Samsung-työpuhelimessani oli esiasennettuna vakoiluohjelma

Työskennellessäsi Helsingin yliopistossa saatat saada vaikutelman, että meidän IT-osasto suhtautuu vakavasti digitaalisen turvallisuutesi suojelemiseen. Esimerkiksi tietohallinto pakottaa kaikki HY:n työntekijät suorittamaan vuosittaisen “kokeen” todistaakseen, että muistamme yhä tietoturvan ja yksityisyyden perusteet. He myös jatkavat – kaikkien asiantuntijoiden neuvojen vastaisesti – käyttäjien pakottamista päivittämään salasanansa vuosittain. Tutkimukset ovat osoittaneet, että molemmat edellä mainitut käytännöt heikentävät turvallisuustasoa sen parantamisen sijaan [1,2]. Yksityisyys on enemmän teatteria kuin todellisuutta nykypäivän digitaalisessa maailmassa [3]. Olisiko minun pitänyt yllättyä siitä, että oman IT-osaston virallisesti suosittelema Android-puhelinmalli sisälsi esiasennetun vakoiluohjelman?

Pakotettu päivittämään Aiemmin tänä vuonna minun piti päivittää työpuhelimeni, koska vanha (OnePlus Nord) ei ollut saanut tietoturvapäivityksiä marraskuun 2023 jälkeen. Puhelin toimi edelleen täydellisesti ja akku kesti helposti koko työpäivän. Välttääkseni puhelimen vaihtamisen uudelleen vain neljän vuoden jälkeen, tiedustelin IT:ltä, mitä mallia he suosittelivat, pitäen mielessä pitkän tietoturvapäivitysikkunan. Oletussuositus oli Samsung Galaxy A35 5G. ”Pitkä” tarkoitti tässä tapauksessa neljää vuotta [4], mikä on huomattavasti vähemmän kuin Googlen tai Applen huippumalleissa, jotka saavat nykyään 7 vuoden tietoturvapäivitykset [5].

Uteliaisuus koitui kohtaloksi Viime kuussa luin artikkelin AppCloudista: vakoiluohjelmasta, joka tulee esiasennettuna Lähi-idän ja Afrikan alueelle suunnatuissa Samsungin budjettipuhelimissa [6]. Uteliaisuus koitui kohtaloksi ja vei mielenrauhani koko kuukaudeksi, sillä löysin tämän ohjelmiston uudesta työpuhelimestani, joka oli ostettu suomalaiselta matkapuhelinoperaattori Telialta [7].

AppCloud AppCloud on esiasennettu, poistamaton sovellus, jonka on kehittänyt israelilais-yhdysvaltalainen yritys ironSource (nyk. osa Unitya), ja jota useat kyberturvallisuuden uutislähteet kuvailevat vakoiluohjelmaksi [8, 9, 10]. Raporttien mukaan sovellus voi kerätä arkaluonteisia käyttäjätietoja, kuten biometrisiä tietoja ja laitteen tunnistetietoja, ja se löytyy tyypillisesti halvoista Samsungin laitteista [11]. Teen selvästi arkaluonteista työtä tällä laitteella, muun muassa käytän sitä monivaiheiseen tunnistautumiseen (MFA), luen sähköposteja, jotka sisältävät luottamuksellista opiskelijatietoa, ja suurimman osan työstä, jota en tee toimistossani pöytätietokoneella. Valmistajan asentamalta vaikuttavan vakoiluohjelman läsnäolo IT:n suosittelemalla laitteella oli merkittävä turvallisuuden varoitusmerkki. Otin yhteyttä HY:n, Telian ja Samsungin IT-tukipalveluihin, mikä käynnisti viikkoja kestäneen kirjeenvaihdon, joka oli sekä valaiseva että lannistava.

