Steam-tili, jossa on satoja pelejä ja tuhansien eurojen arvoinen kirjasto, vaihtaa omistajaa muutamassa minuutissa, jos kaksivaiheinen tunnistautuminen on pois päältä. Sama koskee Discord-tiliä, jota käytetään yhteisön hallintaan, PlayStation Networkia maksukorttitietoineen ja Epic Games -tiliä, jonka takana saattaa olla kymmenen vuoden ostohistoria. Lokakuussa 2026 pelialustojen tiliturva ei ole enää valinnainen lisäosa, vaan käytännössä ensimmäinen puolustuslinja koko digitaalista omaisuutta vastaan.

Tämä opas käy läpi 13 konkreettista vaihetta, joilla suojaat Steamin, PlayStation Networkin, Xboxin, Epic Gamesin ja Discordin tilit Steam Guardilla, sovelluspohjaisella 2FA:lla ja passkeyllä. Mukana on valmis Python-pohjainen tarkistusprojekti, kahdeksan yleisintä vianmääritystilannetta ja listaus virheistä, joita suurin osa pelaajista tekee suojausta käyttöön ottaessaan.

Miksi pelitilit ovat rikollisten suosituin kohde vuonna 2026

Pelitilit ovat houkuttelevia rikollisille kolmesta syystä. Niihin on sidottu maksukortti, niiden sisältöä voi myydä eteenpäin ja omistaja huomaa varkauden usein vasta tuntien kuluttua, koska kukaan ei istu seuraamassa pelitiliään jatkuvasti samalla tavalla kuin pankkitiliä. GalaxyWardenin helmikuussa 2026 julkaistun tietoturvaraportin mukaan Steam muodosti 23 prosenttia seuratuista pelialustojen tietoturvaloukkauksista, Discord 19 prosenttia, Epic Games 14 prosenttia ja Riot Games 11 prosenttia. Samassa raportissa Steamia jäljittelevien tietojenkalastelusivustojen määrä kasvoi 40 prosenttia tarkastelukuukauden aikana.

Suomen poliisi on toistuvasti varoittanut huijauksesta, jossa rikollinen väittää pelitilin olevan vaarassa tai väärin ilmoitettu ja pyytää sen jälkeen käyttäjätunnusta ja salasanaa suoraan. Poliisi suosittelee kaksivaiheisen tunnistautumisen käyttöönottoa aina, kun palvelu sen tarjoaa, ja kehottaa suhtautumaan epäilevästi pyyntöihin siirtyä keskustelemaan pelialustan ulkopuolisilla sivustoilla tai sovelluksissa. Juuri tuo viimeinen siirto ulkopuoliseen kanavaan on yleisin merkki käynnissä olevasta huijauksesta.

Pelkkä salasana ei riitä, koska vuotaneita kirjautumistietoja kiertää verkossa valtavia määriä. Allure Securityn tietoturva-analyysi kuvaa, miten yksittäinen pelihuijaus muuttuu nopeasti laajemmaksi tietoturvaloukkaukseksi, kun sama salasana toimii myös sähköpostissa tai pankkisovelluksessa. Credential stuffing -hyökkäyksissä rikolliset testaavat vuotaneita tunnuksia automaattisesti tuhansilla palveluilla samanaikaisesti, usein botteja ja automatisoituja skripteja käyttäen, ja pelitilit ovat yleensä ensimmäinen kohde, koska niiden suojaustaso on historiallisesti ollut kevyempi kuin pankki- tai sähköpostitileillä. Rikollinen ei edes tarvitse osaamista murtautumiseen: valmiiksi vuotaneita yhdistelmiä käyttäjätunnuksesta ja salasanasta myydään ja vaihdetaan suljetuissa keskusteluryhmissä, ja ainoa työ on ajaa lista automaattisesti läpi kirjautumislomakkeen kautta.

Sama koskee tilejä, jotka vaikuttavat merkityksettömiltä. Moni ajattelee, ettei vanhalla, vähän pelatulla Steam-tilillä ole mitään arvoa, mutta rikollisen näkökulmasta jokainen tili on osa suurempaa massaa: tuhat kaapattua tiliä myydään kerralla eteenpäin, eikä ostaja käy niitä läpi yksitellen ennen ostoa. Juuri tämän takia myös pieni, harvoin käytetty tili kannattaa suojata samalla tasolla kuin päätili.

Tämä opas keskittyy siihen, mitä yksittäinen pelaaja voi tehdä itse, riippumatta siitä mitä alusta tai pelistudio tekee taustalla. Seuraavat 13 vaihetta kattavat viisi suurinta alustaa, ja lopussa on valmis skripti, joka pitää suojauksen ajan tasalla jatkossa.

Suomessa ja muissa Pohjoismaissa tilanne on omalla tavallaan kaksijakoinen. Verkkopankkitunnistus ja vahva sähköinen tunnistaminen ovat arkipäivää lähes kaikessa muussa asioinnissa, joten pelialustojen keveämpi suojaus erottuu selvästi, kun sitä vertaa siihen, mitä pankki tai Kela vaativat kirjautumiseen. Toisaalta korttimaksut ja mobiilimaksutavat on usein tallennettu suoraan pelitileille lapsuudesta asti ilman, että niitä on koskaan käyty läpi uudelleen aikuisiässä, mikä tekee juuri tästä käyttäjäryhmästä houkuttelevan kohteen.

Minkä tilin suojaat ensin, jos aikaa on vähän

Ihanteellisessa tilanteessa kaikki viisi tiliä käydään läpi samalla istunnolla, mutta käytännössä harvalla on 90 minuuttia vapaana kerralla. Jos aikaa on vain 15 minuuttia, järjestys kannattaa päättää sen mukaan, mikä tili avaisi pahimman vahingon, jos se kaapattaisiin juuri tänään.

Sähköposti on aina ensimmäinen, koska se on avain kaikkien muiden tilien palautukseen. Sen jälkeen kannattaa katsoa, millä tilillä on sidottu maksukortti tai tallennettuja maksutietoja: usein se on Steam, PlayStation Network tai Xbox, ei Discord. Discord nousee kärkeen silloin, kun sitä käytetään yhteisön tai kavereiden hallintaan, koska kaapattu tili voi levittää huijauslinkkejä kymmenille tai sadoille ihmisille muutamassa minuutissa ennen kuin kukaan ehtii reagoida. Epic Games ja Riot Games kannattaa nostaa kärkeen, jos tilillä on paljon ostettua kosmetiikkaa tai rankattu kilpailullinen profiili, jolla on omaa jälleenmyyntiarvoa.

Käytännön nyrkkisääntö: jos joutuisit valitsemaan vain kahden tilin suojaamisen välillä, valitse aina ensin sähköposti ja sen jälkeen se pelialusta, jolla on suorin yhteys oikeaan rahaan, oli kyse maksukortista, kaupankäyntimarkkinasta tai striimaustulosta. Loput tilit voi käydä läpi seuraavina päivinä, kunhan kaksi kriittisintä on hoidettu samana päivänä kuin tämän oppaan lukeminen.

