Kesä on toimitusjohtajahuijauksen kulta-aikaa — nyt pomon ääni ja kasvot voidaan väärentää
Kun päättäjät ovat lomalla ja maksuja hoitaa sijainen, kiireinen ja salainen maksupyyntö menee helpommin läpi. Paras suoja ei ole vaisto vaan sovittu varmistusrutiini, jota ei ohiteta edes pomon käskystä.
Tiivistelma
Kyberturvallisuuskeskus varoittaa kahdessa kesäkuun viikkokatsauksessaan, että kesä on toimitusjohtajahuijauksen otollisinta aikaa. Huijari esiintyy yrityksen johtajana ja vaatii kiireellistä maksua tai tilinumeron vaihtoa, yhä useammin väärennetyn ääni- tai videoviestin tukemana. Suojaksi riittää yksi etukäteen sovittu varmistusaskel.
Toimitusjohtaja on lomalla, talouspäällikkö myös, ja maksuja hoitaa kesäsijainen. Juuri silloin tulee viesti, joka näyttää tulevan johtajalta itseltään: tämä pitää maksaa nyt, äläkä kerro kenellekään. Tällaisesta tilanteesta huijari elää.
Kyberturvallisuuskeskus nostaa toimitusjohtajahuijauksen riskin esiin kahdessa peräkkäisessä kesäkuun viikkokatsauksessaan. Sekä viikon 23 että viikon 24 katsaus muistuttaa, että kesä on tälle petoksen muodolle otollisinta aikaa. Syy on inhimillinen, ei tekninen.
Kun päättäjät ovat poissa ja rutiinit löystyvät, väärä maksupyyntö ei törmää tavanomaisiin tarkistuksiin. Sijainen ei välttämättä tunne yrityksen normaalia rahaliikennettä eikä uskalla kyseenalaistaa johtajan nimissä tullutta käskyä. Auktoriteetti ja kiire tekevät yhdessä työnsä.
Miten huijaus etenee
Kaava on toistunut vuosia. Huijari esiintyy yrityksen toimitusjohtajana tai muuna johtajana ja pyytää kiireellistä, salassa pidettävää toimea. Yleensä kyse on lahjakorttien ostamisesta tai laskun maksamisesta uudelle tilille.
Uutta on, että pelkkä sähköposti ei enää aina riitä uskottavuuteen. Kyberturvallisuuskeskus kertoo, että pyyntöä vahvistetaan yhä useammin väärennetyllä eli deepfake-äänellä tai -videolla, joka jäljittelee johtajan ääntä ja kasvoja. Lyhyt soitto tutulta kuulostavalla äänellä riittää usein murtamaan epäilyn.
Miksi tämä toimii niin hyvin juuri kesällä? Koska uhri ei voi kävellä viereiseen huoneeseen tarkistamaan asiaa pomolta, joka on mökillä tai ulkomailla. Haavoittuvuus ei ole yhden työntekijän herkkäuskoisuus, vaan organisaation tila: kiire, auktoriteetti ja sijainen, joka ei pysty helposti varmistamaan pyyntöä.
BEC (Business Email Compromise)
Petos, jossa rikollinen esiintyy yrityksen johtajana tai yhteistyökumppanina ja saa työntekijän tekemään maksun tai luovuttamaan tietoja. Toimitusjohtajahuijaus on sen tunnetuin muoto.
Tunnistusmerkit
- Odottamaton maksu- tai siirtopyyntö, jonka väitetään tulevan johtajalta tai esihenkilöltä.
- Painostus nopeuteen ja salailuun: "älä kerro tästä kenellekään, hoida tämä hiljaa".
- Pyyntö vaihtaa olemassa olevan toimittajan tilinumero.
- Pyyntö ostaa lahjakortteja ja toimittaa niiden koodit.
- Viesti saapuu poikkeavaa kanavaa pitkin, kuten henkilökohtaisesta WhatsAppista tai uudesta sähköpostiosoitteesta.
- Ääni- tai videopuhelu, jossa jokin tuntuu hieman oudolta: tahmea rytmi, outo tauotus tai kasvojen nykiminen.
Mitä tehdä
Suojan ydin ei ole tunnistaa väärennöstä silmällä tai korvalla. Deepfake-tekniikka kehittyy nopeammin kuin ihmissilmä, joten varmistus pitää rakentaa prosessiksi.
Sovi varmistusaskel etukäteen, ennen kuin kesä alkaa. Hyvä sääntö on takaisinsoitto: jokainen maksu- tai tilinumeropyyntö varmistetaan soittamalla pyytäjälle tunnettuun numeroon, ei siihen, joka viestissä annetaan. Toinen toimiva sääntö on toinen hyväksyjä jokaiselle maksulle ja jokaiselle tilinumeron muutokselle.
– Älä koskaan toimi pelkän kiireen perusteella, on viesti, joka kannattaa kirjoittaa kesäsijaisen ohjeisiin näkyviin, todetaan Kyberturvallisuuskeskuksen katsauksessa.
Tärkein viesti sijaiselle on lupa pysähtyä. Kukaan oikea johtaja ei suutu siitä, että maksu varmistetaan. Painostus salailuun on itsessään varoitusmerkki, ei syy toimia nopeammin.
Jos petos on jo tapahtunut, ota välittömästi yhteyttä pankkiin ja pyydä maksun peruutusta. Mitä nopeammin rahat ehtii jäljittää, sitä todennäköisemmin ne saa takaisin. Säilytä kaikki viestit, tee rikosilmoitus poliisille poliisi.fi-palvelussa ja ilmoita tapauksesta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Pienyrittäjälle kesä on muutenkin venymistä. Yksi etukäteen sovittu soitto tutulle numerolle on oikeastaan halpa hinta verrattuna siihen, että väärennetty pomon ääni vie kassan tyhjäksi heinäkuussa. Kuinka monelle yritykselle deepfake-soitto ehtii käydä kalliiksi tämän kesän aikana, jää nähtäväksi.