FSB kaappaa suomalaisyritysten reitittimiä

Venäläiselle verkkovakoilulle hyödyllinen kohde ei yleensä ole älyjääkaappi tai puheavustaja. Usein se on yrityksen laitekaapissa oleva reititin, jota ei ole päivitetty asennuksen jälkeen. Sen kautta kulkee hiljaa yrityksen verkkoliikenne. Suojelupoliisin, sotilastiedustelun ja Alankomaiden tiedustelupalvelujen tuoreet varoitukset kertovat juuri tästä riskistä.

Miksi reititin on hyvä vakoiluväline

Reititin on yritysverkon portti ulkomaailmaan. Lähes kaikki liikenne kulkee sen kautta. Jos hyökkääjä saa laitteen hallintaansa, venäläisen tiedustelun verkkoliikenne voi näyttää siltä kuin se tulisi tavallisesta helsinkiläisestä yrityksestä eikä valtiolliselta palvelimelta. Jo tämä on arvokasta: vakoilun alkuperä peittyy toisen organisaation internet-yhteyden taakse (NSA).

Peittely ei kuitenkaan ole ainoa hyöty. Kaapattu reititin voi kerätä sen läpi kulkevia kirjautumistietoja ja ohjata liikennettä vihamielisille palvelimille ilman, että yrityksen sisällä huomataan mitään.

Suojelupoliisi ja sotilastiedustelu varoittivat yrityksiä Venäjän FSB:n 16. keskukseen kytkeytyvästä verkkovakoilusta. Kyse on Venäjän turvallisuuspalvelun yksiköstä, jonka toimintaan varoitus liittää konkreettisia kyberoperaatioita (Supo, Puolustusvoimat). Kohteena ovat niin sanotut reunalaitteet eli yksityisen verkon ja avoimen internetin rajalla toimivat laitteet. Käytännössä tämä tarkoittaa yritysreitittimiä ja verkkoyhdyskäytäviä. NSA:n ja kumppaniviranomaisten heinäkuussa 2026 julkaisema yhteisvaroitus kuvasi FSB:n käyttämiä menetelmiä ja torjuntatoimia, joita yritykset voivat ottaa käyttöön (NSA, Supo).

Sisäänpääsy ei yleensä vaadi erityistä nerokkuutta. Oletussalasana on jätetty vaihtamatta. Laiteohjelmisto on vuosia vanha. Hallintapaneeli näkyy suoraan internetiin. Supon arvion mukaan varoitus voi koskea ainakin tuhansia suomalaisyrityksiä (MTV Uutiset).

Varastokamerasta tulee sotilaallinen sensori

Alankomaiden tapaus näyttää, miten sama laiminlyönti muuttuu toisenlaiseksi turvallisuusuhaksi. Maan tiedustelupalvelut AIVD ja MIVD vahvistivat, että venäläiset valtiolliset toimijat murtautuivat IP-kameroihin Alankomaiden sotilaslogistiikan reittien varrella seuratakseen Ukrainaan lähteviä asekuljetuksia (Rijksoverheid, AIVD). Tavallista kiinteistöturvallisuutta varten asennettu kamera muuttuu sotilastiedustelun sensoriksi, jos se osoittaa väärälle lastauslaiturille.

Alankomaiden palvelut kuvasivat operaatiota laajamittaiseksi ja kansainväliseksi. Kohteena olivat Nato-maat, vaikka Alankomaissa vahvistettiin murretuksi vain pieni määrä kameroita (Rijksoverheid). Viron ERR uutisoi samoista havainnoista varoituksena kaikille maille, jotka ovat osa Ukrainan avun toimitusketjua (ERR).

Laki korjaa huomisen laitteita, ei eilisen

Euroopalla on sääntelyvastaus. EU:n kyberkestävyyssäädös velvoittaa, että unionissa myytävät verkkoon kytketyt tuotteet suunnitellaan turvallisiksi ja että niiden haavoittuvuuksia käsitellään koko tukijakson ajan (EUR-Lex). Se parantaa markkinoille tulevien reitittimien ja kameroiden seuraavaa sukupolvea.

Käytännön aukko on silti ilmeinen. Miljoonia laitteita on jo käytössä: reitittimiä laitekaapeissa, kameroita varastojen seinillä, ovipuhelimia rakennusten sisäänkäynneillä. Monissa pyörii vanha ohjelmisto, ja osa käyttää yhä tehdasasetusten tunnuksia. Sääntely ohjaa sitä, mitä huomenna myydään. Se ei päivitä laitetta, joka ruuvattiin seinään viisi vuotta sitten (European Commission).

Suomalaisten ja alankomaalaisten viranomaisten ohje tiivistyy siihen, että näitä laitteita on kohdeltava pieninä tietokoneina: oletussalasanat vaihdetaan, laiteohjelmistot päivitetään, tarpeeton etäkäyttö suljetaan ja hallintapaneeleja ei jätetä avoimeen internetiin (Supo, AIVD).

Suomen ja Alankomaiden tapaukset kertovat samasta muutoksesta: maantiede muokkaa kyberriskin merkitystä. Sama heikko salasana samassa aina päällä olevassa laitteessa voi tarkoittaa yritysvakoilua Helsingissä, sotilaskuljetusten seurantaa Rotterdamissa ja Nato-logistiikan paljastumista Tallinnassa. Venäjän ei tarvitse murtaa jokaista verkkoon kytkettyä laitetta. Riittää, että riittävän moni huonosti ylläpidetty laite sijaitsee hyödyllisessä paikassa. Julkisten tietojen perusteella yritysreitittimet ja IP-kamerat tarjoavat juuri tätä: Euroopan unohdetun infrastruktuurikerroksen, johon luotetaan paljon ja jota ylläpidetään vähän.