--- id: "phishing-003" title: "Quishing: Miten QR-koodikalastelu kiertää yrityksesi sähköpostisuojauksen" description: "Opi miten quishing ohittaa sähköpostisuodattimet siirtämällä hyökkäyksen älypuhelimeen ja kuinka suojaat organisaatiosi tehokkaasti." canonical: https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/ slug: "quishing-qr-koodi-tietojenkalastelu-tietoturva" date: "2026-10-03" category: "phishing" product: "superphisher" lang: fi author: "Brain Security · T&K Kyberturvallisuus & Inhimillinen Tekijä" frameworks: "Traficom NCSC-FI · Kybermittari · NIS 2 · DORA · ISO 27001" --- # Quishing (QR-koodikalastelu): Uhka, joka kiertää sähköpostisuodattimet Kuvittele seuraava tilanne: organisaatiosi on ottanut käyttöön markkinoiden tiukimmat sähköpostin tietoturvapalvelut, modernin EDR-ratkaisun jokaiselle päätelaitteelle ja kattavan monivaiheisen todennuksen (MFA). Silti maanantaiaamuna taloushallinnon asiantuntijan käyttäjätunnukset päätyvät vääriin käsiin ilman, että yksikään tekninen valvontajärjestelmä hälyttää. Hyökkäysvektorina ei toiminut haitallinen liitetiedosto eikä viestin tekstissä ollut epäilyttävä linkki. Kyseessä oli tavanomaiseen PDF-dokumenttiin upotettu mustavalkoinen kuvio, joka kehotti päivittämään pääsyoikeudet turvallisesti. Quishing, joka yhdistää termit QR-koodi ja phishing, muodostaa merkittävän operatiivisen haasteen tietoturvajohdolle (CISO) ja tietohallinnolle. Houkuttelemalla uhrin skannaamaan graafisen koodin omalla älypuhelimellaan hyökkääjä murtaa IT-osaston rakentaman suojakehän ja siirtyy valvottujen yritystyökalujen ulottumattomiin. Myös Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus (NCSC-FI) seuraa tarkasti tämän kalastelutekniikan yleistymistä suomalaisissa organisaatioissa. --- ## Mitä quishing on ja miksi se lamauttaa sähköpostiyhdyskäytävät? > **Tiivistelmä: Quishing hyödyntää QR-koodia haitallisen URL-osoitteen kätkemiseen kuvan sisälle. Perinteiset sähköpostin yhdyskäytävät analysoivat usein vain raakatekstiä, minkä vuoksi koodi läpäisee roskapostisuodattimet ja päätyy suoraan vastaanottajan saapuneet-kansioon.** Perinteisessä kalasteluhyökkäyksessä sähköpostin turvayhdyskäytävä (Secure Email Gateway) tarkastaa viestin hyperlinkit, varmentaa niiden maineen uhkatietokannoista ja ajaa liitetiedostot eristysympäristössä (sandbox). Quishing-hyökkäyksessä ansa jää näille perusmekanismeille näkymättömäksi. URL-osoite ei esiinny sähköpostissa luettavana tekstijonona, vaan se on koodattu visuaalisesti pikselimatriisiksi, usein PNG-kuvaan tai PDF-liitteeseen sijoitettuna. Tällaisen uhkan pysäyttäminen edellyttää optista merkkien tunnistusta (OCR) tai kuvien reaaliaikaista purkamista kaksiulotteisen koodin lukemiseksi. Tämä käsittely vaatii huomattavasti laskentatehoa ja aiheuttaa sellaista viivettä, johon useimmat sähköpostijärjestelmät eivät suuressa mittakaavassa kykene. Lisäksi hyökkääjät mukauttavat kätkemismenetelmiään muuttamalla kontrastia, sijoittamalla logoja QR-koodin keskelle tai käyttämällä ehdollisia ohjauksia, jotka laukeavat vain mobiiliselaimesta saapuville pyynnöille. Tämän seurauksena sähköpostisuodatus päästää viestin läpi hyväksyttynä. --- ## Kanavien ristiinkäyttö: Työasemalta henkilökohtaiseen puhelimeen > **Tiivistelmä: Pakottamalla älypuhelimen kameran käyttöön hyökkääjä ohittaa työaseman EDR-valvonnan ja hyödyntää laitetta, josta puuttuvat yrityksen DNS-suodatus ja verkkokontrollit.