Marko NovakSuomen Kyberturvallisuuskeskus (NCSC-FI) varoitti syyskuussa 2026, että tekoälypohjainen tietojenkalastelu on saavuttanut uuden vaiheen: huijausviestit kirjoitetaan nyt paremmalla suomella kuin monet natiivipuhujat. IS.fi eli Ilta-Sanomat on Suomen neljänneksi suosituin verkkosivusto yli viidellä miljoonalla kuukausikäynnillä – ja juuri siksi rikolliset käyttävät sen nimeä yhä useammin syöttinä. Jos tilaat IS:ää digitaalisesti tai luet sitä säännöllisesti, tämä artikkeli koskee sinua. Asiantuntijat varoittavat: syyskuun 2026 phishing-aalto on teknisesti kehittynein, mitä Suomessa on koskaan nähty.
Tekoäly mursi suomen kielen muurin – kuka tahansa voi joutua kohteeksi nyt
Vuosia suomalaisia suojasi epäsuorasti oma kiemurainen kielemme. Tietojenkalasteluviestit tunnisti helposti katkonaisesta, koneellisesta suomesta: väärät sijamuodot, epäluonteva sanajärjestys ja karkeat käännösvirheet paljastivat huijarin. Suomen kielen monimutkaisuus – 15 sijaa, runsas yhteensovitettu sanamuodostus, pitkät yhdyssanat – teki massahyökkäyksistä kalliita ja hankalia. Tuo luonnollinen suoja on nyt romahtanut.
Kyberturvallisuuskeskuksen 2026 katsausten mukaan tekoäly tuottaa nykyisin viestejä, joissa on lähes moitteeton kielioppi, oikeat sijamuodot ja luonteva sanajärjestys – sellainen, jonka suomalaiset tunnistavat omakseen. Suomen kielen kompleksisuus ei enää rajoita rikollisia, jotka käyttävät tekoälykielimalleja sisältöjen generointiin. Tämä tarkoittaa, että pelkkä kieliasu ei enää riitä huijauksen paljastamiseen. Tarvitaan muita keinoja.
Samaan aikaan Microsoft 365 -tilien tietomurrot levisivät syksyllä 2026 organisaatioiden välillä ennätysvauhdilla. Vaarantuneita tilejä käytettiin uusien huijausviestien lähettämiseen, jolloin vastaanottajien sähköpostijärjestelmät eivät edes merkinneet niitä roskapostiksi – viestit näyttivät tulevan luotettavilta kollegoilta tai tutuilta lähettäjiltä.
Ransomware-tapaukset lisääntyivät Suomessa heinäkuussa 2026, ja lokakuu tuo perinteisesti ns. Black Friday -phishing-aallon. Rikolliset ajoittavat hyökkäykset silloin, kun kuluttajat odottavat tilausviestiä tutulta palvelulta. IS-tilauksen uusintamuistutus syys–lokakuun vaihteessa tuntuu täysin luontevalta – ja juuri se tekee siitä tehokkaan loukun.
Miksi IS.fi on rikollisten suosikkivaate – ja miten väärennös toimii teknisesti
Ilta-Sanomat on Suomen suurin digitaalinen uutisjulkaisu, ja se tavoittaa noin 2,5 miljoonaa suomalaista viikoittain. Sillä on satoja tuhansia maksavia digitilaajia – jokainen heistä odottaa ajoittain viestiä tilauksen uusinnasta, salasanan vaihdosta tai laskusta. Tunnistaminen on helppoa, koska brändi on tuttu. Ja juuri siksi se on niin vaarallinen.
Rikollisten ei tarvitse murtautua itse IS.fi-sivustoon. Riittää, että he lähettävät miljoona sähköpostia, joka näyttää tulevan osoitteesta tilaus@iltasanomat.fi. Sähköpostiprotokollien rakenteiden vuoksi lähettäjän osoitteen väärennys on edelleen mahdollista, ellei vastaanottajan organisaatio ole ottanut käyttöön DMARC-suojausta.
Teknisesti hyökkäys toimii vaiheittain. Ensin hyökkääjä lähettää viestin, jonka näyttönimi on "IS Tilaus" mutta todellinen sähköpostiosoite on esimerkiksi noreply@iltasanomat-fi.net. Suurin osa sähköpostiohjelmista näyttää oletuksena vain näyttönimen – ei osoitetta. Sitten linkki johtaa sivulle, joka on pikselintarkka kopio IS.fi:n kirjautumissivusta. URL voi olla is-fi.com, iltasanomat-login.fi tai premium-iltasanomat.fi – ei koskaan virallinen iltasanomat.fi. Kun kirjoitat käyttäjätunnuksesi ja salasanasi, ne tallentuvat rikollisen palvelimelle. Sinut ohjataan sitten oikealle IS.fi-sivulle niin sujuvasti, ettei epäilyksiä herää. Lopuksi sama salasana kokeillaan automaattisesti kymmenissä muissa palveluissa – verkkopankeissa, Kelan asioinnissa, Suomi.fi-palvelussa – sekunneissa.
