Laitekoodikalastelu kaappaa Microsoft 365 -tilin ilman salasanaa – Kyberturvallisuuskeskus julkaisi torjuntaohjeen
Uhri syöttää itse aidon Microsoft-kirjautumiskoodin hyökkääjän laitteelle, eikä pysyvän pääsyn saamiseen tarvita salasanaa lainkaan.
Tiivistelmä
Kyberturvallisuuskeskus julkaisi 3. syyskuuta kattavan torjuntaohjeen Microsoft 365 -tilikaappauksiin, jotka etenevät kalastelusta täyteen laskutuspetokseen. Ohje kokoaa yhteen kaksi eri tekniikkaa, väärennetyt kirjautumissivut ja laitekoodikalastelun, sekä kuvaa, miten hyökkääjä piilottaa jälkensä postilaatikon suodattimiin ja kaappaa uhrin yhteystiedot. Kyseessä ei ole uuden uhan paljastus, vaan jatko-ohje toukokuussa annettuun varoitukseen.
Ei salasanaa, ei vahvistuskoodia, ei mitään näkyvää hälytysmerkkiä.
Uhri vain kirjoittaa numerosarjan aidolle Microsoftin sivulle, ja hyökkääjän laite jää tilille pysyvästi.
Kyberturvallisuuskeskus julkaisi 3. syyskuuta ohjeen, joka kokoaa yhteen kaksi Microsoft 365 -tilejä uhkaavaa kalastelutekniikkaa ja kertoo, miten hyökkäysketju katkaistaan ennen kuin se etenee laskutuspetokseksi.
Ensimmäinen tekniikka on tuttu: väärennetty kirjautumissivu, joka jäljittelee Microsoftin ulkoasua. Kyberturvallisuuskeskus muistuttaa, ettei ulkoasuun voi luottaa, sillä ainoa luotettava tunnistusmerkki on osoiterivin virheellinen verkko-osoite.
Toinen tekniikka on harvinaisempi ja vaarallisempi.
Siinä hyökkääjä generoi Microsoftilta oikean, aidon laitteen kirjautumiskoodin ja huijaa uhrin syöttämään sen Microsoftin omalle laitekirjautumissivulle esimerkiksi kiireelliseksi väitetyn asiakirjan tai Teams-kalenterikutsun varjolla.
Houkutin on tavallisesti arkinen. Viesti väittää, että kollega on jakanut kiireellisen tiedoston, tai kalenterikutsu pyytää liittymään palaveriin, jonka avaaminen vaatii ensin koodin syöttämistä. Kumpikaan ei muistuta perinteistä kalasteluviestiä, koska sivu, jolle koodi syötetään, on aidosti Microsoftin oma.
Laitekoodikalastelu (device code phishing)
Hyökkääjä luo Microsoftilta aidon laitteen kirjautumiskoodin ja huijaa uhrin syöttämään sen. Syöttö linkittää hyökkääjän laitteen pysyvästi uhrin tilille, eikä salasanaa tai vahvistuskoodia tarvita missään vaiheessa, toisin kuin tavallisessa kalastelussa.
Pääsy jää voimaan, kunnes joku huomaa laitteen tililtä ja poistaa sen käsin.
Uhri ei näe koko ketjun aikana yhtään tavanomaista hälytystä, koska mikään ei epäonnistu hänen näkökulmastaan.
Kyberturvallisuuskeskus mainitsee ohjeessaan myös AiTM-tekniikan (adversary-in-the-middle), jossa hyökkääjä välittää käyttäjätunnuksen, salasanan ja istuntoevästeen reaaliajassa aidon kirjautumisen läpi, jolloin tavanomainen kaksivaiheinen tunnistautuminen ei enää suojaa tiliä. Huijausvahti kertoi vastaavasta istuntoevästeiden kaappauksesta viime viikolla NovaCookies-kalastelupalvelun yhteydessä. Laitekoodikalastelu on tästä erillinen mekanismi, sillä se ei koskaan kosketa mitään vahvistuskoodia, vaan rekisteröi kokonaan uuden laitteen tilille.
Tekniikka ei ole uusi. Kyberturvallisuuskeskus varoitti siitä Suomessa jo 21. toukokuuta 2026 julkaisemassaan tiedotteessa uudesta M365-kalasteluaallosta, ja kansainvälisesti juuret ulottuvat Microsoftin oman tutkimuksen kuvaamaan Storm-2372-ryhmään, josta yhtiö kertoi helmikuussa 2025.
