Pettused internetis – kuidas ettevõtjana mitte petta saada

Europoli 2025. a uuringu “Internet Organised Crime Threat Assessment” hinnangul on küberkuritegusid järjest rohkem ja need on aina agressiivsemad. Küberkuritegevus on kasvav probleem riikides, kus internetitaristu on hästi arenenud ja kasutatakse maksesüsteeme veebikeskkonnas. Ent küberkurjategijate peamine sihtmärk ei ole mitte ainult finantsandmed, vaid andmed üldiselt. Andmeleketega seotud juhtumite arv ja sagedus on tõusuteel. See toob omakorda kaasa üha rohkem internetipettuste ja raha väljapetmiste juhtumeid.

Riigi Infosüsteemi Ameti (RIA) küberturvalisuse aastaraamatust selgus, et eelmisel aastal toimus Eestis 6515 mõjuga küberintsidenti ehk umbes kaks korda rohkem kui 2023. aastal. Pettuste tagajärjel kaotasid Eesti inimesed mullu ligi kaheksa miljonit eurot ning suurima osa sellest moodustasid investeerimispettused ja pangapettused. Eesti ettevõtteid tabas aasta lõpus arvepettuste laine, kus kaotasid neli ettevõtet arvepettuste tagajärjel 300 000 eurot. Arvepettuseid tuleb endiselt ette – RIA augustikuu ülevaatest, selgus, et üks spordiliit sai arvepettuse tõttu 3000 euro suuruse rahalise kahju.

Siinses postituses käsitleme erinevaid petuskeeme, mis mõjutavad eelkõige ettevõtteid. Samuti selgitame, kuidas ennetada raha väljapetmiste ohvriks langemist ja mida teha, kui see siiski on juhtunud.

Levinud äripettuste liigid

Ettevõtetele suunatud pettused on üha suurenev oht, mis võib kaasa tuua nii finantskahju kui ka mainekaotuse. Need petuskeemid on sageli keerukad ja suunatud töötajatele, kes tegelevad finantside, tellimuste või klientide andmetega.

Ettevõtte töötajad peaksid teadma, millised on levinud petuskeemid internetis, et neid varakult ära tunda ja ennetada. 

Arvepettused

Arvepettused on küberkurjategijatele kasulikud, kuna selle abil võib õnnestuda varastada suuri summasid. Arvepettuse korral saadetakse koostööpartneri nimel võltsarve, mis näeb välja usaldusväärne. Sageli on küberkurjategijad sisse murdnud end koostööpartneri meilisüsteemi ja hakanud jälgima vestlust. See võimaldab neil sobival hetkel sekkuda ja saata meil koos võltsarvega. Arvepettus tuleb sageli välja alles siis, kui koostööpartner hakkab uurima, miks on õige arve eest tasumata.

Arvepettused on võimalikud siis, kui arveid saadetakse e-maili teel. Kui ettevõttes on kasutusel e-arved, siis arvepettuste risk praktiliselt puudub, sest arved liiguvad turvalisi kanaleid pidi.

Identiteedipettused (tarnijad, juhtkond vm)

Identiteedipettuste korral saadavad küberkurjategijad ettevõtte juhtkonnale või raamatupidajale kirja palvega teha kiire ülekanne. Sellised pettused võivad õnnestuda, kui töötajal on kiire ja ta ei pööra tähelepanu detailidele.

Kuidas ära tunda õngitsussõnumeid:

• kirjas on rõhutatud kiirustamisele või kasutatakse mõnda muud psühholoogilise mõjutamise viisi;
• e-posti serveri poolt lisatud hoiatused, et kiri on saadetud väljastpoolt asutust vms;
• saatja nimi ja meiliaadressi ei ole vastavuses;
• erinev vastamise aadress (reply-to);
• ebatavaline saatmisaeg, tihti väljaspool tööaega;
• soov teha ebatavaliselt suur makse ilma arusaadava makseselgituse või
• maksekorralduseta;
• (tihti märkamata jäävad) grammatilised pisivead.