** Quishingin todellinen vaara piilee toimintaympäristön vaihtumisessa eli niin kutsutussa cross-device-hyökkäyksessä. Vaikka työntekijä lukee viestiä tiukkojen tietoturvapolitiikkojen suojaamalla työasemalla, viesti ohjaa häntä käyttämään puhelintaan toiminnon vahvistamiseen: todennussovelluksen synkronointiin, sähköpostin salasanan päivittämiseen tai sisäisen HR-ilmoituksen kuittaamiseen. Kun työntekijä suuntaa puhelimensa kameran tietokoneen näyttöä kohti: - **EDR-suojaus poistuu pelistä:** Henkilökohtaisessa puhelimessa (BYOD) ei yleensä ole telemetria-agentteja tai yritystason URL-suodatusta. - **Verkkoturva ohitetaan:** Yhteys muodostetaan mobiilioperaattorin 4G- tai 5G-verkon kautta, jolloin yrityksen välityspalvelimet ja DNS-estolistat eivät pysty valvomaan liikennettä. - **Mobiilikäyttöliittymä peittää hälytysmerkit:** Puhelinten selaimet lyhentävät osoiterivin tilan säästämiseksi, mikä tekee väärennetyistä verkkotunnuksista tai typotaklauksista lähes mahdottomia havaita paljaalla silmällä. Tämä vektori ei rajoitu ainoastaan sähköposteihin. Hyökkääjät hyödyntävät myös fyysistä tilaa. Haitallisia QR-koodeja on havaittu yritysten pysäköintialueiden latauspisteissä, postitse saapuvissa tekaistuissa HR-kirjeissä tai taukohuoneiden ilmoitustauluilla, joissa kehotetaan kirjautumaan uuteen henkilöstöportaaliin. --- ## Miten suojaat organisaatiosi tehokkaasti QR-koodikalastelulta? Kun uhka kykenee murtamaan perinteiset tekniset esteet, kestävin suojamuuri rakentuu henkilöstön valppauden ja oikeiden toimintamallien varaan. Työntekijöiden älypuhelimen käyttöä ei voida eikä kannata täysin estää, mutta automaattinen koodin skannaaminen voidaan opettaa korvaamaan kriittisellä pysähtymisellä. Organisaation suojaamiseksi quishing-hyökkäyksiltä suositellaan seuraavia toimenpiteitä: - **Luo selkeä sisäinen toimintasääntö:** Määrittele tietoturvaohjeistuksessa, että mikään organisaation virallinen taho (IT, HR, taloushallinto) ei koskaan pyydä skannaamaan QR-koodia salasanan nollaamiseksi tai monivaiheisen todennuksen (MFA) konfiguroimiseksi. - **Suojaa hallinnoidut mobiililaitteet:** Mikäli organisaatio tarjoaa työpuhelimet, varusta ne mobiililaitteiden hallintajärjestelmällä (MDM), joka sisältää suojauksen kameran kautta avattaville linkeille. - **Harjoittele käytännönläheisesti:** Teoria ei riitä sosiaalista manipulointia vastaan. Oikeiden toimintamallien vakiinnuttaminen vaatii toistuvia ja realistisia simulaatioita. [Super Phisher](/en-us/catalog/super-phisher/) mahdollistaa nykyaikaisten quishing-skenaarioiden tuomisen harjoituksiin, jolloin henkilöstö oppii tunnistamaan epäilyttävät tunnusmerkit ennen kameran avaamista. - **Madalla ilmoituskynnystä:** Rakenna yksinkertainen ja nopea kanava, jonka kautta jokainen voi ilmoittaa epäilyttävistä kuvista tai poikkeavista QR-koodeista ilman virheiden pelkoa. Nykyaikainen tietoturva ei perustu teknologioiden sokeaan kieltämiseen vaan henkilöstön kykyyn arvioida tilanteita oikein siten, ettei yksittäisestä työntekijästä muodostu tahatonta väylää koko organisaation lamauttavalle tietomurrolle. Haluatko testata ja kehittää organisaatiosi puolustusta uusimpia manipulointitaktiikoita vastaan? [Varaa esittely asiantuntijamme kanssa](/en-us/book-a-demo/) ja rakennetaan yhdessä organisaatiosi tarpeisiin sopiva valmennuskokonaisuus. ### Executive Synthesis of Guide Pillars: Quishing: