Troijan hevonen eli troijalainen: mikä se on, miten se pääsee laitteelle ja miten sen poistaa

Nimi tulee antiikin tarusta, jossa sotilaat pääsivät kaupunkiin puisen hevosen sisällä. Troijalainen toimii samoin. Traficomin mukaan rikolliset naamioivat haitallisia sovelluksia näyttämään tunnetuilta tai luotettavilta, ja Kyberturvallisuuskeskuksen mukaan haittaohjelma voi näyttää esimerkiksi virustorjuntaohjelmalta tai maksullisen ohjelman ilmaiselta versiolta: sovellus onkin kaikkea muuta kuin mitä sen väitetään olevan. Kun käyttäjä asentaa sen, se voi varastaa tietoja tai avata rikolliselle etäyhteyden laitteelle.

Mitä troijalainen voi tehdä?

• Antaa rikolliselle laitteen hallinnan. Kyberturvallisuuskeskus käyttää nimeä etähallintaan tarkoitettu troijalainen (RAT).
• Varastaa salasanoja, pankkitunnuksia ja muita arkaluonteisia tietoja.
• Lähettää puhelimesta huijaustekstiviestejä eteenpäin, myös maksullisia viestejä ulkomaille, kuten FluBot teki.
• Asentaa lisää haittaohjelmia tai valmistella kiristyshaittaohjelmahyökkäystä. Kiristyshaittaohjelmista käytetään myös nimitystä lunnastroijalainen.

FluBot: suomalainen esimerkki

Kesällä 2021 ja uudelleen keväällä 2022 Android-puhelimiin levitettiin FluBot-haittaohjelmaa tekstiviesteillä, joissa kerrottiin paketista, vastaajaviestistä tai vastaamattomasta puhelusta. Kyberturvallisuuskeskuksen mukaan suomeksi kirjoitettuja viestejä lähetettiin arviolta tuhansille suomalaisille. Linkin avaaminen ei vielä asentanut haittaohjelmaa: sivu pyysi asentamaan .apk-tiedoston ja kehotti poistamaan suojausasetuksia käytöstä. Asennuspaketti ei toiminut iPhonella, ja iPhonen käyttäjät ohjattiin tilausansoihin. Varoitukset on sittemmin poistettu, mutta kaava on sama nykyisissäkin huijauksissa: sovellus tarjotaan virallisen kaupan ulkopuolelta.

Miten troijalainen päätyy laitteelle nyt?

• Kauppapaikoilla: Tori.fi:ssä ja Facebookin Marketplacessa ostajaksi tekeytynyt huijari pyysi myyjää lataamaan toimitukseen liittyvän sovelluksen Google Playta muistuttavalta sivustolta. Sovellus saattoi antaa huijarille koko puhelimen hallinnan, ja se jäljitteli esimerkiksi Matkahuollon ja Postin sovelluksia (Kyberturvallisuuskeskus 24.1.2025).
• Pelien lisäsisällöissä: elokuussa 2026 suositun pelin käyttäjien tekemiin karttoihin piilotettu haittaohjelma asensi etähallintaan tarkoitetun troijalaisen, kun karttaa käynnistettiin. Pelin virallinen asennuspaketti oli puhdas.
• Väärennetyissä päivityksissä, ponnahdusikkunoissa ja ClickFix-sivuilla, jotka pyytävät kopioimaan komennon Suorita-ikkunaan. Kyberturvallisuuskeskuksen mukaan ClickFixillä levitetyt haittaohjelmat voivat olla etäkäyttötyökaluja.
• QR-koodeissa: koodin voi määrittää lataamaan troijalaisia, mutta ladatun tiedoston suorittaminen vaatii käyttäjän toimia.
• Puhelimitse: huijari pyytää asentamaan etähallintaohjelman. Traficom neuvoo: älä asenna sitä tuntemattoman soittajan pyynnöstä. Microsoftin mukaan teknisen tuen huijarit asentavat etäyhteyden kautta usein haittaohjelmia.

Mistä troijalaisen tunnistaa?

Usein vasta jälkikäteen. Kyberturvallisuuskeskuksen mukaan haittaohjelmaa voi olla vaikea havaita ennen kuin tartunta on jo tapahtunut, ja väärennettyä päivitystä on vaikea erottaa aidosta. Merkkejä ovat sovellukset, joita et muista asentaneesi, sovellus, joka pyytää esteettömyysoikeuksia ilman selvää syytä, tuntemattomat tilitapahtumat ja maksulliset viestit, joita et lähettänyt. Google Play Protect voi varoittaa mahdollisesti haitallisesta sovelluksesta, poistaa sen käytöstä tai poistaa sen kokonaan.

