Tietomurto ja tietovuoto: mitä tehdä, kun tietosi vuotavat

Viesti, jossa kerrotaan tietojesi päätyneen vääriin käsiin, tai uutinen suuresta tietomurrosta herättää kysymyksiä. Mitä tietoja vuoti? Pitääkö pankkiin soittaa tänään? Entä jos joku yrittää kiristää? Tässä oppaassa käydään läpi, mitä viranomaiset neuvovat tekemään, missä järjestyksessä ja kenelle kuuluu mikä vastuu.

Opas perustuu Tietosuojavaltuutetun toimiston ja Suomi.fi-palvelun ohjeisiin. Se on yleistä tietoa eikä oikeudellista neuvontaa. Oma tilanteesi voi poiketa esimerkeistä, ja viranomaisten sivut päivittyvät.

Lyhyt vastaus: mitä teet ensin

Tietosuojavaltuutetun toimiston ohjeen mukaan ensin pitää selvittää, mitä omia tietoja on voinut päätyä ulkopuolisille. Sen jälkeen valitaan toimet vahingon laadun mukaan. Nopeaa toimintaa vaativat erityisesti pankki- ja luottokortit, passi tai henkilökortti sekä tärkeät tunnukset ja salasanat.

1. Selvitä, mitä tietoja vuoti. Yritys tai palvelu kertoo sen yleensä viestissään tai verkkosivullaan. Jos et tiedä, kysy suoraan organisaatiolta.
2. Vaihda salasana heti, jos tunnus ja salasana ovat voineet vuotaa. Vaihda se myös kaikissa muissa palveluissa, joissa käytit samaa salasanaa.
3. Ota yhteys pankkiin heti, jos pankkitunnukset tai maksukortin tiedot ovat voineet vuotaa. Pankin sulkupalvelu on tarkoitettu juuri tähän.
4. Älä maksa kiristäjälle äläkä vastaa viesteihin. Tallenna todisteet.
5. Varo kalastelua. Vuotanut sähköpostiosoite tuo mukanaan huijausviestejä.

Näistä ensimmäinen ratkaisee, mihin loput kannattaa keskittää. Yksi vuotanut sähköpostiosoite on eri asia kuin vuotanut tunnus, salasana ja henkilötunnus yhdessä.

Haluatko nähdä, mitä tietojasi on muuten julkisesti esillä? Remove Me tekee ilmaisen analyysin ilman rekisteröitymistä. Se hakee avoimesta verkosta, tunnetuista tietovuodoista (Have I Been Pwned -palvelun kautta) ja tietovälittäjärekisteristä. Kuusinumeroinen koodi, jonka lähetämme sähköpostiisi, avaa raportin. Remove Me ei vielä lähetä poistopyyntöjä puolestasi. Aloita ilmainen analyysi.

Mitä tietomurto ja tietovuoto tarkoittavat?

Arkikielessä tietomurrolla tarkoitetaan tilannetta, jossa joku on murtautunut järjestelmään. Tietovuodolla tarkoitetaan sitä, että tietoja on päätynyt sivullisille. Tietosuojavaltuutetun toimisto käyttää kattavampaa käsitettä tietoturvaloukkaus. Sen mukaan tietoturvaloukkaus on tapahtuma, jossa henkilötietoja tuhoutuu, häviää tai muuttuu, ne luovutetaan luvattomasti tai ne päätyvät taholle, jolla ei ole oikeutta käsitellä niitä.

Toimiston esimerkkejä ovat hävinnyt USB-tikku, varastettu tietokone, hakkerointi, haittaohjelmatartunta, kyberhyökkäys ja tiliotteen postittaminen väärälle henkilölle. Loukkaus ei siis aina ole rikollisten tekemä isku. Se voi olla myös inhimillinen virhe.

