Online petuskeemid: levinud pettused ja kuidas end kaitsta

ONLINE PETUSKEEMID

Online petuskeemid on muutunud nii osavaks, et vigases keeles kirjutatud “Nigeeria printsi” kirjad on pigem erand kui reegel. Täna saad Sa veatus eesti keeles SMS-i “pakiautomaadilt”, e-kirja “pangalt”, sõbrasõnumi Messengeris või reklaami “garanteeritud tootlusega” investeerimisplatvormist. Selles juhendis vaatame üle levinumad internetipettused, nende ohumärgid ja konkreetsed sammud, mida teha, kui midagi on juba juhtunud.

Lühidalt – mida meeles pidada:

Pank, politsei ega ükski riigiasutus ei küsi Sinult kunagi PIN-koode ega palu raha “turvakontole” kanda.
Ära sisesta Smart-ID või Mobiil-ID PIN-koode päringule, mida Sa ise ei algatanud.
Ära logi sisse lingi kaudu, mis tuli SMS-i, e-kirja või sõnumiga – ava teenus ise, trükkides aadressi või kasutades äppi.
Kiirustamine, hirm ja “liiga hea pakkumine” on pettuse kolm tuntuimat tunnust.
Kui midagi juhtus, helista kohe oma panka ja tee siis avaldus politseile.

Mis on online petuskeem?

Online petuskeem on pettus, mille puhul kurjategija kasutab internetti, telefoni või sõnumirakendusi, et Sind veenda raha üle kandma, isikuandmeid jagama või ligipääsu andma (paroolid, PIN-koodid, kaugühendus arvutisse). Enamik skeeme ei murra tehnikat, vaid inimest: need mängivad usaldusele, hirmule, kiirustamisele ja ahnusele.

Miks online petuskeemid on nii ohtlikud?

Kahju ei piirdu tihti ühe kaotatud summaga. Varastatud paroolide ja PIN-koodidega saab kurjategija tühjendada pangakonto, võtta Sinu nimel laenu või kasutada Sinu identiteeti uute pettuste tegemiseks. Pangaülekandeid ja krüptotehinguid on sageli väga raske tagasi saada, mistõttu on ennetus ja kiire reageerimine olulisemad kui kõik muu.

Kuidas online petuskeemid levivad?

Levinumad kanalid on e-kiri, SMS, telefonikõne, sotsiaalmeedia (reklaamid, võltsprofiilid, häkitud sõprade kontod), ostu-müügiportaalid ja tutvumisäpid. Petturid võltsivad saatja nime ja isegi telefoninumbri, nii et kõne võib paista tulevat päriselt Sinu pangast. Seetõttu ei saa usaldada ainult seda, mida ekraan näitab – kontrolli alati ise, ametliku kanali kaudu.

Õngitsus ehk phishing-rünnakud

Mis on phishing-rünnak?

Phishing ehk õngitsus on pettus, kus kurjategija esineb usaldusväärse organisatsioonina (pank, kuller, Maksu- ja Tolliamet, voogedastusteenus, e-pood) ning meelitab Sind avama võltslehte, kuhu sisestad oma kasutajanime, parooli, kaardiandmed või PIN-koodid. Võltsleht võib välja näha täpselt nagu päris – erinevus on sageli vaid veebiaadressis.

Kuidas ära tunda phishing-kirja ja võltsveebi?

Kontrolli saatja aadressi ja veebiaadressi. Petturid kasutavad sarnaseid domeene (näiteks tähevahetus, lisasõnad nagu “-secure”, “-login” või teine domeenilõpp).
Pakiline toon ja ähvardus. “Konto suletakse 24 tunni jooksul”, “pakk saadetakse tagasi”, “maksuvõlg” – eesmärk on panna Sind mõtlemata tegutsema.
Link sisselogimiseks või makseks. Pank ega riigiasutus ei saada Sulle SMS-iga linki, mille kaudu peaksid sisse logima või PIN-koode sisestama.
Ootamatu võit või auhind. Kui Sa loosimises ei osalenud, ei saa Sa ka võita.
Manused ja “arved”, mida Sa ei oodanud. Need võivad sisaldada pahavara.

