Teknologia

Näin sähköisten laskujen tietoturva vuotaa: Ystävä tilasi vahingossa Markus Leimanin luottokorttilaskun, ja ruudulle lävähti tämän henkilötunnus sekä ostohistoria

Leimanin tapaus osoittaa, että e-laskujen tietoturvassa voi olla puutteita. HS:n tekemän yhteydenoton jälkeen S-Pankki ilmoitti käynnistäneensä työn henkilötunnuksen poistamiseksi esilläpitoarkistoon tallentuvista luottokorttilaskuista.

Huhtikuussa hankolainen Markus Leiman sai ystävältään puhelun: ystävän verkkopankkiin oli ilmestynyt Leimanin hallussa olevan luottokortin e-lasku.

Laskun avaamalla ystävä näki luottokortin ostohistorian sekä Leimanin henkilötietoja, kuten nimen, osoitteen ja henkilötunnuksen. Ystävän tarkoituksena oli ollut lyhentää kortille kertynyttä velkaa yhteisen hankinnan jälkeen, mutta hän tilasikin vahingossa e-laskun itselleen.

Vahinkotilaukseen riitti viitenumero.

Leiman on S-Pankin asiakas, mutta luottokortin e-lasku alkoi ilmestyä ystävälle Osuuspankin verkkopankkiin kerran kuukaudessa.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Leiman ihmetteli tapahtunutta: välittikö pankki laskun mukana hänen henkilötietojaan toisen pankin asiakkaalle?

Miten toisen ihmisen luottokorttilaskun tilaaminen kävi noin helposti?

Pankki myönsi, että se toimitti Leimanin laskun ”kaikkine yksityiskohtaisine tietoineen” tämän ystävälle e-laskutilauksen jälkeen. Pankki kuitenkin katsoi, ettei se ole voinut tietää Leimanin ja tämän ystävän järjestelyistä.

”Näin ollen S-Pankki ei ole toimittanut laskutietoja väittämälläsi tavalla tuntemattomille tahoille, vaan tiedot on toimitettu ainoastaan suostumuksesi mukaisesti luottokorttilaskusta tehdyn e-laskutilauksen perusteella”, pankin edustaja kirjoittaa Leimanille osoittamassaan viestissä.

Tapaukseen ei liity väärinkäytöksiä. Pankin tiedossa ei muutenkaan ole tapauksia, joissa viitenumeroilla olisi perusteettomasti tilailtu e-laskuja, sanoo tileistä ja maksuliikepalveluista vastaava tuoteryhmäpäällikkö Kaarina Linner.

Linnerin mukaan pankki on vain e-laskujen välittäjä. E-laskusopimus on laskuttajan ja laskutettavan välinen asia. Etenkin perheiden sisällä on myös varsin tyypillistä, että laskun maksaja ja laskutettava ovat eri ihmisiä.

Pankki kuitenkin itse veloittaa muun muassa luottokorttilaskuja, jolloin pankki on sekä välittäjä että laskuttaja.

Voisiko kuka tahansa tilata teidän myöntämän luottokortin e-laskun pelkän viitenumeron perusteella?

”Kyllä. S-Pankin Visa-laskujen tilaamiseen riittää viitenumero. Kuten useimmilla muillakin laskuttajilla, yksilöimiseen riittää yksi tieto, kuten esimerkiksi viitenumero”, Linner sanoo.

Hänen mukaansa riippuu sekä laskuttajasta että verkkopankista, kuinka helppoa e-laskun tilaaminen on. Viitenumeron ohella laskuttaja saattaa pyytää esimerkiksi henkilötunnusta tai asiakasnumeroa.

”Joissakin verkkopankeissa lasku generoidaan e-laskuksi oletuksena, kun asiakas maksaa laskua. Mutta meidän verkkopankissa e-laskutilaus pitää erikseen vahvistaa, eli niitä ei voi tilata vahingossa.”

Mikä on tilanne muissa pankeissa?

Osuuspankin asiantuntijapäällikkö Katariina Säntti vastasi HS:n kysymyksiin pankin viestintäyksikön kautta sähköpostitse. Hänen mukaansa OP:n luottokorttien e-laskuja ei pankin omassa verkkopankissa voi vastaanottaa kukaan muu kuin luottokortinhaltija.

Muiden laskujen tilaaminen kuitenkin onnistuu, eli esimerkiksi vanhemmat voivat tilata lastensa puhelinlaskuja.

Miten e-laskuihin liittyvät väärinkäytösten riskit on huomioitu?

