Kolme neljästä työntekijästä kohtasi kyberuhan – Suomi käynnisti teemakuun

Euroopan kyberturvallisuuskuukausi alkoi Suomessa 1. lokakuuta 2026: Traficomin kampanjatiedotteen mukaan Kyberturvallisuuskeskus jakaa lokakuussa Nyt valppaana -verkoston tietoturvavinkkejä sosiaalisessa mediassa. Suomen sisältöihin kuuluvat tekoäly verkkohuijauksissa, medialukutaito, käyttäjän oikeudet sosiaalisessa mediassa sekä avun saaminen ja häiriöistä ilmoittaminen. Kampanja on suunnattu laajalle yleisölle, mutta sen aiheet koskevat myös työpaikan arkea.

Työelämän tarvetta kuvaa ENISAn 30. syyskuuta julkaisema katsaus: EU-kyselyssä 74 prosenttia työntekijöistä kertoi saaneensa epäilyttäviä sähköposteja, teksti- tai ääniviestejä tai linkkejä kyselyä edeltäneiden kuuden kuukauden aikana, mutta vain 45 prosenttia sai työpaikaltaan säännöllistä tietoturvatietoa tai muistutuksia. Luvut koskevat EU:ssa vastanneita työntekijöitä, eivät erillistä otosta Suomen työpaikoista. Epäilyttävän yhteydenoton saaminen ei myöskään tarkoita, että vastaanottaja olisi joutunut onnistuneen hyökkäyksen kohteeksi.

Mitä työntekijät kohtaavat?

Tietojenkalastelu oli kyselyn yleisin nimetty uhka. Euroopan komission julkaisemissa tuloksissa 39 prosenttia työntekijöistä kertoi kohdanneensa tietojenkalasteluviestejä tai petollisia verkkosivuja, 18 prosenttia henkilötietojen varastamisyrityksiä, 16 prosenttia salasanoihin kohdistuneita yrityksiä, 17 prosenttia haittaohjelmahyökkäyksiä ja 15 prosenttia tekoälyllä tuotettuja huijauksia. Nämä ovat eri kysymyksiin annettuja vastauksia, joten osuuksia ei voi laskea yhteen yhdeksi uhrimääräksi.

Uhkien kirjo selittää, miksi pelkkä muistutus olla avaamatta epäilyttävää linkkiä jää kapeaksi. Yhteydenotto voi pyytää kirjautumistietoja, ohjata toiselle sivulle tai yrittää saada vastaanottajan tekemään jotakin kiireessä. Työntekijän ratkaistavaksi jää ensin, onko pyyntö uskottava, ja sen jälkeen, miten epäilystä ilmoitetaan. Nämä ovat eri päätöksiä: viestin tunnistaminen ei vielä varmista, että tieto mahdollisesta uhasta päätyy työpaikalla oikealle henkilölle.

Tekoälyyn liittyvässä osassa huomio kohdistuu myös muuhun kuin kirjoitettuun viestiin. Tuttu ääni tai aidolta näyttävä video voi lisätä pyynnön uskottavuutta, vaikka sisältö vaatisi erillistä varmistamista. Työyhteisön harjoituksessa hyödyllinen kysymys on siksi, millainen poikkeuksellinen pyyntö tarkistetaan aiemmin tunnetusta yhteystiedosta riippumatta siitä, kuinka vakuuttavalta viesti kuulostaa tai näyttää.

Suomen kampanja yhdistää huijaukset ja ilmoittamisen

Suomen lokakuun sisältöjen käytännöllinen yhteys on tunnistamisen ja toiminnan välillä. Tekoälyhuijaukset ja medialukutaito käsittelevät sitä, miksi viesti voi vaikuttaa luotettavalta. Häiriöistä ilmoittaminen käsittelee seuraavaa vaihetta: mistä apua saa ja minne havainto kuuluu välittää. Työpaikalla yleinen kampanja-aihe muuttuu käyttökelpoiseksi vasta, kun työntekijä tietää oman organisaationsa ilmoitusreitin.

