Verkkopankkimaksun hyökkäyspinta – tietojenkalastelu, väärät uudelleenohjaukset ja istunnon kaappaus

Monelle meistä verkkopankkimaksun turvallisuus tiivistyy siihen hetkeen, kun pankin kirjautumissivu aukeaa ja tunnusluku näpytellään sisään. Todellisuudessa maksu on paljon pidempi tekninen ketju. Se lähtee liikkeelle verkkokaupasta tai muusta digipalvelusta, kulkee maksunvälittäjän ja pankin läpi ja päätyy lopulta takaisin sinne, mistä matka alkoi. Hyökkääjälle riittää yksi heikko kohta missä tahansa tuossa putkessa – ennen pankkiin siirtymistä, paluumatkalla tai vasta silloin, kun henkilöllisyys on jo vahvistettu.

Tietojenkalastelu, väärät uudelleenohjaukset ja istunnon kaappaus eivät ole kolme erillistä uhkaa. Ne ovat usein saman hyökkäysketjun kolme vaihetta: ensin käyttäjä houkutellaan aidolta näyttävälle sivulle, sitten hänet ohjataan väärään osoitteeseen, ja lopuksi hänen palveluistuntonsa vaihtaa omistajaa.

Riskien arviointi onnistuu vasta, kun tietää mitä koko maksupolulla oikeasti tapahtuu ja kuka mistäkin vaiheesta vastaa.

Verkkopankkimaksu on usean järjestelmän muodostama ketju

Käyttäjän silmin homma näyttää yksinkertaiselta. Valitset pankin, tunnistaudut, hyväksyt maksun ja palaat palveluun. Taustalla tapahtuu silti selvästi enemmän kuin nuo neljä klikkausta antavat ymmärtää.

1. Palvelu luo maksupyynnön ja sille oman tapahtumatunnisteen.
2. Maksunvälittäjä ottaa pyynnön vastaan ja avaa käyttäjälle maksunäkymän.
3. Käyttäjä valitsee pankkinsa ja siirtyy pankin tunnistautumisympäristöön.
4. Pankki tunnistaa käyttäjän ja pyytää vahvistamaan maksun tiedot.
5. Selain tai mobiilisovellus ohjataan takaisin alkuperäiseen palveluun.
6. Maksunvälittäjä kertoo palvelulle erikseen, missä tilassa maksu teknisesti on.
7. Palvelu kytkee maksun oikeaan tilaukseen, käyttäjätiliin tai istuntoon.

Jokainen siirtymä on luottamusraja eli kohta, jossa tiedot tai käyttäjän hallinta vaihtavat järjestelmää. Mitä useampi osapuoli ketjuun kuuluu, sitä tarkemmin pitää tarkistaa vastaanottaja, paluuosoite, tapahtumatunniste ja maksun tila joka ainoassa vaiheessa.

Maksuketjun osapuolilla on eri vastuut

Palveluntarjoaja vastaa omasta sivustostaan, käyttäjätileistä ja istunnonhallinnasta. Maksunvälittäjä vastaa omasta käyttöliittymästään ja pankkiyhteyksistään. Pankki puolestaan vastaa asiakkaan tunnistamisesta ja siitä, että hyväksyttävä tapahtuma näytetään oikein.

Käyttäjän oma laite jää tästä listasta ulkopuolelle, ja juuri siinä piilee ongelma. Aito pankkisivu ei nimittäin suojaa haitalliselta selainlaajennukselta, saastuneelta koneelta tai siltä huijausviestiltä, josta koko asiointi alkoi. Sama pätee toiseen suuntaan: onnistunut pankkitunnistautuminen ei korjaa palveluntarjoajan retuperällä olevaa istunnonhallintaa.

Paluu palveluun ei ole sama asia kuin maksun vahvistus

Tässä on yksi maksujärjestelmien tärkeimmistä eroista. Selain voidaan ohjata onnistumissivulle heti maksun jälkeen, mutta se kertoo lähinnä sen, mihin selain päätyi – ei sitä, että rahat olisi vastaanotettu ja kirjattu lopullisesti.

Luotettava palvelu tarkistaa maksun tilan maksunvälittäjän palvelinpuolisesta ilmoituksesta tai erillisellä rajapintakyselyllä. Pelkän osoitteen, painikkeen tai vihreän onnistumisruudun perusteella ei pitäisi toimittaa tuotetta, vapauttaa saldoa tai merkitä tilausta maksetuksi.