”Laskuttaja päättää, mitä tietoja hän vaatii asiakkaalta, jotta valtuutus e-laskutuksesta syntyy: esimerkiksi juuri viitenumero voi riittävästi yksilöidä laskutusaiheen”, Linner sanoo ja huomauttaa, ettei laskutustietoja saisi päästä vääriin käsiin. Hän vertaa luvatonta e-laskukalastelua paperipostien tonkimiseen.

”Mikäli joku varastaa postilaatikosta postit ja hyödyntää niissä olevia tietoja, se on rikos itsessään.”

Henkilötunnusta ei näy luottokorttilaskun paperiversiossa tai verkkopankista löytyvästä näköisversiosta. Sen voi kuitenkin etsiä laskun laajemmasta versiosta, joka löytyy pankin esilläpitoarkistosta.

Näin kävi myös Leimanin tapauksessa.

Linnerin mukaan esilläpitoarkiston laskut muodostetaan kaikkien pankkien käyttämän Finvoicen tyylitiedoston pohjalta.

Osuuspankin Säntin mukaan tuntematon ihminen voi tilata toisen henkilön e-laskun vain, jos hän on saanut käsiinsä hänelle kuulumattoman laskun.

”Tämän vuoksi on tärkeää, että asiakkaat huolehtivat, että paperi- tai pdf-muotoiset laskut eivät päädy vääriin käsiin”, Säntti kirjoittaa.

Säntin mukaan pankki voi taata laskun menemisen tietylle asiakkaalle vain siinä tapauksessa, että laskuttaja vaatii asiakasta ilmoittamaan henkilötunnuksensa e-laskun tilauksen yhteydessä.

”Tyypillisesti luottokorttiyhtiöt vaativat henkilötunnusta e-laskun tilauksen yhteydessä, jotta voivat varmistaa, että luottokorttilaskuihin liittyviä e-laskuja ei voi vastaanottaa kukaan muu kuin kortinhaltija”, Säntti sanoo.

”Kun laskuttaja käyttää tätä toiminnallisuutta, pankki varmistaa, että e-laskun vastaanottaja on laskutettava taho.”

HS kysyi Leimanin tapauksesta viestintävirastosta ja tietosuojavaltuutetulta:

Viestintäviraston alaisen kyberturvallisuuskeskuksen tietoturva-asiantuntija Perttu Halonen pitää Leimanin tapausta kiintoisana.Yleisesti e-laskujen käyttö on turvallista. Pankit tunnistavat e-laskujen lähettäjät ja maksajat. Tekijän jäljille on helppo päästä, jos syntyy väärinkäytösepäily.

Halosen mukaan e-laskun tilaajalle paljastuvat laskun lisätiedot saattavat kuitenkin olla palvelun piirre, jonka tietoturvaa kuluttajan kannalta ”ei ole ajateltu ihan loppuun asti”.

Hän kuitenkin sanoo, ettei Viestintävirasto ole toimivaltainen viranomainen tietosuoja-asioissa, ja kehottaa olemaan yhteydessä tietosuojavaltuutetun toimistoon.

Tietosuojavaltuutettu Reijo Aarnio katsoo, että kyseessä on pikemminkin pankkien ja laskuttajien tietoturvaan liittyvä kysymys. Hänen mukaansa pelkkä viitenumero ”voi olla ehdottomasti henkilötieto”, sillä sen avulla laskun voi yhdistää velalliseen.

Jo pelkkä viitenumeron käsittely vaatii siis erityistä huolellisuutta.

Aarnio muistuttaa, että henkilötunnusta ei pitäisi tarpeettomasti kirjata laskuihin. Näin oli kuitenkin käynyt Leimanin tapauksessa.

”Kaiken aikaa on tapauksia, joissa jätepaperiastioista etsitään ihmisten tietoja – laskuja tai muita asiakirjoja, joista kerätään tiliyhteystietoja tai henkilötunnuksia.”

Aarnio muistaa kanteluita, joissa viitenumero on sisältänyt ihmisten henkilötunnuksia. Viitenumeroihin ja e-laskuihin liittyvissä asioissa tietosuojavaltuutetulle ei muuten ole juuri kanneltu.

Verkkoasiointiin liittyy yleisesti kaksi tietosuojaongelmaa, sanoo Aarnio. Ensinnäkin palveluntarjoajat eivät käytä riittävän vahvaa tunnistautumista vaan ottavat tilauksia vastaan pelkällä nimellä ja henkilötunnuksella. Toiseksi ihmiset laiskottelevat papereittensa hävittämisessä: paperit jätetään silppuamatta taloyhtiön roskikseen.

Pahimmillaan laiminlyöntien seurauksena on identiteettivarkaus.

Näin ei onneksi tapahtunut Markus Leimanin luottokorttilaskun kanssa. E-lasku päätyi ystävälle, joka kertoi Leimanille tapahtuneesta.

