Kulku
Ranskan tietosuojaviranomainen CNIL kuvaa väärän maksumääräyksen eli niin sanotun ”toimitusjohtajahuijauksen” useana vaiheena. Huijari selvittää yrityksen tiedot: organisaatiokaavio, asiakkaat, toimittajat. Hän valmistelee yrityksen tai toimittajan verkkotunnusta muistuttavan väärän verkkotunnuksen tai esiintyy työntekijänä. Sitten hän kirjoittaa tai soittaa esiintyen johtajana tai toimittajana ja esittää pyynnön, joka on muka kiireellinen ja ylimmän johdon hyväksymä.
Muunnelmat muistuttavat toisiaan:
- odottamaton, kiireellinen ja luottamuksellinen tilisiirto, jota pyytää väärä johtaja tai konsernin väärä vastuuhenkilö;
- toimittaja, joka ilmoittaa tilinumeron muutoksesta seuraavia laskuja varten;
- väärä lasku, jossa on oikea summa ja oikea muoto;
- viranomaisen väärä tarkastus, jonka avulla kirjoitetaan sitten yrityksen asiakkaille uudella pankkitilillä, kuten Ranskan talousministeriö kuvaa.
Vipuvarsi on aina inhimillinen: kiire, salassapito, auktoriteetti. Ranskan talousministeriö neuvoo olemaan toimimatta hätiköiden, vaikka keskustelukumppani olisi itsepintainen, ja olemaan erityisen valppaana lomakausina, kun taloushallinto toimii vajaalla miehityksellä.
Esimerkki havainnollistukseksi. Perjantaina iltapäivällä pk-yrityksen kirjanpitäjä saa viestin ”toimitusjohtajalta”: luottamuksellinen yrityskauppa, asianajaja, joka soittaa pian, tilisiirto, joka on tehtävä ennen maanantaita. Viestissä ei ole liitettä eikä linkkiä. Sen näyttönimi on oikea, osoite ei. Mikään ei ole teknisesti ”saastunutta”.
Neljä väärentämisen muotoa, ei yksi
| Muoto | Miltä se näyttää | SPF, DKIM, DMARC | Mikä voi havaita sen |
|---|
| Väärennetty näyttönimi | ”Claire Martin, toimitusjohtaja” kirjoittaa ilmaisesta sähköpostipalvelusta | Voimassa lähettäjän todelliselle verkkotunnukselle; DMARC ei käsittele näyttönimeä | Näyttönimen, osoitteen ja verkkotunnuksen esihenkilöiden nimien vertailu |
| Samannäköinen verkkotunnus | Tuplattu kirjain, väliviiva, eri pääte | Voivat olla täydelliset samannäköiselle verkkotunnukselle | Samankaltaisuus teidän tai toimittajan verkkotunnuksen kanssa, verkkotunnuksen ikä, maine |
| Täsmälleen teidän verkkotunnuksenne, lähetetty muualta | Näytetty osoite on aito | DMARC epäonnistuu; se pysäyttää viestin, jos verkkotunnuksen politiikka sitä vaatii | DMARC-tarkistus vastaanotettaessa |
| Todella murrettu tili | Viesti tulee johtajan tai toimittajan aidosta postilaatikosta | Kaikki on voimassa | Muuttunut käyttäytyminen, sisältö (uusi tilinumero) ja ennen kaikkea tarkistusmenettely |
DMARC-määrittely sanoo sen itse: se ei käsittele visuaalisesti samankaltaisia verkkotunnuksia eikä näyttönimen väärinkäyttöä. Kolme neljästä tapauksesta välttää siis verkkotunnuksen todennuksen. Yksityiskohdat ovat oppaassa SPF, DKIM ja DMARC, ja varastetun tilin tapaus oppaassa roskaposti, tietojenkalastelu, haittaohjelmat ja murrettu tili.
