Kuinka IoT-laitteita hakkeroidaan – todelliset esimerkit

Vuonna 2016 Mirai-niminen haittaohjelma kaappasi satojatuhansia suojaamattomia IoT-laitteita ympäri maailman – kameroita, reitittimiä ja älytelevisiota – ja käytti niitä massiiviseen DDoS-hyökkäykseen, joka kaatoi suuren osan Yhdysvaltojen internetliikenteestä. Hyökkäys onnistui lähes täydellisesti siksi, että laitteet käyttivät vielä tehdasasetuksissa olevia oletussalasanoja. Tämä ei ole historiallinen kuriositeetti: Traficomin Kyberturvallisuuskeskuksen mukaan vastaavat uhat ovat arkipäivää myös Suomessa, ja IoT-laitteiden määrä kotitalouksissa kasvaa jatkuvasti.

Miksi IoT-laitteet ovat erityisen houkutteleva kohde hakkereille

IoT-laitteiden tietoturvatilanne eroaa perinteisistä tietokoneista monella tavalla. Tavalliseen kannettavaan tietokoneeseen voi asentaa virustorjuntaohjelman, mutta älytermostaattiin tai verkkokameraan ei useimmiten voi. Laitteen koko käyttöjärjestelmä on sulautettu sirulle, eikä käyttäjällä ole pääsyä sen sisäisiin turvatoimiin.

Toinen keskeinen syy on laitteiden suuri volyymi. Tilastokeskuksen ja Eurostat-datan perusteella suomalaisissa kotitalouksissa oli vuonna 2025 keskimäärin yli kymmenen verkkoon kytkettyä laitetta. Jokainen laite on potentiaalinen sisäänkäynti kotiverskkoon – ja kaikki laitteet eivät saa yhtä säännöllisiä tietoturvapäivityksiä kuin älypuhelimet tai tietokoneet.

Lisäksi monet valmistajat, erityisesti halvemmissa tuotteissa, priorisoivat hintaa ja nopeaa markkinoille pääsyä tietoturvan sijaan. Tutkimuksissa on todettu, että edulliset massalaitteet ovat suhteellisesti alttiimpia kyberhyökkäyksille kuin laadukkaammat vaihtoehdot.

Todelliset esimerkit: kuinka IoT-laitteiden hakkerointi on tapahtunut

Teoriat ovat yksi asia, mutta todelliset tapaukset kertovat parhaiten siitä, miten vakavia seurauksia IoT-laitteiden haavoittuvuuksilla voi olla. Alla on viisi dokumentoitua esimerkkiä, jotka ovat muuttaneet tietoturva-alan käsityksiä IoT-riskeistä.

1. Mirai-bottiverkko (2016)

Mirai oli käänteentekevä haittaohjelma, joka skannasi internetistä IoT-laitteita käyttäen laajaa listaa oletuskäyttäjänimiä ja -salasanoja. Kun laite löydettiin, ohjelma kirjautui sisään, asensi itsensä ja lisäsi laitteen bottiverkkoon. Lokakuussa 2016 tätä bottiverkkoa käytettiin hyökkäykseen DNS-palveluntarjoaja Dynin infrastruktuuria vastaan, mikä aiheutti laajan katkoksen muun muassa Twitterissä, Reddit-palvelussa ja Netflix-palvelussa. Bottiverkkoon kuului arvioiden mukaan yli 600 000 laitetta, joista suuri osa oli IP-kameroita ja kotiverkkoreitittimiä.

Mirai osoitti, että oletussalasanojen ongelma ei ole hypoteettinen – se on massiivinen käytännön riski. Suomen Kyberturvallisuuskeskus on toistuvasti muistuttanut kuluttajia vaihtamaan oletussalasanat heti laitteen käyttöönoton yhteydessä.

