Lomakaudella yrityksissä tapahtuu paljon muutoksia arjessa: sijaisia perehdytetään, kesätyöntekijät aloittavat ja vastuuta siirtyy henkilöltä toiselle. Juuri tämä hetki on myös verkkorikollisille otollinen. Kun rutiinit muuttuvat ja kaikki eivät tunne toimintatapoja vielä kunnolla, virheiden riski kasvaa.

Yleisimmissä verkkohuijauksissa rikollinen pyrkii saamaan työntekijän luovuttamaan tunnuksia, maksamaan väärennetyn laskun tai avaamaan haitallisen linkin. Usein hyökkäys kohdistuu yksittäiseen henkilöön, mutta seuraukset voivat koskea koko organisaatiota.

Siksi on erityisen tärkeää, että myös sijaiset ja kesätyöntekijät perehdytetään tietoturvaan heti alussa – käytännönläheisesti ja selkeästi.

Tunnista verkkorikokset työarjessa

Yritysympäristössä huijaukset ovat usein kohdennettuja ja uskottavia. Ne voivat näyttää täysin normaaleilta työviesteiltä.

Esimerkkejä tilanteista:

• “Toimitusjohtajalta” tullut kiireellinen viesti maksaa lasku heti
• Sähköposti “IT-tuesta”, jossa pyydetään kirjautumaan järjestelmään linkin kautta
• “Toimittajan” lähettämä lasku, jossa tilinumero on muuttunut
• Kalenterikutsu, joka sisältää haitallisen linkin
• Viesti “pankilta”, jossa pyydetään vahvistamaan yrityksen tunnukset
• Työntekijän sähköpostin kaappaus ja viestien lähettäminen sisäisesti
• Pilvipalveluun kirjautumissivu, joka on ulkoasultaan aito mutta osoite väärä

Erityisesti uudet työntekijät eivät välttämättä tunnista, mikä on normaalia ja mikä ei.

Käytännön ohjeet turvalliseen toimintaan

Pelkkä ohjeistus ei riitä – tarvitaan konkreettisia toimintamalleja, joita jokainen noudattaa.

Perehdytyksessä kannattaa käydä läpi esimerkiksi:

• Älä koskaan kirjaudu järjestelmiin sähköpostin linkin kautta
• Tarkista maksutiedot aina toisesta lähteestä ennen maksamista
• Käytä yrityksen hyväksymiä järjestelmiä ja kirjautumistapoja
• Älä luovuta tunnuksia tai salasanoja kenellekään
• Epäselvissä tilanteissa kysy aina – mieluummin liian aikaisin kuin liian myöhään
• Käytä vahvoja salasanoja ja monivaiheista tunnistautumista
• Älä käsittele työasioita suojaamattomissa verkoissa
• Lukitse työasema, kun poistut paikalta
• Ilmoita heti epäilyttävistä viesteistä IT:lle tai esihenkilölle
• Noudata yrityksen ohjeistettuja hyväksymiskäytäntöjä (esim. maksut)

Yksinkertainen sääntö: jos jokin tuntuu kiireiseltä tai poikkeavalta, pysähdy ja varmista.

Sosiaalinen manipulointi – suurin riski on ihminen

Suurin osa yrityksiin kohdistuvista hyökkäyksistä ei perustu tekniseen hakkerointiin, vaan ihmisten huijaamiseen. Tätä kutsutaan sosiaaliseksi manipuloinniksi.

Tyypillisiä keinoja:

• Kiireen luominen: “Tarvitsen maksun heti ennen kokousta”
• Auktoriteetin käyttö: viesti tulee “johtajalta” tai “asiakkaalta”
• Luottamuksen rakentaminen: viestit näyttävät tutuilta ja normaalilta viestinnältä
• Pelottelu: “Tilisi suljetaan, jos et toimi nyt”
• Rutiinien hyödyntäminen: lasku näyttää samalta kuin ennen
• Sisäisen viestinnän kopiointi: huijari käyttää yrityksen kieltä ja tyyliä
• Ystävällinen lähestyminen: keskustelua ennen varsinaista pyyntöä
• Huomion ohjaaminen pois olennaisesta (esim. kiire + paljon tietoa)
• Uusien työntekijöiden epävarmuuden hyödyntäminen
• “Poikkeustilanteen” luominen, jossa ohjeista poiketaan

Uudet työntekijät ovat erityisessä riskissä, koska he eivät vielä tunne normaaleja toimintatapoja.

Mitä yrityksen kannattaa tehdä lomakauden aikana?

Tämä on se kohta, jossa moni organisaatio joko onnistuu – tai ottaa turhan riskin.

Varmista ainakin nämä:

• Perehdytykseen sisältyy tietoturva (ei pelkkä sivuhuomio)
• Maksukäytännöt ja hyväksymisrajat ovat selkeät
• Kaikki tietävät, keneltä voi kysyä epäselvissä tilanteissa
• Käytössä on monivaiheinen tunnistautuminen
• Henkilöstöä muistutetaan huijauksista ennen lomia
• Poissaolojen ajaksi määritellään selkeät vastuut
• Epäilyttävien viestien raportointikanava on helppo ja nopea
• IT ja johto viestivät aktiivisesti ajankohtaisista uhista

Lomakausi ei ole vain henkilöstöjärjestelyjen aikaa – se on myös tietoturvariskien kannalta kriittinen hetki. Kun uudet ja sijaiset työntekijät perehdytetään kunnolla, voidaan suurin osa huijauksista estää jo ennen kuin ne ehtivät aiheuttaa vahinkoa.

Tietoturva ei ole pelkästään IT:n asia – se on koko henkilöstön yhteinen vastuu.

Hyvin perehdytetty työntekijä on paras suoja verkkohuijauksia vastaan.