Toinen tapa priorisoida on katsoa, kuinka vanha tili on ja kuinka paljon henkilökohtaista tietoa siihen on kertynyt vuosien varrella. Pitkäikäinen tili sisältää usein ostohistorian, keskusteluja, kaveriverkoston ja mahdollisesti myös alkuperäisen rekisteröintisähköpostin, joka on saattanut muuttua jo käytöstä poistuneeksi. Tällaisen tilin palauttaminen on hitaampaa ja monimutkaisempaa kuin uuden, muutama kuukausi sitten luodun tilin, joten vanhat pääkäyttötilit kannattaa nostaa suojausjärjestyksessä ylemmäs, vaikka niillä ei pelattaisikaan päivittäin.

Miten alustat tunnistavat epäilyttävät kirjautumiset

2FA ei ole ainoa suojakerros taustalla. Steam, PlayStation, Xbox, Epic Games ja Discord käyttävät kaikki jonkinlaista automaattista riskiarviointia, joka vertaa uutta kirjautumista aiempaan käyttäytymiseen. Järjestelmä katsoo esimerkiksi laitteen tunnistetta, IP-osoitteen maantieteellistä sijaintia, kirjautumisajankohtaa ja sitä, onko samalta laitteelta kirjauduttu aiemmin onnistuneesti.

Kun jokin näistä poikkeaa totutusta, alusta pyytää lisävahvistuksen, vaikka 2FA ei olisi muuten pakollinen jokaisella kirjautumiskerralla. Tästä syystä moni huomaa saavansa yllättävän vahvistuspyynnön ulkomailta matkustaessaan, vaikka kotikäytössä kirjautuminen sujuisi usein ilman lisävaihetta. Tämä ei ole virhe järjestelmässä, vaan tarkoituksellinen tasapaino käytön sujuvuuden ja suojauksen välillä: järjestelmä kiristää vaatimuksia juuri silloin, kun riski näyttää kasvavan.

Tämä mekanismi on myös syy, miksi laitteistoavain ja passkey toimivat paremmin kuin pelkkä koodi: ne eivät vain lisää yhtä vaihetta, vaan sitovat koko kirjautumistapahtuman kryptografisesti oikeaan laitteeseen ja oikeaan verkkotunnukseen. Riskiarviointijärjestelmä näkee tällöin suoraan, että vahvistus tuli aidosta laitteesta, eikä pelkästä koodista, jonka periaatteessa kuka tahansa olisi voinut syöttää onnistuneen tietojenkalastelun jälkeen.

Yksi käytännön sivuvaikutus kannattaa tiedostaa etukäteen: VPN-yhteyden käyttäminen muuttaa IP-osoitteen näennäisen sijainnin, ja osa alustoista tulkitsee tämän samaksi poikkeavaksi signaaliksi kuin oikean ulkomailta tulevan kirjautumisen. Jos käytät VPN:ää säännöllisesti ja huomaat saavasi epätavallisen usein lisävahvistuspyyntöjä, syy ei välttämättä ole hyökkäysyritys, vaan pelkkä sijaintitiedon muutos järjestelmän näkökulmasta. Tämä ei ole syy luopua VPN:stä, mutta on hyvä tietää etukäteen, ettei ylimääräinen vahvistuspyyntö tarkoita automaattisesti ongelmaa.

Mitä tarvitset ennen aloittamista

Koko prosessi vie noin 90 minuuttia, jos kaikki viisi tiliä käydään läpi peräkkäin. Varaa aikaa etenkin varmuuskoodien tallentamiseen, se on vaihe, jonka pelaajat jättävät useimmin kesken.

  • Älypuhelin, jossa Android 13 tai uudempi tai iOS 16 tai uudempi
  • Steam-mobiilisovellus (nykyinen versio asennettuna Google Play- tai App Storesta)
  • Autentikaattorisovellus, esimerkiksi Steam Guard sisäänrakennettuna, tai erillinen TOTP-sovellus kuten Authy tai Aegis
  • Pääsy kaikkiin viiteen tiliin liitettyyn sähköpostiosoitteeseen
  • Salasananhallinta, jotta yksilölliset salasanat jokaiselle alustalle on helppo ylläpitää
  • Python 3.10 tai uudempi, jos haluat ottaa käyttöön oppaan lopussa esitellyn automaattisen tarkistusprojektin
  • Vapaaehtoinen: FIDO2-yhteensopiva laitteistoavain, esimerkiksi YubiKey 5 -sarja, Discordin ja osan muiden alustojen tukemaa vahvempaa suojausta varten

Pidä puhelin ja tietokone vierekkäin koko prosessin ajan. Osa vaiheista vaatii vahvistuksen molemmilla laitteilla muutaman minuutin sisällä, ja jos puhelin on toisessa huoneessa, koodi ehtii vanhentua ennen kuin pääset syöttämään sen.

Ajankäyttö jakautuu alustoittain epätasaisesti. Steam Guardin käyttöönotto vie noin 10 minuuttia, koska se vaatii puhelinnumeron vahvistuksen ja palautusavaimen kirjoittamisen ylös. Sähköpostitilin läpikäynti vie helposti 15-20 minuuttia, jos aktiivisia kirjautumisia ja vanhoja sovellussalasanoja on kertynyt vuosien varrelle. PlayStation, Xbox, Epic Games ja Discord vievät yksittäisinä noin 10 minuuttia kukin, kun taas varmuuskoodien salaaminen ja tallentaminen oppaan 13. vaiheessa kannattaa varata vielä 15 minuuttia, koska kiireessä tehty tallennus on juuri se virhe, joka johtaa vaikeuksiin myöhemmin.

Vaihe 1-2: Steam Guard Mobile Authenticatorin käyttöönotto

Steam Guard ei ole uusi keksintö. Valve esitteli sen alun perin betana vuonna 2011, ja yhtiön perustaja Gabe Newell kuvasi silloin ongelman, jota ominaisuus ratkoo:

“Account phishing and hijacking are our top support issues.” – Gabe Newell, Valve (Steam Guard Now in Beta, 2011)

Viisitoista vuotta myöhemmin tilanne on sama, mutta työkalu on parantunut. Steamin virallinen tukiohje suosittelee siirtymistä sähköpostivahvistuksesta Steam Guard Mobile Authenticatoriin, koska sähköposti on usein heikoin lenkki: jos rikollinen pääsee sähköpostiin, hän pääsee myös vahvistuskoodeihin.

  1. Avaa Steam-mobiilisovellus ja kirjaudu sisään olemassa olevalla tunnuksella.
  2. Valitse valikosta Steam Guard ja napauta “Lisää autentikaattori”.
  3. Sovellus pyytää puhelinnumeron vahvistuksen tekstiviestillä, minkä jälkeen se näyttää 64-merkkisen palautusavaimen (Revocation Code). Kirjoita se ylös paperille, ei kuvakaappaukseen pilvipalveluun.
  4. Vahvista käyttöönotto syöttämällä sovelluksen näyttämä hetkellinen koodi.