Lunavararünnakud

Lunavararünnakud on pahavara rünnakud, kus kurjategijad lukustavad arvuti või failid. Pärast krüpteerimist üritavad ründajad ohvrilt failidele ligipääsu taastamise või info avalikustamata jätmise eest raha nõuda. Sellised rünnakud võivad põhjustada andmete kadu, tööseisakut ja finantskahju.

Lunavaraga nakatumine toimub kõige sagedamini järgmiselt:

• kasutatakse ära avalikke kaugtöölaua teenuseid nagu Remote Desktop Protocol (RDP), mille kaudu saadakse ligipääs ohvri süsteemile;
• e-kirja manuses sisalduv fail käivitab pahatahtliku koodi;
• e-kirjaga saadetud lingid viitavad pahatahtliku sisuga dokumentidele;
• kasutatakse ära haavatavaid veebilehitsejaid või tarkvarakomponente.

Investeerimispettused

Eesti inimesed kaotasid 2024. aastal investeerimispettustele üle nelja miljoni euro, kuid tegelik kahju võib olla märksa suurem.

Investeerimispettuse korral pakutakse ohvrile pealtnäha väga head raha investeerimise võimalust, sageli saab inimene selle pakkumise telefoni või e-maili teel, sotsiaalmeedias või hoopis veebis liigeldes. Ohver teeb pahaaimamatult investeeringu võltsitud platvormil, sisestades enda isikuandmed, sh pangakonto andmed. 

Investeerimispettuse ohumärgid:

• saad telefoni-, sotsiaalmeedia- või suhtlusrakenduse kaudu investeerimispakkumise, mis tõotab kiiret tasuvust ning turvalist investeeringut;
• lubatakse väga suurt tootlust ja ainulaadset/personaalset või salajast võimalust;
• survestatakse investeerima kiirelt, kuna pakkumine on saadaval ainult lühikest aega;
• investeerimislehe, pakutava toote või ettevõtte kohta ei leia lisainfot ega kommentaare;
• suhtlus toimub võõrkeeles ja keeldutakse üle minemast eesti keelele;
• ei sõlmita lepingut ning ei jagata investeerimistingimusi;
• palutakse paigaldada oma seadmesse tarkvara, mis tegelikkuses võimaldab kurjategijal seadet kontrollida.

Kuigi investeerimispettuste ohvriks langevad eelkõige üksikisikud, ei ole ka organisatsioonid selle eest täiesti kaitstud.

Pangakonto muutmise petuskeem internetis

Pangakonto muutmise petuskeemi korral kirjutab küberkurjategija organisatsiooni töötaja nimel raamatupidajale või personalitöötajale meili, paludes saata edaspidi palk teisele pangakontole. Pettuse õnnestumisel laekubki järgimine palk juba petturi pangakontole.

Muud petuskeemid internetis

Netikelmusega võib igaüks meist kokku puutuda nii organisatsiooni töötaja kui eraisikuna. Internetis levib väga erinevaid petuskeeme. Lisaks arve- ja investeerimispettustele on sage näiteks krediitkaardipettused, pangakontodega seotud pettused, kuid esineb ka mitmesuguseid valeidentiteediga seotud skeeme, sh romantikapettusi. Sageli petturid helistavad ohvritele või võtavad ühendust e-posti ja sotsiaalmeedia kaudu, et alguses usaldust võita ja seejärel raha välja petta. 

Mõned näited erinevatest internetis ringlevatest petuskeemidest on toodud näiteks politsei veebilehel ja pankade blogides. Näiteks on Swedbanga blogis pettuste ja küberturvalisuse teemat käsitletud. Kuna uued skeemid on pidevas muutumises, on oluline olla tähelepanelik ja kahtluse korral pöörduda küberpolitsei, veebipolitsei või CERT-EE poole.

