Poliisi varoittaa: Vakava AITM-hyökkäys kiertää pankkitunnusten suojauksen – voit päätyä jopa rikosepäillyksi

Janne Yli-Korhonen
20. maaliskuuta, 2026 22:31

Poliisin valtakunnallinen tietoverkkoavusteisten rikosten tutkintayksikkö (TVA) on julkaissut vakavan varoituksen uudesta huijaustavasta, joka piinaa suomalaisia pankkikäyttäjiä. Kyseessä on niin sanottu AITM-hyökkäys (Adversary-in-the-Middle), jolla rikolliset kykenevät ohittamaan jopa vahvan kaksivaiheisen tunnistautumisen.
Tällä hetkellä tutkinnassa on noin 30 törkeän petoksen sarja, joissa tätä tekniikkaa on hyödynnetty.

Näin "mies välissä" -hyökkäys toimii

Toisin kuin perinteisessä kalastelussa, jossa tunnukset vain tallennetaan myöhempää käyttöä varten, AITM-hyökkäys tapahtuu reaaliajassa.
Ensiksi uhri houkutellaan aidon näköiselle valesivulle sähköpostin, tekstiviestin tai hakukonetuloksen (esim. Googlen mainokset) kautta. Sivustolla rikollinen istuu uhrin ja oikean pankkipalvelun välissä. Kun uhri syöttää tunnuksensa valesivulle, rikollinen välittää ne välittömästi eteenpäin oikealle pankille.

Kun pankki pyytää vahvistusta, uhri hyväksyy sen luullen kirjautuvansa itse palveluun. Todellisuudessa hän hyväksyykin rikollisen istunnon, ja hyökkääjä saa täyden pääsyn tilille.

Tämä tekee hyökkäyksestä erityisen vaarallisen: kaksivaiheinen tunnistautuminen ei suojaa käyttäjää, jos hän itse hyväksyy hyökkääjän aloittaman kirjautumisen.

Uhri voi päätyä epäillyksi rahanpesuun

Poliisi nostaa esiin uuden ja huolestuttavan ilmiön: huijauksen kohteeksi joutuneen henkilön tiliä saatetaan käyttää rikoshyödyn kierrättämiseen.

Rikolliset voivat siirtää uhrin tilille varoja muilta petoksen uhreilta ja siirtää ne nopeasti edelleen ulkomaille. Tällöin uhri saattaa näyttäytyä esitutkinnassa rahanpesusta epäiltynä, vaikka hän on itsekin petoksen uhri.

"Erityisen huolestuttavaa on, että uhri voi näyttäytyä esitutkinnassa rahanpesusta epäiltynä. Jaan huolen sähköisten tunnistautumispalvelujen väärinkäytösten mahdollisuudesta tietoturva-asiantuntija Petteri Järvisen kanssa, joka on nostanut sähköisten tunnistautumispalvelujen väärinkäyttömahdollisuuksia esille jo jonkin aikaa. Rikolliset voivat tehdä näillä paljon pahaa ja aiheuttaa paljon harmia ihmisille. Haluan kuitenkin painottaa ja korostaa, että itse sähköiset tunnistautumisvälineet ovat normaalissa käytössä ja oikein käytettyinä turvallisia tapoja tunnistautua. Jos sähköiset tunnistautumisvälineet menettää rikollisten haltuun, voi niillä tehdä lyhyessäkin ajassa paljon vahinkoa. Huoli kohdistuu nimenomaan uhrilta huijattuihin sekä rikollisten haltuun menetettyihin sähköisiin tunnistautumisvälineisiin", kommentoi valtakunnallisen TVA-yksikön tutkinnanjohtaja, rikoskomisario Tommi Juvonen.

Hyökkäykseltä voi helpoiten välttyä tutuilla opeilla.

Esimerkiksi pankin sivuille ei tule mennä tekstiviestin tai sähköpostiviestin linkistä. Näitä viranomaiset eivät lähettele oikeissa, virallisissa viesteissä. Kirjoita osoite itse selaimeen tai käytä pankin virallista mobiilisovellusta.

Kun puhelimesi pyytää vahvistamaan tapahtuman, varmista, että olet juuri sillä sekunnilla itse aloittanut kyseisen toiminnon. Jos viesti tulee yllättäen, älä hyväksy sitä. Jos huomaat outoja suorituksia tai kirjautumisyrityksiä, ota heti yhteys pankkiisi ja tee rikosilmoitus.