Tämä ero on hyödyllinen kahdesta syystä. Ensinnäkin se selittää, miksi organisaatiolla on velvollisuuksia, vaikka kukaan ei olisi tahallaan vahingoittanut ketään. Toiseksi se muistuttaa, ettei jokainen loukkaus johda vahinkoon. Riski riippuu siitä, mitä tietoja vuoti, kuinka paljon ja kenelle. Tietosuojavaltuutetun toimiston mukaan riskin arvioinnissa painavat tietojen laatu, määrä ja arkaluonteisuus sekä se, kuinka helposti henkilöt voi tunnistaa. Merkitystä on myös sillä, kuka tiedot sai: väärinkäyttö on todennäköisempää, jos tiedot päätyivät rikollisille.

Mitä vuotanut tieto voi aiheuttaa?

Tietosuojavaltuutetun toimisto luettelee esimerkkejä siitä, mihin eri tiedot voivat johtaa:

• Sähköpostiosoite: kalasteluviestejä ja roskapostia.
• Maksukorttitiedot: väärinkäyttöä ja taloudellisia menetyksiä.
• Passin tai henkilötodistuksen tiedot: tietojen myyntiä ja tilauksia toisen laskuun.
• Tunnus ja salasana: palvelun käytön estyminen, tilin ryöstäminen ja esiintyminen toisena henkilönä.
• Arkaluonteiset tiedot: maineen menetys, kiristys ja kiusaaminen.

Lista auttaa arvioimaan oman tilanteen vakavuutta. Jos vuoti vain sähköpostiosoite, tärkein tehtävä on pysyä valppaana viestien kanssa. Jos vuoti tunnus ja salasana, tilin suojaaminen on kiireellistä. Jos mukana oli pankki- tai henkilöllisyystietoja, pankin ja poliisin ohjeet tulevat ensin.

Vuotaneita tietoja ei voi kutsua takaisin. Siksi ohjeiden tarkoitus on rajoittaa vahinkoa, ei peruuttaa vuotoa.

Vaihe vaiheelta: tilien ja salasanojen suojaus

Suomi.fi-oppaan muistilistan mukaan verkkopalveluissa käyttämäsi salasanat kannattaa vaihtaa. Aloita sähköpostista ja palveluista, joissa on maksutietoja tai henkilötietoja.

1. Vaihda salasana vuotaneessa palvelussa ja muissa palveluissa, joissa käytit samaa salasanaa.
2. Käytä jokaisessa palvelussa omaa salasanaa. Suomi.fi-opas pitää vahvana salasanana vähintään 16 merkin salasanaa. Jos yksi salasana vuotaa, sitä ei voi silloin kokeilla muihin palveluihin.
3. Ota kaksivaiheinen tunnistautuminen käyttöön. Silloin pelkkä vuotanut salasana ei riitä tilille pääsyyn. Ohjeet löydät oppaasta kaksivaiheinen tunnistautuminen.
4. Ole epäluuloinen. Jos joku pyytää henkilötietoja tai salasanoja verkossa tai puhelimessa, älä anna niitä.

Jos et ole varma, mitkä tilisi ovat voineet vuotaa, voit tarkistaa sähköpostiosoitteesi tunnetuista tietovuodoista. Käytännön ohje löytyy oppaasta Have I Been Pwned.

Jos työtunnus tai työsähköposti on vuotanut, ilmoita siitä työnantajalle mahdollisimman nopeasti. Tietosuojavaltuutetun toimiston ohje sanoo tämän erikseen.

Pankkitunnukset, maksukortti ja henkilöllisyystodistus

Tässä kohdassa kiire on suurin. Suomi.fi-oppaan ja tietosuojavaltuutetun toimiston ohjeen mukaan toimitaan näin.

Pankkitunnukset. Jos verkkopankin tunnukset tai avainlukujen tiedot ovat voineet joutua vääriin käsiin, ota yhteys pankkiin heti ja käytä sen sulkupalvelua. Pankki jäädyttää tunnukset. Suomi.fi-oppaan mukaan ilmoituksen jälkeen et enää ole henkilökohtaisesti vastuussa, jos tililtä viedään rahaa. Etsi sulkupalvelun numero oman pankkisi virallisilta sivuilta, älä viestistä tai puhelusta, joka tulee yllättäen.

