Soittaja lupaa auttaa pääsyavaimen käyttöönotossa – ja valitsee tarkoituksella työntekijän oman puhelimen
Tekosyynä ei ole uhkaus eikä palkinto vaan juuri se tietoturvatoimi, jota työnantajat itse hoputtavat. Yksityisnumeroon soitettu puhelu ei myöskään näy yrityksen suodattimissa eikä lokeissa.
Tiivistelmä
Google Threat Intelligence Group kuvaa kampanjan, jossa soittaja esiintyy oman työpaikan IT-tukena ja opastaa työntekijän ottamaan käyttöön FIDO2-pääsyavaimen valesivustolla. Välityspalvelin nappaa salasanan ja välittää monivaiheisen tunnistautumisen haasteen reaaliajassa, joten oikea koodi ei pysäytä murtoa. Puhelu soitetaan tarkoituksella työntekijän omaan kännykkään, jonne työnantajan valvonta ei ulotu.
Puhelin soi, eikä se ole työpuhelin. Soitto tulee työntekijän omaan kännykkään, ja näytöllä näkyy silti oman työpaikan tukipalvelun oikea numero.
Soittaja sanoo olevansa IT-tuesta. Käynnissä on kiireellinen ja pakollinen tietoturvamuutos, ja kaikille pitää nyt ottaa käyttöön FIDO2-pääsyavain. Hän auttaa siinä saman tien.
Tekosyy on ihan se sama asia, jota tietoturvaväki on hoputtanut vuosia. Kampanjan kuvasi alkukuusta Google Threat Intelligence Group, joka seuraa tekijää tunnuksella UNC6671.
Numerovalinta ei ole sattumaa. Yksityiseen kännykkään soitettu puhelu jää työnantajan puhelusuodatuksen, lokien ja laitehallinnan ulottumattomiin.
– Työntekijöiden tavoittaminen henkilökohtaisiin puhelinnumeroihin kiertää yrityksen tietoturvakontrollit, Google Threat Intelligence Group kirjoittaa raportissaan.
Oikea koodi ei riitä
Uhri ohjataan verkkotunnukseen, jossa on sekä yrityksen nimi että sana passkey. Raportoitu muoto on [yritys].createssopasskey.com, ja käytössä on ollut myös addssopasskey.com.
Sivusto on välityspalvelin. Se nappaa salasanan ja välittää monivaiheisen tunnistautumisen haasteen reaaliajassa aitoon palveluun, jolloin voimassa oleva istuntoeväste jää hyökkääjälle.
Hyväksymispyyntöjä ei pommiteta eikä koodia kysytä kahdesti. Oikein toiminut tunnistautuminen ei pysäytä hyökkäystä.
AiTM (adversary-in-the-middle)
Hyökkääjän palvelin istuu uhrin ja aidon kirjautumissivun välissä ja välittää liikenteen molempiin suuntiin. Uhri syöttää oikean koodin, palvelu hyväksyy sen, ja hyökkääjä nappaa syntyvän istuntoevästeen. Sillä pääsee sisään ilman tunnuksia.
Kryptografia ei petä missään vaiheessa. Viime aikojen tutkimuslöydökset koskevat pääsyavainten toteutuksia, ja pääsyavain on yhä selvästi salasanaa turvallisempi. Rikkinäinen kohta on käyttöönotto.
Hälytykset katoavat postilaatikosta
Istunnon kaapattuaan hyökkääjä rekisteröi tilille oman tunnistautumislaitteensa ja poistaa uhrin oman. Sen jälkeen postilaatikosta siivotaan salasanan vaihtoa ja tietoturvahälytyksiä koskevat viestit, joten kukaan ei oikeastaan huomaa mitään.
Microsoft 365 ja SharePoint aukeavat, ja Okta-kirjautumisen kautta myös siihen kytketyt palvelut. Tiedostoja ladataan skriptillä massana.
