Pankkihuijaus: näin huijari saa sinut siirtämään rahat itse

Pankin nimissä tehty huijaus tuntuu uhrista jälkikäteen käsittämättömältä, koska hän muistaa tehneensä siirron itse. Juuri se on huijauksen rakenne, ei sen sivutuote. Rikollinen ei yritä ohittaa pankin suojauksia, koska niiden ohittaminen on vaikeaa ja kallista. Sen sijaan hän käyttää sitä osaa järjestelmästä, jolla on jo kaikki oikeudet: tilinomistajaa.

Tämä artikkeli kuvaa, miksi vakuuttelu on rikolliselle tehokkaampaa kuin murtautuminen, miten puhelu etenee vaiheittain, mikä on tunnusluvun ja hyväksynnän ero ja miten tilanne katkaistaan silloinkin, kun keskustelu tuntuu uskottavalta. Sitä, miksi soittajan numeroon ei voi luottaa lainkaan, käsitellään erikseen artikkelissa puhelinhuijaukset.

Miksi huijari ei murtaudu pankkiin vaan puhuu sinulle

Verkkopankki on suojattu monella kerroksella: liikenne on salattua, kirjautuminen vaatii vahvan tunnistautumisen ja maksuja seurataan sääntökoneistolla, joka reagoi poikkeavaan käyttäytymiseen. Näiden kaikkien läpi meneminen ilman asiakkaan apua on työlästä.

Asiakkaan kanssa se on helppoa. Kun sinä kirjaudut, tunnistautuminen menee läpi normaalisti. Kun sinä hyväksyt maksun, se näyttää pankin järjestelmässä täysin tavanomaiselta tapahtumalta: oikea laite, oikea tunnistautuminen, oikea käyttäjä. Väärinkäytön havaitseminen on paljon vaikeampaa kuin tuntemattomasta maasta tulevan kirjautumisen estäminen. Maksun kulku pankista toiseen on kuvattu tarkemmin artikkelissa verkkopankki selitettynä.

Tästä seuraa myös ikävä oikeudellinen puoli. Maksupalvelulaki jakaa vastuun eri tavalla riippuen siitä, oliko maksutapahtuma oikeudeton eli tehty ilman asiakkaan suostumusta, vai asiakkaan itsensä hyväksymä. Jos asiakas on itse hyväksynyt siirron, kyse ei ole oikeudettomasta maksutapahtumasta samassa mielessä, ja tilanteen selvittely on monimutkaisempaa. Vastuu ratkeaa aina tapauskohtaisesti pankin kanssa ja tarvittaessa riidanratkaisuelimessä, ei nyrkkisäännöllä.

Näin puhelu etenee vaihe vaiheelta

Kaava on hämmästyttävän vakio, koska se on hiottu toimivaksi. Puhelu ei etene sattumalta vaan käsikirjoituksen mukaan.

1. Pohjustus. Saat ensin tekstiviestin tai sähköpostin, jossa kerrotaan epäilyttävästä kirjautumisesta tai maksusta. Viesti ei pyydä vielä mitään. Sen tehtävä on tehdä sinusta huolestunut ennen puhelua.
2. Yhteydenotto. Soitto tulee pian, tyypillisesti minuuttien sisällä. Näytöllä voi näkyä pankin nimi tai suomalainen numero, koska lähettäjätiedon väärentäminen on mahdollista.
3. Uskottavuuden rakentaminen. Soittaja kertoo nimensä ja tehtävänsä, käyttää oikeaa termistöä ja mainitsee jonkin tiedon sinusta. Tieto voi olla julkinen tai vuotanut, mutta se saa keskustelun tuntumaan viralliselta.
4. Uhka. Kerrotaan, että tililtäsi on tehty tai ollaan tekemässä maksua, usein ulkomaille. Tästä syntyy tunnereaktio, joka on huijauksen moottori.
5. Ratkaisun tarjoaminen. Soittaja esittää itsensä auttajaksi ja sinut yhteistyökumppaniksi. Rooli muuttuu: et ole enää epäilty vaan uhri, jota pelastetaan.
6. Toimenpide. Sinua pyydetään tekemään yksi asia: siirtämään varat turvatilille, hyväksymään pankkisovelluksessa "peruutus", lukemaan kertakäyttökoodi ääneen tai asentamaan etäyhteysohjelma.
7. Jatkuvuuden varmistaminen. Sinua pyydetään pysymään linjalla, olemaan kertomatta asiasta muille ja olemaan vastaamatta pankin mahdolliseen soittoon. Tämä on kaikkein selvin yksittäinen tunnusmerkki.

