🔐 10 Salasanan luontivirhettä, jotka aiheuttavat tilin menetyksen vuonna 2026

Yksi sähköposti, yksi pankki, tusina palvelua ja sama salasana kaikkialla. Korkeintaan numero perässä. Näin on helpompaa: ei tarvitse muistaa mitään.

Se ei ole helpompaa vain sinulle. Yksi vuoto pieneltä foorumilta, ja yleiskäyttöinen yhdistelmäsi on jo jonkun tietokannassa. Seuraavaksi sitä kokeillaan automaattisesti sähköpostiisi, pankkiisi ja hosting-palveluusi. Tuhansia yrityksiä sekunnissa, ilman ihmisen osallistumista.

Hyvä uutinen: lähes kaikki tietomurrot hyödyntävät samoja tapoja, ja jokaisen voi sulkea puolessa tunnissa. Alla on kymmenen tällaista virhettä ja tarkat toimenpiteet, joilla riski poistuu ilman turhaa vainoharhaisuutta.

💡 Nopea yleiskatsaus:

• Poista toistot: jokaisessa palvelussa tulee olla oma käyttäjätunnuksen ja salasanan pari
• Tarkista, sisältävätkö salasanasi henkilötietoja sosiaalisesta mediastasi
• Ota käyttöön kaksivaiheinen todennus sähköpostiin ja pankkiin
• Siirrä salasanat muistiinpanoista ja selaimesta salasananhallintaan

Sama salasana kaikilla tileillä

Yleisin virhe ja kallein sellainen. Yksi salasana kulkee sähköpostista someen ja sieltä työpaikan taulukoihin. Helppo muistaa. Mutta kun se pettää, kaikki pettää kerralla.

Mekaniikka on yksinkertainen. Hyökkääjä ottaa vuotaneen tietokannan pieneltä sivustolta, poimii sähköposti- ja salasanaparit ja ajaa ne suuria palveluita vasten. Tämä on credential stuffing -hyökkäys. Yksi heikko lenkki riittää.

Vuoden 2025 Verizon DBIR -raportin mukaan varastetut tunnukset olivat sisäänpääsyreitti 22 prosentissa vahvistetuista tietomurroista. Verkkosovelluksiin kohdistuvissa hyökkäyksissä varastettuja salasanoja esiintyy jopa 88 prosentissa tapauksista.

Kuinka korjata:

• Yksilöllinen salasana joka palveluun, ei poikkeuksia
• Ota käyttöön salasananhallinta; se muistaa kaiken puolestasi
• Aloita kriittisimmästä: sähköposti, pankki, hosting, työtilit

Lyhyet ja yksinkertaiset salasanat

123456, password ja qwerty ovat pitäneet kärkisijoja vuosittaisessa NordPass-listauksessa jo vuosia. Suurin osa listan salasanoista murretaan alle sekunnissa. Ei minuutissa. Sekunnissa.

Nykyaikaiset näytönohjaimet testaavat miljoonia yhdistelmiä sekunnissa. 6-8 merkin salasana on ajan, ei tuurin, kysymys. Jokainen lisämerkki moninkertaistaa varianttien määrän.

Ja neljästä satunnaisesta sanasta koostuva salalause on vahvempi kuin P@ssw0rd! erikoismerkkeineen. Se on myös helpompi pitää päässä.

Mikä auttaa:

• Vähintään 12 merkkiä, mieluiten 16 tai enemmän
• 4-5 satunnaisen sanan salalause ILoveDogs2024!-tyylin sijaan
• Salasananhallinta luo ja muistaa pitkän merkkijonon puolestasi

Henkilötiedot salasanoissa

Nimi, syntymävuosi, kissan nimi, puhelinnumero. Se on ensimmäinen asia, jota hyökkääjä kokeilee. Koska kaikki tämä on ollut julkisesti saatavilla jo pitkään.

Sosiaalinen media, julkiset profiilit, vanhat vuodot. Henkilön asiakirjan kokoaminen vie minuutteja. Jos salasanasi on Misha1989 tai Tommy123, väsytyshyökkäystä ei tarvita lainkaan. Vilkaisu profiiliisi riittää.