HS:n yhteydenoton jälkeen S-Pankki ilmoitti ryhtyneensä toimiin henkilötunnuksen poistamiseksi arkistoinnista ja luottokorttilaskuista:

Tuoteryhmäpäällikkö Kaarina Linner ilmoitti haastattelun jälkeen sähköpostitse selvittäneensä asiaa pankin asiantuntijoiden kanssa ja että henkilötunnuksen poistaminen myös esilläpitoarkiston versiosta ”on työn alla”.

    Seuraa uutisia tästä aiheesta

  • Tietoturva
  • Teknologia
  • Verkkopankki
  • Maksaminen
  • Ossi Mansikka

Kommentit

    Ei vielä kommentteja. Kirjoita ensimmäinen.

    Näytä lisää
    Luetuimmat
    • Juuri nyt
    • Päivä
    • Viikko
    1. 1

      Harvinainen geneettinen ”lottovoitto” venytti Shawn Bradleyn 229-senttiseksi – sen pidemmäksi ei terve ihminen juuri kasva

    2. 2

      Työttömät kantavat metsässä puita ilman palkkaa, mutta onko siitä ihmelääkkeeksi Suomen ongelmiin? ”Hyödyllisiä töitä, joita kukaan ei muuten tekisi”

      Tilaajille
    3. 3

      Isä jää varjoon, kun lapsi valitsee äidin – Suosikki­asetelmalle on luonnolliset syynsä, ja näin se puretaan

      Tilaajille
    4. 4

      Amerikkalaisnäyttelijä nosti täysin puskista suomalaissarja Sorjosen tämän hetken parhaimmistoon – tuntemattomat näyttelijät mahtavia, ”visuaalinen näyttävyys tyrmäävä”

    5. 5

      Kun Tepa Lundgren, 72, kuolee, kaikki on valmiina – Punaisesta mapista löytyy tarvittava tieto omaisille sekä punamustat villasukat arkkua varten

    6. 6

      Olen tavannut lapsia, jotka sylkevät, käyvät päälle ja rikkovat huonekaluja – Miten he saavat tarvittavaa hoitoa tässä sijaishuollon resurssipulassa?

    7. 7

      ”Vuosikymmenen löytö” – Portugalista löytyy satoja vuosia vanha hylky

    8. 8

      Keskustan eduskuntaryhmä kutsuttu koolle Kesärantaan – Iltalehden mukaan aiheena hallitustyö kokoomuksen kanssa

    9. 9

      Työelämä on ajautunut aivot turruttavaksi silpuksi, mikä ajaa kolmekymppiset työkyvyttömyyteen – Aivotutkijoiden ratkaisu on uusi työaika, ja näin se toimii

      Tilaajille
    10. 10

      Uhkaako ulkomainen maanomistus Suomen turvallisuutta? Sotilasasiantuntijan mukaan keskustelussa olisi syytä painaa jarrua

    11. Näytä lisää
    1. 1

      Köyhien lasten hätä alkoi näkyä, kun toimeentulotuki siirtyi Kelan hoitoon – ”Tapaan lapsia, jotka ovat silmät pyöreinä, kun vien heille juustoa tai jogurttia”

    2. 2

      Työelämä on ajautunut aivot turruttavaksi silpuksi, mikä ajaa kolmekymppiset työkyvyttömyyteen – Aivotutkijoiden ratkaisu on uusi työaika, ja näin se toimii

      Tilaajille
    3. 3

      Amerikkalaisnäyttelijä nosti täysin puskista suomalaissarja Sorjosen tämän hetken parhaimmistoon – tuntemattomat näyttelijät mahtavia, ”visuaalinen näyttävyys tyrmäävä”

    4. 4

      Näinkin voi käydä: Täysiä kaahaava ”sukkahousupyöräilijä” ja kaksi koiranulkoiluttajaa kohtasivat kevyen liikenteen väylällä Espoossa – Sitten kaikki alkoivat kiitellä toisiaan vuolaasti

    5. 5

      Sydämen jäykistyminen aiheuttaa nuorten äkkikuolemia – lihakseen kasvava sidekudos voi tuottaa kohtalokkaan rytmihäiriön

      Tilaajille
    6. 6

      Krp:n rikostarkastaja Turun talousrikostutkinnasta HS:lle: Muovipusseihin sullottu puoli miljoonaa käteistä tukee rahanpesuepäilyä – Rikoksesta epäillään nyt kahta yritystä

    7. 7

      23-vuotias nainen tapettiin Kannelmäessä – Yksi mies otettu kiinni, toista etsitään

