Teknologia

Näin sähköisten laskujen tietoturva vuotaa: Ystävä tilasi vahingossa Markus Leimanin luottokorttilaskun, ja ruudulle lävähti tämän henkilötunnus sekä ostohistoria

Leimanin tapaus osoittaa, että e-laskujen tietoturvassa voi olla puutteita. HS:n tekemän yhteydenoton jälkeen S-Pankki ilmoitti käynnistäneensä työn henkilötunnuksen poistamiseksi esilläpitoarkistoon tallentuvista luottokorttilaskuista.

Huhtikuussa hankolainen Markus Leiman sai ystävältään puhelun: ystävän verkkopankkiin oli ilmestynyt Leimanin hallussa olevan luottokortin e-lasku.

Laskun avaamalla ystävä näki luottokortin ostohistorian sekä Leimanin henkilötietoja, kuten nimen, osoitteen ja henkilötunnuksen. Ystävän tarkoituksena oli ollut lyhentää kortille kertynyttä velkaa yhteisen hankinnan jälkeen, mutta hän tilasikin vahingossa e-laskun itselleen.

Vahinkotilaukseen riitti viitenumero.

Leiman on S-Pankin asiakas, mutta luottokortin e-lasku alkoi ilmestyä ystävälle Osuuspankin verkkopankkiin kerran kuukaudessa.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Leiman ihmetteli tapahtunutta: välittikö pankki laskun mukana hänen henkilötietojaan toisen pankin asiakkaalle?

Miten toisen ihmisen luottokorttilaskun tilaaminen kävi noin helposti?

Pankki myönsi, että se toimitti Leimanin laskun ”kaikkine yksityiskohtaisine tietoineen” tämän ystävälle e-laskutilauksen jälkeen. Pankki kuitenkin katsoi, ettei se ole voinut tietää Leimanin ja tämän ystävän järjestelyistä.

”Näin ollen S-Pankki ei ole toimittanut laskutietoja väittämälläsi tavalla tuntemattomille tahoille, vaan tiedot on toimitettu ainoastaan suostumuksesi mukaisesti luottokorttilaskusta tehdyn e-laskutilauksen perusteella”, pankin edustaja kirjoittaa Leimanille osoittamassaan viestissä.

Tapaukseen ei liity väärinkäytöksiä. Pankin tiedossa ei muutenkaan ole tapauksia, joissa viitenumeroilla olisi perusteettomasti tilailtu e-laskuja, sanoo tileistä ja maksuliikepalveluista vastaava tuoteryhmäpäällikkö Kaarina Linner.

Linnerin mukaan pankki on vain e-laskujen välittäjä. E-laskusopimus on laskuttajan ja laskutettavan välinen asia. Etenkin perheiden sisällä on myös varsin tyypillistä, että laskun maksaja ja laskutettava ovat eri ihmisiä.

Pankki kuitenkin itse veloittaa muun muassa luottokorttilaskuja, jolloin pankki on sekä välittäjä että laskuttaja.

Voisiko kuka tahansa tilata teidän myöntämän luottokortin e-laskun pelkän viitenumeron perusteella?

”Kyllä. S-Pankin Visa-laskujen tilaamiseen riittää viitenumero. Kuten useimmilla muillakin laskuttajilla, yksilöimiseen riittää yksi tieto, kuten esimerkiksi viitenumero”, Linner sanoo.

Hänen mukaansa riippuu sekä laskuttajasta että verkkopankista, kuinka helppoa e-laskun tilaaminen on. Viitenumeron ohella laskuttaja saattaa pyytää esimerkiksi henkilötunnusta tai asiakasnumeroa.

”Joissakin verkkopankeissa lasku generoidaan e-laskuksi oletuksena, kun asiakas maksaa laskua. Mutta meidän verkkopankissa e-laskutilaus pitää erikseen vahvistaa, eli niitä ei voi tilata vahingossa.”

Mikä on tilanne muissa pankeissa?

