Laskuhuijaus ja toimitusjohtajahuijaus: miten yritys suojautuu?

Miten huijaus etenee?

Toimitusjohtajahuijauksessa eli valepomohuijauksessa taloushallinnon työntekijä saa viestin, joka näyttää tulevan omalta johtajalta: "Tarvitsen nopeasti apua, maksa tämä lasku tänään. Olen palaverissa enkä pääse puhelimeen." Viesti voi tulla sähköpostina, tekstiviestinä tai WhatsAppissa. Joskus ensimmäinen viesti vain kysyy tilin saldoa tai pyytää ostamaan lahjakortteja. Kyberturvallisuuskeskuksen varoituksen mukaan samalla tavalla yritetään ohjata palkkoja: johtajan nimissä tuleva viesti pyytää vaihtamaan työntekijän palkkatilin.

Laskuhuijauksessa (Kyberturvallisuuskeskuksen termein laskutuspetos) huijari esiintyy tuttuna toimittajana. Lasku näyttää aidolta, mutta tilinumero on vaihtunut. Usein viesti tulee oikean toimittajan murretusta sähköpostitilistä, jolloin se on osa aitoa keskusteluketjua eikä herätä epäilyksiä. Tietoja voidaan kerätä etukäteen: Kyberturvallisuuskeskus on kertonut viesteistä, joissa pyydetään lähettämään kaikki avoimet laskut PDF-muodossa ja kertomaan, kuka niitä käsittelee. Tietojen avulla rikollinen voi muuttaa aidon laskun tilinumeron tai tehdä kokonaan väärän laskun.

Kehittyneemmissä huijauksissa käytetään tekoälyllä jäljiteltyä ääntä tai jopa videota. Tutulta kuulostava ääni puhelimessa ei siksi todista, kuka soittaa. Varmistus tehdään aina niin, että te soitatte itse numeroon, jonka tiedätte oikeaksi.

Kyberturvallisuuskeskus varoittaa näistä huijauksista toistuvasti. Ne ajoittuvat usein loma-aikoihin, joten ohjeet kannattaa kerrata erityisesti sijaisten ja kesätyöntekijöiden kanssa.

Maailmalla ilmiö on valtava. Yhdysvaltain liittovaltion poliisin FBI:n vuoden 2025 raportin (englanniksi) mukaan sille ilmoitettiin vuonna 2025 yritysten sähköpostihuijauksista (business email compromise, BEC) noin 3,05 miljardin dollarin tappiot. Petoksista vain sijoitushuijaukset aiheuttivat enemmän tappioita. Tekoälyä hyödyntäneistä BEC-huijauksista yritykset ilmoittivat yli 30 miljoonan dollarin tappiot.

Esimerkkejä

Suomesta, 2026: Poliisi varoitti huhtikuussa 2026 toimitusjohtajahuijauksista, kun Kymenlaaksossa havaittiin lyhyessä ajassa kolme tapausta. Suomen Yrittäjien mukaan yksi niistä aiheutti yritykselle satojen tuhansien eurojen menetykset.

Suomesta, 2019: Yrityksen uusi työntekijä sai sähköpostilla laskun rekrytointimaksusta. Hän kysyi maksulle lupaa ja sai sujuvalla suomella kirjoitetun hyväksynnän sähköpostilla, joka näytti tulevan toimitusjohtajalta. Viesti oli huijarin, ja yritys maksoi 9 350 euroa (Suomen Yrittäjät). Opetus: sähköpostilla tullut hyväksyntä ei todista, kuka sen lähetti.

Hongkongista, 2024: Insinööriyhtiö Arupin työntekijä Hongkongissa epäili ensin saamaansa sähköpostia kalasteluksi. Sen jälkeen hän osallistui videopalaveriin, jossa talousjohtaja ja muut kollegat olivat tekoälyllä tehtyjä väärennöksiä, ja siirsi huijareille 200 miljoonaa Hongkongin dollaria eli noin 25,6 miljoonaa Yhdysvaltain dollaria (CNN, englanniksi). Arup vahvisti tapauksen ja kertoi ilmoittaneensa siitä poliisille (Construction Briefing, englanniksi). Opetus: videopalaveri samassa ketjussa ei ole varmistus. Kun epäilys herää, soittakaa itse numeroon, jonka tiedätte oikeaksi.

Kuvitteellinen esimerkki: Esimerkki Oy:n kirjanpitäjä saa tutun tukkurin myyjältä viestin vanhaan keskusteluketjuun: "Pankkimme vaihtui, käyttäkää tästä lähtien uutta tilinumeroa." Liitteenä on oikean näköinen lasku. Kirjanpitäjä ei vastaa viestiin, vaan soittaa myyjälle numeroon, joka on yrityksen omassa toimittajarekisterissä. Myyjä ei tiedä asiasta mitään. Hänen sähköpostitilinsä on murrettu. Rahaa ei mene huijarille, koska tilinumeron muutos tarkistettiin ennen ensimmäistä maksua.

Mistä huijauksen tunnistaa?

• Viestissä on kiire tai salailua, esimerkiksi "älä kerro tästä muille".
• Maksutapa on poikkeava tai tilinumero on uusi.
• Lähettäjää ei tavoita puhelimella juuri nyt.
• Osoite on melkein oikea, esimerkiksi yksi kirjain on vaihtunut.
• Vastaus menee eri osoitteeseen kuin mistä viesti tuli.
• Pyyntö ohittaa tavallisen hyväksymisen.
• Teitä pyydetään ostamaan lahjakortteja tai allekirjoittamaan vaitiolositoumus.