2. Kasino-akvaario-hyökkäys (2017)

Yhdysvaltalaiseen kasinoon murtauduttiin verkon kautta älytermostaatin avulla – kyseistä termostaattia käytettiin akvaarion veden lämpötilan säätelyyn. Hyökkääjät löysivät laitteen, jolla ei ollut asianmukaista suojausta, ja käyttivät sitä pääsyväylänä kasino-operaattorin sisäverkkoon. Heidän onnistui siirtää noin 10 gigatavua dataa ulkopuolelle ennen kuin hyökkäys havaittiin. Tapaus on sittemmin laajasti dokumentoitu tietoturvatutkimuksissa esimerkkinä siitä, miten mikä tahansa verkkoon kytketty laite voi toimia hyökkäysvektorina.

3. Ring- ja Nest-kameroiden kaappaukset (2019–2020)

Yhdysvalloissa raportoitiin useita tapauksia, joissa kotivalvontakameroita – erityisesti Amazonin Ring- ja Googlen Nest-laitteita – oli kaapattu ulkopuolisten toimesta. Monissa tapauksissa syynä ei ollut varsinainen ohjelmistohaavoittuvuus vaan käyttäjien sama salasana useissa palveluissa. Hyökkääjät käyttivät niin kutsuttua credential stuffing -tekniikkaa: he ottivat aiemmissa tietomurroissa varastettuja käyttäjätunnus-salasana-yhdistelmiä ja kokeilivat niitä järjestelmällisesti kameroiden hallintasovelluksissa. Joissain tapauksissa kaappaajat puhuivat lasten kanssa lasten makuuhuoneessa olevan kameran kautta.

Nämä tapaukset johtivat merkittäviin muutoksiin: sekä Ring että Nest ottivat käyttöön pakollisen kaksivaiheisen tunnistautumisen uusille käyttäjille, ja monissa malleissa se on nykyisin oletuksena päällä.

4. Lääkintälaitteiden haavoittuvuudet

Yhdysvaltain elintarvike- ja lääkevirasto FDA on varoittanut useista lääkintälaitteiden tietoturvahaavoittuvuuksista. Insuliinipumppuihin ja sydämentahdistimiin on löydetty haavoittuvuuksia, joiden kautta hyökkääjä voisi teoriassa muuttaa laitteen toimintaa etänä. Abbott (aiemmin St. Jude Medical) joutui julkaisemaan hätäkorjauksen sydämentahdistimiin vuonna 2017 FDA:n painostuksesta, kun tutkijat löysivät kriittisiä tietoturva-aukkoja. IoT:n rooli terveydenhuollossa tekee tietoturvasta kirjaimellisesti elintärkeän kysymyksen – lisää aiheesta löydät artikkelista IoT terveydenhuollossa: älylaitteet sairaaloissa.

5. Teollisuuden ohjausjärjestelmät ja Stuxnet

Stuxnet-haittaohjelma, jonka uskotaan olleen valtiollisten toimijoiden kehittämä, kohdistui Iranin ydinvoimaohjelman teollisuuden ohjausjärjestelmiin (SCADA/ICS) noin vuonna 2010. Se oli ensimmäinen laajasti dokumentoitu esimerkki siitä, kuinka fyysistä infrastruktuuria voidaan vahingoittaa kyberaseella. Vaikka Stuxnet ei ollut perinteinen IoT-tapaus, se ennakoi IIoT:n (teollisuuden esineiden internet) aikakauden uhkia. Suomessa teollisuuden IoT-turvallisuuteen kiinnitetään erityistä huomiota – lisätietoa löydät artikkelista Teollisuuden IoT Suomessa.

Kasino hakkeroitiin akvaariotermostaatin kautta – se ei ole vitsi, vaan dokumentoitu tapaus, joka muutti tietoturva-alan ajattelua IoT-riskeistä pysyvästi.

Yleiset hyökkäysmenetelmät: miten hakkerit pääsevät laitteisiin

IoT-laitteiden hakkerointi ei useimmiten vaadi erityistä osaamista tai kehittyneitä työkaluja. Suurin osa onnistuneista hyökkäyksistä perustuu muutamaan perusmenetelmään, joita vastaan on olemassa selkeät torjuntakeinot.