Yhdysvaltain liittovaltion poliisin IC3 varoitti niin ikään 21. toukokuuta 2026 julkaisemassaan tiedotteessa Kali365-nimisestä rikollistyökalusta, joka automatisoi laitekoodikalastelua. The Hacker News uutisoi 25. maaliskuuta 2026 yli 340 organisaatiota koskeneesta kampanjasta Cloud Security Alliancen tutkimukseen viitaten. Syyskuun 3. päivän ohje on siis jatko-ohje aiempaan varoitukseen, ei uuden tekniikan paljastus.
Tilin haltuunoton jälkeen hyökkääjä etsii postilaatikosta lasku- ja maksuviestiketjuja, muuttaa laskujen tilinumeroita ja kiirehtii maksupyyntöjä. Samalla hyökkääjä luo piilotettuja sääntöjä, jotka ohjaavat vastaukset pois näkyvistä. Kyberturvallisuuskeskus kertoo, että rikolliset ovat hyödyntäneet erityisesti RSS-syötteet-, Arkisto- ja Poistetut-kansioita jälkien piilottamiseen.
Lopuksi hyökkääjä lähettää uusia kalasteluviestejä uhrin yhteystiedoille, joskus vastaamalla uusille uhreille alkuperäisen tilinhaltijan roolissa. Kyberturvallisuuskeskus toteaa, että tekoäly on nopeuttanut tätä automaatiota, viestien laadintaa, kohteiden analysointia ja lähestymistavan räätälöintiä.
Suomalaisten uhrien määrää ei ole julkaistu.
Kyberturvallisuuskeskus kertoo vain saaneensa ilmoituksia asiasta.
Microsoft 365 on käytössä valtaosassa suomalaisia yrityksiä ja julkishallinnon organisaatioita, mikä tekee tilistä houkuttelevan kohteen sekä laskutuspetokselle että jatkokalastelulle. Yksi kaapattu tili riittää käynnistämään ketjun, joka etenee tuntemattomana taustalla, kunnes joku huomaa laskulla väärän tilinumeron tai epäilyttävän edelleenlähetyssäännön.
Tunnistusmerkit
- Osoiterivi ei täsmää Microsoftin oikeaan verkko-osoitteeseen, vaikka sivun ulkoasu näyttäisi aidolta.
- Sinua pyydetään syöttämään laitteen kirjautumiskoodi, jonka väitetään tulevan Microsoftilta tai kollegalta, vaikka et itse aloittanut kirjautumista.
- Kiireelliseksi väitetty asiakirja tai Teams-kalenterikutsu ohjaa avaamaan linkin ja syöttämään koodin heti.
- Postilaatikkoon ilmestyy tuntematon edelleenlähetys- tai suodatinsääntö, erityisesti RSS-syötteet-, Arkisto- tai Poistetut-kansioihin liittyen.
Mitä tehdä
Älä koskaan syötä laitteen kirjautumiskoodia, jonka "Microsoft" tai kollega on pyytänyt sinua syöttämään, ellet itse aloittanut kyseistä kirjautumista. Suhtaudu kiireelliseen tiedostonavauspyyntöön kalenterikutsun tai chat-viestin kautta varauksella.
Pienten yritysten IT-vastuullisten kannattaa kysyä Microsoft 365 -palveluntarjoajalta, voiko Device Code Flow -kirjautumisen estää ehdollisen käyttöoikeuden asetuksilla, jos yritys ei sitä käytä. Ota myös käyttöön kirjautumishälytykset.
Jos tilin haltuunottoa epäillään, tarkista postilaatikon säännöt ja erityisesti RSS-syötteet-, Arkisto- ja Poistetut-kansiot piilotettujen edelleenlähetyssääntöjen varalta.
Tapahtuma kannattaa ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi. Jos kyseessä on henkilötietojen tietomurto, joka ylittää ilmoituskynnyksen, siitä on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa tietosuoja.fi-palvelun kautta. Rahallisesta vahingosta tehdään rikosilmoitus poliisi.fi-palvelussa.
Lähteet
- Kyberturvallisuuskeskus (03.09.2026)
- Microsoft Security Blog (13.02.2025)
- FBI Internet Crime Complaint Center (IC3) (21.05.2026)
- The Hacker News (25.03.2026)