Artikkeli · s-010

Kryptopalvelun henkilöllisyystiedot ovat voineet vuotaa: mitä kiellot suojaavat?

Ohjeen soveltuvuutta ei ole testattu todellisessa tilanteessa.

Jos kryptopalvelu ilmoittaa henkilötietovuodosta, selvitä ensin, mitä juuri sinun tiedoillesi on mahdollisesti tapahtunut. Ilmoitus epäillystä altistumisesta ei vielä todista, että joku olisi käyttänyt henkilöllisyyttäsi väärin. Jos henkilötunnuksesi on päätynyt luvattomasti ulkopuolisille, Suomi.fi kehottaa harkitsemaan erilaisia kieltoja väärinkäytösten ehkäisemiseksi.[3]

Kyse ei ole yhdestä yleisestä identiteettisuojasta. Luottokielto, muuttoilmoituksen esto ja yhteystietojen luovutuskielto koskevat eri asioita. Niillä ei saa jo vuotaneita tietoja takaisin eikä voi taata, ettei väärinkäyttöä tapahdu.

Selvitä tietojen laajuus turvallisesti

Etsi kryptopalvelun ilmoitus kirjautumalla palveluun itse löytämääsi virallista reittiä pitkin. Älä oleta, että odottamaton vuotoilmoitus tai siinä oleva linkki on aito: tietojenkalastelu voi jäljitellä palvelun viestejä.[8]

Kirjaa, kerrotaanko ilmoituksessa esimerkiksi nimen, yhteystietojen, henkilötunnuksen tai henkilöllisyysasiakirjan kuvan mahdollisesta paljastumisesta. Erota vahvistettu vuoto, palvelun esittämä epäily ja se, mitä palvelu ei vielä tiedä. Jos tietoja puuttuu, kysy palveluntarjoajalta virallista yhteystietoa käyttäen. Säilytä ilmoitus ja palvelun mahdolliset päivitykset.

Kuvitteellisessa esimerkissä palvelu kertoo asiakkaan nimen ja henkilötunnuksen saattaneen päätyä ulkopuoliselle. Se ei kerro, että lainaa olisi jo haettu. Lukija voi silti harkita luottokieltoa ja muita Suomi.fi-oppaan mukaisia suojia sekä seurata myöhempiä ilmoituksia.[3]

Vapaaehtoinen luottokielto: lisähuolellisuutta luotonantoon

Verohallinnon positiivisen luottotietorekisterin maksuttomassa palvelussa voi asettaa itselleen vapaaehtoisen luottokiellon. Palvelussa valitaan voimassaoloaika ja syy; jos sähköinen asiointi ei ole mahdollista, Verohallinnon mukaan käytettävissä on paperilomake.[2], [3]

Kiellon näkyessä luottotietorekisteriotteella luotonantajien on suhtauduttava luotonantoon tavallista huolellisemmin. Kielto ei kuitenkaan ole yleinen esto kaikille väärinkäytöksille eikä vaikuta jo myönnetyn luoton, kuten olemassa olevan luottokortin, käyttöön. Sitä voi muokata tai sen voi poistaa.[2]

Voit erikseen suostua siihen, että tieto kiellosta välitetään Verohallinnosta luottotietoyrityksille. Ilman tätä suostumusta tieto näkyy Verohallinnon ohjeen mukaan vain luotonantajille rekisteriotteella. Suostumuksella yritykset voivat välittää tiedon omille asiakkailleen, joihin voi kuulua esimerkiksi teleoperaattoreita ja vuokranantajia. Harkitse siis myös vaikutusta omaan asiointiisi.[2]

Muuttoesto ja yhteystiedot: eri riskit, eri rajaukset

Suomi.fi neuvoo harkitsemaan muuttoilmoituksen estoa sekä Digi- ja väestötietovirastolle että Postille. Kyse on osoitteenmuutoksen rajoittamisesta kyseisissä järjestelmissä, ei luotonhausta. Tarkista kummankin palvelun omat vaihtoehdot ja vaikutus silloin, kun itse muutat.[3]

Yhteystietojen luovutuskiellolla voi puolestaan rajoittaa tietojen saamista tiettyjen rekisterien osoite- ja yhteystietopalveluista. Suomi.fi neuvoo tarkastelemaan erikseen DVV:n ja oman teleoperaattorin kieltoja. Tämä ei poista muualta jo saatua osoitetta tai puhelinnumeroa eikä ole sama asia kuin muuttoesto.[3]

Suomi.fi kuvaa myös OmaVeron asetuksen, jolla tilinumeron ilmoittaminen rajataan itse tunnistautuneena tehtävään OmaVero-asiointiin. Sen tarkoitus on estää tilinumeron muutoksen ilmoittaminen paperilomakkeella. Tämä on eri suoja kuin luottokielto eikä estä kaikkia tapoja yrittää hyödyntää henkilötietoja.[3]

PRH:lle voi ilmoittaa rekisteröintikiellon, jonka mukaan henkilöä ei saa merkitä yrityksen tai yhteisön vastuuhenkilöksi, esimerkiksi hallituksen jäseneksi, ilman erillistä suostumusta. Se ei ole yleinen kielto kaikkiin rekisterimerkintöihin eikä estä lainahakemuksia tai osoitteenmuutoksia.[10] Tarkista PRH:lta tunnistautumisvaatimukset, ehdot ja vaikutukset omaan asiointiisi ennen ilmoitusta. Vertaa myös muiden kieltojen soveltuvuutta ja haittoja vastuullisten palvelujen ajantasaisista ohjeista.

