Valepomon viesti voi tulla kalliiksi – tunnista toimitusjohtajahuijaus ajoissa!

Toimitusjohtajahuijauksia on kuluvan syksyn aikana raportoitu Kyberturvallisuuskeskukselle runsaasti. Viime viikkoina on nähty esimeriksi pyyntöjä maksaa tekaistuja laskuja sekä pyyntöjä osallistua “ehdottomasti salassa pidettävän yritysoston järjestelyihin”. Toimitusjohtajahuijauksiin liittyviä viestejä ja puheluita voi tulla etenkin niille työntekijöille, jotka hoitavat laskutusta, palkkoja tai henkilöstöasioita, sillä he ovat rikollisille erityisen kiinnostavia kohteita. Rikolliset haluavat vaikuttaa niihin henkilöihin, joilla on mahdollisuus tehdä rahansiirtoja.

Sähköpostin lisäksi toimitusjohtajahuijauksia tehdään myös WhatsApp:in kautta. Pikaviestimet ovat yleistyneet huijauksissa, koska ne tuntuvat henkilökohtaisilta ja tarjoavat tavan nopeaan vuorovaikutukseen. Rikolliset ovat pyrkineet lisäämään viestin aitouden vaikutelmaa WhatsApp:ssa käyttämällä toimitusjohtajan valokuvaa. Usein viesteissä myös väitetään, että puhelimessa ei juuri nyt voida puhua, mutta rahasiirto olisi saatava tehtyä mahdollisimman pian. Joissakin tapauksissa kohde on aitouden luomiseksi huijattu allekirjoittamaan valheellinen vaitiolositoumus, minkä jälkeen huijausta on jatkettu.

Kyberturvallisuuskeskukselle on myös ilmoitettu tapauksista, joissa työntekijää on WhatsApp-viestin kautta pyydetty ostamaan useita lahjakortteja ja lähettämään lahjakorttien koodit rikolliselle toimijalle. Lahjakorttien koodit ovat nopeasti käytettävissä ja vaikeasti jäljitettävissä. Joissakin tapauksissa rikolliset ovat tehneet viestien jälkeen myös puhelinsoittoja, joilla voidaan varmistaa kiireellisyyden vaikutelma ja painostaa vastaanottajaa.

Rikolliset käyttävät myös syväväärennöksiä eli deepfake-tekniikkaa huijauspuheluissa. Suomessakin on havaittu ääniväärennöksiin perustuvia huijauksia. Esimerkiksi organisaation toimitusjohtajan ääntä on kloonattu ja käytetty pyytämään suuria rahansiirtoja. Vuonna 2024 Hongkongissa huijattiin organisaatiolta 24 miljoonaa euroa deepfaken avulla. Huijaus alkoi sähköpostiviestillä, mutta työntekijä vakuuttui sen aitoudesta vasta osallistuttuaan videokonferenssiin. Kokouksessa yhtiön talousjohtaja ja muut edustajat olivat kaikki tekoälyllä tuotettuja väärennöksiä (deepfake-versioita), jotka näyttivät ja kuulostivat aidoilta.

Yhteistä näille huijauksille on se, että toimitusjohtajan, puheenjohtajan tai muun korkeassa asemassa olevan henkilön nimissä pyydetään tekemään kiireellisiä toimia, kuten tilisiirtoja. Huijausviesteissä käytetään kohtuullisen hyvää suomen kieltä ja lähettäjän osoite saattaa näyttää oikealta.

Inhimillisiä tekijöitä käytetään hyväksi toimitusjohtajahuijauksissa

Toimitusjohtajahuijauksissa käytetään hyväksi valta-asemaa sosiaalisen manipuloinnin keinona. Tätä hyväksikäyttämällä pyritään huijaamaan henkilöitä, jotka normaalistikin ovat vastaavassa suhteessa johtohenkilöihin.

Tämä huijaustyyppi ei vaadi suurta teknistä osaamista, vaan se nojautuu inhimillisiin tekijöihin, kuten auktoriteettiaseman käyttöön, kiireen tuntuun ja auttamisen haluun. Useimmiten ihmiset reagoivat nopeasti ja tottelevasti, kun viesti näyttää tulevan johtajalta. Inhimillisiin tekijöihin vetoamalla ja niitä hyväksikäyttämällä huijarit pyrkivät saamaan kohteen ohittamaan normaalit prosessit.

Tyypillisesti tällaiset huijaukset ajoittuvat loma-ajoille, kun henkilökuntaa on vähän ja vakituisia työntekijöitä sijaistavat kesätyöntekijät. Kesätyöntekijöille ja silloin tällöin myös pidempään talossa olleillekin työntekijöille on tärkeä kerrata oikeat prosessit esimerkiksi laskujen käsittelemiselle.

Toimitusjohtajahuijauksen eteneminen

Teknisesti toimitushuijauksia on ainakin neljää eri tyyppiä. Kehittyneemmissä versioissa rikollinen käyttää hyväksi murrettua sähköpostitiliä, jonka kautta lähetetään viestejä ja pyydetään erilaisia toimenpiteitä. Vähemmän teknisissä versioissa huijarit väärentävät sähköpostiosoitteet näyttämään sellaisilta, että ne näyttävät tulevan esimerkiksi yrityksen johtajalta. On myös mahdollista, että huijari ottaa yhteyttä työntekijään pelkästään puhelimitse esiintyen esimerkiksi yrityksen johtajana. Neljännessä versiossa yrityksiin lähetetään paperinen lasku väärillä tilitiedoilla.

Tiedonjakamisen ansiosta myös muut osaavat tunnistaa huijauksia

Toimitusjohtajahuijaukset voivat olla taitavasti toteutettuja, ja niiden kohteeksi voi joutua minkä kokoinen yritys tahansa toimialasta riippumatta. Huijauksen kohteeksi joutuminen voi hävettää, minkä takia onnistuneista huijauksista ei useinkaan kerrota julkisesti. Toimitusjohtajahuijauksista on kuitenkin tärkeää jakaa tietoa, jotta muutkin osaavat tunnistaa vastaavat huijausyritykset.

Jos toimitusjohtajahuijaus osuu kohdalle, ota petostapauksissa aina yhteyttä poliisiin, vaikka välttäisittekin huijauksen. Tapauksesta voi myös ilmoittaa Kyberturvallisuuskeskukselle. Mikäli huijausviesteissä mainitaan tilinumeroita, joihin siirtoja pyydetään tekemään, myös ne kannattaa ilmoittaa, sillä muita saatetaan harhauttaa lähettämään rahaa samoille tileille. Mikäli rahaa on jo ehditty siirtää, ota välittömästi yhteyttä pankkiin, josta maksu on tehty. Joskus pankki tarvitsee rikosilmoitusjäljennöksen rahasiirron pysäyttämiseksi.

Selkeä prosessien määrittely auttaa organisaatioita suojautumaan toimitusjohtajahuijauksilta. Alle on koottu vinkkejä yksittäisen työntekijän sekä organisaation näkökulmasta.