Vuoden 2025 1Password-kyselyn mukaan 91% työntekijöistä ymmärtää salasanojen uudelleenkäytön riskin. Ja 66% käyttää niitä silti uudelleen. Sama pätee henkilötietoihin: lähes kaikki tietävät, harva noudattaa.

Mitä tehdä:

• Ei nimiä, päivämääriä, lemmikkien nimiä tai puhelinnumeroita salasanassa
• Satunnaisia sanoja tai luotu merkkijono; muita luotettavia vaihtoehtoja ei ole
• Jos pelkäät unohtavasi, salasananhallinta hoitaa sen

Pienet muutokset vanhaan salasanaan

Ensin MyPass2023, vuotta myöhemmin MyPass2024, sitten MyPass2025. Tunnistatko itsesi? Hyökkääjätkin tuntevat tuon logiikan.

Kun tietokanta vuotaa, salasanaa ei kokeilla vain sellaisenaan. Satoja variaatioita luodaan automaattisesti: vuoden lisääminen perään, huutomerkki, ensimmäisen kirjaimen koon vaihtaminen. Sekuntien kysymys.

Numeron vaihtaminen lopussa ei tee salasanasta uutta. Se pysyy ennustettavana.

Korjaus:

• Jokainen uusi salasana on täysin uusi, ilman yhteyttä edelliseen
• Unohda "perussana plus vuosi" -kaava
• Salasananhallinta poistaa koko keksimisen ja muistamisen tehtävän

Kaksivaiheisen todennuksen ohittaminen

Salasana on yksi tekijä. Jos se varastetaan, pääsy on auki. Kaksivaiheinen todennus lisää toisen esteen: sovelluksesta tulevan kertakäyttökoodin tai laitteistoavaimen.

Microsoftin Digital Defense Report 2025 -raportin mukaan yli 97% tilihyökkäyksistä käyttää salasanoja. Samaan aikaan tietojenkalastelulta suojaava MFA estää yli 99% tällaisista yrityksistä. Ero "ilman toista tekijää" ja "sen kanssa" on valtava.

Tekstiviestikoodit ovat parempia kuin ei mitään, mutta huonompia kuin sovellus. Tekstiviesti voidaan kaapata SIM-kortin vaihdon kautta. Google Authenticator, Microsoft Authenticator tai Authy toimivat offline-tilassa eivätkä ole sidottuja puhelinnumeroon.

Kuinka ottaa käyttöön:

• Aktivoi kaksivaiheinen todennus tilisi asetuksissa
• Valitse todennussovellus, älä tekstiviestiä
• Aloita sähköpostista, pankista ja somesta; tallenna varakoodit

Salasanojen säilyttäminen muistiinpanoissa ja tekstitiedostoissa

Muistiinpanot puhelimessa, passwords.txt työpöydällä, Excel-taulukko, kuvakaappaus galleriassa. Se vaikuttaa harmittomalta: tiedostohan on omalla laitteellani.

Kuka tahansa, joka pääsee laitteelle, näkee sen. Haittaohjelma skannaa levyn ja kerää tekstitiedostot, joissa on kirjautumistietoja. Pilvimuistiinpanot synkronoituvat, ja pilvimurto paljastaa kaiken kerralla. Kuvakaappauksen salasanoineen löytää kuka tahansa, joka poimii puhelimen.

Mikään näistä menetelmistä ei salaa tietoja. Se on pelkkää tekstiä, näkyvillä.

Kuinka sulkea aukko:

• Siirrä salasanat salasananhallintaan; se on salattu holvi
• Siirtämisen jälkeen poista tekstitiedostot ja kuvakaappaukset, joissa on salasanoja
• Aseta laitteeseen näytön lukitus ja levyn salaus

Salasanojen lähettäminen pikaviestimissä ja sähköpostitse

"Laita tilauksen salasana chattiin", "Käyttäjätunnus ja salasana yksityisviestillä." Tavallinen tarina perhetileillä, jaetuissa projekteissa ja freelancetiimeissä.

