Teknologia

Näin sähköisten laskujen tietoturva vuotaa: Ystävä tilasi vahingossa Markus Leimanin luottokorttilaskun, ja ruudulle lävähti tämän henkilötunnus sekä ostohistoria

Leimanin tapaus osoittaa, että e-laskujen tietoturvassa voi olla puutteita. HS:n tekemän yhteydenoton jälkeen S-Pankki ilmoitti käynnistäneensä työn henkilötunnuksen poistamiseksi esilläpitoarkistoon tallentuvista luottokorttilaskuista.

Huhtikuussa hankolainen Markus Leiman sai ystävältään puhelun: ystävän verkkopankkiin oli ilmestynyt Leimanin hallussa olevan luottokortin e-lasku.

Laskun avaamalla ystävä näki luottokortin ostohistorian sekä Leimanin henkilötietoja, kuten nimen, osoitteen ja henkilötunnuksen. Ystävän tarkoituksena oli ollut lyhentää kortille kertynyttä velkaa yhteisen hankinnan jälkeen, mutta hän tilasikin vahingossa e-laskun itselleen.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Vahinkotilaukseen riitti viitenumero.

Leiman on S-Pankin asiakas, mutta luottokortin e-lasku alkoi ilmestyä ystävälle Osuuspankin verkkopankkiin kerran kuukaudessa.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Leiman ihmetteli tapahtunutta: välittikö pankki laskun mukana hänen henkilötietojaan toisen pankin asiakkaalle?

Miten toisen ihmisen luottokorttilaskun tilaaminen kävi noin helposti?

Pankki myönsi, että se toimitti Leimanin laskun ”kaikkine yksityiskohtaisine tietoineen” tämän ystävälle e-laskutilauksen jälkeen. Pankki kuitenkin katsoi, ettei se ole voinut tietää Leimanin ja tämän ystävän järjestelyistä.

”Näin ollen S-Pankki ei ole toimittanut laskutietoja väittämälläsi tavalla tuntemattomille tahoille, vaan tiedot on toimitettu ainoastaan suostumuksesi mukaisesti luottokorttilaskusta tehdyn e-laskutilauksen perusteella”, pankin edustaja kirjoittaa Leimanille osoittamassaan viestissä.

Tapaukseen ei liity väärinkäytöksiä. Pankin tiedossa ei muutenkaan ole tapauksia, joissa viitenumeroilla olisi perusteettomasti tilailtu e-laskuja, sanoo tileistä ja maksuliikepalveluista vastaava tuoteryhmäpäällikkö Kaarina Linner.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Linnerin mukaan pankki on vain e-laskujen välittäjä. E-laskusopimus on laskuttajan ja laskutettavan välinen asia. Etenkin perheiden sisällä on myös varsin tyypillistä, että laskun maksaja ja laskutettava ovat eri ihmisiä.

Pankki kuitenkin itse veloittaa muun muassa luottokorttilaskuja, jolloin pankki on sekä välittäjä että laskuttaja.

Voisiko kuka tahansa tilata teidän myöntämän luottokortin e-laskun pelkän viitenumeron perusteella?

”Kyllä. S-Pankin Visa-laskujen tilaamiseen riittää viitenumero. Kuten useimmilla muillakin laskuttajilla, yksilöimiseen riittää yksi tieto, kuten esimerkiksi viitenumero”, Linner sanoo.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Hänen mukaansa riippuu sekä laskuttajasta että verkkopankista, kuinka helppoa e-laskun tilaaminen on. Viitenumeron ohella laskuttaja saattaa pyytää esimerkiksi henkilötunnusta tai asiakasnumeroa.

”Joissakin verkkopankeissa lasku generoidaan e-laskuksi oletuksena, kun asiakas maksaa laskua. Mutta meidän verkkopankissa e-laskutilaus pitää erikseen vahvistaa, eli niitä ei voi tilata vahingossa.”
Mainos (Teksti jatkuu alla)
Mainos päättyy

Mikä on tilanne muissa pankeissa?