Milloin kyse on muutakin kuin vuotoepäilystä?

Jos saat ilmoituksen luotosta, sopimuksesta tai osoitteenmuutoksesta, jota et tunnista, selvitä asia kyseisen toimijan kanssa suoraan itse varmistamasi virallisen kanavan kautta. Säilytä viestit ja kirjaa tapahtumat. Jos epäilet rikosta, tee rikosilmoitus poliisille; pelkkä vuotoepäily ei ole varmistettu identiteettivarkaus. EU-viranomaisten poliisia koskeva ohje käsittelee kryptohuijausta, eikä se ole yleinen tietovuodon ilmoitusvelvollisuus.[8]

Jos pankkitunnukset tai korttitiedot ovat voineet paljastua tai huomaat epäilyttäviä pankkitapahtumia, ota heti yhteys pankkiin itse varmistamasi kanavan kautta ja pyydä kiireellistä arviota. Traficomin neuvo koskee puhelinhaittaohjelmaa; tässä sitä sovelletaan varovaisuusperiaatteena mahdolliseen tunnusten tai korttitietojen paljastumiseen, ei väitetä kaikkia vuotoja samaksi tilanteeksi.[6] Pelkkä henkilötietovuoto ei osoita pankkitunnusten paljastumista tai rahojen menetystä.

Jos salasana on voinut paljastua, suojaa kyseinen tili ja vaihda salasana luotettavalla erillisellä laitteella; Traficomin lähde neuvoo näin haittaohjelmatilanteessa.[6]

Jos palautuslauseen tai yksityisen avaimen paljastumiseen on uskottava syy tai lompakko on todettu vaarantuneeksi, suojaa jäljellä olevat varat viipymättä. EU-valvojat kehottavat siirtämään ne uuteen turvalliseen lompakkoon; Trezor neuvoo toimimaan nopeasti myös, kun varmuuskopion epäillään paljastuneen.[8], [12] Luo vastaanottava lompakko luotettavassa ympäristössä uudella, itsenäisesti luodulla palautuslauseella — älä vanhasta palautuslauseesta johdettua lisätiliä. Säilytä uusi varmuuskopio turvassa.[12], [13], [14]

Jos et tiedä, miten toimia turvallisesti omassa tilanteessasi, pyydä heti tilannekohtaista apua lompakon tai palvelun tuesta käyttäen itse varmistamiasi virallisia yhteystietoja ja luotettavaa erillistä laitetta. Älä jää odottamaan apua määrittelemättömäksi ajaksi: varat voivat olla vaarassa sillä välin. Älä anna palautussanoja, yksityisiä avaimia tai salasanoja tuellekaan. Varo myös yllättäviä yhteydenottoja ja maksullista varojen palautusta lupaavia huijareita.[8], [13]

Siirto edellyttää tapahtumaa ja sen hyväksymistä; tarkista vastaanottava osoite ja kyseiselle varalle sopiva verkko huolellisesti. Virhe voi olla peruuttamaton, eikä siirron onnistumista voida taata.[8], [13] Jos epäilet, että varoja siirtävä automaattinen ohjelma eli sweeper seuraa lompakkoa, älä lisää sinne automaattisesti rahaa edes siirtomaksua varten: lisäyskin voidaan viedä. Hanki nopeasti asiantuntevaa apua virallisesta kanavasta, sillä menettely riippuu lompakosta ja tilanteesta.[13], [14] Älä käytä mahdollisesti saastunutta laitetta turvallisena pidettyyn toimintaan; pelkkä haittaohjelman poistaminen ei takaa, että jo paljastuneet avaimet olisivat jälleen salaisia.[6], [13]

Pelkkä huijausviesti tai henkilötietovuoto ei yksin todista lompakon avaimen paljastumista. Laitteen haittaohjelma, palvelutilin tunnusten vuoto ja älysopimukselle annettu tokenin käyttöoikeus ovat eri tilanteita. Epäilyttävän käyttöoikeuden käsittely ja muut toimet riippuvat tapauksesta; älä hyväksy tuntemattomia pyyntöjä tai allekirjoituksia vain siksi, että joku neuvoo niin.[8], [13]

Nämä henkilötietokiellot eivät korvaa tilien suojaamista. Tarkista voimassa olevat ehdot ja kelpoisuus Verohallinnolta, DVV:ltä, Postilta ja PRH:lta. Soveltuvuus riippuu vaarantuneista tiedoista ja vaikutuksista omaan asiointiin.[2], [3], [10]