DocuSign-nimissä lähetetyt kalasteluviestit yleistyvät Suomessa – Kilpi-sovellus havaitsi uuden aallon
Sähköinen allekirjoituspyyntö herättää harvoin epäilyjä, koska se tuntuu tavalliselta työviestiltä. Juuri se tekee DocuSignin nimissä lähetetyistä kalasteluviesteistä tehokkaita, ja kaksi suomalaista lähdettä on nyt havainnut ilmiön toisistaan riippumatta.
Tiivistelmä
Kilpi-sovelluksen tietokanta on paljastanut uuden kalasteluaallon, jossa rikolliset esiintyvät e-allekirjoituspalvelu DocuSignina. Kyberturvallisuuskeskus varoitti samasta brändin väärinkäytöstä jo aiemmin elokuussa, ja ilmiö on osa laajempaa kansainvälistä nousua.
Aihe on sähköpostissa tuttu jokaiselle toimistotyöläiselle: "ACTION REQUIRED: Complete via DocuSign." Viestissä on painike "REVIEW DOCUMENT" ja väite, että vastaanottajaa odottaa allekirjoitettava asiakirja. Kilpi-sovelluksen ylläpitäjä Suomen Telemarkkinointiliitto ry kertoo tunnistaneensa uuden kalasteluaallon, jossa huijarit esiintyvät nimenomaan e-allekirjoituspalvelu DocuSignina.
Kilpi on kuluttajien itse syöttämiin havaintoihin perustuva huijausraportointisovellus. Sen tietokanta kerää tiedot suoraan käyttäjiltä ja toimii siksi ajantasaisena mittarina sille, mitkä huijaustyypit ovat Suomessa juuri nyt liikkeellä.
Suomen Telemarkkinointiliitto ry ei julkistanut tiedotteessaan tarkkoja ilmoitusmääriä tai euromääräisiä menetyksiä. Aallon laajuutta ei siis voi vielä mitata numeroin, mutta ilmiö on liiton mukaan selvästi tunnistettavissa.
Arkisuus on koko juoni
Arto Isokoski, Suomen Telemarkkinointiliitto ry:n perustaja, sanoo, että viestin arkisuus on juuri se piirre, joka madaltaa uhrin varuillaan oloa.
– Sähköinen allekirjoituspyyntö on monelle täysin arkinen viesti, joten sen avaamista ei välttämättä tule samalla tavalla epäiltyä kuin esimerkiksi poikkeuksellista maksupyyntöä, Isokoski sanoo.
Poikkeuksellinen maksupyyntö saa vastaanottajan pysähtymään. Rutiininomainen allekirjoituspyyntö ei oikeastaan saa, ja rikolliset ovat tämän oppineet.
Moni suomalainen työntekijä käsittelee sähköisiä allekirjoituksia viikoittain, olipa kyse sitten työsopimuksesta, tarjouksesta tai toimitussopimuksesta. Kun viesti näyttää tulevan tutulta palvelulta ja pyyntö vaikuttaa arkiselta, kynnys klikata painiketta madaltuu huomattavasti.
– Kilpi-sovelluksen tietokannasta näemme nopeasti, millaiset huijausmallit ovat juuri nyt aktiivisia. Tällä hetkellä DocuSignin nimissä lähetetyt viestit ovat yksi selvästi esiin nousevista huijaustyypeistä, Isokoski toteaa.
Kaksi lähdettä, sama brändi
Kilpin havainto ei ole ainoa laatuaan. Kyberturvallisuuskeskus varoitti jo 9.8.2026 kesälomien jälkeisestä kalastelupiikistä. Se nimesi tuolloin erikseen DocuSign- ja SharePoint-brändätyt väärennetyt PDF-tiedostot, joita käytetään Microsoft 365 -tunnusten varastamiseen.
Kyse ei ole samasta kampanjasta, vaan kahdesta toisistaan riippumattomasta suomalaisesta lähteestä, jotka ovat päätyneet samaan havaintoon lähes samaan aikaan. Kun kaksi eri aineistoa nostaa esiin saman brändin viikkojen sisällä toisistaan, kyse tuskin on ihan sattumasta.
