Euroopan kuluttajaviranomaiset ovat helisemässä uskomattoman upeiden tarjousten takia. Miljoonia liki ilmaisia älypuhelimia, taulutelevisioita, merkkilenkkareita ja hyvinvointirannekkeita tunkee kuluttajien sähköposteihin ja Facebookin uutisvirtaan. Vaikka kaikki tietävät, että onnenpotkut ovat äärimmäisen epätodennäköisiä, silti moni hullaantuu kun huikea tarjous osuu omalle kohdalle.
Euroopan kuluttajakeskuksen lakimies Saija Kivimäki hymähtää, kun kerron olevani selvittämässä euron iPhonen tarinaa.
— Joo, hyvin tuttu tarina ja näitä tarinoita ikävä kyllä riittää.
Tarjouksen varjolla harhautetaan kuukausimaksulliseen sopimukseen
Tyypillinen juonen kulku on Kivimäen mukaan seuraavanlainen: ihminen saa sähköpostiinsa tarjouksen tai näkee Facebookissa ilmoituksen puoli-ilmaisesta tuotteesta. Meili tai ilmoitus näyttää mainokselta ja ihminen kuvittelee, että kauppaa ollaan tekemässä juuri kyseisestä tuotteesta. Sitten edetään tilaussivulle, jossa hehkutetaan jälleen näkyvästi vain sitä edullista tarjousta.
Piti ostaa puhelin, tulikin kuukausimaksullinen klubijäsenyys.
Hullun halvoissa tarjouksissa ei pääasia kuitenkaan ole tuote, jota kuluttaja kuvittelee ostavansa. Yleensä kyseessä on ns. tilausansa, jossa ostaja harhautetaan sitoutumaan kuukausimaksulliseen palveluun, vaikka hän olisi kuvitellut ostavansa vain puhelimen.
— Tilaussivulla kerrotaan kyllä usein tilaussopimuksen todellisestakin luonteesta, mutta yleensä aika pienellä ja mahdollisesti linkin taakse piilotettuna, sanoo Saija Kivimäki.
Vahingossakin tehty sopimus sitoo kuluttajaa ja siitä irrottautuminen voi olla vaikeaa. Tilausansan asettajan mielestä kyseessä on pätevä sopimus, koska käyttöehdot ovat olleet saatavilla. Kuluttajaviranomainen taas pohtii jujutetun kuluttajan kanssa, ovatko ehdot olleet tarpeeksi selvästi nähtävillä ja sillä tavalla muotoillut, että kuluttaja on voinut ymmärtää mihin oikeastaan on sitoutunut.
Usein helpointa on kääntyä luottokorttiyhtiön puoleen ja perustella heille, miksi laskut ovat aiheettomia.
— Tilausansojen sovittelu suoraan palveluntarjoajien kanssa on hirveän hankalaa. Yleensä neuvomme kuluttajaa kääntymään luottokorttiyhtiönsä puoleen ja perustelemaan sinne, miksi laskut ovat aiheettomia. Jo maksettuja rahoja ei kovin helposti takaisin saa, sanoo Kivimäki.
Firman nimen ja nettiosoitteen vaihtaminen käy sutjakkaasti
Euroopan kuluttajakeskuksen mukaan tilausansojen virittäjinä ovat kunnostautuneet viime aikoina tanskalaisyhtiöt Cleandevice365 ja Radioplanets.
Pelkkiin yritysten nimiin tai nettiosoitteisiin ei kuitenkaan kannata tuijottaa, sillä uusien osoitteiden hankkiminen on helppoa ja halpaa. Kun vanha nettiosoite saa liikaa kyseenalaista mainetta, se hylätään.
Sekä Cleandevicen että Radioplanetsin ip-osoitteista löytyy Virustotal -palvelun mukaan useita erilaisiin tilauspalveluihin ja tarjouksiin viittaavia nettiosoitteita.
Vaikuttaakin siltä, että esim. Cleandevice on jo vetäytymässä markkinoilta, mutta upeiden tarjousten tekemistä jatkaa samassa ip-osoittessa sijaitseva globaldealsnow.com. Molemmilla yhtiöillä on myös sama postiosoite.
Monasti huijausviestin lähettäjä on kuitenkin aivan eri yritys kuin se, jolle viestien linkit monen välipalvelimen kautta lopulta johtavat.
Roskapostin lähettäjätkin toimivat yleensä anonyymisti ja ostavat palvelintilansa sellaisilta ylläpitäjiltä, jotka eivät paljasta roskapostittajien henkilöllisyyttä.
Viestintäviraston tietoturva-asiantuntija Perttu Halosen mukaan sähköpostipalvelimen ylläpitäjän olisi hyvä varmistaa lähtevän sähköpostin aitous, eli että lähettäjä on oikeasti se kuka väittää olevansa. Kansainvälisellä internetin teknisen kehittämisen työryhmällä on suosituksia sähköpostin lähettäjän aitouden varmistamisesta, mutta niiden noudattamiseen ei ole yleistä pakkoa.
