Varastetuista käyttäjätunnuksista alkanut Jaguar Land Roverin kyberhyökkäys päätyi pysäyttämään kokonaisia tehtaita ja alihankintaketjuja. Kokonaisvaikutukset olivat niin rajuja, että sen on arvioitu näkyneen jopa Britannian viime vuoden talouskasvussa.
Kun kyberhyökkäys pysäytti Jaguar Land Roverin autotehtaiden tuotannon syksyllä 2025, kyse oli nopeasti isommasta vyyhdistä kuin yhden yrityksen tietojärjestelmien palauttamisesta.
Tuotanto seisoi viikkoja, ja vaikutukset levisivät nopeasti jälleenmyyjille, huoltoon ja laajaan alihankintaverkostoon. Jälkikäteen on arvioitu, että hyökkäyksen vaikutukset ulottuivat yhteensä yli 5 000 organisaatioon ja se maksoi Britannian taloudelle noin 1,9 miljardia puntaa (2,2 miljardia euroa).
Miten Jaguar Land Roverin hyökkäys eteni? Kuka oli sen takana ja miksi? Kuuntele koko tarina Kyberrosvot-podcastin uusimmasta jaksosta. Jos et ehdi kuunnella heti, klikkaa podcast seurantaan Spotifyssa ja kuuntele silloin kuin sinulle sopii.
Heikoin lenkki voi löytyä oman yrityksen ulkopuolelta
Jaguar Land Roverin tapauksen mittakaava on omaa luokkaansa, mutta se on hyvä esimerkki siitä, miten yhden yrityksen kyberongelma voi nopeasti levitä asiakkaisiin, toimittajiin ja alihankkijoihin.
DNA:n kyberturva-asiantuntija Katariina Kannus muistuttaa podcastissa, että suomalaisetkin yritykset toimivat yhä verkottuneemmassa ympäristössä ja pitkissä kansainvälisissä alihankintaketjuissa, joissa järjestelmät ja yritykset ovat tiiviisti yhteydessä toisiinsa.
“Jatkuvuuden- ja riskienhallinnan tulee sisältää myös yrityksen muu ympäristö eli kolmannet osapuolet, alihankintaketjut, asiakkaat – siis kaikki se ympäristö, minkä keskellä yritys toimii. Toimitusketjut ovat nykyään pitkiä ja monimutkaisia”, Kannus sanoo.
AON Finlandin Nordic Cyber Consulting Lead Sami Moilasen mukaan suomalaisyritykset suojaavat jo varsin hyvin omia ympäristöjään. Se ei kuitenkaan riitä, jos oman toiminnan kannalta kriittisiä toimittajia ja palveluntarjoajia ei tunnisteta.
“Heikoin lenkki voi sijaita ihan muualla kuin siinä ympäristössä, mistä itse vastaa”, Moilanen muistuttaa podcastissa.
Kyberriski on aina liiketoimintariski
Toimitusketjujen riippuvuudet tekevät kyberturvallisuudesta IT:tä laajemman kysymyksen. Häiriö yhdessä järjestelmässä tai yrityksessä voi pahimmillaan vaikuttaa siihen, pystyykö toinen yritys jatkamaan toimintaansa.
Kannuksen mukaan liiketoiminnan pitääkin olla tiukasti mukana arvioimassa kyberriskien suuruutta ja vaikutuksia sekä määrittämässä, millaisen riskitason yritys on valmis hyväksymään.
“Kyberriskien hallinta on tärkeä osa jokaisen yrityksen jatkuvuuden- ja riskienhallintaa. Ne ovat ihan tyypillisiä liiketoiminnan johtamisen välineitä.”
Suurin lasku syntyy usein keskeytyksestä
Kyberhyökkäyksen kustannuksissa huomio kiinnittyy helposti hyökkäyksen selvittämiseen ja järjestelmien palauttamiseen. Nekin voivat maksaa paljon.
Moilasen mukaan suurimmat taloudelliset menetykset voivat kuitenkin syntyä liiketoiminnan keskeytymisestä.
“Liiketoiminta seisoo, yritys menettää katetta, mutta kiinteät kulut juoksevat. Lisäksi maksettavaksi voi tulla esimerkiksi sopimussanktioita”, hän luettelee.
“Lisäksi mainehaitta maksaa myös aika paljon – ja helposti pitkään”, Kannus lisää.
Jos suuri osa kyberriskin taloudellisista seurauksista syntyy liiketoiminnan keskeytymisestä, voiko siihen varautua vakuuttamalla?
DNA:n kyberturva-asiantuntija Katariina Kannus ja AON Finlandin Nordic Cyber Consulting Lead Sami Moilanen vierailevat Peter Nymanin juontamassa Kyberrosvot-podcastissa puhumassa riskienhallinnasta.
Kybervakuutuksesta voi saada muutakin kuin rahaa
Moilasen mukaan kybervakuutuksessa ei ole kyse vain vahingon taloudellisesta korvaamisesta. Hän kuvailee vakuutusta myös eräänlaiseksi hätäapuverkostoksi.
“Pienemmille yrityksille voi olla hyvinkin arvokasta, että vakuutuksesta saa suoran pääsyn esimerkiksi forensiikan asiantuntijoihin, lakimiehiin ja viestinnän ammattilaisiin”, hän sanoo.
Taloudellisen turvan näkökulmasta huomio kääntyy puolestaan siihen, mitä tapahtuu, jos yrityksen toiminta häiriintyy tai pysähtyy.
Moilasen mukaan kybervakuutukset eivät ole enää vain suuryritysten työkalu, vaan niitä hankkivat nykyisin hyvin erilaiset organisaatiot.
Vakuutuksen saaminen ei kuitenkaan ole automaattista. Kybervakuuttamiseen liittyy tavallista perusteellisempi riskiarviointi.
Vakuutus ei voi korvata varautumista
Kybervakuutus voi siirtää osan yrityksen taloudellisesta riskistä vakuutettavaksi, mutta Kannus ja Moilanen korostavat, että vastuuta kyberturvallisuudesta ei voi ulkoistaa.
“Ei voi luottaa pelkästään siihen, että otan vakuutuksen ja kaikki on hoidettu, vaan pitää olla se muukin riskienhallinta ja kyberturvallisuus kunnossa”, Kannus sanoo.
Moilanen muistuttaa kiinnittämään huomioita myös vakuutuksen mitoitukseen. Yrityksellä voi olla kybervakuutus, mutta vakuutusmäärä ei välttämättä vastaa vahinkoa, joka pahimmassa tapauksessa voisi toteutua.
Lähtökohta on siksi sama vakuutuksista riippumatta: ensin on ymmärrettävä oman liiketoiminnan riippuvuudet.
“Mitkä ovat ne kolme digitaalista palvelua tai kumppania, jotka pysäyttäisivät liiketoimintasi huomenna, jos ne eivät toimisikaan”, Moilanen havainnollistaa.
“Ja jos et tiedä vastausta, niin aloita siitä.”
Miten Jaguar Land Roverin hyökkäys eteni? Kuka oli sen takana ja miksi? Kuuntele koko tarina ja keskustelu Spotifysta, Youtubesta tai mieleiseltäsi podcast-alustalta.
Kyberrosvot on kansainvälisesti palkittu Tivin & DNA:n yhteistyössä toteuttama true crime -podcast, joka esittelee kiinnostavia kyberrikostapauksia Suomesta ja ulkomailta. Sukella kyberrikosten maailmaan ja tutustu kaikkiin Kyberrosvot-jaksoihin.
