Tietojenkalastelu (phishing): mitä se on, miten sen tunnistaa ja mitä teet, jos painoit linkkiä

Tietojenkalastelun (engl. phishing) tavoitteena on Traficomin määritelmän mukaan saada rikollisten haltuun käyttäjätunnuksia ja salasanoja tai muita arvokkaita tietoja, kuten maksukorttitietoja. Viesti tulee pankin, viranomaisen tai verkkokaupan nimissä ja ohjaa sivulle, joka voi olla täydellinen kopio aidosta. Suomessa tämä on kallis ilmiö: Finanssialan pankeilta keräämien tietojen mukaan kalasteluhuijauksissa yritettiin vuonna 2025 viedä enemmän rahaa kuin missään muussa huijaustyypissä.

Mitä rikolliset kalastelevat?

• Verkkopankkitunnuksia. Kyberturvallisuuskeskuksen mukaan ne ovat rikollisille arvokkaita, koska rahan varastamisen lisäksi niillä voi tunnistautua vahvasti, mikä voi johtaa identiteettivarkauteen.
• Tunnistusvälinettä, ei pelkkiä rahoja. Finanssialan mukaan yksi rikollisten uusimmista keinoista on perustaa kalastelluilla pankkitunnuksilla asiakkuus toiseen pankkiin ja hankkia operaattorilta sekä eSIM että mobiilivarmenne, joilla otetaan pikavippejä ja tehdään osamaksuja.
• Maksukorttitietoja, jotka syötetään väärennetylle maksu- tai varaussivulle.
• Sähköpostitunnuksia. Syyskuussa 2026 Kyberturvallisuuskeskukselle ilmoitettiin ennätyksellinen määrä Microsoft 365 -tilimurtoja, jotka alkavat usein tunnustenkalasteluviestillä. Niin sanotussa laitekoodikalastelussa käyttäjä houkutellaan syöttämään koodi Microsoftin aidolle sivulle, jolloin rikollisen laite liitetään hänen tiliinsä.

Näin tunnistat kalasteluviestin

• Kiire tai uhkaus: tili suljetaan, maksu on myöhässä, toimi heti. Kyberturvallisuuskeskus neuvoo tarkastelemaan viestiä rauhassa ja kriittisesti, koska kalasteluviestit yrittävät saada aikaan kiirettä ja hätääntymistä.
• Linkin osoite ei vastaa palvelun virallista osoitetta. Kalastelusivujen verkkotunnukset poikkeavat yleensä aidosta kirjoitusasultaan tai niissä on lisäsanoja: Traficomin esimerkissä suomi-traficom.fi voi olla huijaussivu, kun oikea on traficom.fi. Tietokoneella näet linkin todellisen osoitteen viemällä hiiren osoittimen linkin päälle klikkaamatta, puhelimessa painamalla linkkiä pitkään.
• Lähettäjä: aidolta näyttävä nimi, mutta outo sähköpostiosoite tai tavallinen puhelinnumero. Tekstiviestin lähettäjätunnuksen voi tarkistaa Traficomin suojattujen SMS Sender ID -tunnusten listasta; tunnuksen suojaus astuu voimaan, kun rekisteröinnistä on kulunut kolme kuukautta.
• Pyyntö kirjautua linkin kautta tai antaa tunnuksia, korttitietoja tai vahvistuskoodeja. Viranomaiset ja pankit eivät koskaan pyydä arkaluonteisia tietojasi tai pankkitunnuksiasi sähköpostilla tai tekstiviestillä.
• QR-koodi, joka vie kirjautumis- tai maksusivulle. Kyberturvallisuuskeskus neuvoo käsittelemään QR-koodia kuin linkkiä, koska sähköpostisuodattimet eivät osaa avata sitä.
• Palkinto tai lahjakortti muutamalla eurolla. KKV:n mukaan kyseessä on lähes varmasti huijaus, ja luvatun palkinnon sijasta sinut sitoutetaan yleensä hintavaan, kuukausittain veloitettavaan palveluun.
• Puhelu, jossa kysytään tunnuksia. Traficomin mukaan pankki ei pyydä puhelimitse verkkopankkitunnuksia, tunnuslukuja, maksukortin turvalukua tai tunnistautumisen vahvistuskoodeja. Lopeta puhelu ja soita itse pankin viralliseen numeroon.