Perttu Halosen mukaan aitouden tarkistaminen voi myös olla hyvin työlästä. Esimerkiksi kaapattujen tietokoneiden avulla lähetetty roskaposti vaatii aina ihmisen tekemää arviointia.
Suomessa sähköiseen markkinointiin vaaditaan lain mukaan vastaanottajan lupa.
— Internetin avoin luonne ja kansainvälisyys mahdollistavat myös epärehellisen toiminnan. Lait ovat kansallisia ja kontrolloimatonta rajaseutua on paljon. Viranomaiset voivat tehdä avunpyyntöjä toisen maan viranomaisille. Näihin reagoidaan usein hitaasti ja ollaan jopa haluttomia puuttumaan koko asiaan. Euroopassakin on monia maita, joihin lain koura ei oikein tunnu ulottuvan.
Hämäriä bisneksiä on helppo hoidella anonyymien palvelimien kautta ja sähköpostiosoitteen ostaminen maksaa muutamia dollareita. Sähköpostin lähettäjätiedotkin on helppo väärentää.
Spämmäys on isoa bisnestä, johon on vaikea puuttua
Roskapostin määrä on vähentynyt maailma mittakaavassa, mutta suomenkielinen roska- ja huijaussähköposti on lisääntynyt. Huijausyritykset ovat muuttuneet härskimmiksi ja spämmin kautta leviävät haittaohjelmat entistä vaarallisemmiksi.
Suomalaisilla verkko-operaattoreilla on velvollisuus suitsia roskapostia myös vastaanottajina (.pdf).
Huijausyritykset ovat muuttuneet härskimmiksi ja spämmin kautta leviävät haittaohjelmat vaarallisemmiksi.
Roskapostin torjunnan apukeinoina voidaan käyttää esimerkiksi roskapostittajista kerättyjä mustia listoja.
Jos tietty ip-osoite lähettää jatkuvasti spämmiä, kaikki sieltä tuleva liikenne voidaan pysäyttää sähköpostia vastaanottavalle palvelimelle. Käytännössä mustalla listalla oleminenkaan ei estä spämmin päätymistä vastaanottajan sähköpostilaatikkoon.
Apple Soumilta tullut tarjous herättää huvittuneisuutta jo ulkoasultaan, poikkeuksellista tässä tarjouksessa on se, että jo sähköpostissa mainitaan varsinaisesta palvelusta, jota sillä kaupataan.
Lähettäjä Kitten-Money.net on meillä hiukan komeammista yhteyksistä tunnetun saksalaisen Hetzner-yhtiön palvelimella ja löytyy myös mustalta listalta. Tästä huolimatta oma operaattorini välitti sen sähköpostiini. Googlen sähköpostiohjelma tosin ymmärsi Apple Soumen tarjouksen roskapostiksi ja ohjasi sen suoraan roskapostikansioon.
Ei ihme, että konesaleja ja merikaapeleita tarvitaan lisää.
Huijausviestiin uskominen vie rahat ja voi pölliä identiteetin
Apple Soumin kaltaiset viestit eivät herätä luottamusta puusilmäisimmässäkään käyttäjässä. Silti oikeakielisyyteen tai tunnetun yrityksen ilmeeseenkään ei ole luottamista.
Parin viimeisen kuukauden aikana sähköposteihin on tipahdellut älypuhelin- ja taulutelevisio-tarjouksia Gigantin nimissä. Näissäkin uskomattoman edullisissa tarjouksissa on loppupeleissä vastassa tilausansa, jonka kanssa Gigantilla ei ole mitään tekemistä.
Roskapostittajien mustan listan kerääjällä alkaa siis Suomessakin olla kiireitä. Pyysin Suomispam-palvelun ylläpitäjää Juha-Matti Tapiota tutkimaan, mitä kaikkea tapahtuu, kun lähtee seuraamaan Gigantin nimissä tehtyä huijausyritystä.
Huijari näkee paljon vaivaa kiertääkseen palvelimia ja operaattoreita.
— Gigantiksi naamioituva huijari näkee paljon vaivaa kiertääkseen palvelimia ja operaattoreita. Viestit ohjaavat klikkaamaan yhden välipalvelimen kautta toiselle, jonka domain on rekisteröity muutama viikko sitten. Sieltä edelleen kolmannelle, joka on muutaman kuukauden ikäinen, jne. Operaattori näyttää olevan enimmäkseen hollantilainen.
— Näissä lahjoja tarjoavissa spämmeissä yleensä pyritään saamaan joko tietoja tai kyse voi olla luottokorttitilaushuijauksesta, vahvistaa Tapio.
Vaikka et kirjoittaisikaan itse nimeäsi, sähköpostiosoitettasi tai luottokorttinumeroasi, ne on mahdollista urkkia myös muulla tavoin.
Katso kuvagalleriassa miten sähköpostihuijaus etenee, kuvat saa suuremmiksi klikkaamalla:
Huijaussähköpostin uskottavuus on tärkeää. Sen jälkeen luodaan kiireentuntu, ja rakennettaan uskottavuutta. Kun käyttäjä pääsee tilausvaiheeseen, hän on niin orientoitunut tuotteen ostamiseen, että pienellä ja sivulauseissa kerrotut käyttöehdot jäävät huomaamatta.
