--- id: "phishing-011" title: "AiTM-tietojenkalastelu: Miksi MFA-koodi ja istunto varastetaan valesivulla" description: "Opi miten AiTM-phishing kiertää monivaiheisen tunnistautumisen varastamalla istuntotiedot. Suojaa organisaatiosi ja pilviympäristösi tehokkaasti." canonical: https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/ slug: "aitm-phishing-mfa-istuntotietojen-kaappaus" date: "2026-09-29" category: "phishing" product: "superphisher" lang: fi author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä" frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001" --- # AiTM-tietojenkalastelu: Miksi MFA-koodi ja istunto varastetaan valesivulla Vuosien ajan monivaiheisen tunnistautumisen (MFA) käyttöönottoa pidettiin tietoturvan murtamattomana kilpenä käyttäjätunnusten kalastelua vastaan. Tietoturvajohtajille (CISO) ja suojaustiimeille tekstiviestikoodin tai mobiilivahvistuksen vaatiminen tarjosi keinon torjua välittömästi valtaosa perinteisistä tietojenkalasteluhyökkäyksistä. Tämä turvallisuuden tunne on kuitenkin murtunut AiTM-hyökkäysten (Adversary-in-the-Middle) yleistyessä räjähdysmäisesti. Nykypäivänä organisaationne työntekijä voi syöttää salasanansa huolellisesti ja kuitata toisen vaiheen tunnistautumisen älypuhelimellaan, mutta samalla luovuttaa hyökkääjälle täyden pääsyn sähköpostiinsa tai pilviympäristöönsä. Verkkorikolliset eivät enää yritä murtaa salasanoja, vaan he ohittavat pääsynhallinnan suoraan. Tämän teknisen menetelmän ymmärtäminen on välttämätöntä, jotta organisaation puolustusstrategia ja henkilöstön tietoturvakoulutus voidaan päivittää vastaamaan nykypäivän uhkia. --- ## Miten AiTM-työkalut kaappaavat istuntotunnisteen monivaiheisesta tunnistautumisesta huolimatta? > **Tiivistelmä: AiTM-hyökkäystyökalu toimii haitallisena käänteisenä välityspalvelimena (reverse proxy), joka välittää pyynnöt reaaliajassa uhrin ja aidon kohdepalvelun välillä. Kun käyttäjä hyväksyy MFA-koodin, aito palvelin luo istuntoevästeen, jonka hyökkääjä kaappaa ottaakseen käyttäjätilin välittömästi hallintaansa.** Toisin kuin perinteinen kalastelusivusto, joka vain jäljittelee kirjautumissivun ulkoasua tallentaakseen näppäinpainallukset, AiTM-infrastruktuuri toimii dynaamisesti reaaliajassa: - **Peilaava välityspalvelin:** Hyökkääjä pystyttää käänteisen välityspalvelimen harhaanjohtavalle verkkotunnukselle. Kun työntekijä klikkaa haitallista linkkiä, hyökkääjän palvelin lataa palveluntarjoajan todellisen kirjautumissivun (esimerkiksi Microsoft 365 tai Google Workspace) ja näyttää sen uhrille. - **Ensimmäisen vaiheen sieppaus:** Käyttäjä syöttää käyttäjätunnuksensa ja salasanansa. Haitallinen välityspalvelin välittää ne välittömästi oikealle palvelulle, joka puolestaan pyytää tavanomaista toista tunnistautumistekijää. - **MFA-tunnistautumisen kuittaus:** Uhri saa hyväksyntäpyynnön autentikaattorisovellukseensa tai tekstiviestitse ja vahvistaa sen normaalisti. Käyttäjän näkökulmasta kirjautumisprosessi vaikuttaa täysin tavanomaiselta. - **Istuntoevästeen varastaminen:** Kun MFA on hyväksytty, laillinen palvelin luo todennusevästeen (session cookie), jotta istunto pysyy avoimena. Juuri tämän arvokkaan istuntotunnisteen AiTM-välityspalvelin nappaa lennosta talteen ennen kuin se ohjaa uhrin harmittomalle sivulle. Kun verkkorikollinen saa tämän istuntoevästeen, hän syöttää sen omaan selaimeensa. Näin hän ohittaa salasanan, MFA-sovelluksen ja mahdolliset salasanan vaihdot päästen suoraan yrityksen pilvipalveluihin ilman, että järjestelmä laukaisee välitöntä hälytystä. Traficomin Kyberturvallisuuskeskus (NCSC-FI) on toistuvasti varoittanut suomalaisia organisaatioita juuri tällaisista Microsoft 365 -tilien kaappauksista. --- ## Miksi perinteiset MFA-menetelmät eivät enää riitä istuntokaappauksia vastaan? > **Tiivistelmä: Perinteiset MFA-menetelmät, kuten SMS-koodit, TOTP-sovellukset ja push-ilmoitukset, eivät sido istuntoa kryptografisesti aitoon verkkotunnukseen. Ne todentavat ainoastaan käyttäjän henkilöllisyyden tietyllä hetkellä, mutta eivät vahvista selaimen avaaman verkko-osoitteen aitoutta.