Shodan on hakukone, joka indeksoi internetiin kytkettyjä laitteita – mukaan lukien suojaamattomat kamerat, reitittimet ja teollisuuslaitteet. Kuka tahansa voi käyttää sitä löytämään avoimia laitteita, ja hyökkääjät hyödyntävät sitä rutiininomaisesti. Tämä tarkoittaa, että jos laitettasi ei ole suojattu kunnolla, se saattaa olla käytännöllisesti katsoen julkisesti näkyvillä.

Suomen ja Pohjoismaiden tilanne: erityispiirteet ja riskit

Pohjoismaat ovat digitalisaation kärjessä, mikä tarkoittaa sekä laajaa IoT-laitteiden käyttöä että korkeaa kyberturvallisuustietoisuutta. Suomessa Traficomin Kyberturvallisuuskeskus julkaisee säännöllisesti ohjeita ja varoituksia IoT-laitteiden riskeistä. Vuoden 2025 kyberturvallisuuskatsauksessa Kyberturvallisuuskeskus mainitsi IoT-laitteiden kasvavan hyökkäyspinnan yhtenä keskeisistä riskeistä kotitalouksille ja pk-yrityksille.

Pohjoismaissa älykotilaitteiden tunkeutuminen kotitalouksiin on nopeampaa kuin EU:n keskiarvossa. Tämä tarkoittaa, että kotitalouksissa on enemmän potentiaalisia hyökkäyskohteita. Samalla tietoisuus tietoturvasta on suhteellisen korkea, ja esimerkiksi Ruotsin MSB (Myndigheten för samhällsskydd och beredskap) on julkaissut vastaavia ohjeistuksia kuin Suomen Kyberturvallisuuskeskus.

EU:n tasolla kaksi merkittävää säädösmuutosta vaikuttavat suoraan IoT-tietoturvaan. NIS2-direktiivi laajensi kyberturvallisuusvelvoitteita merkittävästi useammille organisaatioille, ja EU:n Cyber Resilience Act asettaa ensimmäistä kertaa sitovat tietoturvavaatimukset myös kuluttajatuotteille – mukaan lukien IoT-laitteet. Tämä tarkoittaa, että valmistajien on jatkossa varmistettava, että tuotteet ovat turvallisia koko elinkaarensa ajan.

Miten suojautua: konkreettiset toimenpiteet laitetyypeittäin

Hyvä uutinen on, että suurin osa IoT-laitteisiin kohdistuvista hyökkäyksistä on estettävissä suhteellisen yksinkertaisilla toimenpiteillä. Kyberturvallisuuskeskuksen ohjeiden mukaan tärkein yksittäinen toimenpide on oletussalasanojen välitön vaihtaminen heti laitteen käyttöönotossa.

Verkon segmentointi on yksi tehokkaimmista keinoista rajoittaa vahingot, jos jokin laite kaapataan. Luomalla erillisen verkon IoT-laitteille – esimerkiksi reitittimen vierasverkko-ominaisuudella – voidaan varmistaa, että kaapattu laite ei pääse käsiksi muihin laitteisiin tai arkaluonteisiin tiedostoihin. Tarkempi ohjeet löydät artikkelista Kuinka segmentoida IoT-laitteet omaan verkkoon.

Kaksivaiheinen tunnistautuminen (2FA) on erityisen tärkeä niissä laitteissa, joihin kirjaudutaan tilin kautta – kuten kameroissa ja älykotikeskuksissa. Credential stuffing -hyökkäykset, joissa käytetään muualta varastettuja salasanoja, torjutaan lähes kokonaan ottamalla 2FA käyttöön.

Yksikään IoT-laite ei ole niin vähäinen, ettei sen hakkerointi voisi johtaa koko kotiverskon vaarantumiseen – akvaariotermostaatti tai älylamppu voivat olla portti kaikkeen muuhun.

IoT-laitteiden haavoittuvuuksien historia lyhyesti

IoT-tietoturvaongelmat eivät ole uusi ilmiö, mutta niiden mittakaava on kasvanut räjähdysmäisesti laitteiden määrän myötä. Ensimmäiset verkkoon kytketyt kodinkoneet olivat Internetin alkuajoilta 1990-luvulta, mutta laajempi kuluttaja-IoT alkoi yleistyä vasta 2010-luvulla älylaitteiden hintojen laskiessa.