Mitä tämä tarkoittaa tavalliselle käyttäjälle? Jos pankki näyttää maksun menneen läpi mutta palvelu ilmoittaa virheestä, maksua ei kannata pamauttaa heti uudelleen. Katso ensin pankkitilin tapahtumat ja palvelun tilaustiedot. Muuten sama summa lähtee helposti kahteen kertaan.

Luottamusrajat paljastavat todellisen hyökkäyspinnan

Hyökkäyspinta jakautuu viiteen pääalueeseen: saapuminen alkuperäiseen palveluun, siirtyminen maksunvälittäjälle, siirtyminen pankkiin, paluu pankista ja maksun jälkeinen palveluistunto. Jokainen alue tarvitsee oman suojansa, koska yksi kontrolli ei kata koko matkaa.

HTTPS salaa liikenteen käyttäjän ja palvelimen välillä, mutta se ei kerro, onko sivusto se palvelu jota luulit. Kalastelusivukin saa itselleen sertifikaatin ja lukkokuvakkeen aivan yhtä lailla. Sertifikaatti todistaa salatun yhteyden tiettyyn verkkotunnukseen, ei sitä että verkkotunnuksen takana olisi rehellinen toimija.

Vahvan tunnistautumisen kanssa on sama juttu. Se suojaa yksittäistä pankkioperaatiota, ei sitä päätöstä joka tapahtumaan johti. Jos rikollinen saa käyttäjän hyväksymään aidossa pankkisovelluksessa maksun väärälle vastaanottajalle, pankin tekniikka toimii täysin nappiin – vaikka koko tapahtuma perustuu huijaukseen.

Tietojenkalastelu kohdistuu maksupolun eri vaiheisiin

Tietojenkalastelu yhdistetään yleensä väärennettyyn pankin kirjautumissivuun. Hyökkääjä voi silti yhtä hyvin jäljitellä verkkokauppaa, maksunvälittäjää, tilausvahvistusta, asiakaspalvelua tai pankin valintasivua. Tavoite ei myöskään ole aina tunnusten kerääminen. Joskus tarkoitus on saada käyttäjä hyväksymään täysin oikea maksu, joka vain on esitetty väärin perustein.

Väärennetty palvelu ennen pankkiin siirtymistä

Hyökkäys alkaa usein hakutuloksesta, somemainoksesta, sähköpostista tai tekstiviestistä. Käyttäjä päätyy sivulle, joka muistuttaa tuttua palvelua, mutta verkkotunnuksessa on ylimääräinen sana, poikkeava pääte tai pieni kirjoitusvirhe jota ei huomaa vilkaisulla.

Sivustolla voi olla normaalin näköinen ostoskori ja pankkivalinta, vaikka koko asiointi on hyökkääjän käsissä. Käyttäjä saattaa päätyä ihan aitoon pankkisovellukseen, mutta siellä vahvistettava summa tai maksunsaaja ei vastaa sitä mitä hän oli tekemässä.

Nyrkkisääntönä voidaan pitää sitä, että maksullinen palvelu avataan itse tallennetusta osoitteesta tai kirjoittamalla verkkotunnus selaimeen. Maksamista ei aloiteta kiireellisestä viestistä, jossa uhkaillaan tilin sulkemisella, toimituksen peruuntumisella tai yllättävällä lisämaksulla.

Reaaliaikainen välityskalastelu

Reaaliaikaisessa välityskalastelussa käyttäjän ja aidon palvelun väliin asettuu hyökkääjän hallitsema sivu. Se välittää tiedot eteenpäin oikealle palvelulle ja palauttaa aidot vastaukset takaisin käyttäjälle. Juuri siksi näkymä vaikuttaa uskottavalta ja osa toiminnoista pelaa aivan normaalisti.

Vaarallisuus perustuu siihen, ettei kertakäyttöisen tunnisteen lyhyt voimassaoloaika aina riitä. Jos hyökkääjä käyttää tunnisteen tai istunnon välittömästi, hän ehtii hyödyntää sen ennen vanhenemista. Vahva tunnistautuminen vähentää tunnusten varastamiseen perustuvia petoksia, mutta rikolliset kiertävät suojausta sosiaalisella manipuloinnilla ja reaaliaikaisella välityksellä.