Kyberturvallisuuskeskus liitti oman havaintonsa nimenomaan kesälomakauden jälkeiseen ruuhkaan. Sähköpostilaatikkoon kertyy lomien jälkeen paljon lukematonta postia, jolloin yksittäinen kalasteluviesti hukkuu helpommin joukkoon eikä saa tavallista tarkempaa silmäystä.
Ilmiö ei rajoitu Suomeen. Mobiili.fi kertoo, että kansainvälinen Anti-Phishing Working Group -järjestö kirjasi kesäkuussa 2026 yli 40 000 DocuSignia ja muita e-allekirjoituspalveluja jäljittelevää kalasteluviestiä. Ne lähetettiin yli 6 000 organisaatiolle kahden viikon kampanjassa. Muiden analyysien mukaan DocuSign-jäljittely muodostaa noin 13,8–20 prosenttia yritysten sähköpostisuojauksen ohittavista kalasteluhyökkäyksistä, mikä tekee siitä yhden maailman yleisimmistä sähköpostiuhista vuonna 2026.
Luvut kuvaavat kansainvälistä tilannetta, mutta samat viestipohjat kiertävät myös suomalaisiin postilaatikoihin. Microsoft 365 on suomalaisissa yrityksissä laajasti käytössä, ja juuri se tekee DocuSign- ja SharePoint-jäljittelystä toimivan tavan päästä käsiksi työsähköpostien tunnuksiin.
Muut Kilpin havainnot
Samasta tietokannasta löytyy myös jatkuvia viranomaisen naamioon pukeutuvia viestejä. Niissä lähettäjän nimessä on korvattu kirjaimia samannäköisillä kreikkalaisilla tai kyrillisillä merkeillä roskapostisuodattimien harhauttamiseksi, esimerkkeinä "OmαVero" ja "sᴜσmi.fi". Lisäksi Elisa-brändiä hyödyntävä huijaus jatkuu edelleen: viesteissä uhataan palvelun katkaisemisella, jotta vastaanottaja päivittäisi maksutietonsa väitetylle huijaussivustolle.
Tunnistusmerkit
- Lähettäjän osoite ei vastaa DocuSignin virallista verkkotunnusta, vaikka näyttönimi väittäisi muuta.
- "REVIEW DOCUMENT" -painikkeen todellinen kohdeosoite näkyy hiiren viemisellä painikkeen päälle, ja se poikkeaa painikkeen tekstistä.
- Viesti vaatii kirjautumaan tai syöttämään tunnuksia sähköpostissa olevan linkin kautta. DocuSign ei koskaan pyydä kirjautumistietoja tällä tavalla.
- Lähettäjän näyttönimessä on tavallisista latinalaisista kirjaimista poikkeavia merkkejä, kuten kreikkalaisia tai kyrillisiä kirjaimia.
Mitä tehdä
- Suhtaudu odottamattomaan allekirjoituspyyntöön samalla varauksella kuin poikkeukselliseen maksupyyntöön, vaikka viesti vaikuttaisi rutiininomaiselta.
- Tarkista lähettäjän todellinen verkkotunnus ennen linkin avaamista, äläkä luota pelkkään näyttönimeen.
- Tarkista epäilyttävä viesti tai numero maksutta osoitteessa telemarkkinointikielto.fi tai Kilpi-sovelluksessa.
- Ilmoita kalasteluviestistä Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
- Jos epäilet joutuneesi rikoksen uhriksi, tee ilmoitus poliisi.fi-palvelun nettivinkki-toiminnolla.
Jää nähtäväksi, kuinka pitkään DocuSign pysyy huijareiden suosiossa, mutta kansainvälinen aineisto ei ennakoi ilmiön hiipumista lähiaikoina.
Lähteet
- Suomen Telemarkkinointiliitto ry / STT Info (18.08.2026)
- Kyberturvallisuuskeskus (09.08.2026)
- Mobiili.fi (18.08.2026)