“Ei syytä huoleen” IT:n alkuperäinen vastaus oli lähellä asennetta “ketä kiinnostaa?”. Huoliani luonnehdittiin osaksi “meluisaa” keskustelua, millä vihjattiin raporttien olevan peräisin poliittisesti motivoituneelta aktivistiryhmältä ja vailla todennettavia todisteita. Käyttäjien huolenaiheiden vähättely on kriittinen ongelma instituutioiden turvallisuudessa. Kohtasin vastaavaa vähättelyä asioidessani kaikkien kolmen tukipalvelun kanssa. Kun otin ensimmäisen kerran yhteyttä Teliaan, minulle jopa sanottiin, että vaikka kyseessä olisikin vakoiluohjelma, se oli peräisin ystäviltämme (Yhdysvalloista ja Israelista), ja että Suomessa ollessamme ei ollut syytä huoleen. Kaikki keskusteluun osallistuneet eivät olleet yhtä vähätteleviä, ja jatkoin kuvakaappausten ja yksityiskohtaisten tietojen toimittamista seuraavassa tutkinnassa. Tulin levottomaksi, kun IT osaston omat tarkistukset paljastivat laitteeni olevan poikkeustapaus. Muiden yliopiston hankkimien Samsung-laitteiden (Galaxy A35?) joukossa, joita tutkittiin, yhdessäkään ei ollut AppCloudia asennettuna. Puhelimeni näyttää myös olevan EU-spesifinen malli, ei MENA-alueelta peräisin oleva “harmaatuontilaite”, kuten eräs kollega oli spekuloinut. Tämä johti IT:n uuteen teoriaan: olin epähuomiossa asentanut vakoiluohjelman itse suostumalla Samsungin ekosysteemiin (Samsung Account tai Samsung Cloud) puhelimen alkuasetusten yhteydessä.

“Ratkaisu” Ehdotettu ratkaisu oli palauttaa laite tehdasasetuksiin ja – mikä tärkeintä – kieltäytyä kaikista Samsungiin liittyvistä ominaisuuksista ja välttää palauttamasta mitään pilvivarmuuskopioista, sillä kumpikin toimenpide saattaisi asentaa ei-toivotun sovelluksen uudelleen. Vaikka IT ehdotti, että sovelluksen poistaminen käytöstä pitäisi riittää, he myös myönsivät, että tuleva ohjelmistopäivitys voisi mahdollisesti ottaa sen uudelleen käyttöön. Vastuu laitteen puhdistamisesta ja sen tulevan turvallisuuden varmistamisesta sälytettiin kokonaan minun harteilleni. Epäilin, että tehdasasetusten palautus poistaisi vakoiluohjelman. Jos jotain, niin israelilaiset yritykset tuntevat matkapuhelinten turvallisuuden (tai turvattomuuden) paremmin kuin kukaan [12]. Minun piti odottaa tehdasasetusten palautusta joululomaani asti, koska tarvitsen puhelinta kymmeniä kertoja joka päivä tunnistautuakseni yliopiston digitaalisiin palveluihin. Kuten odotin, tehdasasetusten palautus ei toiminut, ja otin uudelleen yhteyttä Samsung tukeen, joka ehdotti, että minun tulisi vierailla Samsungin huoltokeskuksessa ja asentaa alkuperäinen Samsungin laiteohjelmisto (firmware) laitteeseen, koska operaattori/myyjä (eli Telia) oli saattanut asentaa AppCloudin. He sanoivat selvästi, että sovellus ei ole Samsungin esiasentama. Joten käytin yhden lomapäivistäni pyöräilläkseni Pitäjänmäelle lähimpään valtuutettuun Samsungin huoltokeskukseen. Kun alkuperäinen Samsungin ohjelmisto oli asennettu puhelimeen, AppCloud oli edelleen siellä. Valehtelivatko he minulle?

Lisää testausta Teknisesti ottaen sekä Telia että Samsung puhuivat totta. Sain selville, mitä tapahtuu, tekemällä kokeita, joihin sisältyi noin tusina tehdasasetusten palautusta. Tulokset: Kun WiFi ei ole käytössä asennuksen aikana, AppCloudia ei koskaan ole. Mutta kun WiFi tai muu viestintäyhteys otetaan käyttöön (joko asennuksen aikana tai sen jälkeen), AppCloud ilmestyy jonkin ajan kuluttua itsestään. Samsung on teknisesti oikeassa sanoessaan, ettei se ole Samsungin esiasentama, koska se vain automaattisesti assennetaan laitteeseen sen jälkeen, kun käyttäjä on alkanut käyttää sitä.

