Tekoäly huijarin työkaluna: mikä muuttui viesteissä ja äänissä

Huijausviestin tunnisti pitkään ilman erityistä osaamista. Kieli oli konekäännöksen kaltaista, sanajärjestys oli väärä, ääkköset puuttuivat ja ulkoasu oli karkea jäljitelmä. Näiden merkkien varaan rakennettiin sekä yleisiä ohjeita että henkilökohtaista vaistoa. Ne merkit ovat nyt suurelta osin poissa.

Muutos ei ole se, että olisi syntynyt uusia huijaustyyppejä. Tavoitteet ovat samat kuin ennenkin: rahaa, tunnuksia tai pääsy laitteelle. Muuttunut on tuotantokustannus. Kun uskottavan viestin, äänen tai videon tekeminen ei enää vaadi kielitaitoa eikä käsityötä, laadukkaita huijauksia voidaan tehdä yhtä paljon kuin huonoja tehtiin aiemmin. Tässä artikkelissa käydään läpi, mitkä vanhat merkit lakkasivat toimimasta ja mitkä tarkistukset toimivat tilalla. Väärennettyjen kuvien ja videoiden tekniikka on kuvattu erikseen artikkelissa syväväärennökset, ja kalastelun perusmekanismi artikkelissa tietojenkalastelu.

Miksi kielivirheet katosivat ja mitä se tarkoittaa

Kömpelö kieli ei ollut koskaan huijauksen ominaisuus vaan seuraus siitä, että tekijä ei osannut kieltä. Suomi oli tässä poikkeuksellisen hyvä suoja, koska se on pieni kieli ja käännösohjelmat tuottivat siitä helposti tunnistettavaa jälkeä. Kielimallit poistivat tämän suojan, koska ne tuottavat sujuvaa suomea ilman että kirjoittaja osaa sanaakaan.

Osa asiantuntijoista on esittänyt, että huono kieli toimi aiemmin myös suodattimena: se karsi pois ne, jotka huomaisivat huijauksen myöhemmin, ja jätti jäljelle helpoimmin taipuvat kohteet. Tästä tulkinnasta ei ole yksimielisyyttä. Käytännön kannalta sillä ei ole väliä, koska lopputulos on sama: viestin kieliasusta ei voi päätellä mitään.

Sama koskee ulkoasua. Logo, sähköpostipohja, verkkosivun rakenne ja jopa asiakaspalvelun sävy ovat kopioitavissa vaivatta. Myös tekoälyllä kirjoitetun tekstin tunnistaminen on epäluotettavaa, ja syyt siihen on käsitelty artikkelissa tekoälyllä kirjoitettu teksti. Tunnistus ei siis voi nojata siihen, kuka tai mikä tekstin kirjoitti.

Kohdennus: miksi viesti tuntuu sinulle kirjoitetulta

Toinen muutos on kohdentaminen. Aiemmin huijausviesti oli sama kaikille, koska yksilöllisen viestin kirjoittaminen tuhannelle vastaanottajalle olisi vaatinut työtä. Nyt julkisesti saatavilla oleva tieto voidaan koota ja muuntaa henkilökohtaiseksi viestiksi automaattisesti.

Aineisto on tavallisempaa kuin luullaan: työpaikka ja titteli ammatillisesta verkostopalvelusta, harrastukset ja perhesuhteet sosiaalisesta mediasta, yhdistysten jäsenluettelot, yritysten yhteystietosivut ja julkiset rekisterit. Näistä syntyy viesti, joka mainitsee oikean esihenkilön nimen, oikean projektin tai juuri tehdyn ostoksen. Kohdennettu kalastelu ei siis ole enää vain organisaatioiden johtoon kohdistuva erikoistapaus, vaan se on tullut halvaksi kaikille.

Määrä on tässä tärkeämpi kuin taito. Kohdennettu viesti oli aiemmin kallis tehdä, joten sitä käytettiin harvoin ja valikoiden. Kun kustannus laskee lähelle nollaa, sama tarkkuus voidaan kohdistaa kehen tahansa. Siksi tavallinen kuluttaja voi nyt saada viestin, joka olisi aiemmin lähetetty vain yrityksen talousjohtajalle.

Kohdentaminen vaikuttaa myös ajoitukseen. Viesti, joka viittaa julkisesti tiedossa olevaan tapahtumaan, kuten muuttoon, työpaikan vaihtoon tai tilaukseen, osuu hetkeen, jolloin odotat aiheeseen liittyvää yhteydenottoa. Sama ajoituksen logiikka on tuttu perinteisistä huijausviesteistä Suomessa, mutta tarkkuus on nyt aivan toista luokkaa.