** Kertakäyttökoodeilla, jotka luodaan sovelluksessa tai lähetetään tekstiviestillä, on merkittävä rakenteellinen heikkous: ne nojaavat ihmisen toimintaan. Niin kauan kuin ihminen lukee merkkijonon ja syöttää sen lomakekenttään, hänet voidaan manipuloida syöttämään se väärälle sivustolle. ### Push-kuittausten ja TOTP-koodien haavoittuvuus Edes push-ilmoitukset numerosovituksella (number matching) eivät suojaa AiTM-hyökkäyksiltä. Käänteinen välityspalvelin välittää oikean palvelimen näyttämän numeron suoraan harhautetun työntekijän näytölle, jolloin käyttäjä valitsee epäröimättä oikean numeron puhelimestaan. ### FIDO2 ja Passkey-todennus välttämättömänä ratkaisuna Tämän haavoittuvuuden pysyvään poistamiseen vaaditaan tietojenkalastelua kestäviä tunnistautumismenetelmiä (phishing-resistant MFA), jotka perustuvat FIDO2- ja WebAuthn-standardeihin: - **Kryptografinen sidonta verkkotunnukseen:** FIDO2-tunnistautumisessa (kuten fyysisellä turva-avaimella tai Passkey-avaimella) selain kommunikoi suoraan suojatun laitekomponentin kanssa ja välittää sille vieraillun sivuston tarkan URL-osoitteen. - **Automaattinen esto valesivustolla:** Jos käyttäjä on haitallisella sivustolla (esimerkiksi `kirjautuminen-yritys-suojattu.com` oikean osoitteen sijaan), salausavain kieltäytyy allekirjoittamasta pyyntöä, koska verkkotunnuksen alkuperä ei täsmää. AiTM-välityspalvelin ei saa mitään tietoja eikä istuntoevästettä synny. --- ## Miten organisaationne voi suojautua AiTM-hyökkäyksiltä käytännössä? FIDO2-laitteistoavainten ja Passkey-ratkaisujen käyttöönotto koko henkilöstölle vaatii aikaa ja infrastruktuurimuutoksia. Tämän siirtymän rinnalla tietoturvajohdon tulee hyödyntää operatiivisia toimenpiteitä riskipinnan pienentämiseksi. ### Ehdollisten pääsysääntöjen (Conditional Access) kiristäminen Rajoita varastettujen istuntoevästeiden käyttökelpoisuutta tiukoilla pääsynhallintasäännöillä: - **Vaatimus hallituista laitteista:** Estä verkkotunnistautumiset laitteilta, jotka eivät ole organisaation laitehallinnan (MDM) piirissä tai eivät täytä vaatimustenmukaisuuden ehtoja. - **Maantieteelliset rajoitukset ja mahdottomat siirtymät:** Tunnista ajallisesti mahdottomat kirjautumiset, kuten istunnon vahvistaminen Helsingistä ja API-pyyntö toiselta mantereelta kaksi minuuttia myöhemmin. - **Istuntojen eliniän lyhentäminen:** Lyhennä verkkotunnisteiden voimassaoloaikaa kriittisissä sovelluksissa pakottaaksesi säännöllisen uudelleentunnistautumisen. ### Työntekijöiden kouluttaminen URL-osoitteiden tarkistamiseen AiTM-hyökkäyksen kriittisin heikkous on sen verkkotunnus: hyökkääjä ei voi käyttää palveluntarjoajan täsmällistä virallista osoitetta. Selaimen osoiterivin tarkistaminen on edelleen keskeinen puolustuslinja ennen tietojen syöttämistä. Näiden toimintamallien juurruttaminen henkilöstöön vaatii käytännön harjoittelua. [Super Phisher](/en-us/catalog/super-phisher/) on asiantuntijoidemme kanssa käyttöönotettava kalastelusimulaattori, jolla altistatte henkilöstönne realistisille nykyaikaisille skenaarioille ja mittaatte heidän kykyään havaita poikkeavat verkko-osoitteet ennen tietojen luovuttamista. --- ## Kohti modernia kyberpuolustusta: teknologia ja inhimillinen tekijä Monivaiheisen tunnistautumisen ohittava tietojenkalastelu osoittaa, miten nopeasti hyökkääjien menetelmät kehittyvät. Pelkkään tekniseen suojaukseen luottaminen ilman henkilöstön jatkuvaa valmentamista luo vaarallisen valheellisen turvallisuudentunteen, joka voi johtaa merkittäviin tietomurtoihin ja