Käyttöönoton jälkeen jokainen kirjautuminen tuntemattomalta laitteelta vaatii lisävahvistuksen. Steam Guard Mobile Authenticatorin asennusoppaan mukaan tämä siirtymä muuttaa koko vahvistusketjun sähköpostipohjaisesta sovelluspohjaiseksi, mikä poistaa yleisimmän hyökkäysreitin: sähköpostitilin kaappauksen kautta tehdyn Steam-tilin valtauksen.

Voit testata, että autentikaattori toimii oikein offline-tilassa seuraavalla Python-skriptillä, jos haluat varmistaa TOTP-logiikan toiminnan omalla koneella ennen kuin luotat siihen tuotannossa:

import pyotp

# secret on esimerkki, ei oikea Steam Guard -avain
secret = "JBSWY3DPEHPK3PXP"
totp = pyotp.TOTP(secret)
print("Nykyinen koodi:", totp.now())
print("Voimassa seuraavat sekunnit:", totp.interval - (int(__import__("time").time()) % totp.interval))

Tämä ei toimi suoraan Steamin kanssa, koska Steam käyttää omaa suljettua protokollaansa, mutta se havainnollistaa periaatetta, jolla kaikki TOTP-pohjaiset autentikaattorit toimivat: salainen avain ja aika yhdessä tuottavat koodin, joka vaihtuu 30 sekunnin välein.

Kannattaa myös tarkistaa Steamin kaupankäyntilukko (Trade Lock) samalla kertaa, kun autentikaattori otetaan käyttöön. Oletuksena Steam lisää 15 vuorokauden viiveen kaikkiin esineiden siirtoihin ja kauppoihin, jos autentikaattori on ollut käytössä alle seitsemän päivää, mikä on tarkoituksellinen jarru tilanteissa, joissa tili on juuri vaihtanut omistajaa. Tämä viive tuntuu ärsyttävältä, jos odotat kaupan toteutumista nopeasti, mutta se on samalla tärkein yksittäinen syy, miksi varastettuja esineitä ei voi aina lunastaa rahaksi välittömästi tilin kaappauksen jälkeen.

Vaihe 3-4: Suojaa ensin sähköpostitili, pelitilien perusta

Jos sähköpostitili on auki ilman kaksivaiheista tunnistautumista, kaikki edellä tehty työ on hyödytöntä. Salasanan palautuslinkit pelitileille kulkevat lähes aina sähköpostin kautta, joten se on käytännössä pääavain kaikkeen muuhun.

  1. Kirjaudu sähköpostitilin tietoturva-asetuksiin ja ota käyttöön kaksivaiheinen tunnistautuminen sovelluspohjaisella koodilla, ei tekstiviestillä.
  2. Tarkista aktiiviset kirjautumiset ja kirjaudu ulos laitteista, joita et tunnista.
  3. Poista vanhat sovellussalasanat (app passwords), jotka saatat olla luonut vuosia sitten jollekin käytöstä poistuneelle sovellukselle.
  4. Vaihda sähköpostin salasana, jos se on vanhempi kuin vuosi, ja varmista, ettei sama salasana ole käytössä missään muussa palvelussa.

Tekstiviestikoodi on parempi kuin ei mitään, mutta se on heikoin 2FA-vaihtoehto, koska SIM-kortin kaappaus (SIM swap) on operaattorin asiakaspalvelussa tehtävä sosiaalisen manipuloinnin temppu, ei tekninen hyökkäys. Sovelluspohjainen koodi tai laitteistoavain ei riipu puhelinnumerosta ollenkaan, joten se kestää SIM-kaappauksen täysin vahingoittumattomana.

Kannattaa harkita myös sähköpostialiaksia pelitileille. Osa salasananhallintaohjelmista ja sähköpostipalveluista tarjoaa mahdollisuuden luoda erillisen, satunnaisen aliasosoitteen jokaiselle rekisteröitymiselle, jolloin oma pääsähköpostiosoite ei näy koskaan suoraan pelialustan tietokannassa. Jos jokin alusta vuotaa käyttäjätietokantansa, aliasosoite paljastuu, mutta oikea sähköposti ja sen kautta kulkevat muut tilit pysyvät piilossa.

Vaihe 5-6: Epic Gamesin ja Fortniten 2FA käyttöön

Epic Games -tili on erityisen houkutteleva kohde, koska se on sidottu usein myös Fortniteen, Rocket Leagueen ja Epic Games Storen ostohistoriaan. Osa Fortniten rajoitetun ajan kosmetiikasta on jälleenmyyntiarvoltaan satoja euroja mustassa kaupassa, mikä tekee tileistä konkreettisen rahanarvoisen kohteen.

  1. Siirry Epic Games -tilin asetuksiin kohtaan Salasana & turvallisuus.
  2. Ota käyttöön kaksivaiheinen todennus ja valitse autentikaattorisovellus ensisijaiseksi menetelmäksi.
  3. Tallenna näytölle ilmestyvät varmuuskoodit erilleen puhelimesta, esimerkiksi tulostettuna.
  4. Fortnite palkitsee 2FA:n käyttöönotosta erikoisemotella, joten tarkista pelin sisäinen postilaatikko käyttöönoton jälkeen.

Monilla pelaajilla, erityisesti nuoremmilla käyttäjillä, Epic-tili on linkitetty myös PlayStation- tai Xbox-tiliin cross-play-ominaisuuden takia. Tämä tarkoittaa, että yhden tilin kaappaus voi avata pääsyn useampaan alustaan samanaikaisesti, joten kannattaa tarkistaa linkitetyt tilit samalla kertaa kohdasta Yhdistetyt tilit. Vanhemmille kannattaa myös muistaa, että Epic Gamesin lapsitilit (Cabined Accounts) vaativat vanhemman hyväksynnän ostoihin, mutta tämä hyväksyntä tapahtuu usein push-ilmoituksella vanhemman omaan puhelimeen, joten sekin tili kannattaa pitää 2FA:n takana, ettei hyväksyntäpyyntöjä pääse väärentämään.

Vaihe 7-8: PlayStation Networkin suojausasetukset ja passkeyt

PlayStation on yksi alustoista, joka on siirtynyt aktiivisesti passkey-tukeen. PlayStationin tietoturvaohjeistuksen mukaan passkey on salasanan korvaava kirjautumistapa, joka toimii samalla tavalla verkkosivustoilla ja sovelluksissa eri laitteilla. Käytännössä passkey tallentuu puhelimen tai tietokoneen suojattuun laitteistoon, eikä sitä voi syöttää vahingossa väärennetylle sivulle, koska se on sidottu oikeaan verkkotunnukseen.

  1. Avaa PlayStation Networkin tilinhallinta selaimessa ja siirry kohtaan Suojaus.
  2. Ota käyttöön 2-vaiheinen vahvistus sovelluspohjaisella koodilla.
  3. Siirry kohtaan Kirjautumistavat ja lisää passkey, jos konsoli ja laite tukevat sitä.
  4. Poista käytöstä vanhat kirjautumistavat, joita et enää käytä, kuten vanha kolmannen osapuolen kirjautumisyhteys.

