Microsoft 365 -tilimurrot kiihtyivät ennätykseen syyskuussa
Syyskuu rikkoi elokuun ennätyksen Microsoft 365 -tilimurtoilmoituksissa, mutta tarkkaa lukua viranomainen ei kerro.
Tiivistelmä
Kyberturvallisuuskeskus kertoo syyskuun 2026 olleen ennätyksellinen Microsoft 365 -tilimurtoilmoitusten määrässä, jo kolmatta kuukautta peräkkäin kasvussa. Tarkkaa lukua ei julkaistu, mutta keskuksen oma kybersää-katsaus vahvistaa murtojen lisääntyneen jyrkästi syyskuun jälkipuoliskolla. Laitekoodikalastelu pysyy ilmiön ytimessä, eikä kaksivaiheinen tunnistautuminen yksin riitä pysäyttämään sitä.
Microsoft 365 -tilimurtoilmoituksia kertyi syyskuussa enemmän kuin minään muuna kuukautena tähän mennessä.
Kyberturvallisuuskeskus kertoo asiasta viikkokatsauksessaan 16.10., joka kattaa raportointijakson 9.–15.10.2026. Tarkkaa määrää keskus ei kuitenkaan julkista.
Ennätys on jo kolmas peräkkäinen. Toukokuussa keskus vahvisti tekoälyavusteisen laitekoodikalastelun iskeneen suomalaisiin organisaatioihin, ja elokuu nousi vuoden ennätykseen. Roni Kokkola, Kyberturvallisuuskeskuksen asiantuntija, kertoi ePressin välityksellä 4.9.:
– Elokuussa Traficomin Kyberturvallisuuskeskukselle ilmoitettiin eniten Microsoft 365-tilimurtoja tämän vuoden aikana.
Syyskuu ylitti sittemmin tämänkin.
Keskuksen syyskuun kybersää-katsaus, joka julkaistiin 15.10., tukee viikkokatsauksen havaintoa. M365-murrot lisääntyivät sen mukaan jyrkästi syyskuun jälkipuoliskolla. Keskus käsitteli syyskuussa kaikkiaan 1 320 ilmoitusta, 1,5 prosenttia yli 12 kuukauden keskiarvon – luku kattaa koko kuukauden ilmoitusmäärän, ei yksin M365-tapauksia.
Tekniikka on tuttu keskuksen aiemmista viikkokatsauksista: rikollinen houkuttelee käyttäjän syöttämään Microsoftin laitekoodin, jolloin hyökkääjän laite jää kirjautuneena tilille salasanan vaihdon jälkeenkin, eikä kaksivaiheinen tunnistautuminenkaan tätä pysäytä.
Epäilyttävä kalenterikutsu tai yllättävä tiedostolinkki, joka pyytää syöttämään koodin, on syytä sulkea avaamatta.
Kyberturvallisuuskeskus ei erittele viikkokatsauksessaan, kuinka suuri osa syyskuun ilmoituksista koski yrityksiä ja kuinka suuri osa yksityishenkilöitä. Toukokuusta lähtien toistunut kuvio on silti sama: hyökkäys kohdistuu usein työsähköpostiin, ja yksi onnistunut laitekoodin syöttö riittää avaamaan pääsyn koko tilille ilman, että salasana vuotaa missään vaiheessa.
Mitä tehdä
Jos epäilet syöttäneesi tunnuksia tai laitekoodin epäilyttävään kirjautumiseen, vaihda salasana välittömästi ja ilmoita asiasta organisaatiosi IT- tai tietoturvatiimille. Seuraa kirjautumisia tuntemattomilta laitteilta tai sijainneista, uusia sähköpostin ohjaussääntöjä ja yllättäviä MFA-uudelleenrekisteröintipyyntöjä. Yritykset voivat pienentää riskiä rajaamalla laitekoodikirjautumisen ehdollisen käytön säännöillä niin, että sitä ei tarvita tavallisessa arjessa. Murron jälkeen kannattaa tarkistaa myös OneDrive- ja SharePoint-jakojen oikeudet, joihin hyökkääjä on voinut lisätä itsensä. Taloudellisten vahinkojen tapauksessa yhteys omaan pankkiin ja tarvittaessa Rikosuhripäivystykseen numerossa 116 006 kannattaa ottaa viipymättä. Kyberturvallisuuskeskukselle tehty ilmoitus osoitteessa ilmoita.kyberturvallisuuskeskus.fi auttaa viranomaista seuraamaan käynnissä olevia kampanjoita.
Lähteet
- Kyberturvallisuuskeskuksen viikkokatsaus 42/2026 (16.10.2026)
- Kyberturvallisuuskeskus, Kybersää syyskuu 2026 (15.10.2026)
- ePressi, Microsoft 365 -tilimurrot lisääntyivät elokuussa (04.09.2026)