Puhelu voi kestää pitkään ja jatkua useana päivänä. Pitkä kesto ei ole merkki aitoudesta vaan menetelmä: mitä pidempään keskustelu jatkuu, sitä vaikeampi ihmisen on perääntyä siitä, mihin on jo suostunut.

Turvatiliä ei ole olemassa

Turvatili on huijauksen keskeisin valhe ja samalla sen helpoin tunnusmerkki. Ajatus kuulostaa loogiselta: jos tilillä on vaara, rahat siirretään turvallisempaan paikkaan. Pankin toiminta ei kuitenkaan mene näin.

Jos pankki epäilee tilin väärinkäyttöä, se estää tilin tai maksuvälineen käytön omilla toimillaan. Se ei pyydä asiakasta tekemään tilisiirtoa mihinkään, koska siirto on juuri se toimenpide, jota epäilty väärinkäyttö tarkoittaisi. Pankilla ei myöskään ole erillistä "turvatiliä", "vahvistustiliä" tai "väliaikaistiliä", johon asiakas siirtäisi rahansa odottamaan.

Sama koskee muita muotoiluja: vahvistusmaksu, koesiirto, tilin uudelleenaktivointi ja tunnistautumismaksu ovat kaikki samaa keksintöä eri nimillä. Jos pyyntö sisältää sen, että sinä siirrät rahaa, kyse ei ole pankista.

Turvatilin rinnalle on tullut muunnelmia, joissa raha ohjataan pois pankkijärjestelmästä kokonaan. Uhria pyydetään nostamaan käteistä ja tallettamaan se automaattiin, ostamaan lahjakortteja ja lukemaan koodit puhelimessa tai siirtämään varat kryptovaluutaksi "turvalliseen lompakkoon". Kaikilla näillä on sama tarkoitus: katkaista ketju, jota pankki voisi jäljittää tai peruuttaa. Mitä oudompi maksutapa, sitä varmempi merkki huijauksesta, koska mikään aito viranomainen tai pankki ei kerää varoja tällä tavalla.

Miksi kiire ja auktoriteetti purevat myös osaavaan ihmiseen

Huijaus ei perustu siihen, että uhri olisi tietämätön. Se perustuu siihen, miten ihminen käyttäytyy paineen alla. Kun tilanne esitetään kiireellisenä ja uhkaavana, huomio kapenee juuri esitettyyn ongelmaan ja kyky arvioida kokonaisuutta heikkenee. Tämä on normaali reaktio, ei heikkous.

Auktoriteetti vahvistaa vaikutusta. Pankin edustaja on rooli, jota on totuttu tottelemaan, ja rooliin kuuluu oikeus pyytää asioita, joita ei muuten pyydettäisi. Kun soittaja lisäksi asettuu samalle puolelle kanssasi rikollista vastaan, syntyy yhteistyösuhde, jonka rikkominen tuntuu epäkohteliaalta.

Kolmas tekijä on vaiheittaisuus. Kukaan ei suostu heti siirtämään rahaa tuntemattomalle. Sen sijaan suostutaan pieniin asioihin peräkkäin: vahvistetaan nimi, avataan sovellus, katsotaan saldo, luetaan koodi. Jokainen askel on pieni suhteessa edelliseen, ja lopussa ollaan kaukana siitä mihin alun perin suostuttiin.

On myös hyvä tietää, milloin riski on pieni. Pelkkä puhelun vastaanottaminen ei tee mitään, eikä nimen tai osoitteen vahvistaminen yksin riitä rahan siirtämiseen. Vaara syntyy vasta siinä hetkessä, kun teet jotain: annat koodin, painat hyväksy, asennat ohjelman tai teet siirron. Siksi puhelun voi turvallisesti kuunnella loppuun asti, jos se auttaa sinua pysymään rauhallisena, kunhan et tee mitään ennen kuin olet katkaissut ja tarkistanut asian itse.

Tekoälyllä tuotettu puhe on tehnyt tästä uskottavampaa, koska ääni voi olla sujuvaa suomea ja jopa muistuttaa tuttua ihmistä. Sitä, mikä tässä muuttui ja mikä ei, käsitellään artikkelissa tekoäly huijarin työkaluna.

Mitä pankki ei koskaan pyydä

Taulukon vasen sarake on lyhyt ja poikkeukseton. Se kannattaa opetella kokonaisuutena eikä yksittäisinä sääntöinä, koska huijaus keksii jatkuvasti uusia perusteluja mutta pyytää lopulta aina jotain tästä listasta.

Tunnusluku ja hyväksyntä ovat eri asioita

Moni ajattelee, että vaara on vain tunnuslukujen antamisessa. Nykyisin merkittävämpi riski on hyväksynnässä. Kun painat pankkisovelluksessa tai mobiilivarmenteessa hyväksy, teet sähköisen tahdonilmaisun: vahvistat juuri sen tapahtuman, jonka pankki näyttää sinulle ruudulla. Tunnistusvälineen toimintaperiaate on selitetty artikkelissa pankkitunnukset tunnistusvälineenä.