Keskustelu, joka ei väsy

Kolmas muutos näkyy pitkäkestoisissa huijauksissa. Aiemmin viikkoja kestävä keskustelu vaati tekijältä aikaa, ja aika rajoitti sitä, kuinka montaa kohdetta yksi ihminen pystyi käsittelemään. Kun vastauksia voidaan tuottaa koneellisesti, sama tekijä voi ylläpitää useita rinnakkaisia keskusteluja, joissa jokainen vastaus tulee nopeasti ja pysyy tarinassa johdonmukaisena.

Tämä näkyy erityisesti tunnesuhteeseen ja sijoittamiseen perustuvissa huijauksissa, joissa luottamus rakennetaan ennen ensimmäistä pyyntöä. Käytännön seuraus on, että keskustelun sujuvuus, nopeus ja muistaminen eivät ole todisteita aidosta ihmisestä. Aiemmin kömpelöt tai ristiriitaiset vastaukset paljastivat käsikirjoituksen, nyt ristiriitoja on vähemmän.

Kannattaa silti muistaa, että pyyntö tulee ennen pitkään samassa muodossa kuin ennenkin. Raha pyydetään kanavaan, josta sitä ei saa takaisin, ja tapaaminen ei järjesty.

Ääni: tuttu puhe ei enää varmista soittajaa

Puhelinkanavassa muutos on kaikkein konkreettisin. Puheen jäljittely vaatii vain lyhyen näytteen kohteen äänestä, ja näytteitä on tarjolla videoissa, äänitteissä, podcasteissa ja vastaajaviesteissä. Tekniikka on selitetty artikkelissa äänen kloonaus.

Käytännössä tämä tarkoittaa hätäpuhelua, jossa läheinen kertoo joutuneensa onnettomuuteen tai pidätetyksi ja tarvitsevansa rahaa heti. Ääni on tunnistettava, tilanne on kiireellinen ja tunne estää tarkistuksen. Yrityksissä sama tekniikka kohdistuu maksuihin: soittaja kuulostaa toimitusjohtajalta ja pyytää poikkeuksellista tilisiirtoa ohi normaalin menettelyn.

Tärkeä rajaus: jäljittely ei tarkoita, että soittaja kuulisi ja vastaisi kaikkeen luontevasti. Epäröinti, oudot tauot ja kiertelevät vastaukset yksityiskohtia kysyttäessä ovat edelleen mahdollisia merkkejä. Niihin ei kuitenkaan kannata nojata, koska tekniikka kehittyy ja kohteena oleva ihminen on järkyttynyt. Puhelun varmistaminen käytännössä on käsitelty artikkelissa ääniväärennös puhelimessa.

Muodon tarkistuksesta pyynnön tarkistukseen

Kun muoto ei enää erottele, tarkistus siirtyy sisältöön. Alla oleva taulukko kokoaa vanhat merkit ja niiden tilalle tulevat kysymykset.

Taulukon oikea sarake on kestävä siksi, että se ei koske viestin ulkonäköä lainkaan. Rahansiirto, tunnusten antaminen, kertakäyttökoodin lukeminen ääneen ja etäyhteyden avaaminen ovat pyyntöjä, joiden riski on sama riippumatta siitä, kuka pyynnön esitti tai miten hyvin se oli muotoiltu.

Takaisinsoittosääntö

Yksinkertaisin toimiva käytäntö on takaisinsoitto. Se katkaisee sekä äänen jäljittelyn että kiireen, koska huijaus tarvitsee yhden yhtäjaksoisen tilanteen. Sääntö on kolmiosainen.

1. Älä toimi kesken puhelun tai viestin. Kerro, että palaat asiaan, ja lopeta yhteys.
2. Hae yhteystieto itse. Käytä pankkikortin takana olevaa numeroa, organisaation virallisilta sivuilta löytyvää numeroa tai läheisen numeroa omista yhteystiedoistasi.
3. Soita ja kysy sama asia uudelleen. Jos pyyntö oli aito, se on olemassa myös silloin, kun sinä soitat.

Älä käytä numeroa, jonka soittaja antaa, äläkä numeroa, joka näkyy viestissä. Sama koskee tilanteita, joissa sinua pyydetään pysymään linjalla samalla kun tarkistat asiaa. Aito viranomainen tai pankki ei koskaan estä sinua lopettamasta puhelua.