Osuuspankin asiantuntijapäällikkö Katariina Säntti vastasi HS:n kysymyksiin pankin viestintäyksikön kautta sähköpostitse. Hänen mukaansa OP:n luottokorttien e-laskuja ei pankin omassa verkkopankissa voi vastaanottaa kukaan muu kuin luottokortinhaltija.

Muiden laskujen tilaaminen kuitenkin onnistuu, eli esimerkiksi vanhemmat voivat tilata lastensa puhelinlaskuja.

Miten e-laskuihin liittyvät väärinkäytösten riskit on huomioitu?

”Laskuttaja päättää, mitä tietoja hän vaatii asiakkaalta, jotta valtuutus e-laskutuksesta syntyy: esimerkiksi juuri viitenumero voi riittävästi yksilöidä laskutusaiheen”, Linner sanoo ja huomauttaa, ettei laskutustietoja saisi päästä vääriin käsiin. Hän vertaa luvatonta e-laskukalastelua paperipostien tonkimiseen.

”Mikäli joku varastaa postilaatikosta postit ja hyödyntää niissä olevia tietoja, se on rikos itsessään.”

Henkilötunnusta ei näy luottokorttilaskun paperiversiossa tai verkkopankista löytyvästä näköisversiosta. Sen voi kuitenkin etsiä laskun laajemmasta versiosta, joka löytyy pankin esilläpitoarkistosta.

Näin kävi myös Leimanin tapauksessa.

Linnerin mukaan esilläpitoarkiston laskut muodostetaan kaikkien pankkien käyttämän Finvoicen tyylitiedoston pohjalta.

Osuuspankin Säntin mukaan tuntematon ihminen voi tilata toisen henkilön e-laskun vain, jos hän on saanut käsiinsä hänelle kuulumattoman laskun.

”Tämän vuoksi on tärkeää, että asiakkaat huolehtivat, että paperi- tai pdf-muotoiset laskut eivät päädy vääriin käsiin”, Säntti kirjoittaa.

Säntin mukaan pankki voi taata laskun menemisen tietylle asiakkaalle vain siinä tapauksessa, että laskuttaja vaatii asiakasta ilmoittamaan henkilötunnuksensa e-laskun tilauksen yhteydessä.

”Tyypillisesti luottokorttiyhtiöt vaativat henkilötunnusta e-laskun tilauksen yhteydessä, jotta voivat varmistaa, että luottokorttilaskuihin liittyviä e-laskuja ei voi vastaanottaa kukaan muu kuin kortinhaltija”, Säntti sanoo.

”Kun laskuttaja käyttää tätä toiminnallisuutta, pankki varmistaa, että e-laskun vastaanottaja on laskutettava taho.”

HS kysyi Leimanin tapauksesta viestintävirastosta ja tietosuojavaltuutetulta:

Viestintäviraston alaisen kyberturvallisuuskeskuksen tietoturva-asiantuntija Perttu Halonen pitää Leimanin tapausta kiintoisana.Yleisesti e-laskujen käyttö on turvallista. Pankit tunnistavat e-laskujen lähettäjät ja maksajat. Tekijän jäljille on helppo päästä, jos syntyy väärinkäytösepäily.

Halosen mukaan e-laskun tilaajalle paljastuvat laskun lisätiedot saattavat kuitenkin olla palvelun piirre, jonka tietoturvaa kuluttajan kannalta ”ei ole ajateltu ihan loppuun asti”.

Hän kuitenkin sanoo, ettei Viestintävirasto ole toimivaltainen viranomainen tietosuoja-asioissa, ja kehottaa olemaan yhteydessä tietosuojavaltuutetun toimistoon.

Tietosuojavaltuutettu Reijo Aarnio katsoo, että kyseessä on pikemminkin pankkien ja laskuttajien tietoturvaan liittyvä kysymys. Hänen mukaansa pelkkä viitenumero ”voi olla ehdottomasti henkilötieto”, sillä sen avulla laskun voi yhdistää velalliseen.

Jo pelkkä viitenumeron käsittely vaatii siis erityistä huolellisuutta.

