Pankkihuijaus voi viedä myös puhelinliittymän – S-Pankin uusi varoitus ja suomalaisten riskit

Mikä lokakuun varoituksessa on olennaista?

S-Pankin kuvaamassa eSIM-huijauksessa rikollinen pyrkii siirtämään liittymän omaan hallintaansa digitaalisen SIM-kortin avulla. Jos yritys onnistuu, oikean asiakkaan liittymä voi lakata toimimasta ja tekstiviestillä lähetettäviä koodeja voi päätyä rikolliselle. Pankki kehottaa olemaan tällaisessa epäilyssä viipymättä yhteydessä sekä pankkiin että operaattoriin.

eSIM on tavallinen liittymätekniikka, ei itsessään huijaus. Olennaista on luvaton muutos ja se, kuka hallitsee liittymää. Tiedote ei osoita kaikkien operaattorien järjestelmissä olevaa yhteistä teknistä vikaa eikä kerro, kuinka monta kaappausta on onnistunut. Näitä johtopäätöksiä siitä ei pidä tehdä.

”Kalasteluviestit muuttuvat jatkuvasti uskottavammiksi.”

Liittymän kaappaus ja numeron väärentäminen

Puhelimen näytöllä näkyvän numeron väärentäminen ja liittymän kaappaus ovat eri asioita. Väärennetty numeronäyttö ei yksin tarkoita, että kyseisen numeron omistajan SIM-kortti tai puhelin olisi murrettu. Kaappauksessa taas rikollinen pyrkii saamaan itse liittymän käyttöönsä. Ero on tärkeä myös silloin, kun epäilyttävästä puhelusta kirjoitetaan julkinen raportti.

Pelkkä verkkokatko ei todista kaappausta: myös tavallinen häiriö voi katkaista palvelun. Yhdistelmä kalasteluepäilystä, odottamattomista vahvistuksista ja liittymän toiminnan muutoksesta antaa kuitenkin syyn selvittää asia nopeasti. Taustaksi: voiko suomalaisen numeron väärentää?.

Mitä alkuvuoden huijausluvut kertovat?

Finanssialan 17.9.2026 julkaisemien pankkitietojen mukaan suomalaisilta yritettiin huijata 60 miljoonaa euroa tammi–kesäkuussa 2026. Pankit estivät tai palauttivat 31,7 miljoonaa euroa ja rikollisille päätyi 28,3 miljoonaa euroa.

Ajanjakso on vuoden 2026 ensimmäinen puolisko, ei koko vuosi. Luvut koskevat pankkien tietoon tulleita tilastoituja huijauksia, eivät kaikkia Suomessa vastaanotettuja epäilyttäviä puheluja. Ne eivät myöskään kerro eSIM-kaappausten määrää.

Tietojen kalastelussa rikollisille päätyi 10,6 miljoonaa euroa ja estettiin tai palautettiin 18 miljoonaa euroa. Turvatilihuijauksissa vastaavat luvut olivat 2 ja 1,9 miljoonaa euroa. Finanssialan petos- ja rikostorjunnasta vastaava johtaja Niko Saxholm varoittaa tiedotteessa tekemästä alkuvuodesta hätiköityä koko vuoden ennustetta.

Myös Yle uutisoi helmikuussa edellisen vuoden suurista huijaustappioista. Se tarjoaa vertailutaustaa, mutta vuoden 2025 kokovuotta ei pidä verrata suoraan vuoden 2026 puolikkaaseen. Numeroinfon tulkinta on, että pankkien torjunta auttaa, mutta se ei poista käyttäjän tarvetta varmistaa yllättävää pyyntöä.

Miksi tunnuksia tavoitellaan?

Kyberturvallisuuskeskuksen 25.9.2026 katsaus nostaa esiin tunnistusvälineiden väärinkäytön: pankkitunnuksia voidaan tavoitella myös palveluiden avaamiseen, lainoihin ja osamaksuihin. Tilin tyhjentäminen ei siis ole ainoa mahdollinen tavoite. Jos tunnukset ovat vaarantuneet, tyhjä tapahtumalista ei yksin ratkaise asiaa.