PlayStation varoittaa myös erikseen QR-koodien skannaamisesta, joita toinen henkilö lähettää väittäen niiden auttavan kirjautumisessa tai avaavan palkinnon. Tämä on uudempi huijaustyyppi, jossa rikollinen käynnistää oman kirjautumisyrityksensä ja lähettää uhrille QR-koodin skannattavaksi: skannaus hyväksyy rikollisen kirjautumisen, ei uhrin omaa.

Luotettujen laitteiden listaa kannattaa käydä läpi säännöllisesti myös PlayStationilla. Vanha konsoli, joka on myyty eteenpäin tai annettu kaverille, jää oletuksena luotettujen laitteiden listalle, jos sitä ei poisteta erikseen tilin asetuksista ennen luovuttamista. Tämä yksi unohdettu rivi listalla riittää siihen, että laitteen uusi omistaja pääsee kirjautumaan tilille ilman lisävahvistusta, vaikka salasana olisikin sillä välin vaihdettu.

Vaihe 9-10: Xbox ja Microsoft-tilin lukitseminen

Xbox-tili on itse asiassa Microsoft-tili, joten sen suojaus vaikuttaa myös Outlookiin, OneDriveen ja mahdollisesti työn tai koulun Microsoft 365 -käyttöön, jos sama sähköposti on käytössä kaikkialla. Tästä syystä Xbox-tilin kaappaus voi levitä nopeasti muuallekin kuin pelimaailmaan.

  1. Kirjaudu Microsoft-tilin tietoturvasivulle ja avaa Suojaustiedot-osio.
  2. Ota käyttöön kaksivaiheinen todennus ja aseta Microsoft Authenticator ensisijaiseksi menetelmäksi.
  3. Poista käytöstä SMS-palautus, jos mahdollista, ja jätä jäljelle vain sovellus- ja varmuuskoodivaihtoehdot.
  4. Tarkista Xbox-konsolin omat asetukset ja kytke päälle pin-koodi, joka estää ostojen tekemisen ilman erillistä vahvistusta.

Perheille kannattaa lisäksi tarkistaa Microsoft Family Safety -asetukset, koska lapsitilit jakavat usein maksutiedot vanhemman tilin kanssa. Jos lapsen tili kaapataan, ostorajoitukset saattavat estää suuret ostot, mutta ne eivät estä pienten mikromaksujen sarjaa, joka ehtii kerääntyä yöllä ennen kuin kukaan huomaa.

Xbox Game Pass -tilaus on omaa huomionsa ansaitseva riski, koska se on toistuva veloitus, joka jatkuu normaalisti, vaikka tili olisi kaapattu. Rikollinen ei välttämättä pura tilausta, koska se ei hyödytä häntä suoraan, mutta hän voi hyödyntää tilauksen kautta avautuvaa pelikirjastoa ja pilvipelaamista omaan käyttöönsä, kunnes alkuperäinen omistaja huomaa veloituksen tiliotteella ja osaa yhdistää sen tilin kaappaukseen.

Vaihe 11-12: Discordin suojaus autentikaattorilla ja laitteistoavaimella

Discord on erityinen tapaus, koska se ei ole varsinainen pelialusta vaan viestintäkanava, josta käsin monet huijaukset leviävät eteenpäin. Kaapattu Discord-tili lähettää tuttujen puolesta linkkejä kavereille ja yhteisöille, ja juuri tämä luottamuksen hyväksikäyttö on syy, miksi Discordiin kohdistuvat huijaukset leviävät tehokkaasti.

  1. Avaa Discordin Käyttäjäasetukset ja siirry kohtaan Tili > Kaksivaiheinen todennus.
  2. Skannaa QR-koodi autentikaattorisovelluksella ja syötä vahvistuskoodi.
  3. Tallenna varmuuskoodit erilleen puhelimesta.
  4. Jos käytössä on FIDO2-laitteistoavain, lisää se kohdasta Turva-avaimet ensisijaiseksi menetelmäksi sovelluskoodin rinnalle.

Laitteistoavain on ainoa menetelmä, joka pysäyttää reaaliaikaisen tietojenkalastelun täysin. Jos käyttäjä syöttää salasanan ja voimassa olevan sovelluskoodin väärennetylle kirjautumissivulle, rikollinen voi käyttää niitä muutaman sekunnin ajan oikealla sivustolla. Passkey ja FIDO2-avain sitovat vahvistuksen suoraan oikeaan verkkotunnukseen, joten väärennetty sivusto ei pysty suorittamaan vahvistusta käyttäjän puolesta ollenkaan, vaikka käyttäjä yrittäisi.

Jos ylläpidät Discord-palvelinta tai moderoit yhteisöä, kaksivaiheinen tunnistautuminen kannattaa asettaa pakolliseksi kaikille tiimin jäsenille palvelimen asetuksista. Yksittäisen moderaattorin kaapattu tili riittää siihen, että rikollinen pääsee lähettämään massaviestejä, muuttamaan palvelimen sääntöjä tai jopa poistamaan koko yhteisön, jos oikeudet ovat laajat. Pakollinen 2FA ei estä kaappausta sataprosenttisesti, mutta nostaa kynnystä merkittävästi verrattuna tilanteeseen, jossa osa tiimistä käyttää pelkkää salasanaa.

Riot Gamesin ja Valorantin tilin suojaus

Riot Games -tili jää usein oppaissa taka-alalle, vaikka se muodosti GalaxyWardenin raportissa 11 prosenttia seuratuista pelialustojen tietoturvaloukkauksista. Valorantissa ja League of Legendsissä rankattu profiili, harvinaiset skinit ja vuosien pelihistoria ovat kaikki asioita, joita rikolliset myyvät eteenpäin omilla markkinapaikoillaan, usein murto-osalla niiden todellisesta arvosta mutta silti selvällä voitolla tekijälle.

  1. Kirjaudu Riot-tilin asetuksiin osoitteessa account.riotgames.com ja avaa Suojaus-välilehti.
  2. Ota käyttöön kaksivaiheinen todennus sähköpostin lisäksi autentikaattorisovelluksella, jos alue ja tili tukevat sitä.
  3. Tarkista yhdistetyt kolmannen osapuolen sovellukset ja poista ne, joita et enää käytä, erityisesti vanhat tilastosivustot ja statistiikkabotit.
  4. Vaihda salasana, jos olet joskus kirjautunut tilille epäluotettavan kolmannen osapuolen Elo-boost- tai rankinnostopalvelun kautta.

Viimeinen kohta on erityisen tärkeä. Rankinnostopalvelut ja “Elo boost” -palvelut vaativat käytännössä aina salasanan jakamista kolmannelle osapuolelle, mikä rikkoo myös Riotin käyttöehtoja ja altistaa tilin suoraan varkaudelle. Jos olet joskus käyttänyt tällaista palvelua, vaihda salasana nyt, vaikka käyttökerrasta olisi aikaa, koska et voi tietää, onko tunnuksia tallennettu jonnekin edelleen.