Käyttäjä voidaan huijata hyväksymään aito tapahtuma

Kaikki väärinkäytökset eivät vaadi pankkitunnusten teknistä varastamista. Huijari voi esiintyä pankin, viranomaisen, sijoituspalvelun tai asiakastuen edustajana ja pyytää käyttäjää hyväksymään tapahtuman "turvallisuustarkistuksena". Oikeasti käyttäjä vahvistaa rahansiirron tai muun sitovan toimenpiteen.

Pankkisovelluksessa näkyvät tiedot painavat siksi enemmän kuin mikään lupaus edeltävällä verkkosivulla. Tarkista vähintään summa, vastaanottaja ja se mitä ollaan tekemässä. Hyväksyntäpyyntöä ei vahvisteta, jos et ole itse juuri äsken aloittanut kyseistä tapahtumaa.

Väärä uudelleenohjaus voi alkaa aidolta verkkotunnukselta

Uudelleenohjaus kuuluu verkkopankkimaksuun ihan normaalisti. Palvelu ohjaa käyttäjän maksunvälittäjälle, välittäjä pankkiin ja pankki takaisin palveluun. Ongelma syntyy siinä vaiheessa, kun jokin järjestelmä hyväksyy paluuosoitteen ilman kunnollista tarkistusta.

Avoin uudelleenohjaus eli open redirect on haavoittuvuus, jossa sivusto ohjaa käyttäjän osoitteeseen, joka tulee suoraan URL-parametrista tai muusta käyttäjän hallittavasta lähteestä. Hyökkääjä rakentaa linkin, joka alkaa tunnetulla ja aidolla verkkotunnuksella mutta vie lopulta hänen omalle sivulleen.

Tällainen linkki näyttää viestissä huomattavasti luotettavammalta kuin suora osoite tuntemattomaan paikkaan. Avointa uudelleenohjausta käytetäänkin kalastelun ensimmäisenä vaiheena, tunnisteiden vuotamiseen tai sallittujen verkkotunnusten tarkistusten kiertämiseen.

Käyttäjän kannattaa erottaa kolme osoitetta

Maksun aikana kannattaa pitää silmällä kolmea verkkotunnusta: palvelua jossa asiointi alkoi, pankin tai maksunvälittäjän osoitetta sekä sitä osoitetta johon palataan maksun jälkeen. Odottamaton verkkotunnus missä tahansa näistä on riittävä syy keskeyttää koko homma.

Paluuvaihe ansaitsee erityistä huomiota. Aidossa pankissa tehty maksu ei nimittäin takaa, että paluuosoite kuuluu alkuperäiselle palvelulle. Selainhistoria, haitallinen sovelluslinkki tai huonosti käsitelty paluuparametri voi heittää käyttäjän ihan muualle.

Palveluntarjoajan on rajattava sallitut osoitteet

Palvelun ei pidä hyväksyä paluuosoitteeksi mitä tahansa URL-arvoa. Turvallisempi tapa on pitää ennalta määritelty lista sallituista osoitteista ja verrata protokolla, verkkotunnus, portti ja polku tarkasti kohdalleen.

Pelkkä tarkistus siitä, että osoitteessa esiintyy yrityksen nimi, on aivan liian löysä. Aliverkkotunnus, URL-osoitteen käyttäjätieto-osa tai koodattu merkki saa haitallisen osoitteen näyttämään nopeasti luettuna täysin aidolta. Mobiilisovelluksissa myös deep link- ja universal link -osoitteet pitää sitoa oikeaan sovellukseen.

Maksuun liittyviä käyttöoikeustunnisteita ei myöskään kannata tunkea URL-osoitteeseen ilman pakottavaa syytä. URL kun tallentuu herkästi selainhistoriaan, analytiikkaan, välityspalvelimen lokiin tai viittaustietona seuraavalle sivulle.

Pay by Bank ja Pay N Play havainnollistavat samaa maksuketjua

Pankkitunnistautumiseen nojaavia maksuketjuja käytetään verkkokauppojen ohella palveluissa, joissa maksaminen ja tunnistaminen tapahtuvat samalla istumalla. Pay N Play -malli on tästä hyvä esimerkki: yksi pankkitunnistautuminen käynnistää talletuksen ja välittää samalla palvelulle käyttäjän tunnistamiseen tarvittavat tiedot. Trustlyn roolia ja mallin käytännön toimintaa kuvaa Pay-n-Play-kasinot.net.