Minkä tekniikka pysäyttää
- Täsmälleen väärennetyn verkkotunnuksen, kun verkkotunnus julkaisee karanteeni- tai hylkäyspolitiikan DMARC:ssa.
- Samannäköisen verkkotunnuksen vertaamalla sitä teidän, toimittajienne ja tunnettujen tuotemerkkien verkkotunnuksiin sekä verkkotunnuksen iän perusteella: viime viikolla luotu verkkotunnus, joka jäljittelee teidän verkkotunnustanne, on vahva signaali.
- Harhaanjohtavan näyttönimen, kun suodatin tietää, ketkä ovat yrityksen esihenkilöitä, ja vertaa näyttönimeä todelliseen osoitteeseen.
- Tunnetut kuviot: kiireellinen tilisiirtopyyntö, pankkitietojen muutos, väärä lasku, kehotus soittaa numeroon. Suodatin voi tunnistaa nämä kuviot tekstistä ilman liitettä tai linkkiäkin.
- Poikkeaman: vakiintunut toimittaja, joka yhtäkkiä kirjoittaa toisesta maasta, eri aikaan, pyynnöllä, jota se ei ole koskaan esittänyt.
Usein unohtuva seikka: suodatin ei oletuksena tiedä, kuka on johtajanne tai keitä toimittajanne ovat. Tämän kontekstin antaminen sille, esihenkilöiden nimet ja vakiintuneet toimittajat, on se, mikä antaa sen havaita väärän johtajan.
Mitä tekniikka ei ratkaise
Suodatin vähentää saapuvien väärien viestien määrää. Se ei hyväksy maksua. Todella murrettu tili, uskottava pyyntö, listoille tuntematon samannäköinen verkkotunnus: viesti voi päästä läpi. Viimeinen este on menettely.
Menettelyyn kirjattavat toimintatavat
- Jokainen pankkitietojen muutos vahvistetaan jo tunnettua kanavaa pitkin: soitto toimittajan rekistereistänne löytyvään numeroon, ei koskaan viestissä annettuun. CNIL suosittaa ottamaan tunnettuihin yhteyshenkilöihin yhteyttä puhelimitse tai henkilökohtaisesti.
- Kaksinkertainen hyväksyntä tietyn rajan yli, kahden henkilön toimesta, joista toinen on viestiketjun ulkopuolella.
- Kiire ja salassapito ovat varoitusmerkkejä, eivät syitä kiirehtiä. Aito johtaja hyväksyy takaisinsoiton.
- Ajantasainen luettelo toimittajien ja asiakkaiden yhteyshenkilöistä, kuten CNIL suosittaa, jotta tiedetään, kenelle soittaa.
- Tehostettu valppaus lomakausina, tilinpäätösten aikaan tai organisaatiomuutoksissa.
- Omaa verkkotunnusta muistuttavien verkkotunnusten varaaminen ja kaksivaiheinen tunnistautuminen sähköpostiin, kaksi CNIL:n mainitsemaa toimenpidettä.
Kenen on tunnettava nämä säännöt
Ei vain taloushallinnon. Johdon assistentit, ostajat, toimittajatietoja hallinnoivat henkilöt ja poissaolijoiden sijaiset ovat kuvion luontevia kohteita, koska heillä on pääsy maksuihin tai pankkitietoihin. CNIL suosittaa työntekijöiden kouluttamista tarkistamaan verkkotunnukset ja suhtautumaan epäluuloisesti epätavallisiin pyyntöihin. Lyhyt, kaikkien tuntema ja säännöllisesti muistutettu kirjallinen sääntö on parempi kuin suullinen ohje: sen turvin työntekijä voi sanoa väärälle johtajalle ”ei” pelkäämättä, että johto asettuu häntä vastaan.
Jos vilpillinen tilisiirto on jo lähtenyt: soittakaa heti pankkiin yrittääksenne perua sen, säilyttäkää viestit, tehkää rikosilmoitus. Ilmoittakaa myös asiakkaille tai toimittajille, joiden nimeä on käytetty.