Riot-tili on myös yhteinen kaikille studion peleille, mukaan lukien League of Legends, Valorant, Teamfight Tactics ja Legends of Runeterra, joten yksi kaappaus vaikuttaa automaattisesti kaikkiin näihin peleihin samanaikaisesti. Tämä yhteinen tilijärjestelmä tekee 2FA:n käyttöönotosta erityisen kustannustehokkaan toimenpiteen: yksi lyhyt toimenpide suojaa useamman pelin sisällön kerralla, eikä suojausta tarvitse toistaa peli kerrallaan niin kuin esimerkiksi erillisten mobiilipelien kohdalla usein joutuu tekemään.

Vaihe 13: Varmuuskoodien turvallinen tallennus

Tämä on vaihe, jonka suurin osa pelaajista jättää puolitiehen. Varmuuskoodit kirjoitetaan muistiinpanosovellukseen, kuvakaappaus otetaan ja ladataan pilveen, ja sama pilvitili on sitten yksi vuotanut salasana päässä kaikesta. Oikea tapa on pitää koodit kokonaan erillään aktiivisesti käytössä olevista tileistä.

Yksi käytännöllinen tapa on salata varmuuskoodit paikallisesti ennen tallennusta, jolloin pelkkä tiedoston löytäminen ei riitä rikolliselle:

# Kirjoita varmuuskoodit tavalliseen tekstitiedostoon
nano steam-varmuuskoodit.txt

# Salaa tiedosto AES-256-algoritmilla, kysyy salasanan interaktiivisesti
gpg --symmetric --cipher-algo AES256 steam-varmuuskoodit.txt

# Poista alkuperäinen tiedosto turvallisesti, älä vain roskakoriin
shred -u steam-varmuuskoodit.txt

# Pura koodit tarvittaessa
gpg --decrypt steam-varmuuskoodit.txt.gpg

Salattu .gpg-tiedosto voi sen jälkeen asua turvallisesti vaikka pilvipalvelussa, koska sen avaaminen vaatii erillisen salasanan, jota ei ole tallennettu minnekään muualle. Vaihtoehtoisesti moni salasananhallinta, kuten Bitwarden tai KeePassXC, tarjoaa oman salatun kentän juuri tällaisille varmuuskoodeille.

Alustojen suojausvaihtoehdot vertailussa

Alustojen välillä on yhä selviä eroja siinä, mitä suojausmenetelmiä ne tukevat. Taulukko kokoaa tilanteen lokakuussa 2026.

AlustaMobiiliautentikaattoriFIDO2-laitteistoavainPasskey-tukiPalautus ilman 2FA:ta
SteamKyllä, Steam GuardEiEiSähköposti + odotusaika
PlayStation NetworkKylläOsittainKylläSähköposti + tukipalvelu
Xbox / MicrosoftKyllä, AuthenticatorKylläKylläSähköposti + puhelin
Epic GamesKylläEiEiSähköposti
DiscordKylläKylläEiSähköposti + varmuuskoodi

Xbox ja Discord tarjoavat laajimman valikoiman, mukaan lukien FIDO2-laitteistoavaimet. Steam ja Epic Games nojaavat edelleen pelkkään sovelluspohjaiseen koodiin, mikä on parempi kuin sähköposti, mutta heikompi kuin passkey tai laitteistoavain reaaliaikaista tietojenkalastelua vastaan.

Taulukon rivejä kannattaa lukea yhdessä edellisen vertailun kanssa: alusta, joka tukee laajimmin passkeytä ja laitteistoavaimia, ei automaattisesti ole turvallisin, jos käyttäjä ei koskaan ota kyseistä ominaisuutta käyttöön. Tuki on vain mahdollisuus, ei suojaus itsessään. Käytännössä suurin yksittäinen parannus tulee siitä, että jokin 2FA-menetelmä ylipäätään otetaan käyttöön kaikilla viidellä alustalla, eikä siitä, valitseeko lopulta sovelluskoodin, passkeyn vai laitteistoavaimen, vaikka järjestys tässä oppaassa suosittelee vahvinta vaihtoehtoa aina kun se on tarjolla.

Täydellinen projekti: automaattinen pelitilien suojaustarkistus

Kertaluonteinen suojaus rapistuu ajan myötä: uusi tili perustetaan kiireessä ilman 2FA:ta, salasana vanhenee, varmuuskoodit katoavat muutossa. Seuraava pieni projekti luo paikallisen tarkistuslistan, joka muistuttaa, mitkä tilit kaipaavat huomiota.

Projektin tarkoitus ei ole korvata itse 2FA:ta tai passkeytä, vaan toimia muistin jatkeena. Yksikään automaattinen skripti ei pysty ottamaan Steam Guardia käyttöön puolestasi tai rekisteröimään laitteistoavainta Discordiin, koska nämä toimenpiteet vaativat aina ihmisen vahvistuksen alustan omassa käyttöliittymässä. Skriptin arvo tulee siitä, että se pitää kirjaa tehdyistä ja tekemättömistä toimenpiteistä yhdessä paikassa, jolloin unohtaminen ei ole enää yhtä helppoa kuin silloin, kun tiedot ovat hajallaan muistissa ja selainhistoriassa.

Ensin tilien tila kirjataan yksinkertaiseen JSON-tiedostoon:

[
  {"alusta": "Steam", "kaksivaiheinen": true, "varmuuskoodit_tallennettu": true, "salasana_ika_paivina": 120},
  {"alusta": "Discord", "kaksivaiheinen": false, "varmuuskoodit_tallennettu": false, "salasana_ika_paivina": 430},
  {"alusta": "PlayStation Network", "kaksivaiheinen": true, "varmuuskoodit_tallennettu": false, "salasana_ika_paivina": 90},
  {"alusta": "Xbox", "kaksivaiheinen": true, "varmuuskoodit_tallennettu": true, "salasana_ika_paivina": 45},
  {"alusta": "Epic Games", "kaksivaiheinen": false, "varmuuskoodit_tallennettu": false, "salasana_ika_paivina": 300}
]

Sitten yksinkertainen Python-skripti lukee tiedoston ja tulostaa raportin puutteista:

import json

with open("tilit.json", encoding="utf-8") as f:
    tilit = json.load(f)

tulokset = []
for tili in tilit:
    puuttuu = []
    if not tili.get("kaksivaiheinen"):
        puuttuu.append("2FA pois päältä")
    if not tili.get("varmuuskoodit_tallennettu"):
        puuttuu.append("varmuuskoodit puuttuvat")
    if tili.get("salasana_ika_paivina", 0) > 365:
        puuttuu.append("salasana yli vuoden vanha")
    if puuttuu:
        tulokset.append({"alusta": tili["alusta"], "puutteet": puuttuu})

if tulokset:
    print(json.dumps(tulokset, indent=2, ensure_ascii=False))
else:
    print("Kaikki tilit kunnossa.")