Osuuspankin asiantuntijapäällikkö Katariina Säntti vastasi HS:n kysymyksiin pankin viestintäyksikön kautta sähköpostitse. Hänen mukaansa OP:n luottokorttien e-laskuja ei pankin omassa verkkopankissa voi vastaanottaa kukaan muu kuin luottokortinhaltija.

Muiden laskujen tilaaminen kuitenkin onnistuu, eli esimerkiksi vanhemmat voivat tilata lastensa puhelinlaskuja.

Miten e-laskuihin liittyvät väärinkäytösten riskit on huomioitu?

”Laskuttaja päättää, mitä tietoja hän vaatii asiakkaalta, jotta valtuutus e-laskutuksesta syntyy: esimerkiksi juuri viitenumero voi riittävästi yksilöidä laskutusaiheen”, Linner sanoo ja huomauttaa, ettei laskutustietoja saisi päästä vääriin käsiin. Hän vertaa luvatonta e-laskukalastelua paperipostien tonkimiseen.

”Mikäli joku varastaa postilaatikosta postit ja hyödyntää niissä olevia tietoja, se on rikos itsessään.”

Henkilötunnusta ei näy luottokorttilaskun paperiversiossa tai verkkopankista löytyvästä näköisversiosta. Sen voi kuitenkin etsiä laskun laajemmasta versiosta, joka löytyy pankin esilläpitoarkistosta.

Näin kävi myös Leimanin tapauksessa.

Linnerin mukaan esilläpitoarkiston laskut muodostetaan kaikkien pankkien käyttämän Finvoicen tyylitiedoston pohjalta.

Osuuspankin Säntin mukaan tuntematon ihminen voi tilata toisen henkilön e-laskun vain, jos hän on saanut käsiinsä hänelle kuulumattoman laskun.

”Tämän vuoksi on tärkeää, että asiakkaat huolehtivat, että paperi- tai pdf-muotoiset laskut eivät päädy vääriin käsiin”, Säntti kirjoittaa.

Säntin mukaan pankki voi taata laskun menemisen tietylle asiakkaalle vain siinä tapauksessa, että laskuttaja vaatii asiakasta ilmoittamaan henkilötunnuksensa e-laskun tilauksen yhteydessä.

”Tyypillisesti luottokorttiyhtiöt vaativat henkilötunnusta e-laskun tilauksen yhteydessä, jotta voivat varmistaa, että luottokorttilaskuihin liittyviä e-laskuja ei voi vastaanottaa kukaan muu kuin kortinhaltija”, Säntti sanoo.

”Kun laskuttaja käyttää tätä toiminnallisuutta, pankki varmistaa, että e-laskun vastaanottaja on laskutettava taho.”

HS kysyi Leimanin tapauksesta viestintävirastosta ja tietosuojavaltuutetulta:

Viestintäviraston alaisen kyberturvallisuuskeskuksen tietoturva-asiantuntija Perttu Halonen pitää Leimanin tapausta kiintoisana.Yleisesti e-laskujen käyttö on turvallista. Pankit tunnistavat e-laskujen lähettäjät ja maksajat. Tekijän jäljille on helppo päästä, jos syntyy väärinkäytösepäily.

Halosen mukaan e-laskun tilaajalle paljastuvat laskun lisätiedot saattavat kuitenkin olla palvelun piirre, jonka tietoturvaa kuluttajan kannalta ”ei ole ajateltu ihan loppuun asti”.

Hän kuitenkin sanoo, ettei Viestintävirasto ole toimivaltainen viranomainen tietosuoja-asioissa, ja kehottaa olemaan yhteydessä tietosuojavaltuutetun toimistoon.

Tietosuojavaltuutettu Reijo Aarnio katsoo, että kyseessä on pikemminkin pankkien ja laskuttajien tietoturvaan liittyvä kysymys. Hänen mukaansa pelkkä viitenumero ”voi olla ehdottomasti henkilötieto”, sillä sen avulla laskun voi yhdistää velalliseen.

Jo pelkkä viitenumeron käsittely vaatii siis erityistä huolellisuutta.

Aarnio muistuttaa, että henkilötunnusta ei pitäisi tarpeettomasti kirjata laskuihin. Näin oli kuitenkin käynyt Leimanin tapauksessa.

