S-PANKIN kärsimä tietomurtosarja koskee jo noin 300:aa pankin asiakasta, tapauksen tutkinnanjohtaja kertoi Helsingin Sanomille. Aiemmin oli arvioitu, että petossarjassa olisi noin 200 asianomistajaa. Samalla varkauden kokonaismäärän arvioidaan ylittäneen miljoona euroa.

S-Pankin tietojärjestelmän haavoittuvuus mahdollisti rikollisille asiakkaiden verkkopankkitunnusten väärinkäyttämisen. Seurauksena tileille tunkeuduttiin ja niiltä vietiin rahaa. Tapaus on Suomen historiassa poikkeuksellinen, koska verkkopankkitunnukset ovat niin sanottu vahva tunnistautumisen muoto, jota on pidetty erittäin turvallisena.

Vangittuina olevat pääepäillyt, 16- ja 23-vuotiaat henkilöt, käyttivät rahaa oletetusti myös rahapeleihin, matkustamiseen, lähiomaisten velkojen maksamiseen, kryptovaluuttoihin, huumeisiin ja luksustuotteisiin, kuten Louis Vuittonin laukkuihin. Tutkinnanjohtajan mukaan rikoshyödyn takaisin saaminen on kovan työn ja kaivamisen takana.

S-pankki kertoi tiistaina verkkopankissaan olleesta häiriöstä, joka koskettaa satoja pankin asiakkaita. Pertti Aallon tililtä vietiin 2000 euroa toukokuussa. Tekijöiden jäljet johtavat poliisin mukaan ulkomaille.

Anneli uskoo joutuneensa S-pankin tietomurron uhriksi.
Hän oli asiasta yhteydessä pankkiin ensimmäisen kerran jo kesäkuussa.
Pankki ei uskonut, että Annelin tiliä ja korttia olisi käytetty väärin.

S-pankin verkkopankkitunnuksilla tunnistautumisessa oli usean kuukauden ajan ongelmia, jotka mahdollistivat toisen asiakkaan verkkopankkiin kirjautumisen.

Ongelmia esiintyi huhtikuun lopun ja elokuun alun välillä.

Häiriö mahdollisti S-pankin mukaan muutaman sadan asiakkaan pääsyn toisten asiakkaiden verkkopankkeihin. Kaikki heistä ei kuitenkaan törmännyt virheeseen eikä siten kirjautunut väärään henkilön pankkiin.

S-pankin mukaan järjestelmähäiriötä hyödynnettiin myös väärinkäytöksiin, kuten luvattomiin maksuihin ja kolmansien osapuolten verkkopalveluihin kirjautumiseen.

Poliisi tutkii tapausta.
Kortti suljettiin

Annelilla on ollut S-pankin luotollinen pankkikortti. Hän on ollut jo kauan pankin asiakas.

Toukokuussa Annelin ei tarvinnut S-pankin luottokorttia käyttää, sillä kortti oli hänellä vain varalla, mikäli suurempia ostoksia tarvitsi tehdä. Hänellä oli kortilla 2 500 euron luottoraja.

Kesäkuun alussa hän sai pankilta kuitenkin viestin, jossa kerrottiin, että hänen korttinsa oli suljettu epämääräisten nostojen takia.

Anneli huolestui tilanteesta ja kirjautui verkkopankkiin katsomaan ja selvittämään, mitä oli tapahtunut.

Hän huomasi kortin uuden luottorajan olevan 8 000 euroa. Lisäksi tililtä ja kortilta oli tehty suuria yksittäisnostoja.

Korkea luottoraja tuli Annelille täytenä yllätyksenä, sillä hän ei ollut koskaan allekirjoittanut tai hyväksynyt luottorajan nostoa, saati sellaista tehnyt.

Annelin tililtä ja kortilta oli tehty suuria nostoja. Tiliotteelta selvisi, että suurin siirto luotolta tilille oli 3 000 euroa. Tuhansien eurojen nostoja ja siirtoja oli tehty useampia.

Anneli otti tilanteen huomattuaan välittömästi yhteyttä pankkiin, josta hän sai erittelyn tilitapahtumista edellisen kolmen kuukauden ajalta.

Iltalehti on käynyt läpi tilitapahtumat.

Korttia ja sen luotto-ominaisuutta ei juuri ollut käytetty ennen toukokuun loppua. Kolmen päivän aikana Annelin tililtä oli tehty 89 tilisiirtoa, joita hän ei itse tunnista.

Yhden päivän aikana hänen luotoltaan oli siirretty käyttötilille ensin 2 500 euroa ja myöhemmin samana päivänä vielä 3 000 euroa.

Kaikki tunnistamattomat tilitapahtumat ajoittuivat toukokuun loppuun muutaman päivän ajalle.

Annelille tuntemattomat yritykset ja yksityishenkilöt olivat tehneet nostot.

Kokonaissaatavat nousivat S-pankin luottokortilla yli 8 200 euron suuruisiksi. Lisäksi summaan lisätään korko- ja perintäkulut.

Pankin reaktio

Asian tultua ilmi Anneli teki reklamaation pankkiin. Hän selitti tilanteen ja kertoi, ettei ole kyseisten päivien aikana nostoja tehnyt eikä ollut koskaan kyseisistä yrityksistä kuullutkaan. Pankissa suhtauduttiin Annelin kertoman mukaan tilanteeseen vähätellen.

Iltalehti on nähnyt Annelin ja pankin välistä kirjeenvaihtoa.

Ensimmäisen yhteydenoton jälkeen pankki lähetti viestin, jossa pahoiteltiin tilannetta.

