Toimitusjohtajahuijaus ja johtajien jäljittely: näin sosiaalinen manipulointi kohdistuu maksuihin

Toimitusjohtajahuijaus (CEO fraud) on huijaus, jossa rikollinen esiintyy ylimpänä johtajana, yleensä toimitusjohtajana tai talousjohtajana, ja pyytää työntekijää tekemään maksun, ostamaan lahjakortteja tai lähettämään arkaluonteisia tietoja. Se on BEC-huijauksen (business email compromise) muunnelma, ja se toimii, koska se lainaa ylimmän johdon auktoriteettia ja luo painetta: kiirettä, salailua ja uskottavan tekosyyn.

FBI:n Internet Crime Complaint Center kirjasi vuonna 2025 yhteensä 24 768 BEC-ilmoitusta, joissa ilmoitetut tappiot olivat 3 046 598 558 dollaria (IC3 2025 Internet Crime Report). Samassa raportissa todetaan, että tekoälytyökaluilla voidaan nopeasti tuottaa virallisen kuuloisia sähköposteja, jotka jäljittelevät yrityksen toimitusjohtajaa, ja että äänen kloonausta voidaan käyttää tilisiirtojen pyytämiseen.

Puolustus perustuu vähemmän teknologiaan ja enemmän muutamaan tiukkaan sääntöön. Niitä tukevat sähköpostiasetukset, jotka vaikeuttavat johtajienne nimissä esiintymistä.

Miltä tyypillinen huijausyritys näyttää

Käsikirjoitus muuttuu harvoin:

1. Tekosyy. "Olen lakimiesten kanssa palaverissa yrityskaupasta. Hoida siirto vielä tänään, ja pidetään tämä toistaiseksi meidän välisenämme."
2. Kanava. Sähköposti osoitteesta, joka näyttää oikealta, tekstiviesti tuntemattomasta numerosta ("uusi puhelimeni") tai ääniviesti, joka kuulostaa johtajalta.
3. Paine. Määräajat, luottamuksellisuus ja vihjaus siitä, ettei kysymyksiä kaivata.
4. Maksu. Tilisiirto uudelle tilille, erä lahjakortteja tai pyyntö palkka- tai verotiedoista.

Kohteena on yleensä joku taloushallinnosta, kirjanpidosta tai johdon assistenteista, koska heillä on valtuudet siirtää rahaa ja tapana toimia nopeasti johdon pyynnöstä.

Miksi se toimii

Rikolliset tutkivat sitä, mitä hyökkääjä näkee ulkoa: nimiä ja tehtävänimikkeitä verkkosivustolta ja ammatillisista verkostoista, sosiaalisessa mediassa kerrottuja matkoja, sähköpostiosoitteidenne muotoa ja sitä, kuka raportoi kenellekin. Sen jälkeen viestin tarvitsee vain kuulostaa esihenkilöltä kiireisenä päivänä.

3 teknistä aukkoa helpottaa huijausta:

• Verkkotunnustanne voi väärentää. Ilman pakottavaa DMARC-käytäntöä viesti, jossa on From: ceo@yourcompany.com, voi päätyä vastaanottajan saapuneet-kansioon, vaikka palvelimenne eivät koskaan lähettäneet sitä. Katsokaa SPF, DKIM ja DMARC selitettynä.
• Samankaltainen verkkotunnus on olemassa. yourcornpany.com (kirjaimet "rn" kirjaimen "m" tilalla) läpäisee todennuksen, koska rikollinen omistaa sen. Lisää artikkelissa samankaltaiset verkkotunnukset ja typosquatting.
• Näyttönimiin luotetaan. Monet sähköpostisovellukset näyttävät vain "Jane Smith, CEO" ja piilottavat todellisen osoitteen sen taakse, erityisesti puhelimissa.

Ääni- ja tekstiviestit

Jäljittely ei enää rajoitu sähköpostiin. Toukokuussa 2025 FBI varoitti kampanjasta, jossa käytettiin tekstiviestejä ja tekoälyllä luotuja ääniviestejä Yhdysvaltain korkeiden virkamiesten jäljittelyyn, ja kehotti olemaan pitämättä tällaista viestiä automaattisesti aitona (FBI IC3 PSA I-051525-PSA). Samoja tekniikoita voidaan käyttää yritysjohtajia vastaan, joiden ääni on kuultavissa haastatteluissa, webinaareissa tai konferenssiesityksissä.

