Ilmiö 75

Toimitusjohtajahuijaus — kiireellinen ja salainen maksu

Kirjoittanut Ilmiömies · Päivitetty 6.7.2026

Toimitusjohtajahuijaus (engl. CEO fraud; laajempi kattotermi BEC, business email compromise) tarkoittaa huijausta, jossa rikollinen esiintyy sähköpostissa — tai yhä useammin puhelussa ja videolla — yrityksen johtajana, toimittajana tai kumppanina ja saa talousosaston siirtämään rahaa tai vaihtamaan laskutustilin. Huijaus ei murtaudu järjestelmiin: se murtautuu organisaatiokaavioon.

Psykologinen koneisto nojaa kolmeen vipuun. Auktoriteetti: harva kyseenalaistaa toimitusjohtajan suoran pyynnön. Kiire: "kauppa kaatuu, jos maksu ei lähde tänään" — paine ohittaa prosessin. Ja nerokkain: salailu. "Yrityskauppa on kesken, älä puhu tästä kenellekään" kuulostaa uskottavalta liikesalaisuudelta — ja estää täsmälleen sen tarkistussoiton, joka paljastaisi huijauksen. Vahinkojen mittakaava on valtava: FBI:n IC3 tilastoi BEC-tappioiksi noin 2,9 miljardia dollaria pelkästään vuonna 2023, ja se tekee lajista tuottoisimpia verkkorikollisuuden muotoja.

flowchart TD T["Tiedustelu: LinkedIn,\nverkkosivut, kaapattu\nsähköpostiketju"] --> V["Väärennetty tai kaapattu\nosoite: 'toimitusjohtaja',\n'toimittaja'"] V --> M["Viesti taloushallintoon:\nauktoriteetti + kiire\n+ salailu"] M --> S["Maksu tai tilinumeron\nvaihto"] S --> R["Rahat muilitileille\nja ulkomaille"] R --> P["Paljastuu vasta\ntäsmäytyksessä —\nliian myöhään"] style M fill:#fdf0f0,stroke:#c0392b style S fill:#fff3cd,stroke:#f39c12

BEC-huijauksen kulku: tutkittu kohde, uskottava lähettäjä ja käsikirjoitettu kiire.

Tekoäly vei huijauksen uudelle tasolle. Hongkongissa 2024 suunnitteluyhtiö Arupin työntekijä siirsi noin 25 miljoonaa dollaria videopalaverin jälkeen, jossa "talousjohtaja" ja koko muu kokousväki olivat deepfake-videota. Jo 2019 brittiläisen energiayhtiön johtaja siirsi 220 000 euroa kuultuaan puhelimessa "konsernijohtajansa" äänen — kloonatun. Kun ääni ja kasvot eivät enää todista mitään, ainoa suoja on prosessi.

Saman perheen muunnelmat:

Laskutushuijaus: aito toimittaja, aidon näköinen lasku — mutta "päivitetty tilinumero". Usein jatkona kaapattuun sähköpostiketjuun, jolloin viesti tulee oikeasta osoitteesta.
Palkanmaksuhuijaus: "työntekijä" ilmoittaa HR:lle uuden tilinumeron ennen palkkapäivää.
Asianajajahuijaus: "hoidan yrityskauppaanne, asia on luottamuksellinen" — salailuvipu ulkoistettuna.
Lahjakorttihuijaus: pienyrityksissä "pomo" pyytää ostamaan lahjakortteja ja lähettämään koodit. Sama rakenne, pienempi summa.

Suomessakin yritykset ja kunnat ovat menettäneet miljoonia laskutus- ja toimitusjohtajahuijauksiin, ja poliisi ja Kyberturvallisuuskeskus varoittavat aallosta säännöllisesti.

Tunnistaminen ja vastakeinot:

Sopikaa takaisinsoittosääntö: jokainen tilinumeron muutos ja jokainen kiireellinen poikkeava maksu varmistetaan soittamalla tunnettuun numeroon — ei viestissä annettuun. Vaadi kahden ihmisen hyväksyntä isoille maksuille poikkeuksetta — myös ja erityisesti "toimitusjohtajan" pyynnöille; oikea johtaja kiittää prosessista. Tehkää säännöstä julkinen: kun huijari tietää, ettei ohituskaistaa ole, hän siirtyy seuraavaan kohteeseen. Ja jos maksu ehti lähteä: soita heti omaan pankkiin ja poliisille — takaisinperintä on minuuttipeli.

Harjoittele tämän tunnistamista. Vedätys on päivittäinen peli, jossa toimitusjohtajahuijaus on yksi tunnistettavista ilmiöistä — mukana on aina myös tilanteita, joissa ei ole mitään vikaa.

Lue lisää

Kirjoja

The Art of Deception — Kevin Mitnick (2002)

Verkossa