Miten QR-koodikalastelu kiertää yrityksesi sähköpostisuojauksen | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **EDR-suojaus poistuu pelistä** | Henkilökohtaisessa puhelimessa (BYOD) ei yleensä ole telemetria-agentteja tai yritystason URL-suodatusta. (Kanavien ristiinkäyttö: Työasemalta henkilökohtaiseen puhelimeen) | | **Luo selkeä sisäinen toimintasääntö** | Määrittele tietoturvaohjeistuksessa, että mikään organisaation virallinen taho (IT, HR, taloushallinto) ei koskaan pyydä skannaamaan QR-koodia… (Miten suojaat organisaatiosi tehokkaasti QR-koodikalastelulta?) | | **Verkkoturva ohitetaan** | Yhteys muodostetaan mobiilioperaattorin 4G- tai 5G-verkon kautta, jolloin yrityksen välityspalvelimet ja DNS-estolistat eivät pysty valvomaan… (Kanavien ristiinkäyttö: Työasemalta henkilökohtaiseen puhelimeen) | | **Suojaa hallinnoidut mobiililaitteet** | Mikäli organisaatio tarjoaa työpuhelimet, varusta ne mobiililaitteiden hallintajärjestelmällä (MDM), joka sisältää suojauksen kameran kautta… (Miten suojaat organisaatiosi tehokkaasti QR-koodikalastelulta?) | --- ## Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut ### Aiheeseen liittyvät artikkelit - **[Toimitusjohtajahuijaus 2.0: Miten äänikloonaus ja deepfake-videot harhauttavat talousjohtoa](/fi/kyberturvallisuus/toimitusjohtajahuijaus-deepfake-aanikloonaus-vishing-taloushallinto/)** (Phishing & Social Engineering) : Miten suojata taloushallinto toimitusjohtajahuijauksilta ja deepfake-vishingiltä? Lue prosessit, vastatoimet ja käytännön harjoitteet CISOille. - **[MFA Fatigue ja Push Bombing: Kaksivaiheisen tunnistautumisen ohittaminen ilman koodimurtoa](/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/)** (Phishing & Social Engineering) : Ymmärrä MFA fatigue ja push bombing -hyökkäysten mekanismi. Kouluta organisaatiosi tunnistamaan push-ilmoitusten manipulointi ja torjumaan tietomurrot. - **[Vishing : Näin kyberrikolliset manipuloivat työntekijöitä puhelimitse](/fi/kyberturvallisuus/vishing-puhelinhuijaukset-tietoturva-it-tuki/)** (Phishing & Social Engineering) : Opi tunnistamaan IT-tukeen ja MFA-vahvistuksiin kohdistuvat vishing-hyökkäykset. Suojaa organisaatiosi tehokkailla toimintamalleilla ja harjoituksilla. - **[PCI DSS v4.0 Vaatimus 12.6: Tietoturvakoulutus ja kalastelun torjunta](/fi/kyberturvallisuus/pci-dss-vaatimus-tietoturvakoulutus-kalastelu/)** (Compliance (NIS 2, DORA, ISO)) : Ota haltuun PCI DSS v4.0 vaatimus 12.6. Rakenna tehokas tietoturvakoulutus, torju tietojenkalastelu ja vakuuta QSA-auditoija käytännön neuvoillamme. ### Tutustu Brain Securityn ratkaisuihin verkkosivuillamme - **Liittyvä ratkaisu : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiset tietojenkalastelusimulaatiot (Super Phisher): opeta henkilöstö tunnistamaan ja ilmoittamaan huijausviestit. - **[Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan](/en-us/use-cases/)** - **[Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme](/en-us/compare/)** - **[Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan](/en-us/catalog/)** - **[Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)](/en-us/book-a-demo/)** --- - https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/ - [Français](https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/) - [Deutsch](https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Norsk](https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)