Aarnio muistuttaa, että henkilötunnusta ei pitäisi tarpeettomasti kirjata laskuihin. Näin oli kuitenkin käynyt Leimanin tapauksessa.

”Kaiken aikaa on tapauksia, joissa jätepaperiastioista etsitään ihmisten tietoja – laskuja tai muita asiakirjoja, joista kerätään tiliyhteystietoja tai henkilötunnuksia.”

Aarnio muistaa kanteluita, joissa viitenumero on sisältänyt ihmisten henkilötunnuksia. Viitenumeroihin ja e-laskuihin liittyvissä asioissa tietosuojavaltuutetulle ei muuten ole juuri kanneltu.

Verkkoasiointiin liittyy yleisesti kaksi tietosuojaongelmaa, sanoo Aarnio. Ensinnäkin palveluntarjoajat eivät käytä riittävän vahvaa tunnistautumista vaan ottavat tilauksia vastaan pelkällä nimellä ja henkilötunnuksella. Toiseksi ihmiset laiskottelevat papereittensa hävittämisessä: paperit jätetään silppuamatta taloyhtiön roskikseen.

Pahimmillaan laiminlyöntien seurauksena on identiteettivarkaus.

Näin ei onneksi tapahtunut Markus Leimanin luottokorttilaskun kanssa. E-lasku päätyi ystävälle, joka kertoi Leimanille tapahtuneesta.

HS:n yhteydenoton jälkeen S-Pankki ilmoitti ryhtyneensä toimiin henkilötunnuksen poistamiseksi arkistoinnista ja luottokorttilaskuista:

Tuoteryhmäpäällikkö Kaarina Linner ilmoitti haastattelun jälkeen sähköpostitse selvittäneensä asiaa pankin asiantuntijoiden kanssa ja että henkilötunnuksen poistaminen myös esilläpitoarkiston versiosta ”on työn alla”.

    Seuraa uutisia tästä aiheesta

  • Tietoturva
  • Teknologia
  • Verkkopankki
  • Maksaminen
  • Ossi Mansikka

Kommentit

    Ei vielä kommentteja. Kirjoita ensimmäinen.

    Näytä lisää
    Luetuimmat
    • Juuri nyt
    • Päivä
    • Viikko
    1. 1

      Elokuvia netistä ladanneet suomalaiset ovat saaneet perintäkirjeitä tekijänoikeus­maksuista – Nyt viranomaiset selvittävät asiaa

    2. 2

      Puurokattila liedellä kertoi, että asunnosta oli lähdetty vauhdilla – Sina Varheen tytär katosi, ja seuraavien kuukausien jäljet seuraavat äitiä läpi elämän

      Tilaajille
    3. 3

      Suomalainen tähti­tieteilijä löysi aivan Aurinko­kunnan naapurista jäisen ”supermaan”

    4. 4

      Suomessa ei pysy järjissään marraskuussa ilman lentämistä – ja se on meidän parikymppisten luonnonystävien tragedia

    5. 5

      Melania Trumpin hätkähdyttävä lausunto osoittaa, että ensimmäisen naisen vaikutus­valta Valkoisessa talossa saattaa olla kuviteltua suurempi

    6. 6

      Brittihallitukselta tuki brexit-sopimukselle, mutta pääministeri Mayn asema saattaa olla uhattuna – HS näyttää EU:n pää­neuvottelijan lausunnon suorana juuri nyt

    7. 7

      Konservatiivinen Fox News ilmoitti tukevansa Valkoisen talon oikeuteen haastanutta CNN-kanavaa

    8. 8

      Sushikokki tappoi kollegansa veitsellä ravintolassa Kampissa, likaveden läiskyminen oli viimeinen pisara – oikeus tuomitsi vankilaan

    9. 9

      Opiskelija oli muuttamassa soluasuntoon mutta joutuikin remontin keskelle – Vuokranantaja ei halunnut purkaa sopimusta ja kehotti ottamaan ”järjen käteen”

    10. 10

      Ihmisten ja hiirten aivoista löytyi suolisto­bakteereita – ”Tämä on tajunnan­räjäyttävää”, kommentoi neuro­tieteilijä