Kuidas end kaitsta internetis levivate petuskeemide eest?

Pettused internetis on järjest sagedasemad ja läbimõeldumad, mistõttu tasub olla teadlik võimalikest ohtudest ning veenduda, et ettevõttes järgitakse küberturvalisuse soovitusi. 

Ettevõtte juhina on oluline analüüsida, kas ettevõtte infoturve on läbimõeldud ja aitab ennetada küberintsidente. Veendu, et meeskonnas oleks võimekas infoturbejuht, kes lähtub oma töös infoturbestandardist, testib regulaarselt süsteemide küberturvalisust, aitab vähendada riske, korraldab andmete turvalise varundamise ja töötab välja juhise küberintsidendi olukorras tegutsemiseks. Väiksemate ettevõtete puhul saab leida pädeva koostööpartneri, kes aitab veenduda, et süsteemid oleksid turvalised ja kaitstud pettuste eest.

Ettevõtte küberturvalisuse puhul tuleb mõelda paljudele aspektidele. Tänases postituses keskendume soovitustele, mida peaks iga ettevõtte juht ja töötaja teadma.

Kasuta turvalisi tarkvarasid

Ettevõtte töö korraldamisel on tõenäoliselt vajadus kasutada erinevaid teenuseid ja tarkvarasid, sh raamatupidamisprogrammi, kodulehe platvormi jm haldustarkvarasid sõltuvalt ettevõtte tegevusalast. Turul on erineva turvalisusega süsteeme, mistõttu tasub tarkvara valimisel veenduda selle turvalisuses ja teha enda ettevõtte jaoks parim valik. Tundliku informatsiooni jagamisel tasub eelistada krüpteeritud andmete liikumist. Näiteks arvete saatmiseks on mitmeid võimalusi, kuid kõige turvalisemad on e-arved. Suureks abiks on ka kinnitusringi teenus, mis võimaldab mugavalt ja kiirelt kinnitada ostuarveid ja kuluaruandeid kõigil ostuga seotud töötajatel. Selle asemel, et arveid kinnitada välja prinditud paberitel või manustega e-kirju vahetades, saab kinnitusringi kasutades lihtsustada kinnitamisprotsessi ja vähendada arvepettuste riski. Näiteks saab summade põhjal määrata, mitu kinnitajat arve enne tasumist üle vaatama peavad, ning samuti seadistada kinnituslimiite erinevatele töötajatele. Arvepettuste ennetamist lihtsustab ka hankija pangakonto kontroll. Kui ostuarve saabub, kontrollib süsteem automaatselt, kas arvel olev maksekonto ühtib ettevõtte hankijate registris märgitud pangakontoga. Kui need omavahel ei kattu, saad teavituse. See aitab vältida võimalikke maksevigu ja arvepettuseid ning annab kindluse, et raha liigub õigele kontole. 

Lisaks teadlikule valikule on väga oluline süsteeme regulaarselt uuendada. Tarkvaratootjad avaldavad regulaarselt uuendusi, mis parandavad turvaauke ja vigu, mida küberkurjategijad võivad ära kasutada. Vananenud tarkvara puhul suureneb pettuste ja küberrünnakute risk, sest arvutit saab pahavaraga nakatada ning jälgida kasutaja toiminguid, salvestada salasõnu ja pääseda ligi konfidentsiaalsetele andmetele, et saadud informatsiooni kuritegelikeks toiminguteks kasutada.

Seega tasub veenduda, et tarkvarade valiku tegemisel arvestatakse selle turvalisusega ja süsteemid on uuendatud.

Loo unikaalsed ja tugevad paroolid

Ettevõtte privaatsuspoliitika väljatöötamisel tasub analüüsida, kas töötajate kontod on turvaliselt kaitstud (e-posti kontod, pilveteenused, finantsrakendused, veebilehe haldus, seadmete ligipääs jpm). Kui paroolid pole tugevad ja neid ei hallata korralikult, muutub kogu ettevõte haavatavaks.

