Huijausviesti osuu tunteisiin ennen järkeä – Aallon tutkimus haastaa nolostavat tietoturvatestit
Espoo, 25.8.2026. Työsähköposti pyytää viimeistelemään keskeneräisen tehtävän. Viesti näyttää tavalliselta, mutta vastaanottaja alkaa epäillä tehneensä aikaisemmin virheen. Samalla herää huoli siitä, mitä esihenkilö tai työtoverit ajattelevat, jos tehtävä jää hoitamatta.
Tällainen tunneketju voi johtaa tietojenkalastelulinkin avaamiseen, osoittaa Aalto-yliopiston 25.8.2026 julkaisema tutkimusuutinen. Tutkijoiden mukaan huijausviesti ei aina onnistu teknisen taitavuuden vuoksi. Se voi onnistua, koska viesti synnyttää epävarmuutta, kiirettä ja kasvojen menettämisen pelkoa.
Koetilanne jäljitteli työpäivää
Tutkimukseen osallistui 41 vapaaehtoista. He työskentelivät kuvitteellisessa toimistotilanteessa ja hoitivat poissa olevan kollegan tehtäviä tietämättä, että tutkimus koski tietojenkalastelua.
Työn aikana osallistujille lähetettiin työtehtävään liittyvältä näyttävä sähköposti. Linkki johti tutkijoiden rakentamalle kalastelusivulle. Viestissä ei käytetty poikkeuksellisen aggressiivista painostusta, vaan maltillisia pyyntöjä, jotka sopivat tavallisen työviestinnän sävyyn.
Yli puolet osallistujista tunnisti huijauksen eikä avannut linkkiä. Osa klikkasi, mutta vain muutama syötti tietoja kalastelusivulle. Jotkut eivät tunnistaneet huijausta, mutta jättivät viestin silti avaamatta.
Klikkaus ei ollut pelkkää huolimattomuutta
Linkin avanneet osallistujat arvioivat viestin liittyvän uskottavasti työhön tai keskeneräiseen tehtävään. Päätökseen vaikutti myös epävarmuus siitä, oliko jokin aiempi tehtävä hoidettu väärin ja voisiko viestin sivuuttaminen aiheuttaa moitteita.
Klikkauksen jälkeen osallistujat kuvasivat häpeää, syyllisyyttä ja pettymystä. Huijauksen tunnistaneet puolestaan kertoivat usein aavistaneensa ensin, että viestissä oli jotakin poikkeavaa. Tämän jälkeen he tarkistivat esimerkiksi lähettäjän osoitteen.
Tutkijat arvioivat, että työntekijöitä nolostavat simuloidut kalasteluviestit voivat olla huono tapa rakentaa turvallisuuskulttuuria. Parempi vaihtoehto voisi olla organisaatioon oikeasti saapuneiden huijausviestien yhteinen käsittely tietotekniikan asiantuntijoiden kanssa.
Tutkimus kertoo mekanismeista
Kyseessä oli 41 osallistujan laadullinen tutkimus, jossa yhdistettiin havainnointia, haastatteluja ja kyselyjä. Sen perusteella ei voida päätellä, kuinka suuri osuus kaikista työntekijöistä avaa huijausviestejä tai kuinka yleinen yksittäinen tunnereaktio on.
Tutkimus antaa kuitenkin tarkkaa tietoa siitä, millaisia ajatuksia päätöksenteon hetkellä voi syntyä. Tulokset tukevat jatkotutkimuksia ja tietoturvakoulutusten kehittämistä niin, että koulutuksissa tarkastellaan teknisten tuntomerkkien lisäksi kiirettä, epävarmuutta ja työpaikan sosiaalista painetta.
Neljä askelta epäilyttävän viestin kohdalla
- Pysähdy ennen linkin avaamista. Tehtävän näennäinen kiireellisyys ei ole syy ohittaa tarkistuksia.
- Tarkista lähettäjän täydellinen osoite. Näyttönimi voi olla tuttu, vaikka varsinainen sähköpostiosoite kuuluisi kokonaan toiselle lähettäjälle.
- Varmista pyyntö eri kanavassa. Ota yhteyttä viestin väitettyyn lähettäjään aiemmin tunnetulla numerolla tai organisaation omassa viestipalvelussa.
- Ilmoita epäilystä nopeasti. Työviestistä kannattaa ilmoittaa oman organisaation tietotekniikkatuelle. Yksityishenkilöt ja organisaatiot voivat ilmoittaa myös tietojenkalastelusta tai sen yrityksestä Traficomin Kyberturvallisuuskeskukselle.
Huijausviestin tunnistaminen ei saisi perustua siihen, että työntekijä pelkää rangaistusta. Turvallisempi työyhteisö syntyy siitä, että epäilyttävästä viestistä voi kysyä matalalla kynnyksellä ja virheestä ilmoittamista pidetään mahdollisuutena rajoittaa vahinkoa.
Tutkimuksen tulos on samalla käytännöllinen: hetken epäröinti voi olla hyödyllinen varoitusmerkki. Kun viesti tuntuu oudolta, päätöstä ei tarvitse tehdä yksin.