Pankki- tai luottokortti. Pyydä pankkia sulkemaan kortti heti sulkupalvelun kautta. Sama pätee: ilmoituksen tekemisen jälkeen et ole henkilökohtaisesti vastuussa kortin luvattomasta käytöstä, kertoo Suomi.fi-opas. Tietosuojavaltuutetun toimiston ohjeen mukaan sulkupalvelu on auki ympäri vuorokauden.

Passi tai henkilökortti. Jos passi tai henkilökortti on päätynyt vääriin käsiin, ilmoita siitä poliisille. Uuden passin tai henkilökortin haet poliisilta.

Pelkkä pankkitilinumero. Toimiston ohjeen mukaan toimenpiteitä ei yleensä tarvita, jos kadonnut tieto on vain pankkitilinumero, koska väärinkäytön mahdollisuus on pieni.

Tilitapahtumat ja laskut. Seuraa tilitapahtumia ja laskuja sen jälkeen. Jos huomaat tapahtuman, jota et ole tehnyt, tee pankille oikaisupyyntö. Suomi.fi-oppaan mukaan pyyntöön kuuluvat tapahtuman ajankohta, summa ja kauppiaan nimi sekä jäljennös poliisille tehdystä rikosilmoituksesta. Jos saat laskun tai perintäkirjeen ostoksesta, jota et tehnyt, ilmoita asiasta heti verkkokaupalle ja laskuttajalle. Jos asia ei ratkea, Kuluttajaneuvonta auttaa.

Jos tietojen julkaisulla kiristetään

Kiristysviesti on pelottava, ja siksi neuvot kannattaa lukea rauhassa. Suomi.fi-oppaan muistilista antaa kolme ohjetta:

• Älä maksa lunnaita.
• Älä viesti kiristäjän kanssa.
• Kerää todisteet. Kirjoita ylös, mitä tapahtui, ota kuvakaappaus kiristysviestistä ja säilytä alkuperäinen viesti.

Tee sen jälkeen rikosilmoitus. Jos kiristys tuntuu ylivoimaiselta, apua saa Rikosuhripäivystyksestä (RIKU). Suomi.fi-opas antaa palvelun numeroksi 116006. Samassa muistilistassa mainitaan tukea tarjoavia tahoja, kuten hyvinvointialueen sosiaali- ja kriisipalvelut, kirkon keskusteluapu, Mieli ry:n kriisipuhelin ja työterveyshuolto. Hakeudu tuen piiriin, jos tilanne painaa mieltä.

Suojaa itsesi väärinkäytöltä, jos henkilötunnus on vuotanut

Jos henkilötunnuksesi on päätynyt ulkopuolisille, Suomi.fi-oppaan muistilista nimeää joukon kieltoja ja rajoituksia. Ne ovat suojakeinoja, eivät välttämättömiä jokaiselle. Valitse omaan tilanteeseesi sopivat.

• Vapaaehtoinen luottokielto. Verohallinnon positiivisessa luottotietorekisterissä sen voi asettaa maksutta. Suomen Asiakastieto ja Dun & Bradstreet tarjoavat vastaavan maksullisen kiellon. Oppaan mukaan kielto vaikeuttaa sitä, että joku käyttäisi tietojasi esimerkiksi luottokortin, pankkilainan tai osamaksun hankkimiseen. Voit poistaa kiellon myöhemmin, esimerkiksi jos haluat itse ottaa lainan.
• Yhteystietojen luovutuskielto. Pyydä se Digi- ja väestötietovirastolta (DVV) ja puhelinoperaattoriltasi. Oppaan mukaan kielto estää rikollisia saamasta tietojasi osoite- ja yhteystietopalveluista, mutta myös lailliset palvelut jäävät ilman niitä. Pankit, vakuutusyhtiöt ja lakisääteiset käsittelyt saavat tietosi silti.
• Muuttoilmoituksen esto. Aseta se DVV:ssä ja Postissa. DVV:n eston jälkeen muutosta voi ilmoittaa vain DVV:n toimipisteessä, kunnes eston poistaa.
• Tilinumeron rajaus. Voit rajata veronpalautuksen tilinumeron muutokset OmaVeroon.
• Rekisteröintikielto. Patentti- ja rekisterihallitus (PRH) ottaa vastaan kiellon kaupparekisteriä, yhdistysrekisteriä ja säätiörekisteriä varten. Se voi haitata, jos toimit yrittäjänä.

