Huijaustekstiviesti: paketti-, Kela- ja Posti-huijaus

Puhelin piippaa: paketti odottaa noutoa, toimituksesta puuttuu maksu tai Kela haluaa, että päivität tietosi. Viesti näyttää uskottavalta, ja linkki on vain yhden napautuksen päässä. Juuri siihen huijaustekstiviestit perustuvat. Tässä oppaassa käydään läpi, miten tunnistat paketti-, Posti- ja Kela-huijauksen ja mitä teet, jos ehdit jo klikata tai antaa tietojasi. Ohjeet perustuvat Traficomin, Postin ja Kelan omiin sivuihin.

Opas on yleistä tietoa, ei yksilöllistä neuvontaa. Oman tilanteesi kanssa pankki ja poliisi ovat oikeat yhteystahot.

Lyhyt vastaus: älä avaa linkkiä

Kun saat epäilyttävän viestin, toimi näin:

1. Älä avaa linkkiä, jos et ole täysin varma viestin aitoudesta.
2. Tarkista asia itse. Avaa kuljetusyrityksen oma sovellus tai kirjoita palvelun osoite selaimeen itse. Posti kehottaa tarkistamaan lähetyksen tilan Postin seurannasta tai OmaPostista.
3. Älä vastaa viestiin äläkä syötä mihinkään sivulle pankkitunnuksia, korttitietoja, salasanoja, henkilötietoja tai tekstiviestillä tulevia vahvistuskoodeja.
4. Poista viesti. Posti neuvoo poistamaan epäilyttävän viestin avaamatta.

Näytä, mitä tietojasi on jo julkisesti nähtävillä

Huijarit voivat tehdä viesteistä uskottavampia käyttämällä tietoja, jotka ovat jo löydettävissä. Remove Me tekee ilmaisen analyysin ilman rekisteröitymistä. Se hakee julkisesti näkyviä tietojasi, tunnettuja tietovuotoja ja tietovälittäjärekisterin osumia. Kuusinumeroinen koodi, joka lähetetään sähköpostiosoitteeseesi, avaa raportin. Remove Me ei vielä lähetä poistopyyntöjä puolestasi eikä lupaa, että mikään palvelu poistaa tietojasi. Aloita ilmainen analyysi.

Näin tunnistat paketti- ja Posti-huijauksen

Traficomin mukaan huijarit lähettävät tekstiviestejä ja joskus pikaviestejä, jotka näyttävät tulevan kuljetusyritykseltä. Huijaus voi esiintyä minkä tahansa kuljetusyrityksen nimissä. Viesti koskee yleensä odottavaa pakettia, puuttuvaa maksua tai viivästynyttä toimitusta. Tavoite on saada avaamaan linkki, luovuttamaan tietoja tai asentamaan haitallinen sovellus.

Viesti voi esimerkiksi:

• väittää, että paketista puuttuu maksu
• pyytää vahvistamaan toimituksen tai päivittämään toimitustiedot
• pyytää hakemaan pakettikoodin
• ohjata lataamaan sovelluksen
• pyytää kirjautumaan pankkitunnuksilla tai antamaan korttitiedot

Kiire kuuluu asiaan. Huijari haluaa, että toimit ennen kuin ehdit ajatella. Traficom muistuttaa, ettei pelkkä yrityksen nimi tai tuttu logo todista viestin aitoutta ja että lähettäjän nimikin voidaan väärentää.