Hotelli- ja matkavarauksia hyödyntävissä huijauksissa rikolliset osaavat jopa lisätä viestiin oikean varausnumerosi, koska he ovat hankkineet tiedon aiemmista tietomurroista. IS-digitilaajan kohdalla sama mekanismi toimii: jos käytit samaa sähköpostia IS-tilauksen rekisteröintiin kuin muualla, vuotaneet tietokannat sisältävät todennäköisesti myös tilaustietosi.
Phishing ei tapahdu vain sähköpostin kautta. Syksyllä 2026 on havaittu myös tekstiviestimuotoisia (SMS) huijauksia, joissa IS:n nimissä ilmoitetaan "maksuhäiriöstä" tai "tilauksesi peruuttamisesta". Periaate on sama: paniikki ensin, harkinta vasta myöhemmin.
Konkreettinen tapaus: 1 800 euron tappio alkoi IS.fi-tilausvahvistuksesta
Otetaan esimerkki, joka vastaa tyypillistä syksyn 2026 tilannetta. Henkilön tiedot on muutettu, mutta tapahtumaketju vastaa Kyberturvallisuuskeskukselle raportoituja tapauksia.
Markku, 48-vuotias tamperelainen palkansaaja, sai 4. syyskuuta 2026 sähköpostin otsikolla "IS Premium -tilauksesi päättyy 12.9. – jatka nyt 35 % alennuksella". Viesti näytti aidolta joka suhteessa: IS:n logo oikeissa väreissä, oikea fontti, korrekti suomen kieli ja jopa viittaus hänen tilauksensa arvioidulle aloituspäivämäärälle.
Linkki johti sivulle premium-iltasanomat.fi, joka oli IS.fi:n kirjautumissivun tarkka kopio. Markku syötti sähköpostinsa ja salasanansa. Hän käytti samaa salasanaa myös Nordean verkkopankissaan – kuten Kyberturvallisuuskeskuksen arvion mukaan yli 60 prosenttia suomalaisista tekee.
Tässä on tapauksen kriittinen analyysi:
- Jos hän olisi tarkistanut lähettäjän täsmällisen sähköpostiosoitteen eikä pelkästään näyttönimeä "IS Tilaukset", hän olisi huomannut osoitteen päättyvän
@premium-iltasanomat.fi– ei@iltasanomat.fi. - Jos hän olisi kirjautunut IS:ään suoraan selaimesta, hän olisi nähnyt, että tilaus oli voimassa eikä mitään uusintaviestiä tarvinnut vahvistaa.
- Jos hän olisi käyttänyt eri salasanaa verkkopankissa, vahinko olisi rajautunut pelkästään IS-tunnukseen – ei pankkitiliin.
Lopputulos: 1 800 euron luvaton nosto samana yönä. Ennen kuin Markku sai pankin blokkaamaan tilin seuraavana aamuna, rahat olivat jo siirretty edelleen. Palautusoikeus vaatii pankin reklamaatioprosessia (vähintään 14 vuorokautta) ja rikosilmoituksen poliisille. Koko prosessi voi viedä 3–8 viikkoa – eikä lopputulos ole aina myönteinen. Pankit tekevät arviointia siitä, oliko asiakas "huolellinen" – ja usein 60 prosentin yleisyys samalla salasanalla eri palveluissa katsotaan huolimattomuudeksi.
Markku ei ollut tietämätön tai huoleton. Hän kohtasi teknisesti kehittyneen, äidinkielellä kirjoitetun hyökkäyksen ilman selviä varoitusmerkkejä. Sama ansa odottaa nyt satoja tuhansia IS.fi-tilaajia ympäri Suomen. Kyberturvallisuuskeskus raportoi ransomware-tapausten ja phishing-kampanjoiden kasvusta heinä–syyskuussa 2026 – ja juuri syyskuu on tyypillinen aktiivinen kausi ennen lokakuun tilaushuipentumia.
Mitä IT-asiantuntija neuvoo tekemään nyt
IT-tietoturva-asiantuntijat jakavat suojan kahteen kerrokseen: tekniseen suojaan ja käyttäytymissuojaan. Molempia tarvitaan – ja molemmat ovat toteutettavissa ilman erityistä teknistä osaamista.