Lopuksi skripti ajastetaan cronilla, jotta tarkistus muistaa itse tehdä itsensä:

# Avaa crontab-muokkain
crontab -e

# Ajetaan tarkistus joka sunnuntai klo 9, tulos talteen lokitiedostoon
0 9 * * 0 /usr/bin/python3 /home/pelaaja/tiliaudit.py >> /home/pelaaja/audit.log 2>&1

Esimerkkitiedostolla ajo tulostaisi seuraavaa:

[
  {
    "alusta": "Discord",
    "puutteet": ["2FA pois päältä", "varmuuskoodit puuttuvat", "salasana yli vuoden vanha"]
  },
  {
    "alusta": "PlayStation Network",
    "puutteet": ["varmuuskoodit puuttuvat"]
  },
  {
    "alusta": "Epic Games",
    "puutteet": ["2FA pois päältä", "varmuuskoodit puuttuvat"]
  }
]

Projekti on tarkoituksella yksinkertainen, jotta sitä on helppo laajentaa. Seuraava järkevä lisä on yhdistää se Have I Been Pwned -rajapintaan, jolloin skripti hälyttää myös silloin, kun tiliin liitetty sähköposti ilmestyy uudessa tietovuodossa. Tämän automaation rakentamista käsitellään tarkemmin Have I Been Pwned -oppaassa.

Skriptiin kannattaa lisätä myös virheenkäsittely, ennen kuin sitä ajaa luottamuksella taustalla. Alkuperäinen versio olettaa, että tilit.json on aina olemassa ja oikein muotoiltu, mikä ei pidä paikkaansa, jos tiedosto siirretään toiselle koneelle tai sitä muokataan käsin. Käytännössä riittää, että json.load-kutsu kääritään try-except-lohkoon ja virhetilanteessa tulostetaan selkeä viesti sen sijaan, että skripti kaatuu jäljityksellä, jota kukaan ei ehdi lukea kolmannen kerran peräkkäin.

Toinen käytännöllinen laajennus on lähettää raportti sähköpostitse tai puhelimeen push-ilmoituksena esimerkiksi ntfy- tai Pushover-palvelun kautta, jos puutteita löytyy. Tällöin tarkistus ei vaadi, että joku muistaa avata lokitiedoston käsin viikoittain, vaan huomio tulee automaattisesti silloin, kun jokin tili vaatii toimenpiteitä. Kolmas laajennus, joka sopii isommille kaveriporukoille tai klaaneille, on jakaa sama skripti useammalle käyttäjälle yhteisellä tilit.json-pohjalla, jolloin koko ryhmän suojaustaso näkyy yhdessä raportissa.

Pelitilien tietoturvaloukkaukset 2026 lukuina

GalaxyWardenin raportin jakauma auttaa priorisoimaan, mitä tiliä kannattaa suojata ensin, jos aikaa on vähän.

AlustaOsuus seuratuista tietoturvaloukkauksista
Steam23 %
Discord19 %
Epic Games14 %
Riot Games11 %
Muut alustat yhteensä33 %

Steam ja Discord kattavat yhdessä noin 42 prosenttia seuratuista tapauksista, mikä tukee tämän oppaan järjestystä: molemmat kannattaa suojata ensin. Erään vuoden 2025 kattaneen pelihuijaustutkimuksen mukaan pelkästään Steamia, PlayStationia tai Xboxia jäljittelevien tietojenkalasteluyritysten määrä nousi yli kahteen miljoonaan, mikä kertoo, että kyse ei ole marginaalisesta ilmiöstä vaan jatkuvasti toistuvasta hyökkäysmallista.

Luvut eivät kerro suoraan, kuinka suuri osa näistä tapauksista oli estettävissä 2FA:lla, mutta ala tuntee tilanteen käytännössä riittävän hyvin, jotta voi todeta jotain yleisempää: valtaosa onnistuneista tilikaappauksista perustuu vuotaneeseen tai arvattuun salasanaan yhdistettynä puuttuvaan toiseen vahvistusvaiheeseen, eikä kehittyneeseen tekniseen murtoon itse alustan infrastruktuuria vastaan. Tämä on hyvä uutinen tavalliselle pelaajalle: suurin osa riskistä on juuri niiden asioiden varassa, joihin tässä oppaassa esitellyt 13 vaihetta puuttuvat suoraan.

Yleiset sudenkuopat pelitilin suojauksessa

Seuraavat virheet toistuvat eniten, kun pelaajat ottavat suojauksia käyttöön itse. Osa niistä tuntuu pieneltä yksityiskohdalta tekohetkellä, mutta juuri niiden varaan rikolliset rakentavat onnistuneimmat hyökkäyksensä.

  • Varmuuskoodit kuvakaappauksena samassa pilvessä kuin itse tili. Jos pilvitili vuotaa, varmuuskoodit vuotavat sen mukana, ja koko 2FA-suojaus menettää merkityksensä yhdellä iskulla.
  • Sama salasana sähköpostissa ja pelitilillä. Yksi vuoto avaa molemmat kerralla, ja vuodot leviävät yleensä juuri tätä reittiä, koska rikollinen testaa vuotaneen salasanan automaattisesti kaikilla tunnetuilla palveluilla.
  • Tekstiviesti-2FA ensisijaisena menetelmänä. SIM-kaappaus ohittaa sen kokonaan ilman teknistä murtoa, pelkällä puhelimella operaattorin asiakaspalveluun soittamalla ja esiintymällä puhelinnumeron oikeana omistajana.
  • 2FA otetaan käyttöön, mutta linkitettyä sähköpostia ei suojata ollenkaan. Pelitilin suojaus on yhtä vahva kuin sen takana olevan sähköpostin suojaus, ei yhtään vahvempi.
  • Autentikaattorisovellus varmuuskopioidaan vain yhteen puhelimeen. Puhelimen rikkoutuessa, kadotessa tai vaihtuessa kaikki koodit katoavat, jos varmuuskoodeja ei ole talletettu erikseen jonnekin muualle.
  • Linkki “tilisi on vaarassa” -viestistä avataan kiireessä. Aito alusta ei koskaan pyydä salasanaa suoraan viestissä tai keskustelusovelluksessa, eikä vaadi toimimaan muutaman minuutin sisällä uhkaamalla tilin sulkemisella.
  • Autentikaattori poistetaan käytöstä “väliaikaisesti” ongelman selvittämisen ajaksi. Monet huijaukset perustuvat juuri siihen, että uhri suostutellaan poistamaan suojaus itse hetkeksi, jonka aikana tili ehditään kaapata.
  • Kaikille alustoille käytetään samaa käyttäjätunnusta ja sähköpostin etuliitettä. Tämä helpottaa rikollista yhdistämään tilit toisiinsa ja kohdistamaan samalla kerralla useita hyökkäyksiä yhtä henkilöä vastaan.

Vianmääritys: yleisimmät ongelmat 2FA:n ja passkeyn kanssa

Suojauksen käyttöönotto menee harvoin täysin ongelmitta ensimmäisellä yrittämällä. Suurin osa viesteistä, joita pelaajat lähettävät alustojen tuelle 2FA:n tai passkeyn käyttöönoton jälkeen, liittyy muutamaan toistuvaan juurisyyhyn, joiden tunnistaminen etukäteen säästää paljon turhautumista. Seuraava taulukko kokoaa kahdeksan yleisintä ongelmaa, joita pelaajat kohtaavat suojausta käyttöön ottaessaan, ja mitä niille kannattaa tehdä.

