Ammattimainen kyberrikollisuus ei enää kohdistu vain suuryrityksiin. Päinvastoin, pk-yritys on usein jopa houkuttelevampi kohde, koska sen puolustus oletetaan heikommaksi ja henkilöstöllä on tyypillisesti monta hattua päässä – tietoturva ei aina ole päällimmäisenä mielessä. Vuonna 2026 uhat ovat yhä harvemmin yksinkertaisia viruksia, ja yhä useammin monivaiheisia operaatioita, joiden tavoitteena on raha, data tai toiminnan lamauttaminen.

Kyse ei ole enää siitä, jos yrityksesi joutuu hyökkäyksen kohteeksi, vaan milloin se tapahtuu ja kuinka hyvin olet valmistautunut. Tässä viisi yleisintä kyberuhkaa ja käytännön ohjeet niiden torjuntaan.

1. Sosiaalinen manipulointi ja kohdennettu tietojenkalastelu

Tietojenkalastelu ei ole enää pelkästään kömpelöitä sähköposteja huonolla suomen kielellä. Nykyaikaiset hyökkäykset ovat tarkasti kohdennettuja (ns. spear phishing), uskottavia ja psykologisesti ovelia. Rikolliset hyödyntävät julkisesti saatavilla olevaa tietoa, kuten työntekijöiden nimikkeitä LinkedInistä, luodakseen viestejä, jotka näyttävät tulevan luotettavalta taholta.

Erityisen vaarallinen muoto on toimitusjohtajahuijaus (Business Email Compromise, BEC), jossa hyökkääjä esiintyy yrityksen johtajana ja painostaa alaistaan tekemään kiireellisen rahansiirron tai luovuttamaan arkaluonteista tietoa. Paine, kiire ja auktoriteetin kunnioitus ovat tehokas yhdistelmä.

Miten tunnistat:

• Poikkeuksellinen kiire: Viesti vaatii välitöntä toimintaa ja uhkaa negatiivisilla seurauksilla, jos et toimi heti.
• Epätavallinen pyyntö: Toimitusjohtaja pyytää sinua ostamaan lahjakortteja tai tekemään tilisiirron oudolle tilille sähköpostitse.
• Tarkista lähettäjän osoite: Nimi saattaa näyttää oikealta, mutta sähköpostiosoite paljastaa usein huijauksen (esim. toimitusjohtaja@yrityksesi.co eikä .fi).
• Linkkien ja liitteiden aitous: Vie hiiren kursori linkin päälle ilman klikkaamista. Näyttääkö osoite luotettavalta? Onko liite odottamaton?

Miten torjut:

1. Monivaiheinen tunnistautuminen (MFA): Tämä on tärkein yksittäinen suoja. Vaikka rikollinen saisi salasanasi, hän ei pääse tilillesi ilman puhelimeesi tulevaa vahvistusta.
2. Henkilöstön koulutus: Teknologia ei voi estää kaikkea. Kun henkilöstö oppii tunnistamaan huijausyritykset, inhimillisestä virheestä tulee vahvin puolustuslinja. Säännöllinen kyberturvallisuuskoulutus on välttämätön investointi.
3. Selkeät prosessit: Luo sisäiset säännöt rahansiirroille ja tietojen luovutukselle. Esimerkiksi kaikki maksupyynnöt on vahvistettava toista kanavaa pitkin, kuten soittamalla.

2. Kiristysohjelmat ja datavuodot

Kiristysohjelma on yksi tuhoisimmista uhista. Se ei enää ainoastaan salaa tiedostojasi ja vaadi lunnaita niiden palauttamisesta. Nykyaikaiset kiristysohjelmaryhmät toimivat kaksinkertaisen kiristyksen mallilla: ensin ne varastavat yrityksesi datan ja vasta sen jälkeen salaavat järjestelmäsi. Jos et maksa, ne uhkaavat julkaista varastetut tiedot – asiakasrekisterit, sopimukset ja taloustiedot – verkossa.