Tietoturvan kannalta lyhyt käyttökokemus ei tarkoita lyhyttä teknistä ketjua. Yhden ainoan maksuvaiheen sisään mahtuu maksupyynnön luonti, pankkivalinta, vahva tunnistautuminen, maksun vahvistus, palvelinilmoitus ja uuden palveluistunnon muodostaminen.

Tähän liittyy myös yksi käytännön rajoite, joka yllättää monen. Pelaaja ei voi esimerkiksi käynnistää talletusta Zimplerin kautta ja odottaa, että maksun vahvistus saapuu Briten verkosta – tapahtuman tila kulkee aina sen välittäjän kautta, jolla maksu avattiin. Sama pätee toiseen suuntaan: Trustlyllä tehtyä talletusta ei kotiuteta Skrillin lompakkoon vain siksi, että se sattuu olemaan pelaajalle tutumpi.

Kun sama tapahtumaketju vaikuttaa sekä rahansiirtoon että tunnistettuun istuntoon, maksun ja istunnon sidonta pitää tehdä poikkeuksellisen huolellisesti. Palvelun on varmistettava, ettei yhtä onnistunutta tunnistautumista voi liittää väärään käyttäjätiliin, toiseen selaimeen tai hyökkääjän aiemmin luomaan istuntoon.

Istunnon kaappaus tapahtuu usein pankin ulkopuolella

Istunnon kaappauksessa hyökkääjä saa haltuunsa voimassa olevan istuntotunnisteen tai pystyy muuten jatkamaan asiointia sinuna. Salasanaa tai pankkitunnuksia hän ei siihen välttämättä tarvitse lainkaan.

Kun käyttäjä kirjautuu palveluun, palvelin luo satunnaisen istuntotunnisteen ja tallentaa sen selaimen evästeeseen. Tunniste on väliaikainen todiste siitä, että käyttäjä on jo tunnistettu. Varastettuna se toimii yhtä hyvin hyökkääjän pyynnöissä, ja palvelimen silmissä liikkeellä on sama käyttäjä.

Istunto voi vaarantua usealla tavalla

Istuntotunniste vuotaa esimerkiksi sivuston XSS-haavoittuvuuden, haitallisen selainlaajennuksen, saastuneen laitteen, suojaamattoman verkkoyhteyden tai huolimattoman lokituksen kautta. Riski kasvaa, jos evästeeltä puuttuvat Secure- ja HttpOnly-määritykset tai jos istunto pysyy auki kohtuuttoman kauan.

Session fixation -hyökkäyksessä hyökkääjä yrittää saada käyttäjän kirjautumaan istuntoon, jonka tunniste on ollut hänen tiedossaan jo ennen tunnistautumista. Siksi palvelun kuuluu vaihtaa istuntotunniste aina kirjautumisen ja muun oikeustason noston jälkeen.

Kaappaus ei yleensä avaa suoraa pääsyä pankkitilille. Se antaa silti pääsyn siihen verkkopalveluun, jossa pankkitunnistautumista käytettiin. Hyökkääjä näkee käyttäjätietoja, muuttaa palvelun sallimia asetuksia tai käyttää väärin tunnistettua tiliä omiin tarkoituksiinsa.

Maksun ja istunnon sidonta vaatii erillisen tarkistuksen

Palvelun pitää yhdistää maksutapahtuma oikeaan käyttäjään palvelinpuolisilla tunnisteilla. Selaimen eväste, paluuosoitteen parametri tai käyttäjälle näkyvä tilausnumero ei riitä perusteeksi.

Maksupyynnön tunnisteen on oltava satunnainen ja kertakäyttöinen. Palvelu tarkistaa, että summa, valuutta, vastaanottaja ja tapahtumatunniste vastaavat alkuperäistä pyyntöä. Sama ilmoitus pitää voida käsitellä uudelleen ilman että saldo tai tilaus kirjautuu kahdesti – tätä ominaisuutta kutsutaan idempotenssiksi.