Ongelma on siinä, että viesti jää keskusteluun ikuisesti. Se välitetään eteenpäin, kopioidaan, luetaan olan yli, kun näyttöä näytetään. Yhden osapuolen sähköposti hakkeroituu, ja salasana matkaa eteenpäin. Hallinta siitä, kuka sen näkee, menetetään lähetyshetkellä.

Työtiimeissä se on kaksin verroin vaarallista: lähtenyt työntekijä säilyttää pääsyn jaetulle tilille vanhan chat-historian kautta. Näin tapahtuu säännöllisesti.

Mitä tehdä sen sijaan:

• Perhetilauksissa käytä sisäänrakennettua jako-ominaisuutta
• Tiimeissä luo jokaiselle henkilölle oma tili
• Kertaluontoiseen luovutukseen käytä turvallista jakoa hallinnassa ja vaihda salasana sen jälkeen

Tietomurtoilmoitusten huomiotta jättäminen

Sähköposti saapuu: "Tietosi ovat saattaneet vaarantua." Useimmat selaavat sen ohi: tili toimii, joten kaiken täytyy olla kunnossa.

Vuodon ja murron välillä kuluu kuukausia, joskus vuosia. Varastettuja tietokantoja myydään edelleen, yhdistellään ja rikastetaan. Se, joka osti tietokannan tänään, kokeilee salasanaasi huomenna. Tai vuoden päästä.

Mittakaava kasvaa, ei kutistu. Vuoden 2026 kyberrikollisuusraportin arvion mukaan noin 2,86 miljardia tunnusta nousi esiin vuodoissa ja haittaohjelmalokeissa vuoden 2025 aikana. Tällaisen sähköpostin huomiotta jättäminen tarkoittaa lahjan antamista hyökkääjälle.

Kuinka reagoida:

• Jos saat ilmoituksen, vaihda salasana välittömästi
• Tarkista, käytettiinkö samaa salasanaa muissa palveluissa, ja vaihda se sielläkin
• Ota käyttöön vuotoseuranta hallinnassasi tai Have I Been Pwned -palvelun kautta

Pelkästään selaimen sisäänrakennettuun tallennukseen luottaminen

Selain tarjoaa salasanan tallentamista kirjautumisen yhteydessä ja täyttää kentät itse. Miljoonat jäävät tähän.

Mutta selaimen tallennus ei ole kassakaappi. Jaetulla tietokoneella tallennetut salasanat ovat seuraavan koneelle istuvan henkilön saatavilla. Haittaohjelma osaa vetää salasanat suoraan selaimesta. Jos kannettava varastetaan, varas saa kaiken tallennetun.

Selaimen holvi on kätevä muistilehtiö. Se ei salaa salasanoja pääavaimella eikä luo vahvoja yhdistelmiä.

Kuinka korjata:

• Käytä täysiveristä salasananhallintaa selaimen sijaan
• Jaetuilla laitteilla kirjaudu aina ulos tileiltä
• Ota käyttöön levyn salaus ja näytön lukitus kannettavalla

Salasanat, joita ei ole vaihdettu vuosiin

Asetit salasanan rekisteröityessä ja unohdit sen. Tili toimii, miksi koskea siihen.

Vuosien varrella salasana on saattanut nousta esiin useissa vuodoissa, joista et ole tietoinen. Tietomurtotietokannat kumuloituvat. Vaikka kaikki olisi tänään puhdasta, kuva muuttuu puolen vuoden päästä. Sähköposti, pankki ja pilvi ovat kriittisiä pisteitä, joissa vanha salasana on erityisen vaarallinen.

Tuore IBM Cost of a Data Breach 2025 -raportti arvioi varastetuista tunnuksista johtuvan tietomurron keskimääräiseksi vahingoksi 4,67 miljoonaa dollaria ja keskimääräiseksi havaitsemis- ja hallinta-ajaksi 246 päivää. Lähes vuosi tunkeutumisesta vastatoimiin. Koko sen ajan vaihtamaton salasana toimii sinua vastaan.

