Toimitusketjuhyökkäys tapahtuu, kun rikolliset altistavat luotetun ulkopuolisen tahon päästäkseen varsinaiseen kohteeseen. Kyseinen ulkopuolinen taho voi olla ohjelmistotoimittaja, IT-palveluntarjoaja, SaaS-alusta tai liikekumppani, jolla on pääsy järjestelmiin tai tietoihin.

Pienissä ja keskisuurissa yrityksissä tämä riski on helppo aliarvioida. Teillä ei ehkä ole monimutkaista infrastruktuuria tai suurta IT-tiimiä, mutta yrityksenne on todennäköisesti riippuvainen monista ulkoisista palveluista: yrityssähköpostista, palkanmaksusta, kirjanpidosta, pilvitallennuksesta, asiakaspalvelusta, CRM-järjestelmästä ja maksualustoista. Jokainen yhdistetty toimittaja luo mahdollisen sijainnin ympäristöönne.

Selitämme, mikä toimitusketjuhyökkäys on, miten nämä hyökkäykset tapahtuvat, miksi pk-yritykset ovat niille alttiita sekä miten voitte arvioida ja vähentää ulkopuolisten tahojen aiheuttamaa toimitusketjuriskiä.

Mikä on toimitusketjuhyökkäys?

Miten toimitusketjuhyökkäykset tapahtuvat

Miksi pk-yritykset ovat arvokkaampia kohteita

Käytännön esimerkkejä toimitusketjuhyökkäyksistä

Miten arvioitte ulkopuolisten tahojen aiheuttamia riskejänne

Mitä yrityksenne voi tehdä altistumisen vähentämiseksi

Kirjautumistietojen yhteys toimitusketjuhyökkäyksissä

Rakentakaa ulkopuolisten tahojen turvallisuus osaksi päivittäistä toimintaa

Mikä on toimitusketjuhyökkäys?

Toimitusketjuhyökkäys on kyberhyökkäys, joka kohdistuu organisaatioon luotetun ulkoisen suhteen kautta. Sen sijaan, että rikolliset hyökkäisivät suoraan yritykseenne, he altistavat toimittajan, ohjelmistopäivityksen, palveluntarjoajan, integraation tai ulkopuolisen tahon tilin ja käyttävät tätä pääsyä tavoittaakseen asiakkaanne ketjun loppupäässä.

Organisaationne ulkopuolinen heikkous voi silti vaikuttaa järjestelmiinne, tietoihinne tai toimintaanne, jos toimittaja on yhdistetty niihin. Käytännössä toimitusketjun kyberhyökkäykseen voi liittyä:

  • Ohjelmistotoimittaja, jonka päivitysmekanismi on altistettu.
  • SaaS-alusta, jonka kautta hyökkääjät pääsevät käsiksi asiakastietoihin.
  • IT-palveluntarjoaja, jonka ylläpitäjän kirjautumistiedot on varastettu.
  • Urakoitsijan tili, jolla on edelleen pääsy projektin päättymisen jälkeen.
  • Ulkopuolisen tahon integraatio, jolla on enemmän oikeuksia kuin se tarvitsee.
  • Toimittajan työntekijän tili, jota käytetään asiakasjärjestelmiin pääsemiseksi.

Toimitusketjuhyökkäykset perustuvat luottamukseen ja hyödyntävät sitä. Yrityksenne sallii yhteyden, koska toimittajalla on ollut laillinen tehtävä, ja hyökkääjät käyttävät tätä luottamusta väärin päästäkseen lähemmäksi tietojanne, tilejänne tai järjestelmiänne.

Miten toimitusketjuhyökkäykset tapahtuvat

Toimitusketjuhyökkäykset alkavat yleensä luotetusta yhteydestä. Hyökkääjän ei tarvitse murtautua suoraan yritykseenne, jos toimittajalla, ohjelmiston tarjoajalla, urakoitsijalla tai integraatiolla on jo pääsy johonkin arvokkaaseen.