Vahva tunnistautuminen suojaa vain osan tapahtumasta

Vahva tunnistautuminen eli SCA vaatii vähintään kaksi toisistaan riippumatonta tunnistustekijää. Ne perustuvat tyypillisesti tietoon, hallussapitoon tai käyttäjän omaan ominaisuuteen. Käytännössä homma toimii niin, että yhdistelmänä on vaikkapa pankkisovelluksen laite ja tunnusluku tai sormenjälki.

SCA hankaloittaa varastettujen salasanojen käyttöä, mutta se ei ratkaise kaikkea. Se ei todista, että käyttäjä saapui pankkiin oikeasta palvelusta, että paluuosoite on turvallinen tai että maksun jälkeinen istunto kuuluu edelleen samalle ihmiselle.

Mekanismi	Mitä se vahvistaa	Mitä se ei yksin takaa
Vahva tunnistautuminen	Käyttäjä esittää vaaditut tunnistustekijät	Asiointi alkoi oikealta sivustolta
Maksun hyväksyminen	Käyttäjä hyväksyy pankissa näytetyn tapahtuman	Käyttäjää ei johdettu harhaan ennen hyväksyntää
Selaimen paluuosoite	Selain siirtyy määritettyyn osoitteeseen	Maksu on kirjattu lopullisesti
Palvelinpuolinen maksuilmoitus	Maksunvälittäjän ilmoittaman maksun teknisen tilan	Käyttäjän selain tai laite on turvallinen
Istuntoeväste	Selaimen pyynnöt kuuluvat samaan istuntoon	Tunnistetta ei ole varastettu tai jaettu

Hyökkäysmatriisi näyttää maksuketjun heikot kohdat

Hyökkäyksiä kannattaa katsoa maksuketjun vaihe kerrallaan. Sama suojaus ei toimi kaikkialla, eikä yksikään osapuoli hallitse koko tapahtumaa alusta loppuun.

Maksuketjun vaihe	Mahdollinen hyökkäys	Käyttäjän havaittava merkki	Keskeinen tekninen suojaus	Ensisijainen vastuu
Saapuminen palveluun	Väärennetty verkkotunnus tai kalasteluviesti	Outo osoite tai kiireinen toimintakehotus	Viestien aitoustarkistukset ja verkkotunnusten seuranta	Palveluntarjoaja ja käyttäjä
Siirtyminen maksupalveluun	Avoin uudelleenohjaus	Verkkotunnus vaihtuu odottamatta	Ennalta hyväksyttyjen paluuosoitteiden lista	Palveluntarjoaja ja maksunvälittäjä
Pankkitunnistautuminen	Reaaliaikainen välityskalastelu tai sosiaalinen manipulointi	Väärä summa, vastaanottaja tai yllättävä hyväksyntäpyyntö	Vahva tunnistautuminen ja tapahtumakohtainen vahvistus	Pankki ja käyttäjä
Paluu palveluun	Manipuloitu callback tai sovelluslinkki	Paluu väärään verkkotunnukseen tai sovellukseen	Tarkka URL-tarkistus ja kertakäyttöinen state-arvo	Palvelun kehittäjä
Maksun tilan päivitys	Luotetaan pelkkään selaimen onnistumissivuun	Pankin ja palvelun maksutilat eivät täsmää	Allekirjoitettu palvelinilmoitus ja idempotentti käsittely	Palveluntarjoaja ja maksunvälittäjä
Maksun jälkeinen istunto	Istuntotunnisteen kaappaus	Tuntemattomia kirjautumisia tai tilimuutoksia	Suojatut evästeet, aikakatkaisu ja istunnon uusiminen	Palveluntarjoaja ja käyttäjä

Käyttäjän tarkistusprotokolla ennen maksua ja sen jälkeen

Ennen maksun aloittamista

Siirry palveluun itse kirjoitetusta tai kirjanmerkkeihin tallennetusta osoitteesta. Yllättäen saapuneen sähköpostin, tekstiviestin tai hakumainoksen linkkiä ei kannata käyttää – varsinkaan silloin, kun viestissä hoputetaan maksamaan heti.

Selaimen, käyttöjärjestelmän ja pankkisovelluksen päivitykset asennetaan säännöllisesti. Turhat selainlaajennukset kannattaa siivota pois, sillä laajennuksella voi olla oikeus lukea ja muokata avoimien sivujen sisältöä.