Vuosi 2016 oli käänteentekevä: Mirai-haittaohjelma osoitti ensimmäistä kertaa suurelle yleisölle, miten massiivinen vahinko voidaan aiheuttaa kaappaamalla miljoonittain pieniä, huonosti suojattuja laitteita. Se synnytti uuden tietoturva-alan haaran ja pakotti sekä laitteiden valmistajat että sääntelyviranomaisia reagoimaan.

EU:n Radio Equipment Directive asetti vuodesta 2022 alkaen minimivaatimuksia radiolaitteille, joihin monet IoT-laitteet kuuluvat. Tuleva Cyber Resilience Act vie vaatimukset huomattavasti pidemmälle: pakollinen haavoittuvuuksien hallinta, automaattiset päivitykset ja selkeät tietoturvailmoitukset ovat tulossa kaikkiin markkinoille tuleviin laitteisiin. Lisää IoT-laitteiden tietoturvasta: IoT-laitteiden tietoturva: riskit, haavoittuvuudet ja suojautuminen 2026.

Yritykset erityiskohteena: IoT yritysverkossa

Kotitalouksien ohella yritykset ovat merkittävä kohde IoT-hyökkäyksille. Yritysten IoT-laitteet – kulunvalvonta, valvontakamerat, älykkäät tulostimet ja rakennusautomaatio – tarjoavat laajan hyökkäyspinnan, ja monissa organisaatioissa näiden laitteiden tietoturva on heikommin hallittu kuin perinteisen IT-infrastruktuurin.

ENISA:n (European Union Agency for Cybersecurity) IoT-tietoturvaraporttien mukaan yrityksiin kohdistuvat IoT-hyökkäykset kasvavat vuosi vuodelta. Erityisen riskialttiita ovat organisaatiot, joissa IT- ja OT-verkot (operatiivinen teknologia) ovat yhdistyneet ilman riittäviä erotteluja.

Pk-yrityksissä tilanne on usein hankalampi kuin suurissa yrityksissä: resursseja tietoturvan hallintaan on vähemmän, mutta laitteiden määrä kasvaa silti. Suomen Kyberturvallisuuskeskus suosittelee, että yritykset tekevät IoT-laitteidensa inventaarion ja arvioivat jokaisen laitteen tietoturvatason ennen verkkoon kytkemistä. Lisätietoa yritysten käytännöistä löydät artikkelista IoT-laitteet yritysverkossa: käyttöönoton parhaat käytännöt.

Usein kysytyt kysymykset IoT-laitteiden hakkeroinnista

Miten tiedän, onko IoT-laitettani yritetty hakkeroida?

Useimmissa IoT-laitteissa ei ole käyttöliittymää, joka näyttäisi selkeästi epäilyttävän toiminnan. Yleisiä merkkejä ovat kuitenkin: laite toimii epävakaasti tai hitaasti ilman selvää syytä, laite ottaa yhteyksiä tuntemattomiin IP-osoitteisiin (voidaan tarkistaa reitittimen lokista), laitteen internet-liikenne on epätavallisen suuri tai laite tekee asioita, joita et ole komentanut – esimerkiksi kamera liikkuu tai lamppu syttyy itsestään. Paras tapa seurata tätä on tarkistaa reitittimen liikennelokit säännöllisesti. Jotkut reitittimet, kuten Asus- tai Netgear-mallit, tarjoavat tähän hyvät työkalut. Epäilyttävät havainnot kannattaa ilmoittaa Traficomin Kyberturvallisuuskeskukselle, jolla on ilmoituslomake kuluttajille.

Riittääkö, että vaihdan oletussalasanan?