Nõrkade paroolide kasutamisel on oht, et küberkurjategijad pääsevad Sinu kontole ligi. Seetõttu on oluline luua tugev ja unikaalne parool, et vältida salasõna lekkimisega seotud pettusi internetis. Mõned soovitused parooli loomiseks:

• Parool peab olema pikk ja koosnema vähemalt 12 tähemärgist. Hea salasõna sisaldab suuri ja väikseid tähti ning sümboleid ja numbreid. See võib olla fraas, mida on endal kerge meelde jätta, aga teistel raske ära arvata. Unikaalse salasõna genereerimiseks võib kasutada Rabool keskkonda.
• Kasutajakonto salasõna ei tohi olla kergesti ära arvatav. Väldi paroole, mis on seotud isiklike andmetega, näiteks sinu või pereliikme ees- ja perekonnanimi või sünniaeg.
• Loo iga kasutajakonto jaoks uus parool, vältides sama salasõna kasutamist mitmel veebilehel. Nii on võimalik vältida olukorda, kus ühe salasõna lekkimise korral satuvad mitu kasutajakontot ohtu.
• Kasuta paroolihaldurit, mis aitab iga veebilehe jaoks genereerida unikaalse ja tugeva salasõna, aitab paroole meeles pidada ja lihtsustab veebilehtedele sisselogimist. Tuntuimad paroolihaldurid on näiteks LastPass, Bitwarden, 1Password, Dashlane ja KeePass.

Oluline on paroole vahetada regulaarselt ning vältida nende üleskirjutamist ja kõrvalistele isikutele jagamist. Võimalusel tasub eelistada kaheastmelist autentimist kõikides keskkondades, kus see on võimalik. Kaheastmeline autentimine on ka ID-kaardi, mobiil-ID või Smart-IDga sisse logimine.

Tõsta töötajate teadlikkust petuskeemide osas

Petuskeemid internetis on muutunud aina läbimõeldumaks ning neid võib mõnikord olla keeruline avastada. Oluline on oma töötajaid pidevalt koolitada, et nad õpiksid pettuseid märkama ja teaksid, kuidas nendes olukordades käituda. Selleks võib korraldada ettevõttesiseseid koolitusi või osaleda mõnel muul sobival koolitusel. Üks hea võimalus on tasuta Kübertesti koolitus, mis aitab mõista oma teadmiste taset ja saada olulisi teadmisi.

Mõned soovitused, kuidas töötajana end kaitsta netikelmuste eest. 

• Tuleb teada, kuidas ära tunda petu- ja õngitsuskirju ning ohtlikke veebilehti. Kontrolli tähelepanelikult saatja aadresse ja veebilehtede URL-e. Sageli võib pealtnäha tunduda kõik õige, kuid esineb erinevus üksikus tähes.
• Ära jaga kunagi kellelegi oma PIN 1 ja PIN 2 koode ega muid pangakontoga seotud andmeid. Tea, et pank või politsei ei küsi mitte kunagi inimeselt tema pangaandmeid või PIN-koode, ükskõik kui tõsine on olukord.
• Investeerimispettustest hoidumiseks ära usalda investeerimisvõimalusi, mis lubavad väga tulusat ja kiirelt raha teenimise võimalust.
• Kui Sa saad kahtlase kõne ja kahtlustad, et petturid helistavad, siis katkesta kõne. Pea meeles, et telefoni teel ei tohiks nõustuda rahalise tehingu või pangaülekandega ega anda kellelegi oma pangakontoga seotud andmeid.
• Ära mitte kunagi lae alla oma seadmetesse programmi, mida keegi telefoni teel palub sul teha.
• Ära vajuta automaatselt lingile, mis sulle SMS-i või kirjaga saadetakse. Kui märkad, et Sinu tuttav saadab kirja, millega palub avada tundmatut või kummalise pealkirjaga manust või klikkida tundmatul lingil, siis tasub helistada ja küsida tuttava käest üle, millega on tegu.
• Ära sisesta arvutisse tundmatuid mälupulki.