Mitä Posti kertoo omista viesteistään

Posti toteaa sivullaan, että huijausviesti voi sisältää Postin logon, värit tai jopa aidon seurantatunnuksen. Tekstiviesti voi myös ilmestyä samaan viestiketjuun aitojen saapumisilmoitusten kanssa. Postin mukaan aito saapumisilmoitus kertoo noutopaikan ja osoitteen eikä pyydä lisätietoja. Lisäksi Posti kertoo seuraavaa:

• Posti ei lähetä linkkiä tullauksen tai käsittelymaksun maksamista varten. Tullaus hoidetaan Tullin sivuilla tai OmaPostissa, ja käsittelymaksu maksetaan Postin sivuilla.
• Postin saapumisilmoituksessa ei pyydetä Apple ID -kirjautumista.
• Postin sovellus ladataan vain sovelluskaupoista. Posti ei lähetä sovellustiedostoja suoraan.
• Paketin noudon jälkeen voi tulla asiakastyytyväisyyskysely, jossa on linkki, joten kaikki linkit eivät ole huijauksia. Postiennakkoa koskevassa ilmoituksessa voi myös olla maksulinkki.

Posti varoittaa myös muista huijauksista sen nimissä: väärät sosiaalisen median tilit väittävät myyvänsä lunastamattomia paketteja, ja Posti ei koskaan myy asiakkaiden lähetyksiä. Verkkokauppapaikoilla huijari voi esiintyä ostajana, väittää maksaneensa ”Postin kautta” ja lähettää linkin, jonka sivu muistuttaa Postia mutta kalastelee pankkitunnuksia.

Näin tunnistat Kela-huijauksen

Kela kertoo omilla sivuillaan, että Kela ja OmaKela eivät lähetä kirjautumislinkkejä suoraan tekstiviestillä tai sähköpostilla. Kela ei myöskään koskaan pyydä henkilötunnusta, pankkitunnuksia tai muita arkaluonteisia tietoja sähköpostilla tai tekstiviestillä.

Kelan mukaan huijausviesti kiirehtii kirjautumaan OmaKelaan ja voi väittää esimerkiksi, että:

• tietosi tai etuutesi ovat vaarassa, jos et päivitä tietojasi pian
• lähettäjällä on sinusta arkaluonteista aineistoa
• voit ansaita rahaa yllättäen
• maksamaton lasku menee ulosottoon

Viesti tai sivu voi näyttää uskottavalta ja käyttää Kelan logoa. Verkko-osoitteet tai lähettäjän nimet voivat poiketa oikeista yhdellä merkillä. Huijaus voi tulla tekstiviestinä, sähköpostina, puheluna, WhatsAppissa, sosiaalisessa mediassa tai hakukoneen kautta. Kela neuvoo kirjoittamaan kela.fi-osoitteen itse selaimeen hakukonelinkkien sijaan.

Roskaposti-merkintä tekstiviesteissä

Traficomin uutisen mukaan 2. marraskuuta 2026 alkaen operaattoreiden on joko merkittävä tekstiviesti lähettäjänimellä ”Roskaposti” tai estettävä se, jos lähettäjällä ei ole varmennettua oikeutta käyttämäänsä lähettäjätunnukseen. Sääntö koskee organisaatioita, jotka lähettävät kuluttajille tekstiviestejä nimitunnuksella, kuten yrityksen tai viranomaisen nimellä. Se ei koske yksityishenkilöiden välisiä viestejä, oli liittymä kuluttajan tai yrityksen.

Mitä tämä tarkoittaa käytännössä?

• ”Roskaposti”-merkintä kertoo, ettei lähettäjän oikeutta tunnukseen ole voitu varmistaa. Ole tavallista varovaisempi, varsinkin jos viesti pyytää avaamaan linkin, toimimaan kiireellä tai antamaan tietoja.
• Merkitty viesti ei aina ole huijaus. Ulkomaiset toimijat voivat lähettää viestejä omilla paikallisilla tunnuksillaan, joita ei ole rekisteröity Suomessa.
• Muutos ei poista huijauksia. Traficom kertoo sen vaikeuttavan luotetun lähettäjän esiintymistä, mutta varovaisuus on edelleen paras suoja.

