--- title: "Vahva salasana ei suojaa, jos sama salasana on monessa palvelussa" url: https://resahost.net/oppaat/vahva-salasana-ei-riita/ canonical: https://resahost.net/oppaat/vahva-salasana-ei-riita/ language: fi description: "Vahva salasana ei suojaa, jos sama salasana on monessa palvelussa. Näin vuotaneilla tunnuksilla murretaan tilejä ja näin pk-yritys suojaa omansa." author: "Olli Junes" author_url: https://resahost.net/tiimi/olli-junes/ datePublished: 2026-10-19 dateModified: 2026-10-19 related: - "Tietoturva Salasanahallinnan käyttöönotto pk-yrityksessä Lue opas → — https://resahost.net/oppaat/salasanahallinnan-kayttoonotto-pk-yritys/" - "Tietoturva Tietoturva pk-yritykselle 2026: käytännön opas Lue opas → — https://resahost.net/oppaat/tietoturva-pk-yritykselle-2026/" - "Tietoturva Kyberturvallisuuskoulutus pk-yritykselle 2026: mitä osata Lue opas → — https://resahost.net/oppaat/kyberturvallisuus-koulutus-pk-yritys-2026/" --- Tietoturva 5 min lukuaika · Päivitetty 10/2026 # Vahva salasana ei suojaa, jos sama salasana on monessa palvelussa Pitkä ja monimutkainen salasana hidastaa arvaamista. Se ei auta, jos sama salasana on käytössä palvelussa, josta tunnukset vuotavat. Hyökkääjä kokeilee vuotaneita tunnuksia muihin palveluihin automaattisesti. Suojaksi tarvitaan jokaiseen palveluun oma salasana ja kaksivaiheinen tunnistautuminen. Moni yritys neuvoo henkilöstöä tekemään pitkän salasanan, jossa on isoja kirjaimia, numeroita ja erikoismerkkejä. Neuvo on hyvä, mutta se suojaa vain yhdeltä hyökkäystavalta. Kuvitellaan, että sama salasana on käytössä verkkokaupassa, uutiskirjeen tilauksessa ja yrityksen sähköpostissa. Kun verkkokaupan tunnukset vuotavat, salasanan pituudella ei ole enää merkitystä. ## Kaksi eri hyökkäystä Arvaushyökkäyksessä (brute force) kone kokeilee salasanoja ilman ennakkotietoa. Se käy läpi merkkiyhdistelmiä ja yleisiä salasanoja. Pitkä ja monimutkainen salasana tekee arvaamisesta hidasta. Tätä vastaan vahvan salasanan neuvo toimii. Vuotaneilla tunnuksilla tehdyssä hyökkäyksessä (credential stuffing) hyökkääjällä on jo oikea sähköpostiosoite ja oikea salasana. Ne ovat peräisin jonkin toisen palvelun tietomurrosta. Hyökkääjä kokeilee samaa paria muihin palveluihin ja odottaa, että osa käyttäjistä on käyttänyt samaa salasanaa. Mitään ei tarvitse arvata. Cloudflare sanoo eron suoraan [Learning Center -artikkelissaan](https://www.cloudflare.com/learning/bots/what-is-credential-stuffing/): salasanan vahvuus ei suojaa tältä hyökkäykseltä, jos sama salasana on käytössä useammalla tilillä. ## Miksi hyökkäys kannattaa, vaikka se onnistuu harvoin Cloudflaren mukaan useat arviot asettavat onnistumisprosentin noin 0,1 prosenttiin. Tuhannesta kokeillusta tilistä aukeaa siis noin yksi. Vuotaneita tunnuksia kuitenkin myydään ja vaihdetaan listoina, joissa on miljoonia ja joskus miljardeja tunnuspareja. Miljoonan tunnusparin listasta syntyy noin tuhat murrettua tiliä. Samaa listaa voi kokeilla palvelusta toiseen. Hyökkääjä ei tee tätä käsin. Botit kokeilevat kirjautumisia samaan aikaan eri IP-osoitteista ja näyttävät eri laitteilta. Siksi tavalliset suojat eivät pysäytä niitä. Viive epäonnistuneen kirjautumisen jälkeen tai toistuvasti