Oletussalasanan vaihtaminen on välttämätön ensiaskel, mutta yksin riittämätön. Tutkimukset osoittavat, että IoT-laitteiden haavoittuvuudet liittyvät usein myös päivittämättömään laiteohjelmistoon, avoimiin portteihin ja suojaamattomiin protokolliin. Traficomin Kyberturvallisuuskeskus suosittelee toimenpiteiden minimilistaksi: vaihda oletussalasana, päivitä firmware säännöllisesti, poista etäkäyttö jos se ei ole tarpeen, laita laitteet erilliseen verkkosegmenttiin ja käytä kaksivaiheista tunnistautumista kaikissa palveluissa, joihin kirjaudut tilillä. Pelkkä salasanan vaihto kattaa vain yhden yleisimmistä hyökkäysvektoreista.

Mitä tarkoittaa verkon segmentointi IoT-laitteiden osalta?

Verkon segmentointi tarkoittaa, että IoT-laitteet kytketään eri verkkoon kuin tietokoneet, puhelimet ja muut arkaluonteisia tietoja sisältävät laitteet. Käytännössä tämä voidaan toteuttaa monella tapaa: yksinkertaisin on käyttää reitittimen vierasverkko-ominaisuutta IoT-laitteille. Kehittyneemmässä toteutuksessa käytetään VLAN-verkkoja, jotka erottavat laitteet toisistaan täydellisemmin. Jos kaapattu IoT-laite on omassa segmentissään, hyökkääjä ei pääse sen kautta tietokoneellesi tai NAS-palvelimellesi. Kasino-akvaario-tapaus on oppikirjaesimerkki siitä, mitä tapahtuu, kun segmentointia ei ole tehty oikein.

Onko halvempi IoT-laite aina turvattomampi?

Hinta ei ole täydellinen mittari tietoturvan laadulle, mutta korrelaatio on selkeä. Tutkimustulokset osoittavat, että edullisilla massalaitteilla on useammin heikko tietoturva: niissä saattaa olla valmiiksi kovakoodattu salasana, jota ei voi vaihtaa, päivityksiä julkaistaan harvoin tai ei ollenkaan, ja valmistaja saattaa lopettaa tuen nopeammin. Toisaalta kalliitkin laitteet voivat sisältää haavoittuvuuksia – esimerkiksi Abbottin sydämentahdistimet tai alkuperäiset Ring-kamerat, jotka olivat tunnettujen brändien tuotteita, osoittautuivat haavoittuvaisiksi. Parhaimpana kriteerinä voi pitää sitä, julkaiseeko valmistaja tietoturvapäivityksiä aktiivisesti ja kuinka pitkään laite saa tukea.

Voinko käyttää IoT-laitteita julkisessa Wi-Fi-verkossa?

Julkinen Wi-Fi on IoT-laitteiden hallinnan osalta selkeä riski. Julkisessa verkossa liikenne voidaan salakuunnella helpommin kuin suojatussa kotiverkossa, ja hyökkääjä samassa verkossa voi yrittää murtautua laitteeseen. Traficomin ohjeiden mukaan julkisia verkkoja kannattaa välttää laitteiden hallintaan. Jos sinun on hallittava laitetta etäältä julkisen verkon kautta, käytä VPN-yhteyttä. Laitteiden varsinaisessa käytössä – esimerkiksi älykellon synkronoinnissa – julkinen Wi-Fi on yleensä vähemmän kriittinen riski, mutta kotiverkon kautta on aina turvallisempaa toimia.

Mitä EU:n Cyber Resilience Act tarkoittaa IoT-laitteeni tietoturvalle?

EU:n Cyber Resilience Act on asetus, joka asettaa sitovat minimistandardit kyberturvallisuuden osalta kaikille EU-markkinoille tuoduille digitaalisille tuotteille – mukaan lukien IoT-laitteet. Käytännössä tämä tarkoittaa, että valmistajan on jatkossa varmistettava, että laite on turvallinen koko elinkaarensa ajan, julkaistava tietoturvapäivitykset nopeasti löydettyihin haavoittuvuuksiin, ja ilmoitettava aktiivisesti, jos laitteessa on tietoturvaongelma. Asetus astuu vaiheittain voimaan, ja sen täysimittainen soveltaminen alkaa todennäköisesti vuonna 2027. Kuluttajille tämä on merkittävä parannus nykytilanteeseen verrattuna, jossa tietoturvavelvoitteet ovat olleet hataria.

