Suomessa sähköpostilasku voi ohjata rahat huijarille

Sähköpostitse vastaanotettu lasku voi vaikuttaa täysin normaalilta: lähettäjä on tuttu, summa vastaa tehtyä tilausta ja asiakirjan ulkoasu näyttää oikealta. Silti laskun pankkitiedot on saatettu vaihtaa rikollisen hallitsemaan tiliin. Suomessa toimivien yritysten ja kuluttajien kannattaa kiinnittää tähän erityistä huomiota, sillä laskutushuijaukset ovat yhä kehittyneempiä.

Kyse ei useinkaan ole helposti tunnistettavasta huijausviestistä, jossa on kirjoitusvirheitä tai epäilyttäviä linkkejä. Rikollinen voi murtautua yrityksen sähköpostitilille, seurata viestinvaihtoa ja hyödyntää aitoja laskuja sekä olemassa olevia asiakassuhteita. Näin syntyy uskottava petos, joka perustuu niin sanottuun BEC-menetelmään eli yrityssähköpostin kaappaukseen.

Miten BEC-huijaus toimii?

Hyökkääjä voi päästä käsiksi yrityksen sähköpostiin esimerkiksi varastetun salasanan, tietojenkalastelun tai puutteellisen monivaiheisen tunnistautumisen kautta. Tämän jälkeen rikollinen voi lähettää asiakkaalle uuden laskun tai muokata olemassa olevaa laskupohjaa. Viestin sisältö, logo, laskun summa ja lähettäjän nimi voivat olla oikeita, mutta tilinumero johtaa huijarin tilille.

Kyberturvallisuuskeskus on varoittanut vastaavista tapauksista myös Suomessa. Helmikuussa 2026 esiin nousseessa huijausaallossa rikolliset olivat selvittäneet yritysten avoimia laskuja ja maksusuorituksia tehdäkseen mahdollisimman uskottavia maksupyyntöjä. Huijaus voi tulla toimittajan, yhteistyökumppanin, yritysjohdon tai tutun laskuttajan nimissä – jopa aidosti murretusta sähköpostiosoitteesta.

Loppukesä lisää maksupetosten riskiä

Elokuun lopussa riski voi kasvaa, kun työntekijät palaavat lomilta ja käsittelevät nopeasti kertynyttä sähköpostia, laskuja ja maksupyyntöjä. Kiire, suuri viestimäärä ja taloushallinnon ruuhka voivat johtaa siihen, että tilitietoja ei tarkisteta riittävästi.

Myös Suomessa sähköiset laskut, verkkopankit, taloushallinnon pilvipalvelut ja automaattiset maksuprosessit ovat arkipäivää. Ne tehostavat yritysten toimintaa, mutta samalla yhden väärän tilinumeron hyväksyminen voi ohjata suuren maksun rikolliselle.

Poikkeava IBAN on aina tarkistettava

Selkein varoitusmerkki on tilinumero, joka vaihtuu ilman ennakkoilmoitusta. Epäilyksiä herättävät myös pyyntö käyttää uutta maksutapaa, ulkomainen IBAN, poikkeava lähettäjän osoite tai viesti, jossa vaaditaan toimimaan heti. Ulkomainen tili ei yksin todista huijausta, sillä rikolliset voivat käyttää myös suomalaisia pankkitilejä.

Muutos on varmistettava toista viestintäkanavaa käyttäen. Soita laskuttajalle aiemmin tunnettuun puhelinnumeroon tai tarkista tiedot yrityksen virallisilta verkkosivuilta. Älä vastaa epäilyttävään sähköpostiin äläkä käytä viestissä annettuja uusia yhteystietoja. Suurempi tilisiirto kannattaa maksaa vasta, kun maksunsaajan nimi ja tilinumero on vahvistettu.

E-lasku ja sähköpostilasku eivät ole sama asia

Suomalaisille kuluttajille pankin e-lasku voi tarjota sähköpostilaskua turvallisemman vaihtoehdon, koska lasku välitetään pankin palveluun ennalta hyväksytyltä lähettäjältä. Yrityksissä verkkolasku, taloushallinnon automaattiset tarkistukset ja toimittajarekisterin muutosten hyväksyntä voivat pienentää riskiä. Mikään järjestelmä ei kuitenkaan korvaa poikkeavien tilitietojen manuaalista varmistamista.

Yrityksen kannattaa toimia nopeasti

Jos sähköpostitili on kaapattu, uhka koskee paljon muutakin kuin yhtä laskua. Rikollinen voi lukea sopimuksia, tilausvahvistuksia ja maksuhistoriaa sekä käyttää tietoja uusien, entistä vakuuttavampien huijausten rakentamiseen. Yrityksen tulee vaihtaa tunnukset, katkaista luvattomat istunnot, ottaa monivaiheinen tunnistautuminen käyttöön, ilmoittaa yhteistyökumppaneille mahdollisesta murrosta ja ottaa yhteyttä pankkiin mahdollisimman nopeasti. Lisäksi tapauksesta on syytä tehdä rikosilmoitus ja ilmoittaa siitä Kyberturvallisuuskeskukselle.

Yksinkertainen tarkistus ennen laskun maksamista voi estää merkittävän taloudellisen vahingon. Jos tilinumero muuttuu yllättäen, pysähdy hetkeksi ja varmista muutos suoraan laskuttajalta.