”Kaiken aikaa on tapauksia, joissa jätepaperiastioista etsitään ihmisten tietoja – laskuja tai muita asiakirjoja, joista kerätään tiliyhteystietoja tai henkilötunnuksia.”

Aarnio muistaa kanteluita, joissa viitenumero on sisältänyt ihmisten henkilötunnuksia. Viitenumeroihin ja e-laskuihin liittyvissä asioissa tietosuojavaltuutetulle ei muuten ole juuri kanneltu.

Verkkoasiointiin liittyy yleisesti kaksi tietosuojaongelmaa, sanoo Aarnio. Ensinnäkin palveluntarjoajat eivät käytä riittävän vahvaa tunnistautumista vaan ottavat tilauksia vastaan pelkällä nimellä ja henkilötunnuksella. Toiseksi ihmiset laiskottelevat papereittensa hävittämisessä: paperit jätetään silppuamatta taloyhtiön roskikseen.

Pahimmillaan laiminlyöntien seurauksena on identiteettivarkaus.

Näin ei onneksi tapahtunut Markus Leimanin luottokorttilaskun kanssa. E-lasku päätyi ystävälle, joka kertoi Leimanille tapahtuneesta.

HS:n yhteydenoton jälkeen S-Pankki ilmoitti ryhtyneensä toimiin henkilötunnuksen poistamiseksi arkistoinnista ja luottokorttilaskuista:

Tuoteryhmäpäällikkö Kaarina Linner ilmoitti haastattelun jälkeen sähköpostitse selvittäneensä asiaa pankin asiantuntijoiden kanssa ja että henkilötunnuksen poistaminen myös esilläpitoarkiston versiosta ”on työn alla”.

    Seuraa uutisia tästä aiheesta

  • Tietoturva
  • Teknologia
  • Verkkopankki
  • Maksaminen
  • Ossi Mansikka

Kommentit

    Ei vielä kommentteja. Kirjoita ensimmäinen.

    Näytä lisää
    Luetuimmat
    • Juuri nyt
    • Päivä
    • Viikko
    1. 1

      Suomen junat ovat kuin tieteiselokuvista Ruotsiin verrattuna – Yksityisille avattu junaliikenne tökkii, eikä aikatauluihin voi luottaa

    2. 2

      Superautojen kauppa käy Suomessa kuumempana kuin koskaan – ”Nykyään kallis auto on osa lifestyleä siinä missä kallis laukkukin”

    3. 3

      ”Helvetin noutopöytä” koitui miljoonien kohtaloksi – Nälkä on ase, ja siksi nälänhätiä luodaan ja niillä tapetaan kymmeniä miljoonia ihmisiä

      Tilaajille
    4. 4

      Tätä on Suomi: Pekka Sario, 18, sai ajokortin tiistaiaamuna, jo illalla hän joutui toistuvan tieraivon kohteeksi

    5. 5

      Perjantaina on paljon pelissä – Miksi äänestys Soinin luottamuksesta on monessa puolueessa hankala?

    6. 6

      ”Jokainen oppilas saa kirjan kerran yölainaan” – Helsinki säästää, ja alakoululaisten vanhempia on hätistetty ostamaan itse lapsilleen kirjoja

      Tilaajille
    7. 7

      Eppu Normaalin Pantse Syrjää syytetään vaimonsa rajuista pahoinpitelyistä – Syrjä kiistää syytteet

    8. 8

      Ystäväni poika ei ole oppinut amiksessa juuri mitään – Onko ammattikoulutus todella näin surkealla tolalla?

    9. 9

      Ketogeeninen ruokavalio on trendi, jossa paino voi pudota nopeastikin – Ravitsemus­terapeutti: ”En kannusta, koska dieetti voi johtaa aineenvaihdunnallisiin ongelmiin”

    10. 10

      Päiväkoti vai kotihoito? Syyllisyys kalvaa pienten lasten vanhempia, kertoo tuore tutkimus

    11. Näytä lisää
    1. 1

      Miehet ovat usein tajuamattaan henkisen väkivallan uhreja – ”Miehillä voi olla parinkymmenen vuoden kokemus alistamisesta”

    2. 2

      Tätä on Suomi: Pekka Sario, 18, sai ajokortin tiistaiaamuna, jo illalla hän joutui toistuvan tieraivon kohteeksi

    3. 3

      Ystäväni poika ei ole oppinut amiksessa juuri mitään – Onko ammattikoulutus todella näin surkealla tolalla?