Kalasteluun käytettyjä verkkotunnuksia on löytynyt yli 60, ja kesä–heinäkuussa uusi ilmestyi keskimäärin 1,6 päivän välein. Lunnaita vaaditaan 1–3 miljoonaa dollaria, ja sovinnot syntyvät 50–75 prosenttia alempana. Mediaani on noin 750 000 dollaria.
Kohteina ovat olleet rahoitusala, pääomasijoittajat, hedge-rahastot ja asianajotoimistot, heinäkuusta myös luottoluokittajat. Bitcoineja on jäljitetty 141,65 kappaletta eli noin 10,6 miljoonan dollarin edestä 18 lompakkoon.
Google kertoo UNC6671:n pyörittävän useaa kiristysbrändiä. BlackFile poistui käytöstä toukokuun puolivälissä ja Redact ilmestyi kesäkuun lopulla, ja samalle tekijälle luetaan myös Pink, Helix ja Falcon. Pink on se nimi, jonka Palo Alto Networksin Unit 42 liitti heinäkuussa uutisoimaamme pääsyavainten rekisteröintikampanjaan.
Työtapa muistuttaa Scattered Spideria ja ShinyHuntersia. Niitä Google seuraa kuitenkin erillisinä ryhminä tunnuksilla UNC3944 ja UNC6040, eikä vahvistettua yhteyttä ole.
Suomessa ei toistaiseksi raportoitu
Tästä kampanjasta ei ole yhtään suomalaishavaintoa. Kalastelu kulkee englanninkielisten Microsoft 365- ja Okta-ympäristöjen läpi, joten suomalainen työnantaja on altis kielestä riippumatta.
Kyberturvallisuuskeskus varoitti viikkokatsauksessaan 32/2026 lomakauden jälkeisestä kalastelusta ja puhelinhuijauksista sekä Microsoft 365 -tilien kaappauksista. Keskus toistaa, ettei monivaiheinen tunnistautuminen yksin suojaa. Keväällä 2026 se raportoi puheluaallosta, jossa soittaja esiintyi teknisenä tukena.
Tunnistusmerkit
- Kukaan ei soita yksityisnumeroosi ja opasta lisäämään kirjautumistapaa. Ei IT-tuki, ei Microsoft.
- Soittaja ei suostu siirtämään puhelua viralliselle palvelupisteelle.
- Verkkotunnuksessa lukee
passkeytaisso. Lisää merkkejä vishing-oppaassa ja valetuen oppaassa.
Mitä tehdä
Työntekijälle
- Katkaise puhelu. IT ei soita omaan numeroosi pyytämään pääsyavaimen käyttöönottoa eikä koodin lukemista.
- Soita takaisin vain intranetistä tai omista yhteystiedoista löytyvään numeroon, ei koskaan soittajan antamaan.
- Älä syötä tunnuksia verkkotunnukseen, jota et itse kirjoittanut.
- Kerro omalle IT-tuelle heti, vaikka olisit vain klikannut linkkiä.
Työnantajalle
- Kirjaa sääntö näkyviin ja kerro se henkilöstölle. Tunnuksia ja monivaiheista tunnistautumista ei koskaan käsitellä saapuvassa puhelussa.
- Varmista soittajat takaisinsoitolla virallisen palvelupisteen kautta.
- Ota käyttöön kalastelua kestävä tunnistautuminen, kuten FIDO2-avaimet tai Windows Hello, kertakäyttökoodien ja hyväksymispyyntöjen sijaan.
- Hälytä tunnistautumislaitteiden lisäyksistä ja poistoista sekä postilaatikkosäännöistä, jotka poistavat tietoturvahälytyksiä.
- Pidä istunnot lyhyinä.
Kalastelusta voi ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi, myös nimettömänä. Jos rahaa tai tietoja meni, tee rikosilmoitus poliisi.fi-palvelussa.
Verkkotunnusten tahti kertoo, että kampanja on yhä käynnissä. Jää nähtäväksi, ehtiikö puhelu suomenkieliseksi ennen ensimmäistä raportoitua tapausta.