Luottokieltoa koskee varoitus: se voi vaikeuttaa luoton hakemista, eikä Tietosuojavaltuutetun toimiston ohjeen mukaan se täysin estä väärinkäyttöä. Siksi tilitapahtumien seuranta ja valppaus säilyvät tärkeinä myös kiellon jälkeen.

Jos epäilet, että joku on jo käyttänyt henkilöllisyyttäsi, katso lisää oppaasta identiteettivarkaus: mitä tehdä ja miten suojaudut.

Kalastelu vuodon jälkeen

Vuotaneet tiedot ovat huijareille raaka-ainetta. Sähköpostiosoite ja puhelinnumero riittävät uskottavan viestin lähettämiseen. Tietosuojavaltuutetun toimisto mainitsee, että vuotanut sähköpostiosoite johtaa tyypillisesti kalasteluviesteihin ja roskapostiin.

Toimiston tietojenkalastelusivun mukaan kalastelusähköposti näyttää usein tulevan luotettavalta taholta, esimerkiksi tutulta. Siinä voi olla linkki jaettuun tiedostoon, ja linkki johtaa kirjautumissivulle, joka muistuttaa aitoa mutta antaa tunnuksesi hyökkääjälle. Sivun mukaan murron huomaa usein vasta, kun tililtä lähetetyistä viesteistä tulee roskapostivaroituksia tai tuttava ilmoittaa saaneensa kalasteluviestejä.

Kaksi hyvää sääntöä:

1. Suhtaudu epäluuloisesti jokaiseen, joka pyytää henkilötietoja tai salasanoja verkossa tai puhelimessa. Näin neuvoo Suomi.fi-opas.
2. Jos viesti väittää tulevansa organisaatiolta, avaa sen sivusto itse omasta kirjanmerkistäsi tai kirjoittamalla osoite, älä viestin linkistä.

Jos olet jo klikannut linkkiä tai antanut tunnuksesi, vaihda salasana heti ja ota yhteys pankkiin, jos annoit pankkitunnuksia. Tee tämän jälkeen ilmoitus.

Jos kyse on kadonneesta puhelimesta, tietokoneesta tai kortista

Kaikki tietovuodot eivät ala hakkerista. Tietosuojavaltuutetun toimiston ohje käsittelee myös tavallisia arjen tilanteita, joissa tietoja voi päätyä vääriin käsiin. Toimet ovat samansuuntaisia: rajaa vahinko ja vaihda tunnukset.

• Kadonnut puhelin. Ilmoita operaattorille, niin saat uuden SIM-kortin vanhaan numeroosi. Tee rikosilmoitus, jos puhelin on varastettu. Määritä puhelin kadonneeksi, jos laite sen sallii, ja vaihda salasanat kaikkiin tileihin, joihin laitteelta pääsee.
• Kadonnut tietokone. Salaamattoman kovalevyn lukeminen on helppoa, eikä pelkkä kirjautumissalasana suojaa tietoja. Tee rikosilmoitus varkaudesta, määritä kone kadonneeksi, jos se onnistuu, ja vaihda salasanat kaikkiin tunnuksiin, joihin koneelta pääsee.
• Kadonnut kortti, kuten kirjastokortti tai matkakortti. Ilmoita kortin myöntäjälle ja pyydä uusi. Uudesta kortista voidaan periä maksu.
• Kadonnut ajokortti. Toimiston ohjeen mukaan uusi ajokortti haetaan Traficomilta, kun taas passi ja henkilökortti haetaan poliisilta.

Mihin ilmoitat: poliisi, Kyberturvallisuuskeskus vai tietosuojavaltuutettu?

