Kiristyshaittaohjelma (ransomware) – mikä se on ja näin suojaudut

Kiristyshaittaohjelma eli englanniksi ransomware on yksi aikamme vaarallisimmista haittaohjelmatyypeistä. Se lukitsee tiedostosi tai koko laitteesi ja vaatii rahaa niiden vapauttamiseksi – usein kryptovaluuttana, jotta rikollisia on vaikea jäljittää. Tartunnan voi saada niin kotikäyttäjä kuin suuri yrityskin, ja seuraukset vaihtelevat yksittäisten valokuvien menetyksestä kokonaisen organisaation toiminnan lamaantumiseen. Tässä oppaassa käymme läpi selkokielellä, mitä kiristyshaittaohjelma tarkoittaa, miten se toimii ja leviää, millaisia tyyppejä on olemassa sekä ennen kaikkea sen, miten voit suojautua tartunnalta ja mitä tehdä, jos vahinko on jo tapahtunut.

Mikä kiristyshaittaohjelma on?

Kiristyshaittaohjelma on haittaohjelma, joka estää pääsyn tietoihisi tai laitteeseesi ja vaatii lunnaita (ransom) pääsyn palauttamiseksi. Tyypillisesti ohjelma salaa tiedostot vahvalla salauksella, jolloin ne muuttuvat lukukelvottomiksi ilman salauksenpurkuavainta. Näytölle ilmestyy lunnasvaatimus, jossa kerrotaan maksusumma, maksuohjeet ja usein määräaika, jonka umpeutuessa summa kasvaa tai tiedot uhataan tuhota tai julkaista.

Sana koostuu kahdesta osasta: kiristys viittaa rahan tai muun hyödyn vaatimiseen uhkailemalla, ja haittaohjelma tarkoittaa mitä tahansa ohjelmaa, joka on tehty vahingoittamaan laitetta tai sen käyttäjää. Kiristyshaittaohjelma on siis haittaohjelmien alalaji, jonka ainoa tarkoitus on tehdä tiedoistasi panttivankeja. Se eroaa tavallisesta tietokoneviruksesta siinä, että sen tavoite on suoraan taloudellinen: rikolliset ansaitsevat lunnailla.

Näin kiristyshaittaohjelma toimii vaihe vaiheelta

Vaikka yksityiskohdat vaihtelevat, useimmat hyökkäykset etenevät samankaltaisten vaiheiden kautta:

1. Tunkeutuminen. Haittaohjelma pääsee laitteelle esimerkiksi sähköpostin liitteestä, haitallisesta linkistä, murretusta etätyöyhteydestä tai korjaamattomasta ohjelmistohaavoittuvuudesta.
2. Leviäminen ja valmistelu. Ohjelma kartoittaa laitteen ja usein myös lähiverkon, etsii arvokkaat tiedostot ja varmuuskopiot sekä yrittää levitä muihin koneisiin ja verkkolevyihin.
3. Salaus. Ohjelma salaa tiedostot – asiakirjat, kuvat, tietokannat – niin, ettei niitä voi avata ilman rikollisten hallussa olevaa avainta. Osa haittaohjelmista varastaa tietoa myös talteen ennen salausta.
4. Lunnasvaatimus. Näytölle tai kansioihin ilmestyy viesti, jossa vaaditaan maksua – lähes aina kryptovaluuttana, kuten bitcoinina – ja annetaan ohjeet sekä usein tiukka aikaraja.
5. Painostus. Jos uhri epäröi, rikolliset uhkaavat korottaa summaa, tuhota avaimen tai julkaista varastetut tiedot verkossa.

Koko ketju voi tapahtua minuuteissa tai venyä viikkoihin: joskus hyökkääjät vaanivat verkossa pitkään kerätäkseen tietoa ja oikeuksia ennen kuin laukaisevat salauksen.

Kiristyshaittaohjelmien tyypit

Kaikki kiristysohjelmat eivät toimi samalla tavalla. Tyypin tunteminen auttaa ymmärtämään, millaista vahinkoa ne aiheuttavat.

