Suomen kybertilanne kertoo aika karua tarinaa: rikolliset eivät jää odottelemaan, että organisaatiot saisivat tietoturvansa joskus valmiiksi. Traficomin Kyberturvallisuuskeskuksen mukaan Microsoft 365 -tilimurtojen määrä kasvoi jälleen elokuussa 2026. Hyökkäys alkaa usein vanhalla mutta edelleen tehokkaalla tempulla. Käyttäjä houkutellaan luovuttamaan tunnuksensa tai hyväksymään kirjautuminen rikollisen puolesta.
Homma toimii, koska huijaukset eivät enää aina näytä huijauksilta. Rikolliset käyttävät kaapattuja sähköpostitilejä ja aitoja pilvipalveluita saadakseen viestinsä näyttämään uskottavilta. Kun tunnus on napattu, alkaa tapahtua: sähköposteja luetaan, tietoa varastetaan, uusia kalasteluviestejä lähetetään ja petoksia tehdään uhrin nimissä. Myös monivaiheisen tunnistautumisen kiertämiseen käytetään jatkuvasti kehittyneempiä menetelmiä.
Netoxilla näemme tämän osana paljon suurempaa muutosta. Hyökkäyksiä ei enää tehdä pelkkänä käsityönä yksi uhri kerrallaan. Tekoäly ja automaatio kartoittavat kohteita, etsivät heikkouksia ja nopeuttavat hyökkäyksen eri vaiheita.
Yhtälö on yksinkertainen: mitä enemmän hyökkääjä automatisoi, sitä vähemmän puolustajalle jää aikaa ihmetellä, mitä oikeasti juuri on tapahtunut.
Ennen koputeltiin, nyt ovea kokeillaan koneellisesti
Internetiin näkyvää järjestelmää ei kannata ajatella hiljaisena mökkinä keskellä metsää. Se muistuttaa enemmän taloa, jonka ovia ja ikkunoita joku kokeilee jatkuvasti. Eikä kokeilija välttämättä ole enää ihminen.
Kun uusi haavoittuvuus julkaistaan, hyökkääjän ei tarvitse käydä mahdollisia kohteita läpi yksitellen. Automaation avulla haavoittuvia järjestelmiä voidaan etsiä valtavassa mittakaavassa ja samalla kokeilla, aukeaako ovi.
IBM vertaa kehitystä tilanteeseen, jossa jokainen pankkiryöstäjä saisi käyttöönsä joukon asiantuntevia lukkoseppiä. Ne voisivat tarkastaa miljoonia holveja samanaikaisesti, tunnistaa heikot lukot ja etsiä nopeimman reitin sisään. Tekoäly madaltaa kehittyneiden hyökkäysten osaamis- ja kustannuskynnystä. Samalla se auttaa tunnistamaan haavoittuvuuksia, yhdistelemään hyväksikäyttömenetelmiä ja nopeuttamaan hyökkäysoperaatioita.
Netoxilla kutsumme tätä hyökkäysten teollistumiseksi. Ennen hyökkääjä koputteli ovia yksi kerrallaan. Nyt kone kartoittaa kohteet, kokeilee tunnetut haavoittuvuudet ja jatkaa ympäristön penkomista myös sisäänpääsyn jälkeen.
Rikollisuuden motivaatio ei silti ole juuri muuttunut. Raha kiinnostaa edelleen. Tekoäly vain tekee sen tavoittelemisesta hyökkääjälle halvempaa, nopeampaa ja helpommin skaalautuvaa.
Yritysten omat AI-agentit kasvattavat uhkapintaa
Myös yritykset ottavat vauhdilla käyttöön AI-agentteja. Agentit voivat toimia itsenäisesti, käyttää työkaluja ja suorittaa tehtäviä ilman jatkuvaa ihmisen ohjausta. Niille voidaan antaa pääsy esimerkiksi sähköposteihin, internetiin, henkilötietoihin ja yrityksen muihin järjestelmiin.
Tässä kohtaa kannattaa vetää hetki henkeä. Jokainen uusi agentti voi tarkoittaa uutta digitaalista identiteettiä, uusia käyttöoikeuksia ja uusia yhteyksiä järjestelmien välillä. Mitä enemmän agentti saa nähdä ja tehdä, sitä enemmän syntyy myös suojattavaa. Ja parastahan tässä on, että yksittäisellä työntekijällä olla saattaa olla kokonainen kaveriporukka agentteja käytössään.
Ongelma ei ole pelkästään agenttien määrä. Todellinen riski liittyy niiden toimintamahdollisuuksiin. Jos agentti voi lukea tietoa yhdestä järjestelmästä ja käynnistää sen perusteella toimintoja toisessa, yksi huonosti rajattu käyttöoikeus voi aiheuttaa yllättävän pitkän ketjureaktion.
PBS:n julkaisemassa artikkelissa kuvataan tapauksia, joissa AI-agentit ovat saaneet luvattoman pääsyn järjestelmiin tai tehneet asioita, joita niiden alkuperäisissä ohjeissa ei ollut määritelty. Agentin ei tarvitse olla ”paha” aiheuttaakseen vahinkoa. Riittää, että sille annetaan tavoite, liikaa toimintavaltaa ja liian vähän rajoja.
Netoxin näkemyksen mukaan AI-agentteja pitää hallita kuten muitakin digitaalisia identiteettejä. Niiden käyttöoikeudet, integraatiot ja toiminta on tunnettava ja niitä on valvottava. Agentille ei pidä antaa avaimia koko taloon, jos tehtävänä on vain kastella kukat.
Konevauhtinen hyökkäys vaatii konevauhtisen puolustuksen
Täysin manuaalinen SOC-toimintamalli ei enää pärjää koneellisesti eteneville hyökkäyksille. Jos hyökkääjä kartoittaa ympäristöä, kokeilee haavoittuvuuksia ja levittäytyy automaattisesti, puolustaja ei voi käyttää kriittisiä minuutteja tietojen kaivamiseen ja kopioimiseen järjestelmästä toiseen.
Modernin SOCin pitää yhdistää erilliset havainnot tilannekuvaksi, tunnistaa hyökkäysketju ja käynnistää hallitut rajaustoimet nopeasti. Ihmistä tarvitaan edelleen arvioimaan vaikutuksia ja tekemään kriittisiä päätöksiä. Asiantuntijan aikaa ei kuitenkaan pidä tuhlata työhön, jonka kone hoitaa sekunneissa.
Kaiken uuden teknologian keskellä yksi asia helposti unohtuu: perusteiden pitää olla kunnossa. Organisaation on tunnettava järjestelmänsä, internetiin näkyvät palvelunsa ja digitaaliset identiteettinsä. Haavoittuvuudet pitää korjata nopeasti ja hallitusti, käyttöoikeudet rajata oikein ja lokituksen, varmuuskopioiden, segmentoinnin sekä vahvan tunnistautumisen täytyy toimia oikeasti, ei vain PowerPointissa.
Netoxin johtopäätös on selkeä. Turvallisuutta ei ratkaista ostamalla yhtä kiiltävää tekoälytuotetta ja toivomalla parasta. Toimiva puolustus rakennetaan yhdistämällä kunnossa olevat perusteet, jatkuva valvonta, hallittu automaatio ja kokeneiden asiantuntijoiden harkinta.
Paras puolustus yhdistää koneen nopeuden ja ihmisen järjen. Hyökkääjän tarvitsee onnistua vain kerran, mutta puolustuksen on toimittava joka päivä, jotta asiakkaidemme liiketoiminta voi jatkua ilman yllätyksiä.