Älä luota ulkoasuun tai kieleen. Tekoäly tekee vakuuttavia käännöksiä, joten kielivirheitä voi olla vaikea löytää, ja viesti voi tulla murretulta tililtä eli oikealta lähettäjältä oikeasta organisaatiosta, varoittaa Kyberturvallisuuskeskus. Selaimen lukkosymboli kertoo vain yhteyden salauksesta, ei sivuston aitoudesta. Lokakuussa 2026 huijausviesteissä käytettiin jopa oikeita majoitusvarausten tietoja.

Ajankohtaisia kalasteluja Suomessa

• Verohallinnon nimissä lähetetty sähköposti väitti verotuksen vahvistuneen; painike vei pankkitunnusten kalastelusivulle (viikkokatsaus 42/2026).
• S-Pankin nimissä lähetetyt tekstiviestit tulivat tavallisesta puhelinnumerosta eikä S-Pankin lähettäjätunnuksesta, ja verkko-osoite paljasti huijauksen (42/2026).
• Huijauksia liikkui myös MobilePayn, Kanta-palvelun ja Digi- ja väestötietoviraston nimissä sekä McAfee-tilauksen uusimisen varjolla (38/2026 ja 42/2026).

Painoitko linkkiä tai annoitko tietosi? Toimi näin

1. Ota heti yhteyttä omaan pankkiisi, jos annoit pankkitunnuksia tai korttitietoja tai hyväksyit maksun. Parhaassa tapauksessa pankki voi vielä pysäyttää rahansiirrot. Kortin voi sulkea myös korttien sulkupalvelussa, joka on auki ympäri vuorokauden numerossa 020 333.
2. Vaihda salasana, jonka kirjoitit huijaussivulle, ja myös kaikkialla, missä käytät samaa salasanaa. Ota käyttöön monivaiheinen tunnistautuminen.
3. Jos laitteellesi latautui tiedosto, katkaise Wi-Fi- tai mobiiliyhteys heti, niin haittaohjelma ei pääse lähettämään tietojasi eteenpäin.
4. Tee rikosilmoitus poliisille. Sen voi tehdä sähköisesti poliisin asiointipalvelussa tai poliisiasemalla.
5. Ilmoita kalastelusta Kyberturvallisuuskeskukselle Ilmoita tietoturvaloukkauksesta -lomakkeella. Ilmoittamalla edistät haitallisen sisällön poistamista internetistä ja autat suojaamaan muita.
6. Varo jatkohuijauksia. Finanssivalvonnan mukaan uhriin otetaan usein pian yhteyttä ja luvataan auttaa saamaan menetetyt rahat takaisin, mikä voi johtaa uuteen huijaukseen.
7. Rikosuhripäivystys (RIKU) antaa neuvoja ja keskusteluapua myös nettihuijausten uhreille.

Auttavatko virustorjunta ja monivaiheinen tunnistautuminen?

Osittain. Traficom neuvoo käyttämään virustorjuntaohjelmistoa ja monivaiheista tunnistautumista aina, kun se on mahdollista, ja monivaiheinen tunnistautuminen antaa Kyberturvallisuuskeskuksen mukaan vielä yhden mahdollisuuden tarkistaa, mihin olet kirjautumassa. Se ei kuitenkaan aina estä murtoa: kalastelusivu voi pyytää myös tunnistautumiskoodin, ja uhri voi antaa sen huijarille. Varmin tapa on avata palvelu itse kirjoittamalla osoite tai käyttämällä virallista sovellusta.

Turvallisin linkki odottamattomassa viestissä on se, jota et avaa. Kirjoita osoite itse: jos asia on totta, se löytyy sieltä.