– Ymmärrämme, että tilanne on harmillinen. Emme kuitenkaan valitettavasti voi hyvittää tapahtumia, vaan ne jäävät vastuullesi, S-pankin viestissä todetaan.

Anneli teki asiasta rikosilmoituksen.

Anneli oli yhteydessä S-pankkiin puhelimitse ja yritti selvittää tilannetta pankin kanssa. Hänelle selvitettiin, että siirrot oli tehty Samsung-merkkisestä puhelimesta tiettynä päivänä. Anneli yritti selvittää, ettei hänellä ole kyseistä puhelinta eikä muutakaan älypuhelinta.

S-pankki kuitenkin pyysi tilanteesta lisäselvitystä, johon Anneli toimitti kaikki mahdolliset dokumentit ja selvitykset, jotka vain suinkin keksi. Hän selvitti, ettei hänellä ole kyseistä puhelinta eikä hän ole näyttänyt, hävittänyt tai antanut kenellekään verkkopankkitunnuksia tai avainlukulistaa. Selvitys piti sisällään myös kuitit auton tankkauksesta ja tapaamiset, joissa hän oli ajanjaksolla käynyt.

Lakimies avuksi

Anneli kertoo, että eräässä pankkivirkailijan kanssa käydyssä puhelinkeskustelussa virkailija kyseenalaisti Annelin kertoman ja sanoi, että vaikuttaisi siltä, että Anneli on suunnitellut teon yhdessä ulkomaalaisen ex-puolisonsa kanssa ja että rahat on siirretty ulkomaille.

Anneli palkkasi lakimiehen avukseen.

Anneli vaatii lakimies välityksellä S-pankilta vahingonkorvausta rikoksia vastaavan summan edestä, korkokustannuksia sekä asianajokuluja.

Myös Annelin lakimies kiinnitti pankille lähettämässä viestissä huomiota tylyyn kohteluun asiakkaita kohtaan.

– Asiaan on suhtauduttu vähättelevästi ja jättäen asiakas pulaan. Ollessani pankkiinne yhteydessä sain jäädytettyä luottolaskun perinnän asian selvittelyn ajaksi, kerrotaan lakimiehen viestissä.

Asian selvittely on yhä kesken. Anneli kertoo, ettei ole saanut yhteydenottoa S-pankista. Iltalehti ei ole pystynyt varmistamaan, onko Anneli S-pankin tietomurron uhri, koska Anneli ei ole saanut tähän liittyvää yhteydenottoa pankista, vaikka pankki väittää olleensa yhteydessä kaikkiin asiakkaisiin, joita asia koskee. Kaikki Annelin tapauksen yksityiskohdat kuitenkin viittaavat kyseiseen tietomurtoon.

Yhteiskunta perustuu – tai sen pitäisi perustua – luottamukseen. Jos tunkeutujille annetaan avaimet käteen, usko sähköisten palveluiden luotettavuuteen on koetuksella, kirjoittaa Ilta-Sanomien digitoimittaja Henrik Kärkkäinen.

S-PANKIN tänään julkisuuteen kertoma järjestelmähäiriö on samaan aikaan suhteellisen pieni että massiivinen asia.

Suhteellisen pieni se on siksi, että sen mittakaava on kaukana massiivisista tietovuodoista, kuten historiaan jäävästä Vastaamosta, jossa kymmenien tuhansien ihmisten psykoterapiatiedot päätyivät vääriin käsiin.

Se on suuri asia siksi, että se iskee tietoyhteiskunnan arkaan paikkaan: luottamusverkostoon. Ei ole liioiteltua kutsua sitä ainakin pieneksi katastrofiksi.

Luottamusverkosto on ketju, joka muodostuu vahvaa tunnistautumista edellyttävien palveluiden verkostosta. Siellä ovat viranomaisten ja pankkien lisäksi lukemattomat yritykset ja muut toimijat. Se on täynnä luottamuksellista ja henkilökohtaista tietoa pankki-, ja veroasioista aina terveysasioihin. Pankkitunnukset ovat avain tähän verkostoon mobiilivarmenteen ja sähköisen henkilökortin ohella.

Tämäkin ketju on yhtä vahva kuin heikoin lenkkinsä. Kun avaimet ovat väärissä käsissä, jälki voi olla rumaa. Samalla verkkopankkitunnuksella aukeaa sähköinen ovi kuin ovi.

PANKIN ilmoitus ongelman syystä on oireellinen. Se kertoi ongelman olevan ”tunnistautumisen järjestelmähäiriö yhdessä komponentissa” asiaa sen kummemmin kysyttäessäkään erittelemättä.

Tämä tarkoittaa yleensä ohjelmistovirhettä, mikä on paha asia.

Sähköisessä tunnistautumisessa on kyse luottamuksesta digitaaliseen yhteiskuntaan.

Luottamukseen liittyvät vahvat tunteet. Satojen S-Pankin asiakkaiden ahdistus ja epätietoisuus tällä hetkellä on todellista. Tieto siitä, että joku on voinut kirjautua pankkitunnuksillasi katselemaan terveystietojasi, ottamaan pikavippejä nimissäsi tai urkkimaan vaikkapa verotietosi, on kalvavaa.

Pankille voi olla kuvassa asiakaspakoa, joukkokannetta tai vähintään isoja tahroja julkisuuskuvassa.

Ja mikä pahinta, monen asiakkaan luottamus digitaaliseen yhteiskuntaan tällä hetkellä on tuskin kovin suurta.