Sijainti voi vaihdella, mutta kaava on usein samanlainen:

  • Altista ulkopuolinen taho
  • Käytä kyseistä luotettua suhdetta asiakkaiden tai yhdistettyjen järjestelmien tavoittamiseen
  • Laajenna pääsyä yrityksenne verkkoon

Altistettujen toimittajatilien kautta

Hyökkääjät voivat varastaa tai arvata toimittajan, urakoitsijan, toimiston tai hallitun palveluntarjoajan kirjautumistiedot. Jos kyseisellä ulkopuolisella taholla on pääsy järjestelmiinne, hyökkääjä voi käyttää laillista tiliä päästäkseen sisään luotetun reitin kautta.

Tämä on erityisen riskialtista silloin, kun toimittajan tileillä on laajat oikeudet, heikot salasanat, ei monivaiheista tunnistautumista tai pääsyä, jota ei koskaan poistettu projektin päätyttyä. Siksi ulkopuolisten tahojen pääsyä tulisi arvioida säännöllisesti ja se tulisi mitätöidä viipymättä hallitun ylläpitäjäprosessin kautta, kun sitä ei enää tarvita.

Ohjelmistopäivitysten ja -sovellusten kautta

Ohjelmiston toimitusketjuhyökkäys voi tapahtua, kun hyökkääjät altistavat tavan, jolla sovellus rakennetaan, jaetaan tai päivitetään. Yrityksenne saattaa tällöin asentaa tai päivittää luotetun toimittajan ohjelmiston huomaamatta, että päivitystä on sormeiltu.

Tämäntyyppistä hyökkäystä on vaikea havaita, koska toiminta näyttää tulevan tunnetulta ohjelmiston tarjoajalta, ei tuntemattomasta lähteestä.

Ulkopuolisten tahojen integraatioiden kautta

Monet SaaS-ohjelmistotyökalut yhdistetään toisiinsa integraatioiden, lisäosien, API-liittymien ja käyttöoikeuksien kautta. Nämä yhteydet auttavat tiimejä työskentelemään nopeammin, mutta ne voivat myös luoda piilotettuja pääsysijainteja.

Jos integraatio altistetaan tai sillä on enemmän oikeuksia kuin se tarvitsee, hyökkääjät voivat päästä käsiksi tietoihin, tileihin tai työnkulkuihin alkuperäisen työkalun ulkopuolella.

Jaettujen kirjautumistietojen ja hallitsemattoman pääsyn kautta

Toimitusketjuriski kasvaa myös silloin, kun toimittajan pääsy riippuu jaetuista kirjautumisista, asiakirjoihin tallennetuista salasanoista tai chatin ja sähköpostin kautta lähetetyistä kirjautumistiedoista. Jos jokin näistä kirjautumistiedoista paljastuu, yrityksenne ei ehkä tiedä, kuka sitä on käyttänyt, missä se on jaettu tai kuinka moneen järjestelmään sillä on edelleen pääsy.

Pääsynhallinta on vahvin mekanisminne toimitusketjunne turvallisuuden suojaamiseksi. Mitä valvotumpi jokainen toimittajan yhteys on, sitä helpompaa vahinkojen rajoittaminen on, jos jotain menee pieleen.

Miksi pk-yritykset ovat haavoittuvampia

Pk-yritykset olettavat usein, että toimitusketjuhyökkäykset ovat vain suuryritysten ongelma. Todellisuudessa pienemmät yritykset voivat olla helpompia saavuttaa ulkopuolisten tahojen kautta, koska toimittajien pääsy on usein epämuodollisempaa, vähemmän valvottua ja sitä arvioidaan harvemmin.

Jokainen SaaS-palvelu lisää riippuvuutta

Useimmat pienyritykset ovat nykyään riippuvaisia SaaS-palveluista päivittäisessä työssään. Ne voivat auttaa yrityksiä toimimaan nopeasti ja joustavasti, mutta ne myös laajentavat niiden järjestelmien määrää, jotka voivat sisältää yritystietoja tai yhdistää yrityksen tileihin.

Pieni toimisto, konsulttiyritys, lakitoimisto tai starttiyritys saattaa käyttää kymmeniä ulkoisia palveluita kutsumatta sitä toimitusketjuksi. Turvallisuuden näkökulmasta nämä palvelut ovat kuitenkin osa ketjua.