Tekniset toimenpiteet – tee nämä tänä viikonloppuna:
Ota ensimmäisenä käyttöön salasananhallintaohjelma. Bitwarden (ilmainen, avoimen lähdekoodin) tai 1Password (maksullinen, erinomainen käyttöliittymä) luovat kullekin sivustolle oman pitkän satunnaisen salasanan. Jos IS.fi:n tiedot vuotavat, pankkitilisi pysyy turvassa, koska salasanat ovat eri. Toisena toimenpiteenä ota käyttöön kaksivaiheinen tunnistautuminen (2FA). IS.fi tukee 2FA-kirjautumista. Ota se käyttöön tilisi asetuksista. Käytä erillistä autentikointisovellusta (Google Authenticator, Authy tai Microsoft Authenticator). Kolmantena, jos käytät yrityssähköpostia kuten Microsoft 365, pyydä IT-osastoltasi kirjallinen vahvistus siitä, että DMARC-politiikka on asetettu p=reject – ei pelkästään p=none. Tämä estää domainin käytön huijauksissa.
Käyttäytymissuoja – kolme selkeää sääntöä:
Älä koskaan napsauta sähköpostilinkkiä kirjautuaksesi tai maksaaksesi. Mene suoraan osoitteeseen kirjoittamalla se selaimeen. IS.fi ei koskaan vaadi sinua kirjautumaan linkin kautta tilauksen uusintaan. Tarkista aina lähettäjän täsmällinen sähköpostiosoite ennen kuin teet mitään toimenpidettä. Napsauta lähettäjän nimeä nähdäksesi osoitteen kokonaan – jos osoite ei pääty @iltasanomat.fi, älä luota viestiin. Epäiletkö saaneesi phishing-viestin? Ilmoita siitä Kyberturvallisuuskeskukselle osoitteessa kyberturvallisuuskeskus.fi. Ilmoittaminen auttaa estämään seuraavien kampanjoiden leviämistä.
Milloin tilanne vaatii ammattilaista?
Jos olet jo joutunut kalastelun uhriksi – kirjautunut väärään sivustoon, antanut maksutietosi tai huomannut tililtäsi luvattomia nostoja – tarvitset nopeita, järjestelmällisiä toimia heti. Vaihda kaikkien palveluiden salasanat välittömästi. Ilmoita pankkiisi ja pyydä korttisi sulkemista. Tee rikosilmoitus poliisille osoitteessa www.poliisi.fi. Dokumentoi kaikki: näyttökuvat, sähköpostiotsikot, aikaleimat – näitä tarvitaan sekä pankin reklamaatiossa että rikosilmoituksessa.
Jos tappiosi ylittää 500 euroa, sinulle on syntynyt sopimusvastuu – esimerkiksi huijari on tilannut palveluita nimissäsi – tai epäilet, että laitteeseesi on asennettu haittaohjelmisto, on syytä konsultoida ammattilaista pikaisesti.
Expert Zoomin kautta voit varata ajan suomalaiselle IT-tietoturva-asiantuntijalle – etäkonsultaatio onnistuu usein saman päivän aikana. Asiantuntija käy läpi laitteidesi lokit, tarkistaa onko haittaohjelmaa jäänyt järjestelmään, ja neuvoo dokumentaation laadinnassa korvausvaatimusten tueksi.
IS.fi ja muut uutismediat: mitä alalla tehdään nyt
On reilua todeta, että myös Ilta-Sanomat itse ja muut suomalaiset uutismediat ovat ryhtyneet toimenpiteisiin tilaajien suojaamiseksi. Yhä useampi suomalainen media on ottanut käyttöön tiukemman DMARC-politiikan, joka estää niiden lähettäjädomainien väärinkäytön. Lisäksi IS.fi-kirjautuminen tukee kaksivaiheista tunnistautumista, ja tilaajille lähetetään ajoittain tietoturvatiedotteita.
Silti yksittäinen tilaaja on aina se viimeinen suojakerros. Organisaatioiden DMARC-suojaukset eivät kata kaikkia sähköpostireitityksiä, ja kloonatuille verkkosivustoille ei löydy teknistä ratkaisua ennen kuin sivu ilmoitetaan ja suljetaan – mikä voi kestää päiviä.
Tämä tarkoittaa, että paras suoja on edelleen käyttäjän oma toiminta: oma salasana jokaiselle palvelulle, 2FA kaikkialla ja muutama sekunti lähettäjän osoitteen tarkistamiseen. Nämä kolme askelta tekevät sinusta merkittävästi vaikeamman kohteen kuin suurimman osan muista IS.fi:n tilaajista.
Tekoälypohjainen phishing ei enää vaadi rikolliselta suomen kielen taitoa. Se vaatii sinulta kolme asiaa: salasananhallinnan käyttöönottamisen, 2FA:n aktivoinnin ja muutaman sekunnin lähettäjän osoitteen tarkistamiseen ennen kuin napsautat.
Huom. Tämä artikkeli sisältää yleistä tietoa tietoturvasta ja digitaalisesta suojauksesta. Se ei korvaa henkilökohtaista IT-tietoturva-asiantuntijan neuvontaa omaan tilanteeseesi. Jos olet joutunut tietoturvaloukkaukseen tai kohdannut taloudellisia menetyksiä, ota yhteys ammattilaiseen.
Lue myös: Suomalaisia yrityksiä kohtaavat kyberhyökkäykset 2026
