksi ilmoitetaan järjestelmäpäivitys, tilin uudelleensynkronointi tai uudet suojausominaisuudet.
- Tiedot on vahvistettava heti. Kiire on kaikissa kolmessa versiossa sama elementti.
Mitä tehdä
- Älä kirjaudu pankkiin viestin linkistä. Avaa S-mobiili tai kirjoita pankin osoite itse selaimeen.
- Pidä mielessä, ettei Kanta-palvelu maksa palautuksia eikä sillä ole mitään tekemistä pankkitunnusten kanssa. Tämä on koko kampanjan vahvin yksittäinen tunnistusmerkki.
- Ilmoita havainnostasi pankille osoitteeseen [email protected].
- Tee rikosilmoitus poliisi.fi-palvelussa, jos olet menettänyt rahaa.
- Ilmoita kalasteluviestistä Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
- Jos ehdit antaa tunnuksesi, soita heti pankkiin.
Perjantain tiedotetta ei ole täydennetty. Mikään ei myöskään estä neljättä versiota samasta kampanjasta, eikä sitä tunnistaisi kolmen aiemman varoituksen perusteella.