Salaava kiristysohjelma (crypto-ransomware)

Yleisin ja tuhoisin muoto. Se salaa tiedostosi mutta jättää itse käyttöjärjestelmän toimintakuntoon, jotta näet lunnasvaatimuksen. Ilman salauksenpurkuavainta tiedostot ovat käytännössä menetettyjä, ellei niistä ole varmuuskopiota.

Lukitseva kiristysohjelma (locker)

Lukitsee koko laitteen tai sen työpöydän niin, ettet pääse käyttämään sitä lainkaan. Tiedostoja ei välttämättä salata, joten data voi olla tallessa, mutta laite on käyttökelvoton kunnes lukitus poistetaan. Tällaisia nähdään myös puhelimissa.

Kaksois- ja kolmoiskiristys

Nykyaikaiset hyökkäykset eivät tyydy pelkkään salaukseen. Kaksoiskiristyksessä (double extortion) rikolliset kopioivat tiedot itselleen ennen salausta ja uhkaavat julkaista ne, ellei maksua suoriteta – jolloin varmuuskopio ei yksin riitä pelastukseksi. Kolmoiskiristyksessä (triple extortion) painostusta lisätään esimerkiksi palvelunestohyökkäyksillä tai ottamalla yhteyttä uhrin asiakkaisiin. Tietojen vuotaminen voi johtaa myös identiteettivarkauteen ja muihin jatkohuijauksiin.

Kiristysohjelma palveluna (RaaS)

Ransomware-as-a-Service tarkoittaa rikollista liiketoimintamallia, jossa haittaohjelman kehittäjät vuokraavat valmiin työkalun muille hyökkääjille maksua tai voitto-osuutta vastaan. Valmiita paketteja myydään edullisesti pimeän verkon kauppapaikoilla, mikä on laskenut kynnystä ja kasvattanut hyökkäysten määrää, koska tekijän ei tarvitse itse osata ohjelmoida. Kyse on siis järjestäytyneestä kyberhyökkäyksestä, jonka takana toimii kokonainen rikollinen ekosysteemi.

Miten tartunta leviää?

Kiristyshaittaohjelma tarvitsee reitin laitteeseesi. Yleisimpiä ovat:

• Sähköpostin liitteet ja linkit. Huijausviesti houkuttelee avaamaan laskun, CV:n tai kokouskutsun, jonka liite käynnistää haittaohjelman. Office-tiedostojen makrot ovat tavallinen tartuntatapa.
• Haitalliset verkkosivut ja mainokset. Väärennetty lataussivu tai saastunut mainos voi ujuttaa koodin selaimen kautta.
• Korjaamattomat haavoittuvuudet. Vanhentunut käyttöjärjestelmä tai ohjelmisto, josta puuttuu tietoturvapäivitys, tarjoaa aukon, jota hyökkääjä käyttää ilman käyttäjän toimia.
• Heikot tai vuotaneet salasanat. Etätyöpöytäyhteydet (RDP) ja muut etähallintayhteydet murretaan usein arvaamalla tai kalastelemalla kirjautumistiedot.
• Saastuneet USB-muistit ja laittomat ohjelmat. Piraattiohjelmat ja aktivointityökalut sisältävät usein piilotetun haittaohjelman.

Jos huomaat koneesi käyttäytyvän oudosti – se hidastuu, kaatuilee tai tiedostoja katoaa – kannattaa tarkistaa merkit mahdollisesta haittaohjelmatartunnasta ajoissa. Mitä aiemmin tartunnan havaitsee, sitä pienemmäksi vahinko usein jää.

