Huijausviestit ja huijauspuhelut: paketit, pankkitunnukset, ”pankki”, ”poliisi” ja ”Hei äiti”

Huijausviestit toimivat, koska ne muistuttavat sitä, mitä saat joka päivä: ilmoitusta paketista, maksusta, pankin varoitusta tai viestiä lapseltasi. Ansa on linkki, koodi tai maksu: linkki vie aidon sivuston tarkkaan kopioon, joka pyytää ”pientä maksua”, korttitietojasi tai pankkitunnuksiasi. Finanssialan mukaan suomalaisilta yritettiin huijata 148 miljoonaa euroa vuonna 2025, ja eniten rahaa vietiin kalasteluhuijauksissa: 53,1 miljoonaa euroa.

Mitä viranomaiset ja yritykset tekevät ja mitä ne eivät koskaan tee?

• Poliisi ei koskaan pyydä rahaa, verkkopankkitunnuksia tai henkilötietoja puhelussa tai viestissä. Jos puhelu tai viesti herättää pienenkin epäilyn, lopeta puhelu äläkä vastaa viestiin, poliisi neuvoo.
• Pankki ei koskaan pyydä verkkopankkitunnuksia tai salasanaa puhelimessa tai viestillä, eikä mitään ”pankin turvatiliä” ole olemassa, kirjoittaa Finanssiala. Traficomin mukaan pankki ei pyydä puhelimitse myöskään tunnuslukuja, maksukortin turvalukua tai tunnistautumisen vahvistuskoodeja.
• Kela tai OmaKela ei lähetä kirjautumista vaativia linkkejä tekstiviestillä tai sähköpostilla, eikä Kela koskaan pyydä henkilötunnusta, pankkitunnuksia tai muita arkaluonteisia tietoja sähköpostitse tai tekstiviestillä.
• Verohallinnon tekstiviesteissä ei ole koskaan linkkejä, eikä Verohallinto pyydä tekstiviestillä henkilökohtaisia tietoja, kuten verkkopankkitunnuksia, tilitietoja tai henkilötunnusta. Lähettäjän nimi on aina Vero, Skatt, VeroSkatt tai Vero Skatt.
• Posti ei lähetä linkkiä tullauksen tai käsittelymaksun maksamista varten eikä lähetä sovellustiedostoa suoraan asiakkaalle: OmaPosti-sovellus ladataan vain sovelluskaupasta.
• Mobiilivarmennepalvelu ei lähetä tunnistautumispyyntöä yllättäen, joten sellainen pyyntö on poliisin mukaan aina huijaus.

Näin yleisimmät huijaukset toimivat

• Paketti ja maksu: viesti odottavasta paketista, puuttuvasta maksusta tai viivästyneestä toimituksesta. Traficomin mukaan tavoitteena on saada sinut avaamaan linkki ja luovuttamaan tietoja tai asentamaan haitallinen sovellus, ja huijaus voi esiintyä minkä tahansa kuljetusyrityksen nimissä.
• ”Turvatili”: soittaja esittäytyy pankin tai poliisin edustajaksi, kertoo rahojesi olevan vaarassa ja pyytää tunnuksiasi tai siirtämään rahat ”turvaan”. Poliisin mukaan pankki, poliisi tai kukaan muukaan laillinen toimija ei soita ja pyydä pankkitunnuksiasi tai siirtämään varojasi turvatilille. Traficom varoittaa, että huijarit voivat väärentää puhelinnumeron näyttämään siltä, että puhelu tulee pankilta tai viranomaiselta.
• Pankkitunnukset ja mobiilivarmenne: viesti, joka pyytää kirjautumaan linkin kautta tai hyväksymään tunnistautumisen, jota et itse aloittanut. Poliisi varoittaa, että myös monen viranomaisen nimissä lähetetään viestejä, joilla yritetään saada sinut kirjautumaan pankkitunnuksilla väärennetylle sivustolle.
• ”Hei äiti”: ”lapsi” kertoo uudesta numerosta, pyytää jatkamaan keskustelua WhatsAppissa ja maksamaan laskuja, koska puhelin on hajonnut. Helsingin poliisin tutkimassa sarjassa syksyllä 2023 viestejä lähetettiin yli 13 000 ja huijattiin noin 67 000 euroa. Poliisi neuvoo varmistamaan asian soittamalla läheisen aiempaan numeroon.
• Etäyhteys: soittaja pyytää asentamaan ohjelman, jolla hän pääsee laitteeseesi. Traficom neuvoo: älä asenna etähallintaohjelmaa tuntemattoman soittajan pyynnöstä, äläkä kirjaudu verkkopankkiin, jos tuntemattomalla on etäyhteys laitteeseesi.