GDPR-seuraamuksiin. Vahvin suoja saavutetaan yhdistämällä FIDO2-arkkitehtuuri, tarkat pääsynhallintasäännöt sekä henkilöstön säännöllinen koulutus uuden sukupolven sosiaalisen manipuloinnin tunnistamiseen. Haluatteko arvioida organisaationne resilienssin nykyaikaisia kyberuhkia vastaan ja rakentaa vaikuttavan koulutusohjelman? [Keskustelkaa tarpeistanne asiantuntijoidemme kanssa](/en-us/book-a-demo/) ja tutustukaa osallistaviin ratkaisuihimme. ### 15 / 30 / 60 / 90-Day Rollout Plan: AiTM-tietojenkalastelu: Miksi MFA-koodi ja istunto varastetaan valesivulla | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Peilaava välityspalvelin | Hyökkääjä pystyttää käänteisen välityspalvelimen harhaanjohtavalle verkkotunnukselle. Kun työntekijä klikkaa haitallista linkkiä, hyökkääjän palvelin… | Miten AiTM-työkalut kaappaavat istuntotunnisteen… | | **D+30 · Pilot** | Kryptografinen sidonta verkkotunnukseen | FIDO2-tunnistautumisessa (kuten fyysisellä turva-avaimella tai Passkey-avaimella) selain kommunikoi suoraan suojatun laitekomponentin kanssa ja… | Miksi perinteiset MFA-menetelmät eivät enää riitä… | | **D+60 · Rollout** | Vaatimus hallituista laitteista | Estä verkkotunnistautumiset laitteilta, jotka eivät ole organisaation laitehallinnan (MDM) piirissä tai eivät täytä vaatimustenmukaisuuden ehtoja. | Miten organisaationne voi suojautua AiTM-hyökkäyksiltä… | | **D+90 · Audit** | Ensimmäisen vaiheen sieppaus | Käyttäjä syöttää käyttäjätunnuksensa ja salasanansa. Haitallinen välityspalvelin välittää ne välittömästi oikealle palvelulle, joka puolestaan pyytää… | Miten AiTM-työkalut kaappaavat istuntotunnisteen… | --- ## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut ### Aiheeseen liittyvät artikkelit - **[Sosiaalinen manipulointi ammatillisissa verkostoissa: Kun valeura kätkee tietomurron](/fi/kyberturvallisuus/sosiaalinen-manipulointi-rekrytointihuijaus-tietomurto-ciso/)** (Phishing & Social Engineering) : Opi miten kyberrikolliset hyödyntävät ammatillisia verkostoja, virittävät valetyötarjouksia asiantuntijoille ja murtavat yrityksen suojauksen. - **[Kalasteluviestien ilmoitusaste: miksi CISO:n on luovuttava klikkausprosentista](/fi/kyberturvallisuus/kalasteluviestien-ilmoitusaste-ciso-mittarit-phishing/)** (Phishing & Social Engineering) : Opi miksi kalasteluviestien ilmoitusaste korvaa klikkausprosentin, nopeuttaa reagointia ja parantaa organisaatiosi kyberresilienssiä minuuteissa. - **[Baiting ja ansoitetut USB-tikut: Miksi uteliaisuus murtaa yrityksen suojauksen](/fi/kyberturvallisuus/baiting-ansoitetut-usb-tikut-tietoturva-fyysinen-uhka/)** (Phishing & Social Engineering) : Opi miten baiting ja saastutetut USB-tikut ohittavat tietoturvan. Tunnista fyysisen sosiaalisen manipuloinnin riskit ja suojaa organisaatiosi. - **[HR ja rekrytointi kyberkohteena: Tunnista haitalliset CV:t ja deepfake-työnhakijat](/fi/kyberturvallisuus/hr-rekrytointi-tietoturva-valeprofiilit-deepfake-ansioluettelot/)** (Industries & Roles) : Suojaa HR-tiimisi saastuneilta ansioluetteloilta, vaarallisilta portfolioilta ja tekoälypohjaisilta deepfake-videotyönhakijoilta. Lue ohjeet. ### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme - **Liittyvä ratkaisu : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiset tietojenkalastelusimulaatiot (Super Phisher): opeta henkilöstö tunnistamaan ja ilmoittamaan huijausviestit. - **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)** - **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)** - **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)** - **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)** --- - https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [Deutsch](https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Dansk](https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)