Näide: e-kirjas lubatakse, et oled võitnud uue iPhone’i – tuleb vaid täita lühike ankeet ja tasuda 2 € saatekulu. Link viib tuntud kaubamärgi lehega sarnasele võltslehele, kus küsitakse nime, aadressi, telefoninumbrit ja kaardiandmeid. Tegelik eesmärk on koguda kaardiandmed ja isikuandmed, mida hiljem kuritarvitatakse – ja “2 €” asemel võidakse kaardilt võtta palju suurem summa.

Kuidas kaitsta end phishing-rünnakute eest?

Ära logi sisse lingi kaudu. Ava pank, e-pood või riigiportaal ise – järjehoidja, äpi või käsitsi trükitud aadressiga.
Kasuta kaheastmelist autentimist e-postis, sotsiaalmeedias ja muudel olulistel kontodel.
Kasuta igal teenusel erinevat parooli ja paroolihaldurit – nii ei ava üks lekkinud parool kõiki uksi.
Uuenda telefoni, arvutit ja äppe – uuendused parandavad turvaauke.
Loe Smart-ID ja Mobiil-ID päringu tekst läbi: kas kontrollkood ja tegevuse kirjeldus vastavad sellele, mida Sa ise parajasti teed? Kui ei, katkesta.

Kahtlase kirja või lehe saad edastada Riigi Infosüsteemi Ameti intsidentide käsitlemise osakonnale CERT-EE aadressil cert@cert.ee (vt ka RIA CERT-EE teenused).

Identiteedivargus

Mis on identiteedivargus?

Identiteedivargus tähendab, et keegi kasutab Sinu isikuandmeid, kontosid või e-identiteeti ilma Sinu loata – näiteks logib Sinu nimel pangas sisse, võtab laenu, avab kontosid või petab Sinu sotsiaalmeediaprofiili kaudu Sinu sõpru. Hoia Smart-ID, Mobiil-ID ja ID-kaardi PIN-koodid saladuses ning ära kinnita päringuid, mida Sa ise ei algatanud.

Kuidas kaitsta end identiteedivarguse eest?

Hoia PIN-koodid ainult endale. Smart-ID PIN1 on sisselogimiseks, PIN2 tehingute kinnitamiseks ja allkirjastamiseks – kumbagi ei tohi kellelegi öelda ega sisestada võõra palvel.
Ära saada isikut tõendava dokumendi pilti tundmatule “tööandjale”, “müüjale” või “kullerile”.
Kasuta tugevaid ja erinevaid paroole ning kaheastmelist autentimist.
Jälgi oma pangakonto väljavõtet ja lülita sisse tehingute teavitused.
Piira sotsiaalmeedias avalikku infot (sünnikuupäev, aadress, pereliikmete nimed), mida saab kasutada usaldusväärse pettuse ülesehitamiseks.

Mida teha, kui oled langenud identiteedivarguse ohvriks?

Politsei soovitab tegutseda kiiresti ja järgmises järjekorras (PPA juhend):

Võta kohe ühendust oma pangaga – palu blokeerida ülekanded ja kaardid.
Peata Smart-ID või Mobiil-ID ning vajadusel võta ühendust mobiilioperaatoriga.
Tühista ID-kaardi sertifikaadid, kui kahtlustad, et ka need on ohus.
Tee politseile avaldus – veebis või politseijaoskonnas.
Vaheta paroolid (eelkõige e-post, sest selle kaudu saab lähtestada teisi kontosid) ja lülita sisse mitmeastmeline autentimine.
Teavita teenusepakkujaid ja laenuandjaid, kus petturid võisid Sinu nimel tegutseda.

Identiteedivargus on stressirohke, kuid mida kiiremini tegutsed, seda suurem on võimalus kahju piirata.

Levinumad online petuskeemid

Allpool on skeemid, mida Eestis ja mujal Euroopas kõige sagedamini kohtab. Nimed ja jutt muutuvad, aga loogika jääb samaks.

Telefoni-, panga- ja politseikõned

Helistaja esineb panga, politsei, Maksu- ja Tolliameti või mobiilioperaatori töötajana ja teatab, et Sinu kontolt üritatakse raha varastada või Sinu nimel võeti laenu. “Lahendus” on sisestada Smart-ID PIN-kood, paigaldada kaugabi äpp või kanda raha “turvakontole”. Seda skeemi käsitleme põhjalikult eraldi juhendis: telefonipettused ja Smart-ID pettused.