Usein kysyttyä
Riittääkö DMARC toimitusjohtajahuijausta vastaan?
Ei. Se pysäyttää verkkotunnuksenne täsmällisen väärentämisen, ei samannäköistä verkkotunnusta eikä näyttönimeä. Katso SPF, DKIM ja DMARC.
Voiko viesti ilman liitettä tai linkkiä olla vaarallinen?
Kyllä. Tilisiirtohuijaus tarvitsee vain uskottavan tekstin ja henkilön, joka toteuttaa pyynnön.
Viesti tulee toimittajan aidosta osoitteesta: onko se turvallinen?
Ei välttämättä: toimittajan tili on voitu varastaa. Katso murrettu tili. Puhelimitse tehty tarkistus ratkaisee.
Huijausviesti on asetettu karanteeniin: pitääkö se vapauttaa tarkistusta varten?
Ei. Tarkistakaa asia tunnetulta yhteyshenkilöltä vapauttamatta viestiä. Katso Karanteeni, väärät positiiviset ja ilmoitukset.
Klyticin asema
Klytic MTA jakaa tämän suojan kahden pakettinsa kesken. Se toimii minkä tahansa sähköpostijärjestelmän edessä, ilman Klytic Mailia.
| Suoja | Essential | Advanced |
|---|
| SPF-, DKIM- ja DMARC-tarkistus, myös edelleenlähetetyille viesteille | Kyllä | Kyllä |
| Tuotemerkin väärentäminen, samannäköiset verkkotunnukset, näyttönimen väärentäminen | Kyllä | Kyllä |
| Lähettäjän epätavallinen käyttäytyminen | Kyllä | Kyllä |
| Toimitusjohtajahuijaus | Ei | Kyllä |
| Väärät laskut, väärät tilisiirrot, kryptovaluutat, palautukset, rahoitukset, puhelinsoitot | Ei | Kyllä |
| Tekstiviestihälytys, kun tärkeä lähettäjä kirjoittaa | Lisäpalvelu | Lisäpalvelu |
Verkkotunnuksen huijauskontekstin (esihenkilöiden nimet, vakiintuneet toimittajat) säätää verkkotunnuksen pääkäyttäjä: katso Kuka säätää suodatinta Klytic MTA:ssa.
Mitä Klytic MTA ei tee: se ei hyväksy yhtään maksua eikä korvaa tilisiirtomenettelyänne. Se ei näe suoraa puhelinsoittoa, vain viestit, jotka kehottavat soittamaan.
Tämä sivu kuvaa yleisiä toimenpiteitä. Se ei korvaa pankkinne eikä viranomaisten neuvoja todetun huijauksen sattuessa.
Lähteet
Tarkistettu lokakuussa 2026.
- CNIL, ”Le faux ordre de virement international ou fraude au président”: hyökkäyksen kulku (tiedustelu, samankaltainen verkkotunnus, kiireellinen pyyntö), ennaltaehkäisytoimet (takaisinsoitto tunnetuille yhteyshenkilöille, hyväksyntämenettelyt, samankaltaisten verkkotunnusten varaaminen, kaksivaiheinen tunnistautuminen). cnil.fr
- Ranskan talousministeriö, ”Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président”: kiireelliseksi ja luottamukselliseksi esitetty tilisiirto, viranomaisena esiintyminen tilinumeron muutoksen ilmoittamiseksi, ei hätiköintiin, valppaus lomakausina. economie.gouv.fr
- RFC 7489, DMARC: mekanismin ulkopuolelle jäävät visuaalisesti samankaltaiset verkkotunnukset ja näyttönimen väärinkäyttö. rfc-editor.org
- Klytic, Klytic MTA -sivu: taloudellisten huijausten torjunnan jako Essential- ja Advanced-pakettien kesken, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta. klytic.com