epäonnistuvan IP-osoitteen esto on rakennettu yhtä hyökkääjää vastaan, ei tuhansia näennäisesti eri käyttäjiä vastaan. Cloudflaren mukaan palvelun ylläpitäjä huomaa hyökkäyksen usein vain siitä, että kirjautumisyrityksiä tulee tavallista enemmän. ## Mitä tämä tarkoittaa pk-yritykselle Pienessä yrityksessä yksi tili avaa usein paljon. Sähköpostista nollataan muiden palvelujen salasanat. Pilvitallennuksessa ovat sopimukset ja palkkatiedot. Verkkosivuston hallintapaneelista voi vaihtaa sivujen sisällön. Uudelleenkäyttö syntyy yleensä arjesta. Kun palveluja on kymmeniä, ihminen keksii yhden hyvän salasanan ja käyttää sitä kaikkialla. Joskus hän vaihtaa siitä vain lopun numeron. Se ei tee salasanasta uutta, koska muunnelman voi kokeilla yhtä helposti kuin alkuperäisen. Tunnukset liikkuvat myös yrityksen sisällä. Yhteinen tunnus kirjoitetaan viestiin tai taulukkoon, koska muuta tapaa ei ole sovittu. Kun joku lähtee yrityksestä, kukaan ei tiedä varmasti, mitkä salasanat hän tiesi. ## Näin suojaat tilit Cloudflaren neuvo käyttäjälle on lyhyt: jokaiseen palveluun oma salasana. Jos kaikki salasanat ovat erilaisia, vuotanut salasana ei avaa mitään muuta. Cloudflare mainitsee salasanahallinnan helppona tapana hoitaa tämä. Lisäksi se kehottaa ottamaan kaksivaiheisen tunnistautumisen käyttöön aina, kun palvelu sitä tarjoaa. Yrityksessä tämä tarkoittaa neljää asiaa: 1. Salasanahallinta luo jokaiseen palveluun pitkän satunnaisen salasanan. Kenenkään ei tarvitse muistaa niitä. 2. Kaksivaiheinen tunnistautuminen otetaan käyttöön ainakin sähköpostissa, pilvitallennuksessa, kirjanpidossa ja verkkosivuston hallinnassa. Hyökkääjä, jolla on pelkkä salasana, ei pääse sisään. 3. Uudelleenkäytetyt salasanat vaihdetaan. Aloita sähköpostista, koska sen kautta nollataan muut. 4. Yhteiset tunnukset siirretään jaettuun holviin. Kun työntekijä lähtee, näet, mihin tunnuksiin hänellä oli pääsy, ja vaihdat ne. Yritys ei voi valvoa, millaisia salasanoja työntekijä käyttää ulkopuolisissa palveluissa. Se voi kuitenkin antaa työkalun, jolla oikea tapa on helpompi kuin väärä. ## Vuotaneen salasanan tarkistus ei yksin riitä Osa palveluista vertaa uutta salasanaa tunnettujen vuotaneiden salasanojen listaan ennen kuin hyväksyy sen. Cloudflaren mukaan tämä auttaa, mutta ei ole aukoton. Käyttäjä voi käyttää samaa salasanaa palvelussa, josta tunnukset eivät ole vielä vuotaneet. Sama koskee salasanahallinnan varoituksia. 1Passwordin Watchtower varoittaa heikoista, uudelleenkäytetyistä ja tietomurroissa vuotaneista salasanoista. Se kertoo myös, jos kaksivaiheinen tunnistautuminen puuttuu. Varoitus kertoo, mikä pitää vaihtaa. Vaihtaminen jää silti jonkun tehtäväksi, joten sovi, kuka sen tekee. ## Jos asiakkaasi kirjautuvat sinun palveluusi Verkkokaupassa, asiakasportaalissa tai muussa palvelussa, johon asiakkaat kirjautuvat, hyökkäys kohdistuu myös sinuun. Sinun järjestelmääsi ei tarvitse olla murrettu. Hyökkääjä kokeilee muualta vuotaneita tunnuksia sinun asiakkaidesi tileihin. Cloudflare listaa ylläpitäjän keinoiksi kaksivaiheisen tunnistautumisen, CAPTCHAn kirjautumisessa ja bottien hallinnan. Bottien hallinta rajoittaa kirjautumisyrityksiä ja tunnistaa huonomaineiset IP-osoitteet. Cloudflare