Jos avasit linkin

Traficomin mukaan sivun pelkkä avaaminen ei yleensä aiheuta vahinkoa. Sivulle ei kuitenkaan pidä syöttää tietoja eikä sieltä pidä ladata sovelluksia. Jos olet epävarma, sulje sivu ja siirry palveluun itse kirjoittamalla osoite tai käyttämällä sen omaa sovellusta.

Jos annoit tietoja tai asensit sovelluksen

Toimi tilanteen mukaan. Traficom neuvoo näin:

1. Annoit pankkitunnukset tai korttitiedot. Ota välittömästi yhteys pankkiisi ja pyydä tarvittaessa sulkemaan tunnukset tai maksukortti. Nopeus on tärkeää, sillä pankki voi vielä pystyä pysäyttämään tilisiirtoja. Lue myös ohjeet pankkitunnusten sulkemisesta huijauksen jälkeen.
2. Annoit salasanan. Vaihda salasana heti. Jos sama salasana on käytössä muualla, vaihda se myös siellä. Ota käyttöön monivaiheinen tunnistautuminen.
3. Asensit sovelluksen. Poista laite verkosta ja poista haitallinen sovellus, jos se onnistuu. Jos epäilet haittaohjelmaa etkä pysty varmistamaan laitteen turvallisuutta, palauta laite tehdasasetuksiin ja asenna se uudelleen. Tarvittaessa pyydä apua laitteen valmistajalta tai tietotekniikan asiantuntijalta.
4. Menetit rahaa tai epäilet identiteettivarkautta. Tee rikosilmoitus. Kelan ja Postin ohjeissa pankkiin otetaan yhteyttä ensin ja poliisille ilmoitetaan vasta sen jälkeen.

Traficomin ohjeen mukaan kannattaa myös tutustua Suomi.fi-oppaaseen, joka kertoo, mitä tehdä, kun henkilötietoja on vuotanut tai niitä on käytetty väärin. Rikosuhripäivystys (riku.fi) tarjoaa keskusteluapua ja neuvoja.

Mihin ilmoitat

Ilmoituksia on eri tyyppejä, ja ne palvelevat eri tarkoitusta:

• Kyberturvallisuuskeskus ottaa vastaan ilmoituksia kalastelusta ja muista tietoturvaloukkauksista. Traficomin mukaan ilmoitukset auttavat varoittamaan muita. Sivun mukaan voit lähettää myös nimettömän vinkin. Lomake löytyy osoitteesta kyberturvallisuuskeskus.fi/fi/ilmoita.
• Poliisi ottaa vastaan rikosilmoituksen, jos menetit rahaa tai tietojasi käytettiin väärin. Ilmoituksen voi tehdä verkossa poliisin asiointipalvelussa tai poliisilaitoksella. Pidä tallessa kuvakaappaukset ja viestit.
• Kela vastaanottaa Kelan nimissä tulleet huijausviestit osoitteessa huijausilmoitukset@kela.fi.

Erot ja ilmoitusten sisällön käydään tarkemmin läpi oppaassa Kyberturvallisuuskeskus vai poliisi.

Näin ehkäiset huijaukset jatkossa

• Käytä monivaiheista tunnistautumista ja eri salasanaa jokaisessa palvelussa.
• Pidä puhelimen käyttöjärjestelmä ajan tasalla ja asenna sovelluksia vain virallisista sovelluskaupoista.
• Tarkista lähetyksen tiedot aina palvelun omasta sovelluksesta tai verkkosivuilta.
• Tutustu yleisempään oppaaseen huijausviesteistä ja tietojenkalastelusta.

Lähteet

Luettu 5. marraskuuta 2026.

• Traficom: Pakettihuijaus, tunnista huijaus ja toimi oikein
• Traficom: Toimi näin, jos tulit huijatuksi
• Traficom: Roskaposti-merkintä tulee tekstiviesteihin
• Posti: Tietoa tietoturvasta ja huijausviesteistä
• Kela: Tietoa huijauksista
• Kyberturvallisuuskeskus: Ilmoita