Tästä seuraa kaksi käytännön sääntöä. Ensinnäkin hyväksyntänäkymä pitää lukea, ei vain kuitata. Siinä lukee, mitä ollaan hyväksymässä: kirjautuminen, maksu, saajan nimi ja summa. Jos soittaja sanoo hyväksynnän olevan "vain tunnistautuminen" mutta ruudulla lukee maksu, ruutu on oikeassa.

Toiseksi toistuvat hyväksyntäpyynnöt ovat itsessään hälytysmerkki. Jos puhelimeesi tulee pyyntöjä, joita et itse käynnistänyt, joku yrittää kirjautua tunnuksillasi. Oikea reaktio on hylätä ne kaikki ja vaihtaa salasana, ei painaa hyväksy päästäkseen niistä eroon. Tunnistautumistapojen erot ja niiden kestävyys käydään läpi artikkelissa kaksivaiheinen tunnistautuminen.

Katkaisusääntö, joka toimii ilman asiantuntemusta

Huijauksen tunnistaminen sisällöstä on vaikeaa, koska tarina on suunniteltu uskottavaksi. Siksi kannattaa käyttää sääntöä, joka ei vaadi tarinan arviointia lainkaan.

1. Sano ääneen, että soitat itse takaisin, ja katkaise puhelu. Perustelua ei tarvitse esittää.
2. Varmista, että linja on oikeasti katkennut. Odota hetki tai käytä toista puhelinta. Vanha temppu on jäädä linjalle niin, että seuraava soittosi ohjautuu samaan keskusteluun.
3. Ota numero pankkikortin kääntöpuolelta, pankin omasta sovelluksesta tai sen verkkosivulta. Älä käytä numeroa, jonka soittaja antoi tai joka näkyi puhelulokissa.
4. Soita ja kysy, onko sinuun oltu yhteydessä. Aito asia löytyy pankin järjestelmästä, keksitty ei.

Sääntö toimii myös silloin, kun puhelu oli aito. Pankki ei loukkaannu takaisinsoitosta, koska se on juuri se toimintatapa, jota pankit itse suosittelevat. Jos soittaja painostaa olemaan katkaisematta, kysymys on ratkennut siihen.

Jos siirto on jo tehty tai koodi annettu

Ensimmäiset minuutit ovat arvokkaampia kuin täydellinen selvitys. Soita heti pankkiisi tai sulkupalveluun ja pyydä maksun pysäyttämistä ja tilin sulkemista. Osa siirroista ehditään pysäyttää, jos varat eivät ole vielä poistuneet vastaanottajan tililtä.

Ota sen jälkeen talteen kaikki: puhelinnumero, kellonaika, viestit, tilitapahtumat ja kuvakaappaukset. Tee rikosilmoitus poliisille.

Miksi nopeus ratkaisee enemmän kuin todistelu

Siirretyt varat eivät jää sille tilille, jonne ne maksettiin. Vastaanottajana on tyypillisesti niin sanottu muulitili, joka on avattu toisen ihmisen nimissä tai jonka haltija on värvätty välittämään rahaa palkkiota vastaan. Sieltä varat siirretään eteenpäin nopeasti, usein useaan maahan ja lopulta muotoon, josta paluuta ei ole. Jokainen ketjun askel vähentää mahdollisuutta saada rahat takaisin.

Tästä syystä ilmoituksen järjestys on tärkeämpi kuin sen täydellisyys. Soita ensin, kirjoita vasta sitten. Pankin selvityspyyntöä varten ei tarvitse osata nimetä huijaustyyppiä eikä selittää, miksi uskoi soittajaa. Riittää, että kerrot mihin ja milloin raha lähti. Yksityiskohtaisempi järjestys ja takaisinperinnän realistiset mahdollisuudet on kuvattu artikkelissa rahat menivät huijarille.

Huijauksen kohteeksi joutuminen ei ole tyhmyyden merkki, ja häpeä on rikollisen paras liittolainen, koska se hidastaa ilmoittamista. Jos huijaus koski iäkästä läheistä, kannattaa lukea myös ikäihmisen digiapu, jossa käsitellään avun antamista ilman että tekee asioita toisen puolesta.

Sovi lopuksi kotona yksi käytäntö: pankkiasioista ei koskaan päätetä puhelun aikana. Kaikki tarkistetaan katkaisemalla ja soittamalla itse. Se on ainoa sääntö, joka kestää myös seuraavan version huijauksesta.