Pienemmiltä tiimeiltä saattaa puuttua toimittajien arviointiprosessit

Suurilla organisaatioilla on usein hankintaprosessit, toimittajariskykyselyt, turvallisuusarvioinnit ja oikeudelliset prosessit. Pk-yritykset saattavat sen sijaan luottaa epämuodolliseen luottamukseen ja nopeuteen.

Vuoden 2025 alusta lähtien Protonin Data Breach Observatory on havainnut 512 tietomurtoa, joissa on paljastunut yli 902 miljoonaa tietuetta. Tällainen näkyvyys on tärkeää, koska monet murrot eivät jää vain yhden yrityksen ongelmaksi, kun kirjautumistiedot, yhteystiedot tai yrityksen tiedot paljastuvat.

Tämä ei tarkoita sitä, että pienyritykset tarvitsisivat suuryritysten byrokratiaa. Se tarkoittaa kuitenkin sitä, että ne tarvitsevat käytännöllisen tavan kysyä peruskysymyksiä ennen pääsyn myöntämistä ja arvioida pääsyä työn muuttuessa.

Toimittajien pääsy on usein tarpeettoman laajaa

Toimittajien pääsy yrityksen sisällä laajenee yleensä käytännön syistä. Joskus urakoitsija tarvitsee pääsyn jaetulle levylle, tai toimisto tarvitsee pääsyn analytiikkaan tai mainostiliin. Sillä hetkellä pääsyn myöntäminen tuntuu nopeimmalta tavalta pitää työt käynnissä, erityisesti pienessä yrityksessä, jolla ei ole paljon työntekijöitä tai resursseja.

Riski ilmenee vasta myöhemmin, kun kyseisiä oikeuksia ei rajata, tarkisteta tai poisteta. Toimittajalla voi säilyä pääsy projektin päättymisen jälkeen, jaettu kirjautuminen voi jäädä kiertoon tai integraatio saattaa pysyä yhdistettynä kauan sen jälkeen, kun alkuperäinen tarve on jo ohi.

Todellisia esimerkkejä toimitusketjuhyökkäyksistä

Viimeisimmät tietomurtotiedot osoittavat, että ulkopuolisiin tahoihin liittyvät riskit eivät ole vain teoreettisia. Tehdessämme tutkimusta Data Breach Observatorya varten havaitsimme useita tapauksia, jotka liittyivät ulkopuolisten tahojen tai toimitusketjujen altistumiseen. Nämä tapaukset osoittavat, miten asiakkaiden, työntekijöiden tai yritysten tiedot voivat päätyä tietomurtoaineistoihin, vaikka kyseinen organisaatio ei itse olisikaan ollut alkuperäinen altistumiskohde.

Amtrak

Huhtikuussa 2026 Data Breach Observatory paljasti Amtrakiin liittyvän ulkopuolisen tahon tietoturvapoikkeaman, jossa paljastui yli 7,4 miljoonaa tietoriviä. Altistuneet tiedot sisälsivät nimiä, katuosoitteita, postinumeroita, puhelinnumeroita, sähköpostiosoitteita ja käyttäjätunnuksia.

Yrityksille tämä on selkeä esimerkki siitä, miten ulkopuolisen tahon tietoturvapoikkeama voi paljastaa henkilöllisyys- ja yhteystietoja laajassa mittakaavassa ja aiheuttaa jatkoriskejä tietojenkalastelun, tekeytymisen ja kirjautumistietoihin perustuvien hyökkäysten muodossa.

Canada Goose

Vaatetusalan yritys Canada Goose joutui ulkopuolisen tahon tietoturvapoikkeaman kohteeksi helmikuussa 2026, minkä seurauksena paljastui yli 921 000 tietoriviä. Altistuneet tiedot sisälsivät nimiä, katuosoitteita, puhelinnumeroita ja sähköpostiosoitteita.

Ilman salasanojakin tällainen tietojoukko voi silti lisätä yritysriskiä, sillä hyökkääjät voivat käyttää yhteystietoja tehdäkseen huijauksista, tietojenkalasteluyrityksistä ja sosiaalisesta manipuloinnista uskottavampia.

Miten arvioitte ulkopuolisten tahojen aiheuttamia riskejä

Ette tarvitse suurta riskienhallintatiimiä tai paljon resursseja aloittaaksenne yrityksenne riskien arvioinnin. Aloittakaa yksinkertaisella luettelolla ja keskittykää toimittajiin, joilla on eniten merkitystä.