Näin tarkistat viestin painamatta linkkiä

1. Älä paina linkkiä, älä vastaa äläkä soita viestissä olevaan numeroon.
2. Avaa itse pankin, kuljetusyrityksen tai viranomaisen virallinen sovellus tai sivusto kirjoittamalla osoite selaimeen ja katso, löytyykö asia sieltä. Kela neuvoo kirjoittamaan osoitteen kela.fi itse eikä käyttämään hakukoneiden linkkejä.
3. Tarkista verkkosivun osoite: Traficomin mukaan huijaussivu voi näyttää aidolta, mutta sen osoite on jokin muu kuin palvelun virallinen osoite.
4. Muista, että tuttu lähettäjä ei yksin todista mitään. Traficomin määräyksen mukaan organisaatioiden on hyväksytettävä tekstiviestien lähettäjätunnukset etukäteen, mutta Postin mukaan huijausviesti voi silti tulla samaan viestiketjuun kuin aidot saapumisilmoitukset. Pelkkä yrityksen nimi tai tuttu logo ei kerro, että viesti on aito, Traficom muistuttaa.
5. Epäilyttävässä puhelussa: lopeta puhelu ja ota itse yhteyttä pankkiisi sen virallisen asiakaspalvelun kautta.
6. Ilmoita viestistä yritykselle, jonka nimissä se tuli: esimerkiksi Kelan nimissä tulleesta epäilyttävästä viestistä voi ilmoittaa osoitteeseen [email protected].

Mitä teet, jos painoit linkkiä tai annoit tietojasi?

1. Ota heti yhteyttä omaan pankkiisi. Traficomin mukaan pankki voi parhaassa tapauksessa vielä pysäyttää rahansiirrot; pyydä tarvittaessa sulkemaan tunnukset tai maksukortti.
2. Jos annoit salasanan, vaihda se heti, myös muissa palveluissa, joissa käytät samaa salasanaa, ja ota käyttöön monivaiheinen tunnistautuminen.
3. Jos asensit sovelluksen, irrota laite verkosta ja poista sovellus. Jos et pysty varmistamaan laitteen turvallisuutta, Traficom neuvoo palauttamaan laitteen tehdasasetuksiin.
4. Tee rikosilmoitus poliisille. Poliisi suosittelee kiireettömissä tilanteissa rikosilmoitusta ensisijaisesti sähköisesti; hätätilanteessa soita 112.
5. Voit ilmoittaa huijauksesta myös Kyberturvallisuuskeskukselle verkkolomakkeella: ilmoittamalla autat muita ja saat neuvoja omaan tilanteeseesi. Rikosuhripäivystys (RIKU) antaa neuvoja ja keskusteluapua myös nettihuijausten uhreille.

Auttaako virustorjunta?

Osittain. Jotkin paketit tarkistavat linkkejä ja viestejä puhelimessa, ja Google Play Protect voi estää todentamattoman sovelluksen asentamisen. Se on hyödyllinen turvaverkko varsinkin perheenjäsenille, jotka eivät ole tottuneet puhelimen käyttöön. Mikään ei kuitenkaan korvaa tapaa tarkistaa asia ensin virallisesta sovelluksesta. Pankit tekevät myös omaa torjuntatyötään: Finanssialan mukaan ne estivät tai palauttivat vuonna 2025 yhteensä 75,5 miljoonaa euroa huijattuja maksuja.

Huijaus ei ole viesti vaan linkki, koodi ja siirto. Mene aina itse virallista kanavaa pitkin.