    4. 4

      Tämä määrä proteiinia on tarpeeksi, liika voi olla vaaraksi ja kasviproteiinilla pärjää, kunhan tietää mitä tekee – Nämä kahdeksan faktaa sinun täytyy tietää proteiineista

      Tilaajille
    5. 5

      Puolella miljoonalla suomalaisella on riittämätön lukutaito – Testaa, kuinka hyvin itse ymmärrät lukemaasi

    6. 6

      Mikä Helsingin OP:ssa on vialla? Laina­neuvotteluihin ei pääse, viesteihin ei vastata

    7. 7

      Kokoomuksen ja keskustan ryhmät vakuuttavat luottamusta Soinille – Jaana Pelkonen aikoo olla paikalla äänestyksessä, mutta ei lupaa tukeaan: ”Minullakin on omatunto”

    8. 8

      Suomen junat ovat kuin tieteiselokuvista Ruotsiin verrattuna – Yksityisille avattu junaliikenne tökkii, eikä aikatauluihin voi luottaa

    9. 9

      Arki-ilta raitiovaunussa kääntyi tappeluksi: Ohjaaja Jari Halonen löi humalaista koiranomistajaa nyrkillä naamaan ja sai siitä tuomion

    10. 10

      Vuoden vastenmielisin elokuva on tässä – Peppermint on järjetön ja tavattoman väkivaltainen, mutta pahinta siinä on asenne

    11. Näytä lisää
    1. 1

      ”Ihmisroskana” esitetty asunnoton alkoholisti Markku Korhonen ahdistui ja suuttui niin, että teki rikos­ilmoituksen – entinen yrittäjä auttoi pitkään muita, mutta päätyi itse sillan alle

    2. 2

      Auschwitziin matkanneet Kallion lukiolaiset kokivat Suomi-häpeää krakovalaisessa juutalaisravintolassa: ”Minun oli pakko mennä kysymään heiltä, että ymmärrättekö te yhtään, mitä teette”

    3. 3

      Virpi oli luokan priimus ja lääkäriperheen kultahippu – Hänestä tuli kirurgi, joka leikkasi potilaita lääkehuuruissa ja joutui lopulta vankilaan

      Tilaajille
    4. 4

      Puolella miljoonalla suomalaisella on riittämätön lukutaito – Testaa, kuinka hyvin itse ymmärrät lukemaasi

    5. 5

      Äiti riehui, ryyppäsi ja teki lopulta itsemurhan – Kun Sari Järn halusi ymmärtää miksi, hän löysi suvun synkän historian

      Tilaajille
    6. 6

      Helsinkiläisnaisen auto saarrettiin traktorilla Nuuksiossa – ”Espoon sumputtaja” Lucas Heimsch perheineen kertoo nyt, mikä kaupunkilaisten käytöksessä mättää

    7. 7

      Espoolainen oppilas kuoli saatuaan sairaus­kohtauksen liikunta­tunnilla, jolla tehtiin piip-testiä – Testistä on annettu tarkat ohjeet kouluille, sanoo sivistys­toimen johtaja

    8. 8

      ”Ongelmista ykkönen on viina, kakkonen on viina ja kolmonen on viina” – Ensihoidon eläköityvä vastuulääkäri Teuvo Määttä on nähnyt Helsingin pimeän puolen

    9. 9

      Miehet ovat usein tajuamattaan henkisen väkivallan uhreja – ”Miehillä voi olla parinkymmenen vuoden kokemus alistamisesta”

    10. 10

      Siirtämäänsä autoa tuhonnut hinaus­auton kuljettaja herätti hämmennystä Vantaan Koivu­haassa – auto oli tarkoituskin viedä romutettavaksi, kertoo kuljettaja

    11. Näytä lisää