Tärkein suoja on sovittu maksukäytäntö

Varmistus soittamalla

Poikkeava maksupyyntö varmistetaan aina puhelimella numerosta, joka löytyy omista tiedoista. Ei koskaan viestissä annetusta numerosta.

Tilinumeron muutos

Toimittajan uusi tilinumero vahvistetaan erikseen tutulta yhteyshenkilöltä ennen ensimmäistä maksua.

Pankin varoitus

Lokakuusta 2025 alkaen pankki on verrannut maksunsaajan nimeä tilinumeroon. Jos verkkopankki ilmoittaa, ettei nimi täsmää, älkää maksako ennen kuin olette varmistaneet asian. Jos maksatte varoituksesta huolimatta, vastuu väärälle taholle menneestä maksusta siirtyy Finanssialan mukaan teille. Huomatkaa, että maksuohjelmasta pankkiin aineistona lähetetyissä maksuissa tarkistus ei välttämättä ole automaattisesti käytössä. Esimerkiksi POP Pankin aineistosiirroissa yritys valitsee itse, käyttääkö se tarkistusta. Selvittäkää oman pankkinne käytäntö.

Kaksi hyväksyjää

Suuret ja poikkeavat maksut hyväksyy kaksi ihmistä. Sääntö koskee myös toimitusjohtajan omia pyyntöjä.

Lupa sanoa ei

Johto kertoo etukäteen, ettei se koskaan pyydä ohittamaan käytäntöä. Silloin työntekijän ei tarvitse miettiä, uskaltaako kieltäytyä.

Mitä tekniikka estää, ja mitä ei

Kun SPF ja DKIM ovat kunnossa ja DMARC-käytäntö on p=quarantine tai p=reject, vastaanottaja tunnistaa viestin, joka väittää tulevansa täsmälleen teidän osoitteestanne. Ilman näitä asetuksia huijarin on helpompi lähettää viesti yrityksenne nimissä. Asetukset on selitetty SPF-, DKIM- ja DMARC-oppaassa.

Suojaukset eivät kuitenkaan estä viestiä, joka tulee samannäköisestä verkkotunnuksesta, kuten yritys-oy.fi aidon yritys.fi:n sijaan, tai oikean henkilön murretulta tililtä. Siksi tarvitaan myös

• kaksivaiheinen tunnistautuminen kaikille sähköpostitileille
• ulkopuolelta tulevan viestin merkintä sähköpostiohjelmassa, jos palvelu tukee sitä
• seuranta yrityksenne nimeä muistuttavista verkkotunnuksista.

Jos raha on jo lähtenyt

1. Soittakaa heti omaan pankkiin. Maksun pysäyttäminen tai palauttaminen on sitä todennäköisempää, mitä nopeammin pankki saa tiedon. FBI:n (englanniksi) nopean puuttumisen menettelyllä jäädytettiin vuonna 2025 Yhdysvalloissa 58 prosenttia summista, joita sen avulla yritettiin pysäyttää.
2. Tehkää rikosilmoitus poliisille. Sen voi tehdä verkossa. Pankki voi tarvita ilmoitusta maksun selvittämiseen, joten tehkää se heti. Tallentakaa viestit, laskut ja maksutiedot.
3. Ilmoittakaa Kyberturvallisuuskeskukselle. Ilmoituksen voi tehdä verkkolomakkeella. Kertokaa myös tilinumerot, joihin rahaa pyydettiin, jotta samoille tileille ei harhauteta muita.
4. Selvittäkää, mistä huijari sai tiedot. Jos viesti tuli omasta tai toimittajan tilistä, tili on voitu murtaa. Vaihtakaa salasanat ja tarkistakaa, onko sähköpostiin lisätty outoja edelleenlähetyssääntöjä. Kyberturvallisuuskeskuksen mukaan salasanan vaihto ei yksin riitä, jos rikollinen on saanut istuntoevästeen. Katkaiskaa siksi tilin kaikki avoimet istunnot ja tarkistakaa, ettei tilille ole lisätty huijarin omaa tunnistautumislaitetta. Jos murretulla tilillä oli henkilötietoja, arvioikaa, pitääkö loukkauksesta ilmoittaa tietosuojavaltuutetulle. Ilmoitus tehdään ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus havaittiin.

Mitä Kybervartio tarkistaa?

Perustarkastus kertoo, onko verkkotunnuksenne sähköpostin väärennössuoja kunnossa, ja etsii nimeänne muistuttavia verkkotunnuksia, joille on otettu sähköposti käyttöön. Kybervartio-seuranta tarkistaa väärennössuojan päivittäin, kertoo toimia vaativista muutoksista yleensä samana arkipäivänä ja kokoaa kuukausikoosteen, jossa katsotaan myös uudet samannäköiset verkkotunnukset. Uhka-arvio menee pidemmälle: se kokoaa julkisista lähteistä, mitkä roolit yrityksestänne näkyvät, miltä roolilta huijari todennäköisesti pyytäisi maksua ja millainen sähköpostiosoitteiden muoto on, ja kirjoittaa auki, miten huijaus teitä vastaan rakennettaisiin. Sähköpostin tilanteen näette nopeimmin ilmaisella tarkistuksella.