Kulleri-, paki- ja arvepettused

SMS või e-kiri teatab, et pakk on peatatud, vaja on täpsustada aadressi või tasuda väike tollimaks. Link viib võltslehele, mis kogub kaardiandmeid või panga sisselogimise andmeid.

Võlts-e-poed ja ostu-müügi pettused

Uskumatult odav kaup, värske domeen, puuduv ettevõtte info – või ostja, kes “maksab üle” ja palub vahe tagasi kanda. Müüjana ole ettevaatlik ka “kulleriteenuse lingi” suhtes, mille kaudu väidetavalt saad makse kätte: sageli on see õngitsusleht.

Investeerimis- ja krüptopettused

Sotsiaalmeedia reklaamid tuntud inimeste nime või näoga, “robot, mis kaupleb Sinu eest” ja garanteeritud tootlus. Alguses näidatakse platvormil kasvavat kasumit, kuid raha välja võtta ei saa – või nõutakse selleks lisatasu. Loe edasi: 7 märki kelmusest krüpto- ja forex-lehtedel ning kuidas tunda ära püramiid- ja Ponzi skeem.

Armastus- ja sõbrapettused

Tutvumisäpis või sotsiaalmeedias luuakse nädalate jooksul usaldus. Siis tekib “hädaolukord”: haiglaarve, tolliprobleem, lennupilet. Sama loogikaga töötavad häkitud sõprade kontod, kust palutakse kiiresti raha laenata või SMS-iga saadetud koodi edasi saata.

Tehnilise toe ja kaugtöölaua pettused

Ekraanile hüppab hoiatus “Teie arvuti on nakatunud” koos telefoninumbriga või helistab “Microsofti tehnik”. Eesmärk on panna Sind paigaldama kaugühenduse programm (nt AnyDesk, TeamViewer), mille kaudu pettur näeb Sinu ekraani ja saab internetipanga üle võtta. Ära luba kunagi kaugühendust inimesele, kes ise Sinuga ühendust võttis.

Loterii-, auhinna- ja pärandipettused

Teatatakse suurest võidust või pärandist, mille kättesaamiseks tuleb tasuda “väike” teenustasu. Klassikaline näide on nn Nigeeria kiri ehk 419-pettus (number viitab Nigeeria kriminaalkoodeksi paragrahvile). Selline kiri võib välja näha umbes nii:

Kallis Sõber,

Ma prints Nigeeria, võtma kontakti sinuga kiire ja tähtis asi. Mina olen prints Nijad Al Hassan, kuuluma Nigeeria kuninglik pere. Hetkel minul suur rahaline mure, vajama sinu abi ruttu. Minul on 50 miljon dollarit, mis on kinni üks välismaa konto. Vaja keegi usaldusväärne inimene, kes aitab see raha kanda ära.

Sinu töö lihtne. Tahaks, et sina aitaksid hoida see raha sinu riigis. Ma annan sulle 20% see summast vastu. Palun saada mulle sinu isiklik info, ka pangakonto number ja telefoninumber, et alustada protsess.

See riskivaba ja ma garanteerin, et kõik läheb hästi. Peame kiire tegutsema, et ei kaota minu vara valitsus.

Ootan sinu kiire vastus.

Austusega, Prints Nijad Al Hassan

Tänapäeval on sama jutt sageli veatus keeles ja sõnumirakenduses, aga ohumärgid on samad: võõras lubab suurt raha, palub isikuandmeid või ettemaksu ja kiirustab.

Wangiri ehk vastamata kõne pettus

Wangiri (jaapani keeles “üks helin ja katkestus”) tähendab, et näed telefonis vastamata kõnet võõralt välismaa numbrilt. Tagasi helistades satud kallile tasulisele numbrile ja arve tuleb hiljem. Ära helista tagasi tundmatutele välismaa numbritele, mida Sa ei oota.

Tehisintellekt ja süvavõltsingud

Generatiivne tehisintellekt võimaldab petturitel kirjutada veatuid kirju ja teha võltsvideoid või häälsõnumeid, kus “tuntud inimene” soovitab investeerimisplatvormi või “lähedane” palub kiiresti raha. Kirjavigadele enam loota ei saa – kontrolli alati sisu ja kanalit: helista ise tuttavale numbrile tagasi.