Pitääkö minun huolehtia IoT-laitteiden tietoturvasta, jos käytän vain muutamaa laitetta?

Laitteiden määrä ei ole ratkaiseva tekijä – yksikin suojaamaton laite voi toimia sisäänkäyntinä koko kotiverkkoon. Mirai-bottiverkko osoitti, että yksittäiset kamerat tai reitittimet voivat olla osa massiivista hyökkäysinfrastruktuuria, vaikka niiden omistajat eivät huomaisi mitään poikkeavaa. Suomen Kyberturvallisuuskeskus suosittelee, että jokainen verkkoon kytketty laite – oli se sitten älyvalaisin tai valvontakamera – tarkistetaan samojen periaatteiden mukaan: oletussalasana vaihdetaan, firmware pidetään ajan tasalla ja laite sijoitetaan tarvittaessa erilliseen verkkosegmenttiin.

Mitä tehdä, jos epäilen, että IoT-laitteeni on hakkeroitu?

Ensimmäinen askel on irrottaa epäilyttävästi käyttäytyvä laite verkosta fyysisesti tai reitittimen asetuksista. Tämä estää mahdollisen jatkovahingoittumisen. Sen jälkeen: tee tehdasasetusten palautus laitteelle, vaihda kaikki siihen liittyvien palveluiden salasanat (myös reitittimen ja verkon), päivitä laitteen firmware ennen uudelleen kytkemistä, ja ota käyttöön kaksivaiheinen tunnistautuminen. Jos olet yritysympäristössä tai epäilet merkittävää tietomurtoa, ilmoita asiasta Traficomin Kyberturvallisuuskeskukselle. Yksityishenkilöillä on oikeus tehdä ilmoitus myös poliisille, erityisesti jos kyse on valvontakameran kaappauksesta tai yksityisyyden loukkauksesta.

Aiheeseen liittyvät artikkelit

• IoT-laitteet kotona ja yrityksessä: Opas ja vertailut
• IoT terveydenhuollossa: älylaitteet sairaaloissa ja etämonitoroinnissa Pohjoismaissa
• IoT-laitteet yritysverkossa: käyttöönoton parhaat käytännöt
• IoT-laitteiden energiankulutus: kuinka paljon älykoti maksaa sähkölaskussa?
• IoT-laitteiden tietoturva: riskit, haavoittuvuudet ja suojautuminen 2026
• Kuinka segmentoida IoT-laitteet omaan verkkoon — askel askeleelta -ohje
• Matter-standardi 2026: mitä se tarkoittaa IoT-laitteillesi?
• Mitä ovat IoT-laitteet? Opas esineiden internetiin 2026
• MQTT vs Zigbee vs Z-Wave vs Matter: IoT-protokollien vertailu 2026
• Teollisuuden IoT (IIoT) Suomessa: miten tehtaat hyödyntävät dataa

Lähteet

• Traficom / Kyberturvallisuuskeskus – Suomen virallinen kyberturvallisuusviranomainen, ohjeistukset IoT-laitteiden suojaukseen.
• ENISA – IoT Security Guidelines – EU:n kyberturvallisuusviraston IoT-tietoturvaraportit ja -suositukset.
• Wikipedia – Mirai (malware) – Dokumentoitu kuvaus Mirai-bottiverkosta ja sen vaikutuksista.
• Euroopan komissio – Cyber Resilience Act – EU:n kyberresilienssiasetus ja sen vaikutukset kuluttajatuotteisiin.
• FDA – Medical Device Cybersecurity – Yhdysvaltojen elintarvike- ja lääkeviraston ohjeistukset lääkintälaitteiden kyberturvallisuuteen.
• IEEE – Security & Privacy – IEEE:n tietoturvatutkimusjulkaisut, mukaan lukien IoT-tietoturva.

IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025