    8. 8

      Ruotsidemokraatit ratkaisivat Ruotsin hallituspelin ensimmäisen erän oikeiston eduksi ja kokivat sitten nöyryyttävän tappion – Ryhmänjohtaja: ”Nyt raja on tullut vastaan”

    9. 9

      Harvinainen geneettinen ”lottovoitto” venytti Shawn Bradleyn 229-senttiseksi – sen pidemmäksi ei terve ihminen juuri kasva

    10. 10

      Aftonbladet: Pitkän uran tehnyttä ruotsalaisnäyttelijää epäillään 28-vuotiaan naisen murhasta

    11. Näytä lisää
    1. 1

      ”Ihmisroskana” esitetty asunnoton alkoholisti Markku Korhonen ahdistui ja suuttui niin, että teki rikos­ilmoituksen – entinen yrittäjä auttoi pitkään muita, mutta päätyi itse sillan alle

    2. 2

      Köyhien lasten hätä alkoi näkyä, kun toimeentulotuki siirtyi Kelan hoitoon – ”Tapaan lapsia, jotka ovat silmät pyöreinä, kun vien heille juustoa tai jogurttia”

    3. 3

      Puolella miljoonalla suomalaisella on riittämätön lukutaito – Testaa, kuinka hyvin itse ymmärrät lukemaasi

    4. 4

      Äiti riehui, ryyppäsi ja teki lopulta itsemurhan – Kun Sari Järn halusi ymmärtää miksi, hän löysi suvun synkän historian

      Tilaajille
    5. 5

      Krp ottanut kiinni kolmannen henkilön Turun seudun laajoissa kotietsinnöissä – ”Etsinnät sujuneet suunnitelmien mukaan”

    6. 6

      Sotilaslähde HS:lle: Airiston Helmi ollut vuosia Puolustus­voimien ja Supon tarkkailussa – ”Ne hankkivat strategisia kohteita ja me olemme hölmöjä, kun olemme myyneet”

    7. 7

      Markku hakee Viipurista bensaa, seksiä ja puolisolle kukkia – Yhä useampi itärajan mies tuo myös hiv:n, mutta testeihin Markku ei mene

      Tilaajille
    8. 8

      Miehet ovat usein tajuamattaan henkisen väkivallan uhreja – ”Miehillä voi olla parinkymmenen vuoden kokemus alistamisesta”

    9. 9

      Työelämä on ajautunut aivot turruttavaksi silpuksi, mikä ajaa kolmekymppiset työkyvyttömyyteen – Aivotutkijoiden ratkaisu on uusi työaika, ja näin se toimii

      Tilaajille
    10. 10

      ”Ongelmista ykkönen on viina, kakkonen on viina ja kolmonen on viina” – Ensihoidon eläköityvä vastuulääkäri Teuvo Määttä on nähnyt Helsingin pimeän puolen

    11. Näytä lisää
    Uusimmat
    1. Juuri nyt
    2. Venäläiskaksikko oli ”lomailemassa Lontoossa”, kun he saivat villin idean – entisen agentin myrkytyksestä he eivät kuitenkaan muista mitään
    3. Jääkiekon liigaseurojen tuloskunto tökkii – HIFK:n juhlaottelu toi isot kulut: ”Halusimme järjestää sellaiset juhlat, joihin fanit pääsevät mukaan”
    4. ”Vuosikymmenen löytö” – Portugalista löytyy satoja vuosia vanha hylky
    5. Työttömät kantavat metsässä puita ilman palkkaa, mutta onko siitä ihmelääkkeeksi Suomen ongelmiin? ”Hyödyllisiä töitä, joita kukaan ei muuten tekisi” Tilaajille
    6. Paavi vierailee tänään Virossa, jossa hän on erityisessä suosiossa Neuvostoliiton takia – suora lähetys Tallinnasta kello 9.50
    7. Lauri Markkasen punttikuuri toi aimo annoksen massaa – yksi selvä kehityskohde alkavalle kaudelle: ”Olen aina johtanut esimerkilläni”
    8. Helsinki sijoitti kaupunkipyörä­telineen vammaisten pysäköintipaikalle, bussikuskit pelkäävät onnettomuuksia: ”Se on siinä todella vaarallisesti”
    9. Olen tavannut lapsia, jotka sylkevät, käyvät päälle ja rikkovat huonekaluja – Miten he saavat tarvittavaa hoitoa tässä sijaishuollon resurssipulassa?
    10. Instagramin perustajat lähtevät yhtiöstään – Bloomberg: Taustalla erimielisyydet Facebookin Zuckerbergin kanssa
    11. Kun Tepa Lundgren, 72, kuolee, kaikki on valmiina – Punaisesta mapista löytyy tarvittava tieto omaisille sekä punamustat villasukat arkkua varten
    12. Näytä lisää