myy itse bottien hallintaa, joten artikkelin suositus vahvimmasta suojasta on myös myyjän suositus. Kaksivaiheinen tunnistautuminen on hyvä aloitus, oli palvelusi millä alustalla tahansa. ## Kun haluat aloittaa ResaHost ottaa yrityksesi käyttöön [salasanahallinnan](https://resahost.net/palvelut/salasanahallinta/) 1Password Businessilla. Luomme tilin Euroopan alueelle, lisäämme käyttäjät ja autamme tunnusten siirrossa. Käyttöönoton vaiheet kerrotaan oppaassa [salasanahallinnan käyttöönotto pk-yrityksessä](https://resahost.net/oppaat/salasanahallinnan-kayttoonotto-pk-yritys/). Muut tietoturvan perusasiat löydät oppaasta [tietoturva pk-yritykselle](https://resahost.net/oppaat/tietoturva-pk-yritykselle-2026/). ## Usein kysyttyä ### Riittääkö, että salasana on pitkä? Ei, jos samaa salasanaa käytetään muualla. Pituus hidastaa arvaamista. Vuotaneilla tunnuksilla tehty hyökkäys ei arvaa mitään, vaan kokeilee salasanaa, joka on jo hyökkääjän tiedossa. ### Mitä credential stuffing tarkoittaa? Hyökkäystä, jossa yhden palvelun tietomurrossa vuotaneita tunnuksia kokeillaan muihin palveluihin. Se onnistuu, kun käyttäjä on käyttänyt samaa salasanaa useammassa paikassa. ### Mistä tiedän, onko salasanani vuotanut? Salasanahallinta voi varoittaa tietomurroissa vuotaneista salasanoista. 1Passwordissa tämän tekee Watchtower. Jos salasana on vuotanut, vaihda se kaikkiin palveluihin, joissa käytit sitä. ### Suojaako kaksivaiheinen tunnistautuminen, vaikka salasana olisi vuotanut? Se pysäyttää kirjautumisen, jossa hyökkääjällä on vain salasana. Vuotanut salasana kannattaa silti vaihtaa. ## Lähteet Cloudflare: What is credential stuffing?, [https://www.cloudflare.com/learning/bots/what-is-credential-stuffing/](https://www.cloudflare.com/learning/bots/what-is-credential-stuffing/), luettu 19.10.2026. Salasanahallinta käyttöön 1Password Business, käyttöönotto ja tuki suomeksi. Hinta sovitaan tarjouksella. Pyydä tarjous ![Olli Junes](https://resahost.net/assets/team/ollijunes.webp) Kirjoittaja Olli Junes perustaja ja toimitusjohtaja, ResaHost · Rovaniemellä 19.10.2026 @resacolli LinkedIn ## Lue seuraavaksi Tietoturva ### Salasanahallinnan käyttöönotto pk-yrityksessä Lue opas → Tietoturva ### Tietoturva pk-yritykselle 2026: käytännön opas Lue opas → Tietoturva ### Kyberturvallisuuskoulutus pk-yritykselle 2026: mitä osata Lue opas → Näkymä 2: asetukset Tietosuoja · GDPR ## Valitse mitä sallit. **Välttämättömät** ovat päällä, koska sivusto ei toimi ilman niitä. Kaikki muu on pois päältä, kunnes toisin sanot. Välttämättömät Aina käytössä Vaaditaan sivuston toimintaan ja tämän suostumusvalinnan tallentamiseen. Toiminnalliset Muistavat valintasi, esimerkiksi asetukset ja esitäytöt. Analytiikka Google Analytics 4 ja Leadfeeder — sivulataukset ja yritysvierailijat. Latautuu vasta luvallasi. Markkinointi Ei käytössä Ei käytössä tänään. Varattu mahdollisia kampanjoita varten. | Palvelu | Tarkoitus | Voimassa | | --- | --- | --- | | Google Analytics 4 | kootut sivulataukset ja liikenteen lähteet | 2 vuotta | | Leadfeeder (Dealfront) | yritysvierailijoiden tunnistus | 2 vuotta | | rh_consent (localStorage) | tämän valinnan muistaminen | kunnes tyhjennät | Tietosuojaseloste → /email_off