Tämä tekee varmuuskopioista vain osaratkaisun. Vaikka pystyisit palauttamaan toimintasi varmuuskopioista, datavuodon aiheuttama mainevahinko ja mahdolliset GDPR-sakot voivat olla liiketoiminnalle lamauttavia. Kyberhyökkäyksen todellinen hinta on paljon suurempi kuin pelkät lunnaat.

Miten tunnistat:

• Et pääse käsiksi tiedostoihisi, ja niiden kuvakkeet tai nimet ovat muuttuneet.
• Tietokoneen näytölle ilmestyy lunnasvaatimus.
• Järjestelmät hidastuvat tai kaatuvat ilman selvää syytä.

Miten torjut:

1. Nykyaikainen päätelaitesuojaus (EDR/XDR): Perinteinen virustorjunta ei riitä. Tarvitaan käyttäytymiseen perustuvaa tunnistusta, joka hälyttää epänormaalista toiminnasta, kuten tiedostojen massasalaamisesta. Se on kuin palovaroitin, joka reagoi savuun, ei pelkästään liekkeihin. Kattava suojaus vaatii usein sekä palomuurin että XDR-ratkaisun.
2. Haavoittuvuuksien hallinta: Kiristysohjelmat leviävät usein hyödyntämällä vanhentuneiden ohjelmistojen tietoturva-aukkoja. Säännöllinen ja automatisoitu päivitysten hallinta on kriittistä.
3. Toimiva varmuuskopiointi (3-2-1-sääntö): Pidä datastasi kolme kopiota kahdella eri medialla, joista yksi on fyysisesti eri paikassa (esim. pilvessä tai toisessa toimipisteessä) ja irti verkosta.

3. Pilvipalveluiden virheelliset määritykset

Siirtyminen pilveen, kuten Microsoft 365 -ympäristöön, parantaa joustavuutta, mutta luo myös uusia riskejä. Yleinen harhaluulo on, että pilvipalveluntarjoaja (kuten Microsoft) vastaa kaikesta tietoturvasta. Tämä ei pidä paikkaansa. Palveluntarjoaja vastaa pilven turvallisuudesta, mutta asiakas vastaa aina omasta datastaan ja sen käytöstä pilvessä.

Virheelliset määritykset ovat yleinen syy tietomurtoihin. Esimerkiksi vahingossa julkiseksi jaettu SharePoint-kansio, liian laajat käyttöoikeudet tai monivaiheisen tunnistautumisen puuttuminen voivat jättää oven auki hyökkääjälle. Oletusasetukset eivät läheskään aina ole turvallisimmat mahdolliset.

Miten tunnistat:

• Tämä uhka on usein näkymätön, kunnes on liian myöhäistä. Tunnistaminen vaatii säännöllistä auditointia ja lokitietojen seurantaa.

Miten torjut:

1. Älä luota oletusasetuksiin: Varmista, että esimerkiksi Microsoft 365 -ympäristösi on kovetettu ammattilaisen toimesta. Käytössäsi saattaa olla piilotettuja tietoturvaominaisuuksia, joita et ole ottanut käyttöön.
2. Käyttöoikeuksien minimointi: Noudata vähimpien oikeuksien periaatetta. Älä anna kaikille työntekijöille pääkäyttäjän oikeuksia tai pääsyä kaikkeen dataan. Myönnä oikeuksia vain tarpeeseen perustuen.
3. Säännölliset tarkastukset: Tee tai teetä säännöllinen tietoturva-auditointi pilviympäristöllesi. Tämä auttaa löytämään ja korjaamaan vaaralliset konfiguraatiovirheet ennen kuin rikolliset löytävät ne.