Käytännön seuraus: tuttu ääni puhelimessa ei yksinään todista henkilöllisyyttä.

Säännöt, jotka pysäyttävät huijauksen

Kirjatkaa nämä ylös ja varmistakaa, että jokainen johtaja tukee niitä avoimesti:

• Mitään maksua tai pankkitietojen muutosta ei hyväksytä yhden kanavan kautta. Sähköpostipyyntö vahvistetaan puhelimitse ja puhelinpyyntö viestillä sisäisessä chatissanne, aina valmiiksi tiedossa olevia yhteystietoja käyttäen.
• Johtajat eivät koskaan pyydä salaamaan maksuja. Sanokaa tämä ääneen yhteisessä palaverissa. Kun henkilöstö tietää, ettei toimitusjohtaja koskaan pyydä ohittamaan prosessia, lause "pidetään tämä meidän välisenämme" muuttuu varoitusmerkiksi.
• 2 henkilöä hyväksyy uudet maksunsaajat ja suuret siirrot.
• Johdon lahjakorttipyynnöt torjutaan aina.
• Henkilöstöä, joka pysähtyy varmistamaan, kiitetään eikä koskaan moitita, vaikka pyyntö osoittautuisi aidoksi.

Tarkistamisen arvoiset sähköpostiasetukset

dig +short TXT _dmarc.yourcompany.com

1. Ottakaa DMARC käyttöön pakottavalla käytännöllä p=quarantine tai p=reject, jotta omasta verkkotunnuksestanne väärennettyä postia ei toimiteta perille.
2. Merkitkää postijärjestelmässänne ulkoisilta lähettäjiltä tulevat viestit, jotta yrityksen ulkopuolelta tuleva posti erottuu selvästi.
3. Ottakaa käyttöön johtajien jäljittelyltä suojaava toiminto, jos sähköpostin tietoturvaratkaisunne tukee sitä.
4. Vaatikaa monivaiheinen tunnistautuminen johdon ja taloushallinnon postilaatikoihin, sillä aito mutta kaapattu postilaatikko on kaikkein vakuuttavin lähettäjä.
5. Pitäkää yllä luetteloa omaanne muistuttavista verkkotunnuksista ja tarkistakaa, millä niistä on MX-tietueita.

Jos joku on jo maksanut

Ottakaa heti yhteyttä pankkiinne ja pyytäkää siirron palautusta, ja tehkää sitten ilmoitus osoitteessa ic3.gov. FBI huomauttaa, että aika on ratkaisevaa ja että IC3 voi mahdollisesti auttaa rahoituslaitoksia ja lainvalvontaviranomaisia varojen osalta (IC3 PSA I-091124-PSA). Säilyttäkää alkuperäiset viestit täysine otsakkeineen tutkijoita varten.

Lyhyt tarkistuslista

• 2 kanavan varmistus jokaiselle maksulle tai pankkitietojen muutokselle.
• Johdon selkeä kannanotto siitä, että salaamispyynnöt ovat varoitusmerkki.
• DMARC pakottavassa tilassa, ulkoisten lähettäjien merkintä käytössä.
• Monivaiheinen tunnistautuminen taloushallinnon ja johdon postilaatikoissa.
• Samankaltaiset verkkotunnukset tunnistettu ja seurannassa.

Miten Datahorses auttaa

Datahorses valvoo yritystänne ulkoa samasta näkökulmasta kuin hyökkääjä: uusia omaanne muistuttavia verkkotunnuksia, niiden kykyä lähettää postia, väärennettyjä kirjautumissivuja sekä muutoksia SPF-, DKIM- ja DMARC-tietueissanne. Ihminen tarkistaa jokaisen havainnon, ja saatte konkreettiset toimenpiteet. Näette, miten tämä toimii, kohdassa miten valvomme, tai voitte selata esimerkkinäkymää. Läheistä sukua olevaa laskuhuijausta käsitellään artikkelissa väärennetyt laskut yrityksenne nimissä.