Kolme tahoa hoitaa kolmea eri asiaa. Sekoittuminen on yleistä.

Poliisi: rikosilmoitus. Jos epäilet rikosta, kuten petosta, tietomurtoa tai kiristystä, tee rikosilmoitus. Suomi.fi-oppaan mukaan, jos rahaa on viety tai henki tai terveys on uhattuna, mene lähimpään poliisilaitokseen heti. Muuten voit käyttää poliisin verkkoasiointia. Liitä mukaan keräämäsi todisteet.

Traficomin Kyberturvallisuuskeskus: tietoturvaloukkaus. Tietosuojavaltuutetun toimiston mukaan sekä yksityishenkilöt että organisaatiot voivat ilmoittaa loukkauksista Kyberturvallisuuskeskukselle, esimerkiksi tietojen kalastelusta. Suomi.fi-oppaan mukaan verkossa tapahtuneesta tietovarkaudesta tai verkkopalvelun tilin murrosta ilmoitetaan sinne.

Tietosuojavaltuutettu: henkilötietojen käsittely. Jos organisaatio on käsitellyt tietojasi tietosuojasääntöjen vastaisesti, voit tehdä ilmoituksen tietosuojavaltuutetulle. Muista kuitenkin tämä: jos kyse on omista oikeuksistasi, ota ensin yhteys organisaatioon. Toimisto ei yleensä ota asiaa käsittelyyn, jos et ole ensin ollut yhteydessä rekisterinpitäjään. Vaiheet löydät oppaasta valitus tietosuojavaltuutetulle.

Tietosuojavaltuutetun toimisto ei toimi rikostutkintaviranomaisena. Epäilty rikos kuuluu poliisille, vaikka toimisto voi siirtää asian sinne.

Mitä yrityksen pitää tehdä: ilmoitusvelvollisuudet

Vuodon kohteena oleva ei ole vastuussa kaikesta yksin. Organisaatiolla on lakisääteisiä velvollisuuksia, ja niiden tunteminen auttaa arvioimaan, onko asia hoidettu oikein.

Ilmoitus tietosuojavaltuutetulle. Tietosuojavaltuutetun toimiston mukaan ilmoitus on tehtävä, jos loukkauksesta voi aiheutua riski ihmisten oikeuksille ja vapauksille. Ilmoitus tehdään ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun rekisterinpitäjä sai tiedon loukkauksesta. Jos ilmoitus tulee myöhemmin, viivästykselle pitää antaa perusteltu selitys. Kaikki loukkaukset on lisäksi dokumentoitava, vaikka ilmoitusta ei tarvittaisi.

Ilmoitus rekisteröidylle. Jos loukkaus todennäköisesti aiheuttaa korkean riskin, organisaation pitää ilmoittaa asiasta myös rekisteröidylle. Ilmoituksessa kerrotaan loukkauksen luonne, todennäköiset seuraukset, toimet haittojen lieventämiseksi ja mistä saa lisätietoja. Riskin arvioi ensin organisaatio ja viime kädessä tietosuojavaltuutettu. Tietosuojavaltuutettu voi myös määrätä organisaation ilmoittamaan loukkauksesta henkilöille.

Milloin ilmoitusta ei tarvita. Rekisteröidylle ei tarvitse ilmoittaa esimerkiksi silloin, kun tiedot on suojattu asianmukaisesti, kuten salauksella, tai kun korkea riski ei jatkotoimien vuoksi todennäköisesti enää toteudu. Jos henkilökohtainen ilmoittaminen vaatisi kohtuutonta vaivaa, organisaatio voi käyttää julkista tiedonantoa.

Käytännössä tämä tarkoittaa, ettei viestin puuttuminen todista, ettei tietosi ole vuotanut. Ja viesti ei tarkoita, että kaikki on menetetty. Jos haluat tietää, mitä organisaatio on tehnyt, kysy sitä suoraan.