OngelmaTodennäköinen syyRatkaisu
Steam Guard -koodi ei kelpaaPuhelimen kello on epätarkkaOta puhelimen kellosta käyttöön automaattinen aikavyöhyke ja aika
Varmuuskoodi hylätään DiscordissaKoodi on jo käytetty aiemminGeneroi uusi koodisarja tiliasetuksista
Passkey ei tallennu PlayStationillaKonsolin järjestelmäohjelmisto on vanhaPäivitä konsolin ohjelmisto uusimpaan versioon ennen uutta yritystä
Puhelin hukassa, autentikaattori kadonnutEi varmuuskopioitua palautusavaintaKäytä alussa tallennettua 64-merkkistä Revocation Code -avainta
Laitteistoavain ei rekisteröidy DiscordissaSelain estää WebAuthn-pyynnönVaihda selain tai poista laajennukset, jotka estävät suojausrajapinnan
Xbox pyytää jatkuvasti uutta vahvistustaKonsoli ei ole merkitty luotetuksi laitteeksiMerkitse laite luotetuksi tiliasetuksista kirjautumisen jälkeen
Epic Games -koodi ei saavu sähköpostiinViesti roskapostikansiossa tai viive palveluntarjoajallaTarkista roskaposti ja lisää Epicin lähettäjäosoite sallittujen listalle
Sähköposti ei tunnista autentikaattoria palautuksen jälkeenVanha laite jäi edelleen listalle luotettunaPoista kaikki vanhat laitteet listalta ja lisää nykyinen laite uudelleen

Suurin osa näistä ongelmista ratkeaa, kun muistaa yhden periaatteen: koodit ja laitteet on sidottu kelloon ja laitetunnistukseen, ei ihmiseen. Jos jokin tuntuu menevän pieleen toistuvasti, tarkista ensin puhelimen kellonaika ja vasta sen jälkeen itse tiliasetukset. Jos ongelma ei poistu edellä mainituilla keinoilla, kannattaa kokeilla vielä toista verkkoyhteyttä, koska osa yritys- ja kouluverkoista estää WebAuthn- ja FIDO2-liikenteen palomuurisäännöillä, jotka eivät näy käyttäjälle selkeänä virheilmoituksena, vaan pyyntö näyttää vain jumittuvan loputtomiin.

Mitä tehdä, jos pelitili on jo hakkeroitu

Jos huomaat, että tiliin on kirjauduttu tuntemattomalta laitteelta tai pelejä ja esineitä on kadonnut, nopeus ratkaisee enemmän kuin täydellinen suunnitelma. Ensimmäiset minuutit ratkaisevat usein, ehtiikö rikollinen vielä siirtää esineitä eteenpäin tai vaihtaa sähköpostiosoitteen, jolloin palautus vaikeutuu huomattavasti.

  1. Vaihda ensin linkitetyn sähköpostin salasana, koska rikollinen on saattanut vaihtaa myös palautusosoitteen.
  2. Kirjaudu pelialustalle ja vaihda salasana, kirjaa samalla ulos kaikista aktiivisista istunnoista.
  3. Ota yhteyttä alustan tukeen viipymättä: Steamin virallinen tukiohje kehottaa toimimaan heti, kun tili vaikuttaa vaarantuneelta, ja tarkistamaan samalla linkitetyn sähköpostin tilan.
  4. Tarkista maksutapahtumat ja riitauta luvattomat ostot pankin tai maksupalvelun kautta.
  5. Ota 2FA käyttöön palautuksen jälkeen välittömästi, ennen kuin palautat tiliä normaalikäyttöön.
  6. Varoita kaverilistaa, jos tili on ehtinyt lähettää huijauslinkkejä muille käyttäjän puolesta.

Steam varoittaa erikseen huijareista, jotka esiintyvät Steam-tukena Discordissa, Steam Chatissa tai kaverin vaarantuneelta tililtä. Aito tuki ei koskaan pyydä siirtymään kolmannen osapuolen sivustolle “tilin vahvistamiseksi”, eikä se koskaan tarvitse salasanaa tai koko vahvistuskoodia nähdäkseen.

Palautusprosessin aikana kannattaa dokumentoida kaikki vaiheet: milloin huomasit kaappauksen, mitä viestejä sait tukipalvelulta ja mitä esineitä tai ostoja puuttuu. Tämä ei ole vain byrokratiaa, vaan käytännön varotoimi, jos joutuu riitauttamaan maksuja pankin kanssa tai todistamaan vahingon laajuuden tukipalvelulle useamman yhteydenoton aikana. Moni tukiprosessi vaatii useita kierroksia ennen kuin tili palautuu kokonaan, ja selkeä aikajana nopeuttaa asian käsittelyä huomattavasti verrattuna siihen, että joutuu muistelemaan tapahtumien järjestystä jälkikäteen.

Edistyneet vinkit striimaajille, kauppiaille ja perheille

Perustaso riittää valtaosalle pelaajista, mutta tiettyihin tilanteisiin kannattaa panostaa enemmän.

  • Striimaajat: käytä erillistä sähköpostiosoitetta pelitileille kuin itse striimauskanavalle, jotta yhteisölle näkyvä osoite ei toimi suoraan hyökkäysreittinä pelitileihin.
  • Kauppiaat (Steam Market, item trading): ota käyttöön Steamin kaupankäyntilukko, joka viivästyttää esineiden siirtoa 15 vuorokaudella, jos autentikaattori poistetaan tai vaihdetaan äskettäin.
  • Perheet: erota lasten tilit omilla sähköpostiosoitteillaan vanhemman tilistä, jotta yhden tilin kaappaus ei avaa pääsyä koko perheen maksutietoihin.
  • Useita alustoja käyttävät: käytä eri autentikaattorisovellusta tai vähintään eri profiilia kullekin alustaryhmälle, jotta yksittäisen sovelluksen varmuuskopio-ongelma ei lukitse kaikkia tileja samaan aikaan.
  • Yrittäjät ja sisällöntuottajat, joilla on sponsorikoodeja tai maksettuja yhteistyöpaketteja tilillä: harkitse laitteistoavainta ensisijaiseksi menetelmäksi kaikkialla missä se on tuettu, koska taloudellinen riski on tavallista pelaajaa suurempi.
  • Kilpailullista peliä harrastavat: jos osallistut turnauksiin, selvitä etukäteen järjestäjän vaatimukset tilin suojaukselle, koska osa turnausalustoista vaatii erillisen todennuksen eikä hyväksy enää pelkkää salasanaa kirjautumishetkellä.
  • Vanhat, käytöstä poistuneet tilit: älä jätä niitä roikkumaan ilman 2FA:ta vain siksi, ettet pelaa niillä enää. Poistettu tai suojaamaton vanha tili on yhä osa hyökkäyspintaa, ja se kannattaa joko suojata samalla tasolla kuin aktiiviset tilit tai poistaa kokonaan alustan omien ohjeiden mukaisesti.

CGMagazinen vuoden 2026 koosteen mukaan pelaajien taloudellinen riski on kasvanut samaa tahtia kuin tilien sisällön arvo, koska yhä useampi peli sisältää lompakko-ominaisuuksia, kausipasseja ja kaupankäyntiä oikealla rahalla. Mitä enemmän rahaa tiliin on sidottu, sitä vähemmän kannattaa luottaa yksittäiseen suojauskerrokseen.