Mida teha pettuse ohvriks langemisel?

Kui Sa avastad, et oled langenud pettuse ohvriks, siis on oluline kiirelt ja teadlikult tegutsemine. 

Peata pettuse kahju

Täpsemad sammud sõltuvad mõnevõrra sellest, millise pettusega on tegu, aga esimese sammuna tuleb peatada kahju, katkestada kõik kahtlased maksed ja piirata ligipääs küberrünnakuga seotud kontodele või süsteemidele. Mõned näited, kuidas tuleks käituda küberpettuse korral.

• Lunavarajuhtumi lahendamisel tuleb esimese sammuna eemaldada nakatunud seade võrgust. Koostöös IT- või küberturbespetsialistiga hakatakse seejärel taastama andmeid turvalistest varukoopiatest. Enne ründajatega ühendust võtmist tuleb hoolikalt kaaluda riske, sest pole garantiid, et lunaraha maksmisel dekrüpteerib kurjategija failid.
• Kui petturid helistasid ja Sa andsid oma PIN-koodid, siis tuleb kiirelt muuta oma PIN- ja PUK-koodid. Samuti tuleb helistada kiirelt panka ja lasta kõik ülekanded blokeerida, sest keegi teine teab PIN-koode ja võib hakata sinu kontolt raha varastama.
• Kui tegu on krediitkaardipettusega või avastad, et oled kelmidele pangamakse teinud, siis tuleb helistada kohe oma panka ja uurida, kas nad saavad tühistada või vaidlustada ülekande.

Teata pettusest küberpolitseile ja CERT-EE-le

Olgu tegemist investeerimispettuse, arvepettuse, krediitkaardipettuse, raha väljapetmisega lunavara alusel või muu netikelmusega, on oluline instidendist teavitada küberpolitseid. Selleks saab esitada avalduse küberpolitsei veebileheküljel.

Kui pettus või küberintsident on seotud organisatsiooniga, siis tuleks pöörduda CERT-EE poole. Teavitamiseks saab kasutada CERT-EE teavituse vormi. Lihtsa intsidenditeavituse võib saata ka aadressil cert@cert.ee.

Küberturvalisuse taastamine

Lisaks pettuse lahendamisele on oluline keskenduda ka turvameetmete parandamisele, et tulevikus sarnaseid küberkuritegusid vältida. Tuleb põhjalikult analüüsida, kuidas interneti pettus läbi läks, ja teha vajalikud muudatused, et tulevikus sarnaseid juhtumeid vältida.

Finbite aitab ära hoida arvepettuseid

Ettevõtete ja organisatsioonidega seotud pettuste hulgas on kõige rohkem levinud arvepettused. Kui Su ettevõte saadab arveid e-posti teel, tuleb arvestada suurema arvepettuse riskiga. Turvalisem lahendus on üle minna e-arvetele.

E-arvete kasutamine vähendab arvepettuste riski, sest need liiguvad krüpteeritult süsteemide vahel, ligipääs on piiratud kasutajaõigustega ja edastamisel jääb maha logi. Turvalisust toetavad ka registrikoodi alusel liikumine ning ettevõttesisesed protsessid ja reeglid. Arvepettuste ennetamisel on kasuks hankija pangakonto kontroll, mis kontrollib automaatselt, kas arvel olev maksekonto ühtib hankijate registris märgitud pangakontoga, ja kinnitusring, mis on turvalisim ja mugavaim viis ostuarvete ja kuluaruannete kinnitamiseks.

Liituge Finbite’iga juba täna ning muutke oma ettevõtte arveldusprotsessid kiiremaks, efektiivsemaks ja turvalisemaks!