Mitä tehdä:

• Vaihda kriittisten tilien salasanat kerran vuodessa
• Vuodon jälkeen tee se välittömästi, aikataulutettua päivää odottamatta
• Jos saat hälytyksen epäilyttävästä kirjautumisesta, vaihda salasana heti

Lyhyt video aiheesta vahvistaa pääkohdan: kuinka rakentaa vahvoja salasanoja ja olla pitämättä niitä vain päässään.

⁉️🤔 Usein kysytyt kysymykset

Onko salasananhallinta turvallinen? Eikö kaikkien salasanojen säilyttäminen yhdessä paikassa ole riskialtista?

Se on turvallista, jos hallinta käyttää nollatietoarkkitehtuuria: Bitwarden, 1Password tai Applen ja Googlen sisäänrakennetut holvit. Salasanat salataan jo laitteella, eikä edes kehittäjä näe niitä. On yksi avain: pääsalalauseesi. Jos kadotat sen, salasanoja ei voi palauttaa. Se on suojauksen hinta.

Onko totta, että satunnaisista sanoista koostuva salalause on vahvempi kuin P@ssw0rd! erikoismerkkeineen?

Kyllä, pituus voittaa monimutkaisuuden. ведро крыша синий мост on 22 merkkiä ja valtava hakuavaruus. Erikoismerkit lyhyessä salasanassa lisäävät vain vähän entropiaa verrattuna yhteen lisäsanaan. NIST-instituutti on SP 800-63B -standardissaan neuvonut vuodesta 2024 lähtien panostamaan nimenomaan pituuteen.

Onko tekstiviesti kaksivaiheisessa todennuksessa huono?

Ei huono, mutta riittämätön. Tekstiviestikoodi on parempi kuin ei toista tekijää lainkaan. Mutta SIM-kortti voidaan uudelleenjulkaista sosiaalisen manipuloinnin avulla, ja itse koodi voidaan kaapata SS7-protokollan haavoittuvuuksien kautta. Todennussovellus tai YubiKey-laitteistoavain on huomattavasti vahvempi.

Kuinka tarkistan, onko salasanani ollut vuodossa?

Avaa Have I Been Pwned ja syötä sähköpostiosoitteesi. Palvelu näyttää, missä tietomurroissa se on esiintynyt. Tietyn salasanan tarkistamiseen on Pwned Passwords -osio: se etsii tiivisteen osumaa miljardien tietueiden joukosta paljastamatta itse salasanaa. Monet hallinnat sisältävät tämän tarkistuksen itse.

En ole valmis ottamaan salasananhallintaa käyttöön juuri nyt; mistä aloitan?

Aloita pienestä. Vaihda sähköpostisi salasana neljän satunnaisen sanan salalauseeksi. Ota kaksivaiheinen todennus käyttöön sähköpostiin ja pankkiin. Poista passwords.txt-tiedosto työpöydältäsi. Nämä kolme askelta vievät noin 15 minuuttia ja sulkevat tärkeimmät riskit. Hallinnan voit asentaa myöhemmin.

Muuta tapoja tänään vai "joskus myöhemmin"?

Heikot salasanat eivät ole pelottelutarina hakkeriuutisista. Se on konkreettinen kaskadi: yksi vuotanut salasana johtaa sähköpostiin, sähköposti johtaa salasanan nollauksiin kaikissa linkitetyissä palveluissa ja sitten rahaan, dokumentteihin ja projekteihin. Puolen tunnin ennaltaehkäisy maksaa verrattomasti vähemmän kuin pääsyn takaisin saaminen.

Ota kolme askelta tänään: yksilöllinen salasana sähköpostiin, kaksivaiheinen todennus, salasananhallinta. Jos et ole valmis hallintaan, poista ainakin toistot ja ota toinen tekijä käyttöön kriittisillä tileillä. Se on jo enemmän kuin mitä useimmat tekevät. Mistä askeleesta aloitat juuri nyt?