AppCloud ei ole esiasennettu, mutta se ladataan laitteen aktivoinnin jälkeen Samsung on epärehellinen, koska kun AppCloud on maagisesti asentanut itsensä taustalla, sen tiedoissa väitetään “Sovellus ladattu Galaxy Storesta”. En kuitenkaan koskaan antanut Samsungille lupaa ladata mitään Galaxy Storesta. Kun klikkaan “Sovelluksen tiedot kaupassa”, päädyn samalle sivulle, jonka näen puhelimen alkuasetuksissa, jossa olin kieltäytynyt suostumasta mihinkään latauksiin Galaxy Storesta. Siltikään yhtäkään kohtaa ei ole ruksittu, mutta puhelimen mukaan tämä sovellus ladattiin silti Galaxy Storesta. Olen varma, että tämä on jollain tapaa laillisesti oikein. Minun on loppujen lopuksi annettava Googlelle lupa asentamaan päivityksiä ja sovelluksia puhelimeen. Puhelimen käytön aloittaminen on mahdotonta ilman tätä, ja ehkä myös Google on jollain tavalla osallinen.

Samsung jättää huomiotta loppukäyttäjien toiveet Tämä tarkoittaa, että on epäolennaista, suostunko lataamaan sovelluksia/päivityksiä Galaxy Storesta vai en asennuksen aikana, koska Samsung on järjestänyt asiat niin, että tiettyjä sovelluksia asennetaan ilman, että kenenkään tarvitsee suostua mihinkään. Tämän tosiasian salaaminen ja poistamisen mahdottomuus ovat minulle varoitusmerkkejä. Virallisesti ohjelmistoa käytetään mainonnan ja sovellusten löydettävyyden räätälöintiin, mutta mainonnan räätälöimiseksi sen on saatava jotain tietoa siitä, mitä teen laitteella. Vaikka ainoa näkyvä käyttöoikeus on “Ilmoitukset”, tämä tuskin on koko totuus. Ilmeisesti ohjelmisto paljastaa asiakkailleen laitetunnisteita, IP-osoitteita ja käyttäytymismalleja [11] — vaikka tarkkoja tietokäytäntöjä ei raportoida avoimesti. Vaikka se ei olisikaan vakoiluohjelma, se todennäköisesti silti loukkaa yksityisyyttäni.

Samsung ei ole ystävällinen jälkimarkkinoiden käyttöjärjestelmille Valitettavasti en voi helposti asentaa LineageOS:ää, crDroidOS:ää tai GrapheneOS:ää tälle laitteelle, koska Samsung ei halua sinun tekevän niin. Muuten se olisi ratkaisu. Jos olisin ostanut OnePlus- tai Google Pixel -puhelimen, vapautta ja yksityisyyttä kunnioittavan Android-version asentaminen olisi helppoa.

Mitä opimme tästä?

• Loppukäyttäjä viimeisenä puolustuslinjana: Kroonisesti alirahoitetussa modernissa digitaalisessa työpaikassa turvallisuus ei ole itsestäänselvyys. Se on kamppailu, joka vaatii jatkuvaa valppautta ja – proaktiivisen IT-osaston puuttuessa – merkittävää panostusta loppukäyttäjältä. Instituutioiden IT ei aina tunnu olevan perillä uusimmista uhkista, mukaan lukien niistä, jotka on upotettu heidän suosittelemiinsa laitteisiin. He eivät myöskään tunnu olevan ajan tasalla nykyaikaisista tavoista käsitellä tietoturvaa. Vanhentuneessa tietoturvamallissa, joka tuntuu hallitsevan monia IT-osaston toimia, me – käyttäjät – olemme paradoksaalisesti vihollisia. Sen sijaan IT:n pitäisi tehdä meistä liittolaisia, mutta tämä edellyttäisi mielekästä sitoutumista pelkän pakollisen luennoinnin ja pakotettujen salasananvaihtojen lisäksi. Syytänkö minä IT:tä? Mielestäni on johdon tehtävä tarjota visio, keinot ja kulttuuri, jotka mahdollistavat oikean turvallisuuden ja yksityisyyden. Toistaiseksi meidän käyttäjien on oltava omat turvallisuusasianajajamme.
• Valinnan illuusio: Kun Samsung pyytää käyttäjää liittymään tai jäämään pois Samsungin valvontaekosysteemistä, valinta on illuusio, ainakin AppCloudin tapauksessa ja tietyille käyttäjäryhmille.
• Instituutioiden vastuullisuuden tarve: Se, että yliopistoni IT-osasto tukeutuu edelleen vanhentuneisiin turvallisuuskäytäntöihin, kuten pakollisiin salasananvaihtoihin [1], ja pakollisiin työntekijöiden “turvallisuuskoulutuksiin”, joiden tiedetään aiheuttavan turvallisuusväsymystä [2], viittaa laajempaan kulttuuriseen ongelmaan, johon on puututtava. Turvallisuusväsymys on ilmeisesti saavuttanut myös ne samat ihmiset, joiden on tarkoitus pitää meidät turvassa. Vuosittaiseen tiedusteluuni siitä, miksi HY edelleen vaatii säännöllisiä salasananvaihtoja asiantuntijoiden neuvoista huolimatta, en enää saa edes mitään todellista selitystä. Viime vuonna minulle sanottiin, “että tällaiset muutokset vievät aikaa”, mutta tänä vuonna minulle sanottiin vain: “Vuosittainen salasanan uusimisvaatimus perustuu yliopiston turvallisuuspolitiikkaan ja se pysyy voimassa toistaiseksi.” Olen sanaton tällaisen älyllisen kyvyn oman toiminnan reflektointiin heikkenemisen edessä ja/tai laiskuuden edessä sitoutua millään mielekkäällä tavalla juuri niiden ihmisten kanssa, jotka ovat syy siihen, miksi koko IT-osasto ylipäätään on olemassa!