Jo pelkästään huijausviestin linkkejä klikkailemalla käyttäjä kertoo itsestään huijarille kohtalokkaan paljon. Kun käyttäjää ohjataan sivulta toiselle, kerätään tietoja käyttäjän selaimen versiosta, käyttöjärjestelmän versiosta, tietoja näytöstä/resoluutiosta ja kieliasetuksista.
Selaimen sisältämien evästeiden ja käyttäjän tietokoneen ip-osoitteen perusteella voidaan saada uskomattoman paljon tietoa käyttäjästä.
Jos selaimen tai lisäosien tietoturvapäivitykset eivät ole ajan tasalla, käyttäjä voidaan ohjata sellaiselle sivulle, joka osaa käyttää juuri havaittua tietoturvaukkoa hyväkseen. Koneelle asentuukin virus. Se voi olla urkinta- tai kiristysohjelma tai sitten haittaohjelma voi kaapata koneen niin, että se alkaa toimia roskapostia lähettävänä tai palvelunestohyökkäysiin osallistuvana bottina.
Lisäksi selaimen sisältämien evästeiden ja käyttäjän tietokoneen ip-osoitteen perusteella voidaan saada uskomattoman paljon tietoa käyttäjästä. Tietoja voidaan kerätä jokaisessa pisteessä, joihin käyttäjä linkkien avulla ohjataan.
Jos henkilö saadaan osuvasti kohdennettujen mainosten avulla houkuteltua luovuttamaan henkilötietojaan, on identiteettivarkaus mahdollinen.
— Kun ip-osoitteeseen yhdistetään tieto, millä sivuilla kyseisestä osoitteesta on vierailtu ja mitä linkkejä klikattu, voidaan jo henkilöiden kiinnostuksen kohteista tehdä päätelmiä tai valistuneita arvauksia ja näyttää heille sopivia mainoksia. Jos henkilö saadaan osuvasti kohdennettujen mainosten avulla houkuteltua luovuttamaan henkilötietojaan, on esimerkiksi identiteettivarkaus mahdollinen. sanoo Viestintäviraston Perttu Halonen.
Mutta saanko silti sen iPhonen?
Klikkailupolku alkaa siis vaikuttaa melko riskialttiilta toiminnalta. Päätän palata tarinan alkupisteeseen ja kysyä suoraan iPhonen tilaussivun kautta löytyvältä yritykseltä, että saako sitä puhelinta vai ei.
Soitan globaldealsnow.comin asiakaspalveluun, koska puhelinnumeron +358 -tunnuskin näyttää mukavan kotoisalta. Puhelimeen vastaa Ruotsista käsin englantia puhuva kohtelias nuorimies. Kerron olevani heidän nettisivullaan juuri nyt ja haluaisin tietää miten voisin ostaa iPhonen viidellä eurolla.
— Sorry madam, but we don't sell iPhones.
Selitän sähköpostilla saamani tarjouksen sisältöä ja kotvasen kestävän ihmettelyn jälkeen miekkonen hoksaa, että tarkoitan varmaan arpajaisia, jotka järjestetään uusille asiakkaille.
Osallistuminen iPhone-arpajaisiin maksaisi vähintään 64€.
Minulla olisi siis mahdollisuus voittaa iPhone, mikäli rekisteröityisin heidän asiakkaakseen antamalla henkilötietoni ja maksamalla 5€ luottokortillani. Arvontaan osallistuminen kuitenkin edellyttäisi, että en irtisanoisi sopimustani kolmen tai (käyttöehtojen toisessa kohdassa mainitun) viiden päivän tutustumisjakson aikana.
Lisäksi luottokortillani pitäisi olla katetta jo ensimmäisen kuukauden jäsenyysmaksun eli 59€:n verran, joka perittäisiin etukäteen, heti kolmen (tai viiden) päivän tutustumisjakson jälkeen.
Osallistuminen iPhone-arpajaisiin maksaisi siis vähintään 64€. Bonuksena luvassa olisi lisää roskapostia sekä nimi-, osoite- ja luottokorttitietojeni päätyminen hyvin epäilyttävän tahon haltuun.
Kiitän globaalia asiakaspalvelijaa tiedoista, toivotan mukavaa päivän jatkoa ja totean, että ehkä ei sittenkään tehdä iPhone-diiliä nyt.
Lue lisää:
Asiantuntijan vinkit postilaatikon puhtaanapitoon
Roskapostin loppua ei ole näköpiirissä, tästä haastattelemamme asiantuntijat ovat yhtä mieltä. Spämmääjälle voi kuitenkin panna kampoihin omalla toiminnallaan ja fiksulla sähköpostin käytöllä.
Tutustu myös peruskayttajalle.net -sivuston vinkkeihin:
Vältä roskapostia käyttämällä tilapäistä sähköpostiosoitetta
Yksittäisten tiedostojen virustarkistukset netissä
Nettisivustojen luotettavuuden arviointi