Tunnettuja esimerkkejä

WannaCry (2017)

WannaCry on tunnetuin kiristyshaittaohjelma. Toukokuussa 2017 se levisi muutamassa päivässä arviolta 200 000–300 000 tietokoneeseen noin 150 maassa. Se hyödynsi Windowsin SMB-protokollan haavoittuvuutta (tunnettu nimellä EternalBlue) ja levisi itsestään koneesta toiseen ilman käyttäjän toimia. Uhreilta vaadittiin noin 300 dollaria bitcoineina. Hyökkäys lamautti muun muassa Britannian terveydenhuollon (NHS) järjestelmiä. Microsoft oli julkaissut korjauspäivityksen jo ennen hyökkäystä, joten pahimmin kärsivät organisaatiot, jotka eivät olleet päivittäneet järjestelmiään tai käyttivät vanhentuneita Windows-versioita. Yhdysvallat ja Britannia yhdistivät hyökkäyksen myöhemmin Pohjois-Koreaan.

Akira ja tilanne Suomessa

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen mukaan Akira oli vuonna 2024 Suomessa eniten keskukselle ilmoitettu kiristyshaittaohjelma. Vuosi oli kokonaisuutena aiempia hiljaisempi, mutta havainnot ja ilmoitukset vilkastuivat loppuvuotta kohden. Keskus on myös tuonut esiin myönteisen kehityksen: aiempaa useampi organisaatio onnistui palautumaan hyökkäyksestä varmuuskopioiden avulla – mikä kertoo, että varautuminen todella kannattaa.

Näin suojaudut kiristyshaittaohjelmalta

Tartunnalta suojautuminen rakentuu useasta päällekkäisestä kerroksesta. Mikään yksittäinen keino ei riitä, mutta yhdessä ne pienentävät riskiä merkittävästi.

Varmuuskopiointi on tärkein suoja

Toimivat varmuuskopiot ovat ainoa keino, jolla saat tiedostosi takaisin maksamatta lunnaita. Hyvä nyrkkisääntö on 3-2-1-malli: pidä tiedoista kolme kopiota, kahdella eri tallennusvälineellä ja yksi kopio laitteen ulkopuolella. Ratkaisevaa kiristysohjelman kannalta on, että vähintään yksi kopio on offline-tilassa tai muuttumattomana (immutable) – eli irti verkosta – jotta haittaohjelma ei pääse salaamaan myös varmuuskopioita. Testaa säännöllisesti, että palautus oikeasti onnistuu.

Pidä ohjelmistot ajan tasalla

Asenna käyttöjärjestelmän ja sovellusten tietoturvapäivitykset viipymättä ja ota automaattiset päivitykset käyttöön aina kun mahdollista. Juuri päivittämättömät haavoittuvuudet mahdollistivat esimerkiksi WannaCryn leviämisen.

Käytä virustorjuntaa ja monivaiheista tunnistautumista

Ajantasainen luotettava virustorjunta tunnistaa ja pysäyttää monet uhat jo ennen salausta. Ota lisäksi käyttöön monivaiheinen tunnistautuminen (MFA) kaikkiin tärkeisiin tileihin ja käytä vahvoja, uniikkeja salasanoja, jotta murretut tunnukset eivät yksin riitä hyökkääjälle.

Ole varovainen sähköpostin ja latausten kanssa

Älä avaa odottamattomia liitteitä tai linkkejä, vaikka lähettäjä vaikuttaisi tutulta. Poista Office-tiedostojen makrojen automaattinen suoritus käytöstä ja lataa ohjelmat vain virallisilta sivustoilta – älä koskaan piraattilähteistä.

Mitä tehdä, jos laitteesi on saanut tartunnan?