    11. Näytä lisää
    1. 1

      Puurokattila liedellä kertoi, että asunnosta oli lähdetty vauhdilla – Sina Varheen tytär katosi, ja seuraavien kuukausien jäljet seuraavat äitiä läpi elämän

      Tilaajille
    2. 2

      Ihmisten ja hiirten aivoista löytyi suolisto­bakteereita – ”Tämä on tajunnan­räjäyttävää”, kommentoi neuro­tieteilijä

    3. 3

      Eikö rakennusala ikinä opi? Taivaanranta on täynnä nostokurkia, kustannukset karkasivat pilviin, ja nyt asuntoja uhkaa valmistua valtava määrä tyhjilleen

    4. 4

      Väsyttääkö koko ajan? Kysy itseltäsi nämä kuusi kysymystä niin pääset ongelman juurille

    5. 5

      Melania Trumpin hätkähdyttävä lausunto osoittaa, että ensimmäisen naisen vaikutus­valta Valkoisessa talossa saattaa olla kuviteltua suurempi

    6. 6

      Mies loi ”bändilleen” tyhjästä fani­kunnan, levy-yhtiön ja uutis­sivuston – ja buukkasi niiden avulla kiertueen, jonne ei tullut ketään

    7. 7

      Aikuinen ihminen saa olla Suomessa riippuvainen tasan yhdestä ihmisestä – ja se on hänen oma kumppaninsa

    8. 8

      Kela tulkitsi eri sukupuolta olevan vuokranantajan puolisoksi ja epäsi tuen – Oikeusasiamiehen mukaan tukiasian käsittely oli asiatonta

    9. 9

      Suomessa ei pysy järjissään marraskuussa ilman lentämistä – ja se on meidän parikymppisten luonnonystävien tragedia

    10. 10

      Oikeiston pääministeri­ehdokas kaatui historiallisessa äänestyksessä Ruotsissa – Ruotsidemokraattien Åkesson: ”Katsokaa Suomea!”

    11. Näytä lisää
    1. 1

      Siivooja Aino-Maija Leinonen näki keskiluokkaiset kodit ja päätti elää toisin – ”Kaikkien lempiväri on valkoinen ja kaikilla on samat esineet”

      Tilaajille
    2. 2

      Tältä näyttää uuden kerrostalon seinä – Isä ja poika havaitsivat ”hurjia” reikiä ja lohkeamia espoolaisella työmaalla

    3. 3

      Suomalaisia on kasvatettu ylenpalttiseen reippauteen, sanoo lastenpsykiatri Jari Sinkkonen – Sillä on hintansa, ja nyt se heijastuu parisuhteisiimme ja omien lastemme käytökseen

      Tilaajille
    4. 4

      Helsingin surkein taloyhtiö oli pahassa jamassa ja jopa vaarallinen – juuri valmistunut peruskorjaus maksoi 2 800 euroa neliöltä

    5. 5

      Suorakulmaisen jäävuoren mysteeri selvisi Etelämantereella

    6. 6

      Ilta-Sanomat: Näyttelijä Aku Hirviniemi sai syytteen kahdesta seksuaalisesta ahdistelusta

    7. 7

      Valkoisen talon lehdistö­sihteeri levitti ilmeisesti peukaloitua videota, jossa CNN:n toimittaja näyttää läimäyttävän avustajaa – ”Olemme ylittäneet uuden rajan”

    8. 8

      Demokraatit saivat vasta­iskun Trumpille, mitä siitä seuraa? Nämä viisi asiaa USA:n kongressi­vaalien tuloksesta kannattaa tietää

    9. 9

      Anne Parkkonen tiesi heti, että kuljettaja oli kuollut, ja pari viikkoa myöhemmin hän soitti lesken ovikelloa – Parkkosen ajama auto tappoi viattoman miehen, mutta syyllisestä nähtiin vain perävalot

      Tilaajille
    10. 10

      Syvällä Lapin erämaassa kulkee natsi-Saksan viimeinen puolustuslinja, ja nyt sieltä löytyi salaperäinen vankileiri

      Tilaajille
    11. Näytä lisää