1. Kartoittakaa toimittajanne ja heidän käyttöoikeutensa

Laatikaa luettelo toimittajista, SaaS-palveluista, alihankkijoista ja kumppaneista, joilla on pääsy järjestelmiinne tai tietoihinne. Merkitkää jokaisen kohdalla ylös:

  • Mihin tietoihin heillä on pääsy.
  • Mitä tilejä tai integraatioita he käyttävät.
  • Onko heillä ylläpitäjän oikeuksia.
  • Onko pääsy henkilökohtainen vai jaettu.
  • Vaaditaanko monivaiheista tunnistautumista.
  • Kuka vastaa suhteesta sisäisesti.
  • Milloin pääsy on viimeksi tarkistettu.

Tätä luetteloa on paljon helpompi ylläpitää, kun toimittajien pääsyä hallitaan valvotun järjestelmän kautta, jossa on selkeä omistajuus, näkyvyys ylläpitäjälle ja peruutettavissa olevat käyttöoikeudet.

2. Luokitelkaa toimittajat riskin mukaan

Jokainen toimittaja ei vaadi yksityiskohtaista tarkistusta. Palkanmaksujärjestelmä, pilvitallennusalusta, IT-palveluntarjoaja, CRM tai hallittu palveluntarjoaja ansaitsee tarkemman syynin kuin vähäriskiset palvelut, joissa ei käsitellä arkaluonteisia tietoja.

Priorisoikaa toimittajat, jotka käsittelevät asiakastietoja, kirjautumistietoja, maksuja, työntekijöiden tietoja, tuotantojärjestelmiä tai ylläpitäjän oikeuksia.

3. Esittäkää tietoturvakysymyksiä ennen pääsyn sallimista

Ennen pääsyn sallimista on hyödyllistä pysähtyä arvioimaan, onko ulkopuolinen taho todella välttämätön, mihin järjestelmiin tai tietoihin heidän on päästävä ja onko kyseinen pääsytaso perusteltu. Tässä vaiheessa monet organisaatiot huomaavat tukeutuvansa useampiin toimittajiin, integraatioihin ja ulkoisiin tileihin kuin he olivat olettaneet.

Kevytkin toimittaja-arviointi voi silti olla hyödyllinen. Kysykää:

  • Mitä tiedoillemme tapahtuu, jos lopetamme palvelun käytön?
  • Tuetteko 2FA-tunnistautumista?
  • Miten suojaatte asiakastietoja?
  • Tarjoatteko tehtäväpohjaista käyttöoikeuksien hallintaa?
  • Sallitteko tarkastuslokit tai toimintaraportit?
  • Onko teillä asiaankuuluvia tietoturvasertifiointeja tai noudatatteko tunnustettuja tietoturvastandardeja?
  • Miten ilmoitatte asiakkaille tietoturvapoikkeamista?
  • Miten hallitsette työntekijöiden käyttöoikeuksia sisäisesti?
  • Tuetteko vähimpien oikeuksien periaatteen mukaista käyttöoikeuksien hallintaa?

Mitä yrityksenne voi tehdä altistumisen vähentämiseksi

Toimitusketjun riskien vähentäminen alkaa valvonnasta. Käytännössä tämä tarkoittaa, että yrityksenne tarvitsee selkeät säännöt siitä, miten toimittajat arvioidaan, mihin heillä on pääsy, miten heidän toimintaansa valvotaan ja mitä tapahtuu, jos ulkopuolinen taho altistuu tietomurrolle.

Arvioikaa ulkopuolisten toimittajien tietoturvakäytännöt

Ennen kuin annatte toimittajalle pääsyn yrityksen järjestelmiin tai arkaluonteisiin tietoihin, tarkistakaa, vastaavatko heidän tietoturvakäytäntönsä riskiä. Asiakastietoja, taloustietoja tai ylläpitäjän oikeuksia käsittelevän toimittajan tulee täyttää korkeammat vaatimukset kuin tavallisen tuottavuussovelluksen.