Sääntö kannattaa opetella etukäteen, koska hätätilanteessa ei keksitä uusia toimintatapoja. Sen voi myös sanoa ääneen puhelun aikana: ilmoita soittajalle, että tarkistat asian ja soitat takaisin. Aidon yhteydenoton kohdalla tästä ei seuraa mitään ongelmaa.

Yritysten kannalta sama sääntö kirjoitetaan menettelyksi: poikkeukselliset maksut vahvistetaan aina toisella kanavalla ja toisella henkilöllä. Silloin yksittäinen uskottava puhelu ei riitä liikuttamaan rahaa.

Perheen tunnussana

Läheisten kesken kannattaa sopia tunnussana, jota kysytään silloin kun joku pyytää rahaa tai apua poikkeuksellisessa tilanteessa. Se on halpa ja yllättävän tehokas suoja, koska tekijä voi jäljitellä ääntä mutta ei tiedä sanaa.

• Valitse sana tai lyhyt lause, jota ei löydy kenenkään sosiaalisen median päivityksistä. Lemmikin nimi tai kesämökin paikkakunta eivät kelpaa.
• Sovi sana kasvokkain tai puhelimessa, älä kirjoita sitä pikaviestiin, sähköpostiin tai muistiinpanosovellukseen.
• Kerro sana myös iäkkäille vanhemmille ja lapsille, koska juuri he ovat hätäpuheluiden tavallisimmat kohteet.
• Sovi, että sanaa kysytään aina, eikä sen kysyminen ole loukkaus. Sääntö toimii vain, jos sitä käytetään myös silloin kun tilanne tuntuu selvältä.
• Vaihda sana, jos se on kerrottu vahingossa eteenpäin tai jos siitä on puhuttu julkisesti.

Yksi lisäohje kannattaa sopia samalla: jos joku soittaa hädässä ja pyytää rahaa, asia varmistetaan aina toisella yhteydellä, esimerkiksi soittamalla toiselle perheenjäsenelle.

Mitä tekoäly ei muuta

Muutoksen mittakaava kannattaa pitää oikeana, koska pelko heikentää arviointikykyä yhtä tehokkaasti kuin liika luottamus. Moni asia pysyy ennallaan.

Raha kulkee edelleen jonnekin. Tilinumero, maksupalvelu tai kryptovaluuttalompakko on olemassa, ja epätavallinen maksutapa on yhä sama varoitusmerkki kuin ennenkin. Tekoäly ei myöskään muuta sitä, että aito pankki ei pyydä tunnuksia, että viranomainen ei peri maksuja puhelimessa ja että kertakäyttökoodia ei anneta kenellekään. Näiden sääntöjen voima on juuri siinä, että ne eivät riipu viestin uskottavuudesta.

Ennallaan pysyy myös se, että huijaus tarvitsee kiireen. Jokainen tässä artikkelissa kuvattu tekniikka menettää tehonsa, jos tarkistukselle otetaan aikaa. Tekoäly parantaa esityksen laatua, mutta se ei poista tarvetta saada kohde toimimaan ennen kuin tämä ehtii kysyä keneltäkään muulta. Siksi ainoa yleispätevä vastatoimi on hitaus.

Ennallaan pysyvät myös ilmoituskanavat. Pankin sulkupalvelu, poliisin rikosilmoitus ja Kyberturvallisuuskeskuksen ilmoituslomake toimivat samalla tavalla riippumatta siitä, millä työkalulla huijaus tehtiin. Tekoälyn käyttö ei muuta rikoksen luonnetta eikä uhrin oikeuksia.

Tekniset merkinnät auttavat jonkin verran mutta eivät ratkaise ongelmaa. Tekoälysisällön vesileimat ja alkuperätiedot on käsitelty artikkelissa vesileimat ja C2PA, ja niiden rajoitus on selvä: merkintä kertoo jotain silloin kun se on olemassa, mutta sen puuttuminen ei todista mitään. Huijari ei myöskään lisää merkintöjä vapaaehtoisesti.

Käytännön johtopäätös on kolme sääntöä, jotka kestävät tekniikan muutokset. Arvioi pyyntö, älä muotoa. Katkaise yhteys ja ota se itse uudelleen omaa reittiäsi. Sovi läheisten kanssa tunnussana ennen kuin sitä tarvitaan. Sama logiikka pätee myös rahaa lupaaviin yhteydenottoihin, joiden rakenne on kuvattu artikkelissa sijoitushuijaus.