Maksun vahvistamisen aikana

Pankissa tarkistetaan summa, vastaanottaja ja tapahtuman tyyppi. Hyväksyntää ei naputella läpi pelkän ilmoituksen perusteella. Jos pankkisovellus pyytää vahvistamaan tapahtuman, jota et itse juuri aloittanut, pyyntö hylätään.

Poikkeava käytös on vahva varoitusmerkki: useita peräkkäisiä tunnistautumispyyntöjä, yllättävä paluu kirjautumissivulle tai pyyntö asentaa etähallintaohjelma. Rehellisesti sanottuna kumpikaan, pankki tai maksunvälittäjä, ei tarvitse etäyhteyttä sinun laitteellesi tavallisen maksun hoitamiseen.

Maksun jälkeen

Tarkista pankista, kirjautuiko tapahtuma ja täsmääkö summa. Jos palvelun onnistumissivu ei aukea, älä toista maksua automaattisesti.

Jaetulla laitteella palvelusta kirjaudutaan ulos ja selain suljetaan. Jos saat ilmoituksen tuntemattomasta kirjautumisesta, pelkkä salasanan vaihto ei välttämättä riitä – myös muut aktiiviset istunnot pitää katkaista palvelun asetuksista.

Palveluntarjoajan vähimmäissuojaukset

Turvallinen maksutoteutus nojaa useaan päällekkäiseen suojaukseen. Yhden kontrollin pettäminen ei saa johtaa maksun väärään kirjaukseen tai käyttäjätilin kaappaukseen.

• Paluuosoitteet hyväksytään vain ennalta määritellystä listasta.
• Maksun tila tarkistetaan palvelinpuolelta, ei selaimen ilmoituksesta.
• Palvelinilmoitusten allekirjoitus ja alkuperä varmennetaan.
• Sama maksuilmoitus voidaan käsitellä uudelleen ilman kaksinkertaista kirjausta.
• Istuntotunniste vaihdetaan kirjautumisen ja pankkitunnistautumisen jälkeen.
• Evästeissä käytetään Secure- ja HttpOnly-määrityksiä sekä järkevää SameSite-arvoa.
• Istunnoille asetetaan sekä toimettomuusraja että ehdoton aikaraja.
• Arkaluonteiset toiminnot vaativat tarvittaessa uuden tunnistautumisen.
• Content Security Policy rajoittaa luvattomien komentosarjojen suorittamista.
• Maksun ja istunnon elinkaari kirjataan lokiin ilman salaisia tunnisteita.
• Poikkeava laite, sijainti tai istunnon käytös laukaisee lisätarkistuksen.

Maksutapahtumat pitää myös käsitellä asynkronisina. Palvelinilmoitus voi saapua ennen käyttäjän paluuta, sen jälkeen tai useampaan kertaan peräkkäin. Tapahtumien vaihteleva järjestys ei saa johtaa väärään lopputulokseen.

Toimi nopeasti jos maksu tai istunto vaikuttaa kaapatulta

Jos epäilet hyväksyneesi väärän maksun, soita ensimmäisenä pankkiin. Pyydä tapahtuman selvittämistä ja tarvittaessa tunnusten, korttien tai maksutoimintojen sulkemista. Mitä nopeammin pankki saa tiedon, sitä paremmat mahdollisuudet vahingot on vielä rajata.

Salasanat vaihdetaan puhtaalta ja luotettavalta laitteelta. Samalla katkaistaan palvelun muut aktiiviset istunnot, poistetaan tuntemattomat selainlaajennukset ja tarkistetaan laite haittaohjelmien varalta. Jos samaa salasanaa on käytetty muualla, sekin kierros on tehtävä.

Säilytä todisteet ennen kuin poistat viestejä tai selaintietoja. Talteen kannattaa ottaa huijausviesti, lähettäjän osoite, käytetty URL, maksun ajankohta, summa, vastaanottaja, tapahtumatunniste ja kuvakaappaukset. Näitä tarvitaan pankin, palveluntarjoajan, poliisin tai Kyberturvallisuuskeskuksen selvityksessä.

Ilmoita mahdollisesta istuntokaappauksesta palveluntarjoajalle erikseen, vaikka pankkitiliin ei olisi päästy käsiksi. Pankin maksutapahtuma ja verkkopalvelun käyttäjäistunto ovat eri järjestelmiä – toisen sulkeminen ei automaattisesti päätä toista.