Jos epäilet aktiivista tartuntaa, toimi rauhallisesti mutta nopeasti:

1. Eristä laite. Irrota se verkosta (langaton ja kaapeli) ja kytke irti ulkoiset levyt sekä USB-muistit, jotta salaus ei leviä muihin laitteisiin tai varmuuskopioihin.
2. Älä maksa heti. Maksaminen ei takaa tietojen palautumista eikä sitä, että rikolliset poistavat varastetut tiedot.
3. Ota talteen todisteet. Valokuvaa lunnasvaatimus ja merkitse ylös tiedostopäätteet – ne auttavat tunnistamaan haittaohjelman.
4. Selvitä purkutyökalu. Kansainvälinen No More Ransom -palvelu tarjoaa ilmaisia salauksenpurkutyökaluja osaan kiristysohjelmista. Sen Crypto Sheriff -työkalu auttaa tunnistamaan, mikä haittaohjelma on kyseessä.
5. Puhdista laite ja palauta tiedot. Poista haittaohjelma luotettavalla työkalulla tai asenna järjestelmä puhtaalta pohjalta ja palauta tiedostot varmuuskopiosta. Apua löytyy oppaasta, jossa kerrotaan miten tietokone puhdistetaan turvallisesti.
6. Ilmoita viranomaisille. Tee rikosilmoitus poliisille ja ilmoita tapauksesta Kyberturvallisuuskeskukselle.

Haittaohjelman varsinaiseen poistoon kannattaa käyttää erillistä haittaohjelmaskanneria, sillä se löytää usein jäänteitä, jotka tavallinen virustorjunta jättää huomaamatta.

Kannattaako lunnaat maksaa?

Asiantuntijat ja viranomaiset suosittelevat, ettei lunnaita makseta. Syitä on useita: maksaminen ei takaa, että saat salauksenpurkuavaimen tai että se toimii, eikä sitä, etteivät rikolliset julkaise jo varastamiaan tietoja. Maksu myös rahoittaa rikollista toimintaa ja tekee sinusta todennäköisemmän kohteen jatkossa. Käytännössä ainoa luotettava tapa saada tiedot takaisin on palauttaa ne varmuuskopiosta – siksi ennakkoon tehty varautuminen on aina maksamista parempi ratkaisu. Jos joudut tartunnan uhriksi, ota yhteyttä viranomaisiin, jotka voivat neuvoa tilanteessa.

Usein kysytyt kysymykset (UKK)

Mikä on kiristyshaittaohjelman ja tavallisen viruksen ero?

Tavallinen virus pyrkii yleensä leviämään ja vahingoittamaan tiedostoja, kun taas kiristyshaittaohjelman tavoite on suoraan rahallinen: se lukitsee tai salaa tietosi ja vaatii lunnaita niiden vapauttamiseksi. Kiristyshaittaohjelma on siis haittaohjelmien erikoistunut alalaji.

Voiko puhelin saada kiristyshaittaohjelman?

Kyllä. Erityisesti Android-laitteisiin on olemassa lukitsevia kiristysohjelmia, jotka estävät puhelimen käytön. Riski on suurin, kun sovelluksia asennetaan virallisten sovelluskauppojen ulkopuolelta. Pidä järjestelmä päivitettynä ja lataa sovellukset vain luotettavista lähteistä.

Saanko tiedostot takaisin ilman maksua?

Usein kyllä, jos sinulla on toimiva varmuuskopio. Osaan tunnetuista kiristysohjelmista on myös ilmaisia salauksenpurkutyökaluja esimerkiksi No More Ransom -palvelussa. Ilman varmuuskopiota tai purkutyökalua salattujen tiedostojen palauttaminen on usein mahdotonta.

Suojaako virustorjunta kiristyshaittaohjelmalta?

Hyvä virustorjunta pysäyttää monet uhat ja sisältää usein erillisen kiristysohjelmasuojan, mutta mikään ohjelma ei ole täydellinen. Siksi virustorjunta kannattaa yhdistää varmuuskopiointiin, päivityksiin ja huolelliseen käyttöön.

Mistä tiedän, mikä kiristyshaittaohjelma koneellani on?

Lunnasvaatimuksen teksti ja salattujen tiedostojen uudet tiedostopäätteet ovat usein vihjeitä. No More Ransom -palvelun Crypto Sheriff -työkaluun voi ladata näytteen, minkä jälkeen se yrittää tunnistaa haittaohjelman ja kertoa, onko siihen olemassa ilmaista purkutyökalua.