Kaikille näille ryhmille yhteinen käytännön vinkki on säännöllinen istunnonhallinta: käy läpi kunkin alustan “Aktiiviset laitteet” tai “Aktiiviset istunnot” -lista kerran kuukaudessa ja kirjaa ulos kaikki, mitä et tunnista tai muista käyttäneesi viimeisten kolmen kuukauden aikana. Tämä on yksinkertainen tapa löytää hiljaisia kaappauksia, joissa rikollinen on päässyt sisään mutta ei ole vielä tehnyt mitään näkyvää, odottaen parempaa hetkeä toimia.

Kun kaikki 13 vaihetta on käyty läpi, pelitilien suojaustaso on huomattavasti lähempänä sitä, mitä pankki- ja viranomaispalveluilta vaaditaan Suomessa ja muualla Pohjoismaissa. Yksikään yksittäinen toimenpide ei tee tilistä täysin läpäisemättömäntä, mutta sähköpostin suojaus, sovelluspohjainen 2FA tai passkey, erillään tallennetut varmuuskoodit ja säännöllinen istunnonhallinta yhdessä nostavat kynnystä niin paljon, että valtaosa yleisimmistä hyökkäystavoista ei yksinkertaisesti toimi enää. Juuri tätä vastaan rikolliset mittaavat kohteitaan: he etsivät helpoimman tilin, ei vahvimmin suojattua.

Usein kysytyt kysymykset

Riittääkö tekstiviestivarmistus, jos autentikaattorisovellus tuntuu hankalalta?
Se on parempi kuin ei mitään, mutta se on heikoin vaihtoehto, koska SIM-kaappaus ohittaa sen kokonaan operaattorin asiakaspalvelun kautta. Käytä tekstiviestiä vain väliaikaisena ratkaisuna, ennen kuin ehdit asentaa autentikaattorisovelluksen. Useimmilla alustoilla sovelluspohjaisen autentikaattorin käyttöönotto vie saman verran aikaa kuin tekstiviestivahvistuksen asettaminen, joten hankaluuden tunne on usein pikemminkin tottumattomuutta kuin todellinen tekninen esteen.

Voiko samaa autentikaattorisovellusta käyttää kaikille viidelle alustalle?
Kyllä, yleiskäyttöinen TOTP-sovellus kuten Authy tai Aegis toimii useimmilla alustoilla, paitsi Steamilla, joka vaatii oman Steam Guard -sovelluksensa suljetun protokollan vuoksi.

Mitä passkey käytännössä tarkoittaa tavalliselle pelaajalle?
Se on salasanan korvaava kirjautumistapa, joka tallentuu laitteen suojattuun muistiin ja toimii sormenjäljellä, kasvotunnistuksella tai PIN-koodilla. Sitä ei voi syöttää vahingossa väärennetylle sivustolle, koska se on sidottu oikeaan verkkotunnukseen.

Mitä teen, jos hukkaan puhelimen, jossa autentikaattori oli?
Käytä käyttöönoton yhteydessä tallennettua palautusavainta tai varmuuskoodeja kirjautuaksesi sisään uudella laitteella ja asentaaksesi autentikaattorin uudelleen. Tämän takia varmuuskoodien tallentaminen erilleen puhelimesta on kriittinen vaihe, ei valinnainen lisä. Jos varmuuskoodeja ei löydy mistään, viimeinen keino on tukipalvelun kautta tehtävä henkilöllisyyden todistaminen, joka on hitaampi ja vaatii usein ostohistorian tai tilitietojen tarkempaa dokumentointia.

Kannattaako ostaa erillinen laitteistoavain, jos jo käytän autentikaattorisovellusta?
Jos tilillä on merkittävä taloudellinen arvo, kuten kauppatavaraa tai sponsorisopimuksia, laitteistoavain on perusteltu lisäkerros, koska se on ainoa menetelmä, joka pysäyttää reaaliaikaisen tietojenkalastelun kokonaan. Hinta on tyypillisesti muutaman kymmenen euron luokkaa laitetta kohden, mikä on pieni summa verrattuna siihen, mitä yhden kaapatun tilin palauttaminen voi viedä aikaa ja hermoja.

Miksi Steam ei tue passkeytä, vaikka PlayStation tukee?
Alustat päivittävät suojausmenetelmiään eri tahtiin. Steam on toistaiseksi pitäytynyt omassa Steam Guard -autentikaattorissaan, kun osa muista alustoista on siirtynyt laajemmin tukemaan FIDO2-standardin mukaisia passkeyjä ja laitteistoavaimia.

Voiko tämän oppaan tarkistusskriptin ajaa Windowsilla?
Kyllä, Python-skripti toimii samalla tavalla Windowsissa, macOS:ssä ja Linuxissa. Ajastamiseen käytetään Windowsissa Tehtävienajoitinta crontabin sijaan, mutta itse skripti ja JSON-tiedosto pysyvät samoina.

Kuinka usein tilien suojaus kannattaa tarkistaa uudelleen?
Neljännesvuosittain on hyvä väli tavalliselle pelaajalle. Striimaajille, kauppiaille ja perheille, joilla on useita linkitettyjä tileja, kuukausittainen tarkistus on perustellumpi, koska uusia alitileja ja yhteyksiä syntyy useammin. Tämän oppaan lopussa esitelty automaattinen tarkistusskripti tekee tästä käytännössä ilmaisen toimenpiteen, kun se on kerran ajastettu.

Kannattaako kaikilla alustoilla käyttää täysin eri salasanaa?
Kyllä, aina. Jos sama salasana toistuu useammalla alustalla, yhden palvelun tietomurto riittää avaamaan kaikki muutkin, vaikka kyseisillä muilla alustoilla ei olisi ollut mitään vikaa omassa suojauksessaan. Salasananhallinta tekee uniikkien salasanojen ylläpidosta käytännössä yhtä helppoa kuin yhden salasanan muistamisesta.

Miksi Discordin suojaus on niin tärkeää, vaikka se ei ole varsinainen pelialusta?
Koska kaapattu Discord-tili toimii hyökkäysalustana muita vastaan. Se lähettää haitallisia linkkejä luotettuna lähteenä kaveriporukalle tai yhteisölle, mikä tekee seuraavasta huijausaallosta huomattavasti tehokkaamman kuin jos linkki tulisi tuntemattomalta tililtä.

Täytyykö kaikki 13 vaihetta tehdä juuri tässä järjestyksessä?
Ei pakollisesti, mutta järjestys on suunniteltu niin, että perusta tulee ensin: sähköposti ennen pelitileja, ja pelitilit sen mukaan, kuinka suuri niiden osuus seuratuista tietoturvaloukkauksista on. Jos jokin alusta on sinulle henkilökohtaisesti arvokkaampi kuin tilastollinen keskiarvo antaisi ymmärtää, esimerkiksi koska siihen on sidottu kaupankäyntiä tai striimaustuloja, on täysin perusteltua nostaa se järjestyksessä ylemmäs.