Turvalised internetitehingud

Mis teeb internetitehingu turvaliseks?

Turvaline tehing tähendab, et Sa tead, kellele maksad, maksad ise algatatud tehingu eest ja kasutad makseviisi, mis jätab vaidlustamise võimaluse. HTTPS ja lukuikoon aadressiribal näitavad vaid seda, et ühendus on krüpteeritud – need ei tõenda, et lehe taga on aus ettevõte. Ka petturite lehtedel on tänapäeval HTTPS.

Kuidas teha turvalisi internetitehinguid?

Kontrolli müüjat: ettevõtte nimi, registrikood, aadress ja tagastustingimused peavad olema lehel olemas. Otsi ettevõtte nime koos sõnadega “pettus” või “scam”.
Kontrolli domeeni vanust: värskelt registreeritud domeen, mis väidab end olevat “aastaid tegutsenud”, on ohumärk.
Loe kinnitusakna tekst läbi: summa, saaja ja tegevus Smart-ID, Mobiil-ID või panga äpis peavad vastama sellele, mida Sa ise teed.
Ära tee makseid avalikus WiFi-võrgus ilma vajaduseta ning hoia seadmed uuendatuna.
Kui müüja nõuab ettemaksu krüptorahas, kinkekaartidega või rahaülekandeteenusega, loobu – need makseviisid on petturite lemmikud, sest raha tagasi saada on peaaegu võimatu.

Millised on turvalisemad makseviisid?

Makseviis	Miks see on turvalisem	Millele tähelepanu pöörata
Pangakaart	Kaardimakse puhul saab paljudel juhtudel esitada oma panga kaudu vaidlustuse (tagasinõude), kui kaupa ei tulnud või tehing oli pettus.	Ära sisesta kaardiandmeid lingil, mis tuli SMS-i või e-kirjaga. Kasuta võimalusel virtuaalset või limiidiga kaarti.
Pangalink	Maksad otse oma internetipangas ega jaga kaardiandmeid kaupmehega.	Kontrolli, et avanenud lehe aadress kuulub päriselt Sinu pangale ja makse saaja on see, kellele maksta tahad.
E-rahakotid	PayPal ja sarnased teenused ei näita kaupmehele Sinu kaardiandmeid ning pakuvad teatud tingimustel ostjakaitset.	Kasuta vaid kaupmehe ametliku lehe kaudu; ostjakaitse ei kehti tavaliselt “sõbrale saadetud” maksetele.
Otsene pangaülekanne võõrale	–	Võõrale tehtud ülekannet võib olla väga raske tagasi saada – kontrolli saajat enne maksmist.

Kõige olulisem reegel: kui keegi palub Sul makse kinnitada, aga Sa ise midagi ei ostnud ega üle kandnud, on see pettus.

Kasiino- ja boonusepettused: litsentsita kasiinod

Online petuskeemid ei möödu ka hasartmängudest. Levinumad võtted on litsentsita kasiinod, mis ei maksa võite välja, “garanteeritud võidusüsteemid” ja ennustusgrupid, mis müüvad “kindlaid” panuseid, ning võltsitud boonuse- ja auhinnasõnumid, mis viivad õngitsuslehele. Eraldi teema on ausate kasiinode keerulised boonustingimused – need ei ole pettus, aga lõksuks võivad saada, kui Sa neid ei loe.

Kontrolli tegevusluba. Eestis tohivad kaughasartmänge pakkuda ainult Eesti loaga korraldajad – kontrolli nii ettevõtet kui ka veebiaadressi. Vaata MTA seaduslike hasartmängukorraldajate nimekirja; load on registreeritud majandustegevuse registris. MTA avaldab ka blokeeritud hasartmängulehtede nimekirja.
Keegi ei saa garanteerida võitu. Kasiinomängudes on kasiinol matemaatiline eelis ja spordiennustuses pole “kindlaid” tulemusi. Kes müüb “kindlat süsteemi”, teenib Sinu, mitte mängu pealt.
Loe boonuse tingimused enne sissemakset. Läbimängunõue, maksimaalne panus ja väljamakse piirangud – vaata 7 levinumat boonusetingimuste lõksu.
Ära kliki “tasuta spinnide” SMS-idele – ava kasiino alati ise, ametliku aadressi kaudu.