Jäljelle jäävät kysymykset Miksi minun laitteeni oli ainoa kyseisistä tutkituista, johon tämä vaikutti? Vaikka valtaosa AppCloud-asennuksista tapahtuu Euroopan ulkopuolella, yksittäisiä tapauksia on raportoitu muutamista Euroopan maista. Koska yksittäiset tapaukset eivät käy järkeen markkinoinnin käyttäjäprofiloinnin kannalta, ovatko nämä tapaukset vahinkoja vai tahallista kohdentamista? Olen ollut tietoinen YouTubessa julkaistusta menetelmästä poistaa AppCloud (mikä todennäköisesti mitätöi puhelimen takuun) [13]. Kokeilin sitä vihdoin jouluaattona. Ohjelmisto ainakin katosi asennettujen sovellusten listalta, mutta nähtäväksi jää, onko se todella poissa lopullisesti. Se olisi mukava joululahja.

Viitteet [1] NIST neuvoo välttämään säännöllisiä salasanojen vaihtoja: https://pages.nist.gov/800-63-4/sp800-63b.html  [2] Miksi pakollinen turvallisuuskoulutus tekee meistä vähemmän turvallisia: https://medium.com/deeptempo/why-most-security-awareness-training-is-actually-making-you-less-secure-5f4770d8f4e0  [3] Kuuluisa Vergen artikkeli “Privacy is Dead”: https://www.theverge.com/internet-culture/775740/anonymity-privacy-filming-viral-tiktok  [4] Samsung-laitteiden elinkaari: https://endoflife.date/samsung-mobile  [5] Älypuhelimen ennenaikaisen päivittämisen ekologiset kustannukset: https://en.reset.org/ecological-problem-mobile-phone/?utm_source=chatgpt.com  [6] Malwarebites.com raportoi AppCloudista: https://www.malwarebytes.com/blog/news/2025/11/budget-samsung-phones-shipped-with-unremovable-spyware-say-researchers  [7] Suomalainen matkapuhelinoperaattori Telia: https://telia.fi  [8] Lisää verkkoraportointia: https://www.androidheadlines.com/2025/11/unremovable-appcloud-app-samsung-phones-privacy-fears-controversy.html  [9] AppCloudia koskeva viestiketju X:ssä: https://x.com/IntCyberDigest/status/1989374273878630761  [10] Keskusteluketju Samsungin omalla EU-käyttäjäyhteisön verkkosivustolla https://eu.community.samsung.com/t5/galaxy-a-series/how-do-i-get-rid-of-appcloud/td-p/7918282  [11] SMEX:n avoin kirje Samsungille: Lopettakaa pakolliset israelilaisten sovellusten asennukset WANA-alueella: https://smex.org/open-letter-to-samsung-end-forced-israeli-app-installations-in-the-wana-region/  [12] Israelilainen yritys Cellebrite, joka auttaa FBI:ta pääsemään sisään iPhoneihin; https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_dispute  [13] YouTube-video, jossa selitetään AppCloudin asennuksen poistaminen: https://www.youtube.com/watch?v=qBU6kqS1vuY