Kysymykset, jotka kannattaa esittää organisaatiolle

Kun saat ilmoituksen vuodosta tai kuulet siitä uutisista, organisaatiolta voi kysyä muutaman selkeän asian. Tietosuojavaltuutetun toimiston ohje neuvoo kysymään apua ja lisätietoja siltä, joka käsittelee tietojasi. Yhdellä viestillä selviää usein enemmän kuin viikkojen arvailulla.

1. Mitä tietojani vuoto koski, ja koskiko se myös tunnuksiani tai salasanojani?
2. Mitä tietoja ei vuotanut?
3. Milloin vuoto havaittiin ja mitä organisaatio on tehnyt haitan rajoittamiseksi?
4. Onko vuodosta ilmoitettu tietosuojavaltuutetulle?
5. Miten voin ottaa yhteyttä tietosuojavastaavaan tai muuhun yhteyspisteeseen, jos kysyttävää tulee lisää?

Kirjoita kysymykset ylös ja säilytä vastaus. Jos myöhemmin päädyt vaatimaan korvausta tai tekemään ilmoituksen tietosuojavaltuutetulle, kirjeenvaihto on tärkeä näyttö siitä, mitä organisaatio on sanonut ja milloin.

Jos organisaatio ei vastaa, kyse ei ole vielä lopullisesta asiasta. Tietosuojavaltuutetun toimisto ohjaa ottamaan ensin yhteyttä rekisterinpitäjään, ja organisaation on vastattava ilman aiheetonta viivytystä ja kuukauden kuluessa. Kun määräaika on kulunut, voit tehdä ilmoituksen tietosuojavaltuutetulle.

Korvaus ja tietosuojavaltuutetun rajat

Tietosuojavaltuutetun toimiston vahingonkorvaussivun mukaan korvausta voi vaatia, jos rekisterinpitäjä rikkoo EU:n yleistä tietosuoja-asetusta (GDPR) ja siitä aiheutuu aineellista tai aineetonta vahinkoa.

1. Esitä vaatimus suoraan rekisterinpitäjälle tai henkilötietojen käsittelijälle.
2. Jos se ei suostu, asian voi viedä käräjäoikeuteen.
3. Rikostapauksissa vahingonkorvauksesta voidaan päättää rikosprosessissa. Poliisi kysyy esitutkinnan aikana, haluaako asianomistaja esittää vaatimuksia epäillyille.

Tietosuojavaltuutetun toimisto ei käsittele korvausvaatimuksia, ei toimi asiamiehenä eikä voi vaatia korvausta puolestasi. Sen tehtävä on selvittää, onko tietosuoja-asetusta rikottu. Toimisto voi käyttää korjaavia toimivaltuuksia, kuten hallinnollista seuraamusmaksua, joka maksetaan valtiolle.

Toimiston mukaan sen tavoite on käsitellä sille tehdyt asiat noin vuodessa, joten ilmoituksen tekeminen ei ole nopea keino. Tee se silti, jos asia on tärkeä, ja säilytä kaikki kirjeenvaihto.

Remove Me ei voi luvata, että vuotaneet tiedot katoavat. Se, mikä on jo vuotanut, on vuotanut, ja vastuu vahingon rajoittamisesta on rekisterinpitäjällä. Voit kuitenkin pienentää omaa riskiäsi tämän oppaan toimilla.

Rajoita hakukoneiden näyttämiä tietoja

Suomi.fi-oppaan muistilista mainitsee myös hakukoneiden näyttämien tietojen rajoittamisen: harkitse poistopyyntöä Googlelle ja Bingille. Pyyntö koskee hakutuloksia, ei alkuperäistä sivua. Hakutulos voi poistua, vaikka tieto pysyy sivulla, jolta se on peräisin.

Lue tarkemmin oppaasta poista tietosi numeropalveluista ja Googlesta.

Pitkäaikaiset tavat, jotka vähentävät seuraavan vuodon vaikutusta

Seuraava vuoto tulee todennäköisesti jostakin, mitä ei voi itse hallita. Siksi kannattaa varautua etukäteen.