Põhjalikumalt loe artiklitest petuskeemid hasartmängudes ja kui ausad on online-kasiinod. Kui tunned, et mängimine ei ole enam kontrolli all, saad e-MTA kaudu seada endale hasartmängu piirangu (tähtajatu; kustutamist saab taotleda 6–36 kuu möödudes); abi ja nõuanded leiad lehelt vastutustundlik mängimine.

Kuhu pöörduda abi saamiseks?

Kui oled langenud pettuse ohvriks Eestis, tegutse selles järjekorras:

Pank: helista kohe oma panga ametlikule numbrile (leiad selle panga kodulehelt või kaardi tagaküljelt) ja palu blokeerida kaardid ning ülekanded. Mida kiiremini, seda suurem on võimalus raha kinni pidada.
Politsei- ja Piirivalveamet (PPA): tee kuriteoavaldus veebis või politseijaoskonnas. Vahetu ohu korral helista 112, üldinfo saamiseks riigiinfo telefonil 1247.
CERT-EE (Riigi Infosüsteemi Amet): edasta õngitsuskirjad ja kahtlased lehed aadressile cert@cert.ee, et neid saaks blokeerida ja teisi hoiatada.
Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA): kui probleem on seotud e-poe või teenusepakkujaga Eestis. Teise EL-i riigi kaupmehega seotud vaidluses aitab TTJA juures tegutsev EL-i tarbija nõustamiskeskus (ECC Eesti).
Finantsinspektsioon: kui tegemist oli investeerimis- või krüptoplatvormiga – vaata hoiatusteateid ja anna vihjest teada.
Andmekaitse Inspektsioon: kui küsimus on Sinu isikuandmete väärkasutuses.

Rahvusvahelistest petuskeemidest saab teada anda ka econsumer.gov keskkonnas, mis on paljude riikide tarbijakaitseasutuste ühisprojekt.

Kokkuvõte

Online petuskeemid muutuvad pidevalt, kuid nende tuum on alati sama: petturid tahavad, et Sa ise annaksid neile raha, andmed või ligipääsu. Kui hoiad PIN-koodid endale, avad teenused alati ise ja võtad kahtlases olukorras aega (katkesta kõne, helista ise tagasi), on Sind väga raske petta. Jaga seda juhendit ka oma vanematega – eakamad inimesed on petturite sage sihtmärk.

Korduma kippuvad küsimused

Kuidas ära tunda online petuskeemi?

Kõige levinumad ohumärgid on kiirustamine ja hirmutamine, liiga hea pakkumine, palve sisestada PIN-koode või paigaldada kaugühenduse programm, link sisselogimiseks ning makse nõudmine krüptorahas või kinkekaartidega.

Kas pank võib mulle helistada ja PIN-koode küsida?

Ei. Pank, politsei ega ükski riigiasutus ei küsi Sinult Smart-ID, Mobiil-ID ega ID-kaardi PIN-koode ega palu raha “turvakontole” kanda. Katkesta kõne ja helista ise panga ametlikule numbrile.

Mida teha, kui sisestasin PIN-koodi petturi palvel?

Helista kohe oma panka ja palu kontod ning kaardid blokeerida, peata Smart-ID või Mobiil-ID ja tee politseile avaldus. Seejärel vaheta paroolid ja kontrolli, kas Sinu nimel on tehtud tehinguid või võetud laenu.

Kas HTTPS ja lukuikoon tähendavad, et leht on turvaline?

Ei. Need näitavad vaid, et ühendus on krüpteeritud. Ka võltslehtedel on HTTPS. Kontrolli pigem aadressi õigekirja, ettevõtte andmeid ja seda, kas Sa jõudsid lehele ise või lingi kaudu.

Kuhu saata õngitsuskiri?

Edasta see CERT-EE-le aadressil cert@cert.ee ja kustuta seejärel. Kui kiri jäljendas Sinu panka, teavita ka panka.

Kuidas kontrollida, kas online-kasiino on Eestis seaduslik?

Vaata Maksu- ja Tolliameti seaduslike hasartmängukorraldajate nimekirja. Kui kasiinot seal pole, ei ole tal õigust Eestis mängijatele teenust pakkuda ja Sinu võitude väljamakse ei ole kaitstud.