Kiinnittäkää huomiota 2FA-tukeen, tehtäväpohjaisiin käyttöoikeuksiin, tarkastuslokeihin, sitoumuksiin ilmoittaa tietoturvapoikkeamista, tietojen säilytyksen valvontaan ja selkeisiin poistumisprosesseihin (offboarding).

Sovelkaa vähimpien oikeuksien periaatetta ulkopuolisten tahojen käyttöoikeuksiin

Vähimpien oikeuksien periaate pienentää vahinkoaluetta, jos toimittajan tili altistuu tietomurrolle. Tämä tarkoittaa sitä, että vältetään ylläpitäjän oikeuksien antamista, kun pelkkä lukuoikeus riittäisi, tai laajojen jaettujen kansioiden antamista, kun tietty kansio ajaa saman asian.

Käyttäkää Zero Trust -periaatteita toimittajien hallinnassa

Zero Trust ei tarkoita, etteikö yhteenkään toimittajaan voisi luottaa. Se tarkoittaa sitä, ettei luotetun suhteen oleteta automaattisesti oikeuttavan rajattomaan pääsyyn.

Toimittajien pääsyn osalta tämä tarkoittaa henkilöllisyyden varmistamista, oikeuksien rajoittamista, pääsyn säännöllistä tarkistamista, 2FA:n edellyttämistä, toiminnan valvontaa ja jokaisen yhteyden käsittelemistä hallintaa vaativana asiana.

Valvokaa poikkeavia pääsykuvioita

Toimittajiin liitettyjä tilejä tulisi valvoa sellaisen käyttäytymisen varalta, joka ei sovi normaaliin käyttöön. Tarkkailkaa epätavallisia kirjautumissijainteja, odottamattomia latauksia, uusia ylläpitäjäkäyttäjiä, muutoksia oikeuksissa, työajan ulkopuolista toimintaa, uusia integraatioita tai pääsyä tietoihin, jotka eivät kuulu toimittajan tehtävään.

Nämä merkit eivät aina todista tietomurtoa, mutta ne voivat auttaa tiimiänne reagoimaan ennen kuin pienestä ongelmasta tulee laajempi tietomurto.

Varautukaa ulkopuolisen tahon altistumiseen tietomurrolle

Teidän vaaratilanteiden toimintasuunnitelmanne tulisi kattaa myös toimittajiin liittyvät vaaratilanteet. Jos tavarantoimittaja ilmoittaa tietomurrosta, yrityksenne on tiedettävä, miten toimia seuraavaksi. Olemme kirjoittaneet yrityksille suunnatusta tietomurrosuojauksesta, joka voi auttaa teitä jäsentämään yrityksenne vastaustoimet ulkopuolisen tahon altistumiseen.

Määritelkää, kuka ottaa yhteyttä toimittajaan, kuka tarkistaa käyttöoikeudet, kuka tutkii lokit, kuka päättää, pitääkö kirjautumistiedot vaihtaa, ja kuka viestii tarvittaessa asiakkaiden tai sääntelyviranomaisten kanssa.

Käyttäkää yksilöllisiä kirjautumistietoja jokaiselle toimittajalle ja ulkopuolisen tahon työkalulle

Yksilölliset kirjautumistiedot ovat yksi yksinkertaisimmista tavoista pienentää toimitusketjun tietomurron vaikutusaluetta. Jos toimittajan portaaliin murtaudutaan ja työntekijä on käyttänyt samaa salasanaa muualla, hyökkääjät voivat kokeilla samoja kirjautumistietoja sähköpostiin, SaaS-alustoihin, taloustyökaluihin tai ylläpitäjän järjestelmiin.

Toimittajakohtainen yksilöllinen salasana estää suoran uudelleenkäytön. Se tekee myös vaaratilanteiden käsittelystä selkeämpää. Kun toimittaja altistuu tietoturvaloukkaukselle, tiedätte, mitkä kirjautumistiedot vaativat huomiota, sen sijaan että joutuisitte miettimään, missä muissa paikoissa samaa salasanaa on voitu käyttää.