Hyökkääjän kannalta arvokas hetki on se, jolloin käyttäjä pitää toimenpidettä omanaan, vaikka sen tarkoitus on muuttunut. Siksi vahvistusnäytön sisältöä kannattaa lukea: mitä palvelua, maksua tai muutosta olet hyväksymässä? Mobiilivarmennetta käsittelevässä oppaassamme tarkastellaan samaa eroa oman ja odottamattoman pyynnön välillä.

Varoitusmerkit ja turvallinen tarkistus

Huijauksen tunnistaminen pelkän kieliasun perusteella on epävarmaa. Hyvä suomi, tuttu nimi tai asiallinen ääni eivät vahvista lähettäjää. S-Pankin maaliskuun tiedotteessa tietoturvajohtaja Leo Niemelä korosti kiireen ja poikkeustilanteen vaikutelmaa puheluissa ja pikaviesteissä. Pankki myös ilmoittaa, ettei se ota yhteyttä asiakkuusasioissa esimerkiksi WhatsAppissa. Tämä on kyseisen pankin toimintakuvaus, ei kaikkien pankkien viestintäkäytäntöjen luettelo.

• Keskeytä, jos sinua painostetaan luovuttamaan tunnuksia tai hyväksymään toimenpide heti.
• Älä siirrä rahaa soittajan tarjoamalle ”turvatilille”. Poliisin mukaan tällainen turvatilitarina on huijaus.
• Avaa pankin oma sovellus tai kirjoita tuntemasi osoite itse. Älä käytä viestin linkkiä pankkikirjautumiseen.
• Jos asia koskee liittymää, varmista se operaattorin omasta asiakaspalvelusta.
• Älä anna tuntemattoman soittajan etähallita laitettasi.

Pankki tai viranomainen voi ottaa yhteyttä aidostikin. Turvallinen tarkistus ei edellytä kaikkien puhelujen leimaamista huijaukseksi: voit katkaista keskustelun ja palata asiaan itse valitsemasi virallisen kanavan kautta. Lue myös pankin tai poliisin nimissä tulleen puhelun tarkistamisesta.

Miten suojaat arkea ja läheisiä?

Arjessa hyödyllinen yhteinen sääntö on: yllätyspyyntöä ei vahvisteta puhelun aikana. Sopikaa läheisen kanssa, että hän saa lopettaa puhelun ja kysyä apua ilman, että hänen pitäisi ensin ratkaista, onko soittaja varmasti rikollinen. Sääntö on helppo muistaa ja sitä voi harjoitella rauhallisessa tilanteessa.

Pidä pankin ja operaattorin yhteydenottotapa valmiina. Kirjaa palvelun nimi, virallinen verkkosivu ja mistä sulkupalvelu löytyy. Älä kirjoita tähän muistilistaan salasanoja tai tunnuslukuja. Jos puhelin on poissa käytöstä, lähellä olevan luotetun henkilön laite voi auttaa yhteyden saamisessa.

Tarkista myös, mihin palveluihin puhelinnumerosi on liitetty palautus- tai vahvistustietona. Suojauksen suunnittelussa kannattaa välttää ajatusta, että kaikki turvallisuus riippuisi yhdestä numerosta. Käytä palvelun tarjoamia vahvempia kirjautumistapoja, kun ne sopivat käyttöösi. Tämä on ennaltaehkäisevä suositus, ei korvaus kiireelliselle yhteydenotolle jo tapahtuneessa kaappauksessa.

Mihin numerohaku auttaa?

Numerohaku voi näyttää, ovatko muut kertoneet saman numeron yhteydenotoista. Se auttaa tunnistamaan puhelun teemaa, mutta ei varmista lähettäjää. Sama numero voi näkyä väärennettynä, ja uusi huijausnumero voi olla ilman raportteja.

Kun kiireelliset suojaustoimet on tehty, voit tarkistaa tuntemattoman numeron ja kertoa oman kokemuksesi. Hyödyllinen raportti kuvaa pyyntöä: ”soittaja pyysi siirtämään rahaa turvatilille”. Älä julkaise omaa tilinumeroa, henkilötunnusta tai nimeä, jonka soittaja vain väitti omakseen. Raportti ei korvaa ilmoitusta pankille tai poliisille.

Usein kysyttyä