Jos selaimesi tai virustorjuntasi varoittaa ennen asennusta tai estää sivua lataamasta tiedostoa, älä tee asennusta ja sulje selain välittömästi. Jos koneellesi on jo asentumassa jotakin haitallista, keskeytä asennus ja palaa viimeisimpään varmuuskopioon, neuvoo Kyberturvallisuuskeskus.

Etähallintaohjelma puhelun aikana

Moni troijalaisen kaltainen tilanne alkaa puhelusta. Kyberturvallisuuskeskuksen mukaan rikolliset esiintyvät nyt huijauspuheluissa organisaatioiden kyberosastojen asiantuntijoina, väittävät laitteesi saaneen virustartunnan ja pyytävät asentamaan etähallintaohjelman. Traficom neuvoo: jos asensit ohjelman mutta et vielä antanut käyttöoikeutta, sulje ohjelma ja poista se. Älä kirjaudu verkkopankkiin, jos tuntemattomalla on etäyhteys laitteeseesi, koska hän voi nähdä tunnuksesi ja tehdä tilisiirtoja tietämättäsi.

Näin poistat troijalaisen

1. Katkaise verkkoyhteys tai kytke lentotila päälle, jos epäilet, että joku ohjaa laitettasi etänä.
2. Ota yhteyttä pankkiisi, jos käytit laitteella pankkisovellusta tai käsittelit korttitietoja.
3. Windowsissa: Windowsin suojaus > Virusten & uhkien torjunta > Tarkistusasetukset > Täysi tarkistus, ja tarvittaessa Microsoft Defenderin virustentorjunta (offline-tarkistus). Poista ohjelmat, jotka huijari pyysi asentamaan.
4. Androidissa: tarkista, että Play Protect on päällä, ja poista sovellukset, joita et tunnista. FluBot-tartunnan nopein korjaus oli Kyberturvallisuuskeskuksen mukaan tehdasasetusten palautus; palauta vain varmuuskopio, joka on tehty ennen haittaohjelman asentamista.
5. Vaihda salasanat palveluihin, joita käytit laitteella. Tee se toisella laitteella tai vasta, kun haittaohjelma on poistettu.
6. Ota yhteyttä operaattoriin, jos puhelimesta on voinut lähteä maksullisia viestejä.
7. Tee rahallisista menetyksistä rikosilmoitus ja ilmoita tapauksesta Kyberturvallisuuskeskukselle; mainitse ilmoituksessa, jos epäilet asentaneesi haitallisen sovelluksen.

Pelkkä viesti ei vielä tartuta. FluBot-varoituksessa Kyberturvallisuuskeskus korosti, että huijausviestin vastaanottaminen tai avaaminen ei ollut vaarallista: haittaohjelma tarvitsi käyttäjän erillisen suostumuksen asentuakseen. Ole tarkka myös virustorjunnan kanssa. Traficom neuvoo käyttämään puhelimessa tunnettua ja päivitettyä virustorjuntaohjelmaa, mutta muistuttaa, että rikolliset voivat naamioida haitallisen ohjelman näyttämään virustorjuntaohjelmalta. Lataa sekin vain virallisesta sovelluskaupasta tai valmistajan sivuilta.

Näin vältät troijalaisen

• Lataa sovellukset vain puhelimen omasta sovelluskaupasta, älä viestin linkin kautta, vaikka linkki näyttäisi vievän viralliseen kauppaan.
• Älä myönnä esteettömyysoikeuksia sovelluksille, jotka eivät niitä selvästi tarvitse, ja hyväksy vain toiminnan kannalta välttämättömät oikeudet.
• Lataa pelien lisäsisältöä vain luotettavista lähteistä ja päivitä pelit ja muut ohjelmat viipymättä.
• Pidä Androidissa Google Play Protect päällä. Se tarkistaa sovellukset asennuksen yhteydessä ja laitteen säännöllisesti, eikä sitä Kyberturvallisuuskeskuksen mukaan kannata poistaa käytöstä.
• Microsoftin mukaan ohjelmia kannattaa ladata vain virallisilta sivustoilta tai Microsoft Storesta, koska kolmansien osapuolten sivustoilla ohjelmiin on voitu niputtaa haittaohjelmia.

Troijalainen tarvitsee sinun suostumuksesi. Ei sovelluksia viestin linkistä, ei etäyhteyttä yllättäen soittavalle.