4. Toimitusketjuhyökkäykset

Pk-yritys ei toimi tyhjiössä. Se on riippuvainen lukuisista kumppaneista ja ohjelmistotoimittajista. Toimitusketjuhyökkäyksessä rikolliset eivät hyökkää suoraan sinun yritykseesi, vaan murtautuvat jonkin käyttämäsi palvelun tai ohjelmiston toimittajan järjestelmiin. Tämän jälkeen he käyttävät tätä luotettua kanavaa levittääkseen haittaohjelman sinun verkkoosi esimerkiksi ohjelmistopäivityksen mukana.

Tämä tekee hyökkäyksestä äärimmäisen vaikean havaita, koska haitallinen koodi saapuu luotetusta lähteestä. Et voi täysin hallita kumppaneidesi tietoturvan tasoa, mutta voit varautua riskiin omassa ympäristössäsi.

Miten tunnistat:

• Hyvin vaikea tunnistaa ennalta. Tunnistus perustuu epänormaalin toiminnan havaitsemiseen omassa verkossa, vaikka se näyttäisi tulevan luotetusta sovelluksesta.

Miten torjut:

1. Verkon segmentointi: Eristä kriittiset järjestelmät muusta verkosta. Jos yksi osa verkosta saastuu, vahinko ei leviä koko yritykseen.
2. Toimittajien arviointi: Kysy tärkeimmiltä kumppaneiltasi heidän tietoturvakäytännöistään. Tietoturvan tulisi olla yksi kriteeri toimittajaa valittaessa.
3. Edistynyt uhkien tunnistus (EDR/XDR): Kuten kiristysohjelmien kohdalla, käyttäytymiseen perustuva analytiikka on avainasemassa. Se voi havaita, jos luotettu ohjelmisto alkaa yhtäkkiä tehdä jotain epäilyttävää.

5. Sisäpiirin uhat – tahattomat ja tahalliset

Kaikki uhat eivät tule ulkopuolelta. Sisäpiirin uhka tarkoittaa riskiä, jonka aiheuttaa nykyinen tai entinen työntekijä, alihankkija tai muu kumppani, jolla on pääsy yrityksen järjestelmiin.

Useimmiten kyse on tahattomasta virheestä: työntekijä klikkaa tietojenkalastelulinkkiä, käyttää heikkoa salasanaa tai hukkaa yrityksen kannettavan. Toisinaan taustalla voi olla myös kosto tai taloudellinen hyöty, jolloin lähtevä työntekijä kopioi mukaansa asiakaslistoja tai tuotekehityksen materiaaleja.

Miten tunnistat:

• Epätavallinen käyttäytyminen: työntekijä yrittää päästä käsiksi tietoihin, jotka eivät liity hänen työtehtäviinsä.
• Suurten datamäärien siirto ulos yrityksen verkosta.
• Kirjautumisyritykset epätavallisina aikoina tai paikoista.

Miten torjut:

1. Selkeät poistumisprosessit (offboarding): Kun työntekijän työsuhde päättyy, hänen kaikki käyttöoikeutensa on poistettava välittömästi ja systemaattisesti.
2. Lokien hallinta ja valvonta: Seuraa, kuka käyttää mitäkin tietoa ja milloin. Nykyaikaiset valvontajärjestelmät voivat automaattisesti hälyttää poikkeavasta toiminnasta.
3. Käyttöoikeuksien hallinta: Jälleen, vähimpien oikeuksien periaate on keskeinen. Rajoita pääsyä arkaluonteiseen dataan vain niille, jotka sitä ehdottomasti työssään tarvitsevat.

Kyberuhilta suojautuminen ei ole yksittäinen projekti vaan jatkuva prosessi. Se vaatii yhdistelmän oikeita teknisiä työkaluja, selkeitä toimintamalleja ja henkilöstön jatkuvaa valppautta. Jos oman yrityksesi puolustuksen nykytila mietityttää, DataSkyn asiantuntijat auttavat kartoittamaan riskit ja rakentamaan kestävän tietoturvan, joka antaa mielenrauhan keskittyä omaan liiketoimintaasi.