• Oma salasana jokaiseen palveluun. Salasanamanageri tekee tämän helpoksi.
• Kaksivaiheinen tunnistautuminen kaikkiin tärkeisiin tileihin. Sähköposti ensin.
• Hyvä pankkitunnusten hallinta. Älä säilytä käyttäjätunnusta, PIN-koodia ja avainkoodeja samassa paikassa, kuten tietosuojavaltuutetun toimiston ohje neuvoo.
• Vähemmän turhia tilejä. Poista tilit palveluista, joita et enää käytä. Mitä vähemmän tietojasi on eri paikoissa, sitä pienempi vuodon vaikutus on.
• Oikeuksien käyttö. GDPR antaa oikeuden pyytää tietoja nähtäväksi ja tietyin edellytyksin poistettavaksi. Katso oppaasta GDPR ja tietosuoja-asetus.

Ennaltaehkäisyn ohjeisiin kuuluu tietosuojavaltuutetun toimiston mukaan myös luotettavien verkkokauppojen käyttö, henkilötietoja sisältävien papereiden huolellinen hävittäminen sekä laitteiden tyhjentäminen ennen myyntiä tai luovutusta.

Yleisiä väärinkäsityksiä

”Jos en saanut viestiä, tietoni eivät vuotaneet.” Ei välttämättä. Organisaation tarvitsee ilmoittaa rekisteröidyille vain, jos riski on korkea, ja poikkeuksia on.

”Jos tieto vuoti vuosia sitten, vaara on ohi.” Tietosuojavaltuutetun toimiston ohjeen mukaan ajan kuluminen ei sellaisenaan vähennä riskiä. Jos tiedot ovat yhä sivullisten saatavilla, riski ei lähtökohtaisesti laske.

”Tietosuojavaltuutettu hoitaa asian puolestani.” Ei hoida. Toimisto ei ole asiamies eikä päätä korvauksista.

”Kun vaihdan salasanan, kaikki on kunnossa.” Salasanan vaihto auttaa tilin osalta. Jos vuoti pankkitunnuksia tai henkilötunnus, tarvitaan lisäksi edellä kuvattuja toimia.

”Kiristäjälle maksaminen lopettaa uhkailun.” Suomi.fi-opas neuvoo olemaan maksamatta lunnaita.

Näin pääset eteenpäin tänään

1. Selvitä, mitä tietoja vuoti.
2. Vaihda salasanat ja tarkista palautusasetukset.
3. Soita pankkiin, jos pankkitunnukset tai kortti ovat vaarassa.
4. Ota kaksivaiheinen tunnistautuminen käyttöön.
5. Seuraa tilitapahtumia ja laskuja.
6. Tee ilmoitukset: poliisille, Kyberturvallisuuskeskukselle ja tarvittaessa tietosuojavaltuutetulle.

Kun akuutti vaihe on ohi, voit tarkistaa Remove Me -analyysilla, mitä tietojasi on julkisesti nähtävillä. Muista, ettei mikään analyysi tai pyyntö voi taata, että tietoja ei enää löydy. Jokainen rekisterinpitäjä arvioi pyyntösi omilla perusteillaan.

Lisäneuvontaa saat Tietosuojavaltuutetun toimiston yleisestä neuvonnasta yksityishenkilöille numerosta 029 566 6777. Puhelinneuvonta on avoinna tiistaista torstaihin klo 9.30–11.30.

Lähteet

Luettu 5. marraskuuta 2026.

• Tietosuojavaltuutetun toimisto: Jos joudut tietoturvaloukkauksen kohteeksi
• Tietosuojavaltuutetun toimisto: Tietoturvaloukkaukset
• Tietosuojavaltuutetun toimisto: Vahingonkorvausten vaatiminen
• Tietosuojavaltuutetun toimisto: Ilmoitus tietosuojavaltuutetulle
• Tietosuojavaltuutetun toimisto: Tietojen kalastelu
• Suomi.fi: Tietovuoto ja tietomurto, muistilista
• Suomi.fi: Estä vahingot
• Suomi.fi: Tee tarvittavat kiellot