Proton Pass on yrityksille suunnattu salasananhallinta, joka voi auttaa tiimiänne luomaan vahvoja ja yksilöllisiä salasanoja jokaiselle toimittajalle ja ulkopuolisen tahon palvelulle, tallentamaan ne salattuihin holveihin, käyttämään automaattitäyttöä ja jakamaan käyttöoikeuksia turvallisesti. Tämä helpottaa kirjautumistietojen hygienian ylläpitämistä useissa ulkoisissa palveluissa, joihin nykyaikaiset yritykset tukeutuvat.

Kirjautumistietojen yhteys toimitusketjun hyökkäyksissä

Toimitusketjun hyökkäykset alkavat usein toimittajista, mutta kirjautumistiedot määrittävät, kuinka laajalle vaikutus voi levitä.

Jos alihankkijan tili altistuu tietoturvaloukkaukselle mutta sillä on rajoitettu pääsy, vahingot voidaan rajata. Jos samalla tilillä on laajat oikeudet, jaettuja kirjautumistietoja, uudelleenkäytettyjä salasanoja tai pääsy arkaluonteisiin järjestelmiin, hyökkääjällä on enemmän liikkumatilaa.

Tämän vuoksi salasanojen ja käyttöoikeuksien hallinta kuuluu osaksi toimitusketjun riskienhallintaa. Jokaisen toimittajan tai ulkopuolisen tahon työkalun kohdalla yrityksenne tulisi tietää:

  • Mitkä kirjautumistiedot ovat olemassa.
  • Kenellä on pääsy niihin.
  • Onko salasana yksilöllinen.
  • Onko MFA käytössä.
  • Tarvitaanko pääsyä edelleen.
  • Onko tili jaettu vai henkilökohtainen.
  • Kuka vastaa tilistä sisäisesti.

Proton Passin kaltainen yritysten salasananhallinta helpottaa näihin kysymyksiin vastaamista. Sen sijaan, että kirjautumistiedot olisivat hajallaan laskentataulukoissa, selainprofiileissa, pikaviesteissä tai henkilökohtaisissa muistiinpanoissa, toimittajien salasanat voidaan tallentaa hallittuun järjestelmään, jossa on suojattu jakaminen ja selkeämpi omistajuus.

Tämä ei poista tarvetta arvioida toimittajia tai valvoa toimintaa. Se vahvistaa yhtä vaikuttavimmista valvontakeinoista: sen varmistamista, että ulkopuolisen tahon tietomurto ei johda salasanojen uudelleenkäyttöongelmiin omassa yrityksessänne.

Rakentakaa ulkopuolisten tahojen tietoturva osaksi päivittäistä toimintaa

Toimitusketjun hyökkäys muuttaa luottamuksen sisäänpääsyreitiksi. Toimittaja, ohjelmistopäivitys, SaaS-tili, alihankkija tai integraatio, joka yleensä tukee liiketoimintaa, voi muuttua reitiksi, jota hyökkääjät käyttävät päästäkseen käsiksi tietoihin tai järjestelmiin.

Pienet yritykset eivät voi välttää ulkopuolisia tahoja, eikä heidän tarvitsekaan. SaaS-työkalut, IT-palveluntarjoajat, alihankkijat ja toimittajat ovat osa nykyaikaista yritystoimintaa. Tavoitteena on hallita näitä suhteita riittävän valvotusti, jotta yksi altistuminen ei johda laajempaan tietomurtoon.

Aloittakaa perusasioista: kartoittakaa toimittajanne, arvioikaa käyttöoikeudet, esittäkää tietoturvakysymyksiä, soveltakaa vähimpien oikeuksien periaatetta, käyttäkää zero trust -periaatteita, valvokaa epätavallista toimintaa ja varautukaa ulkopuolisen tahon altistumiseen. Vähentäkää sitten kirjautumistietoihin liittyvää riskiä antamalla jokaiselle toimittajalle ja ulkopuolisen tahon palvelulle oma yksilöllinen salasana.

Proton Pass auttaa yrityksiä viemään tämän hallinnan päivittäiseen toimintaan. Kun jokaisella toimittajan kirjautumisella on omat yksilölliset kirjautumistiedot, jaettu pääsy pysyy salattujen holvien sisällä ja tiimit voivat mitätöidä pääsyn heti yhteistyösuhteen päättyessä, on paljon epätodennäköisempää, että yksittäinen murrettu salasana käynnistää ketjureaktion yrityksenne tileillä.