Myös sosiaalisen median oikeudet kuuluvat Suomen kampanjan aiheisiin. Työyhteisön näkökulmasta ne muistuttavat, että epäilyttävä sisältö voi tulla vastaan muussakin palvelussa kuin työsähköpostissa. Kaikissa kanavissa vastaanottaja joutuu arvioimaan, kenen nimissä viesti esiintyy, mitä häneltä pyydetään ja missä pyynnön voi varmistaa. Harjoitusta varten ei silti tarvitse kerätä oikeita huijausviestejä tai näyttää osallistujille muiden henkilötietoja.

Osallistuminen voi tarkoittaa Kyberturvallisuuskeskuksen jakamien vinkkien seuraamista ja niiden sovittamista työpaikan omiin yhteystietoihin. Pienessä työyhteisössä arvokkainta on selvittää, löytyykö ilmoituskanava nopeasti ja tietääkö joku, kuka ottaa ilmoituksen vastaan poissaolojen aikana. Jos vastaus jää epäselväksi rauhallisessa harjoituksessa, sama epäselvyys voi hidastaa toimintaa todellisen epäilyttävän yhteydenoton aikana.

Kolmen vartin harjoitus työyhteisölle

Seuraava kolmen vartin harjoitus on toimituksellinen ehdotus, joka yhdistää kampanjan aiheet kyselyssä esiin nousseisiin yhteydenottoihin. Tilanteet ovat kuvitteellisia, eikä harjoituksessa lähetetä oikeaa huijausviestiä. Ennen aloittamista sovitaan, käytetäänkö ilmoituskanavan kokeilussa testiviestiä ja miten vastaanottaja erottaa sen aidosta hälytyksestä.

1. Epäilyttävän viestin tunnistus. Ensimmäisessä vaiheessa ryhmä saa kuvitteellisen viestin, jossa pyydetään avaamaan linkki nopeasti tai antamaan kirjautumistieto. Osallistujat nimeävät pyynnön, lähettäjän ja kiireen merkit erikseen sen sijaan, että arvioisivat vain viestin ulkoasua. Lopuksi he sopivat, mistä lähettäjän väite tarkistettaisiin ilman viestissä annettua linkkiä tai puhelinnumeroa.
2. Ilmoituskanavan testaus. Seuraavaksi jokainen etsii työpaikan käyttämän ilmoitusreitin. Sovitulla testillä käydään läpi, kenelle havainto menee ja mitä vastaanottajan on hyödyllistä tietää: yhteydenoton kanava, ajankohta, pyynnön sisältö ja se, onko linkkiä jo avattu. Jos kanavaa ei löydy tai vastuu on epäselvä, havainto kirjataan työpaikan oman ohjeen korjattavaksi.
3. Tekoälyhuijauksen merkit. Viimeisessä vaiheessa kuvitteellinen tuttu ääni tai uskottavasti kirjoitettu viesti pyytää tavallisesta poikkeavaa toimenpidettä. Ryhmä päättää, mikä pyynnössä vaatii varmistuksen ja mitä aiemmin tunnettua yhteystietoa siihen käytettäisiin. Harjoituksen tarkoitus ei ole arvata varmasti, onko sisältö tuotettu tekoälyllä, vaan pysäyttää poikkeuksellinen pyyntö ennen toimintaa.

Harjoitus päättyy, kun työyhteisölle on kirjattu yksi löydettävä ilmoitusreitti sekä henkilö tai tehtävä, joka ottaa viestin vastaan. Silloin lokakuun kampanjasta jää käyttöön yhteinen toimintatapa myös seuraavaa epäilyttävää yhteydenottoa varten.

Lue myös:

• Työntekijöiden luottamus painui pohjaan – tekoälyvalvonta lisää huolta