Supon vastatiedustelun haaste - SecMeter

Tapaus Leipzig muutti uhkakuvan vakavammaksi

Leipzig/Hallen lentoasemalta löydettiin 4.8.2026 räjähteellä ja sytytysjärjestelmällä varustettu drooni ukrainalaisen Antonov-rahtikoneen läheisyydestä. Tutkinnassa on myöhemmin löydetty lisää drooneihin tai operaatioon liittyviä osia ja räjähdeaineita sekä lentoaseman lähistöltä antennijärjestely, jonka epäillään liittyneen lennokkien viestiyhteyksiin. Tutkijoiden mukaan operaatiossa käytettiin todennäköisesti useampia lennokkeja.

Saksan hallituksen arvio on erityisen kiinnostava. Operaation tekniset elementit ja niiden yhteensovittaminen osoittivat Dobrindtin mukaan korkeatasoista teknistä osaamista ja organisatorista valmistelua, mutta varsinaisen toteutuksen katsottiin vastaavan low-level- eli kertakäyttöagenttien toimintaa. Juuri tämä ristiriita on tiedusteluanalyysin kannalta avainasemassa.

Operaation suunnittelutaso oli korkeampi kuin sen kenttätoteuttajien ammattitaso. Se on yksi selkeimmistä indikaattoreista siitä, että suunnittelu, tekninen valmistelu ja operatiivinen toteutus on erotettu toisistaan.

Leipzigissä tutkijat ovat tunnistaneet ainakin kaksi keskeistä epäiltyä. Toisen epäillään toimineen logistikkona ja instruktorina. Hänellä kerrotaan olevan Latvian ja Venäjän passit.

Toinen on valkovenäläinen mies, jolla kerrotaan olevan myös Venäjän passi. Rikosteknisistä näytteistä on lisäksi löytynyt osumia muun muassa Liettuan ja Suomen tietokannoista. Julkinen aineisto ei kuitenkaan osoita, että Suomessa olisi valmisteltu operaatiota tai että Suomessa toimisi Leipzigiin liittynyt solu.

Vuoden 2022 jälkeen Venäjän tiedustelu joutui muuttamaan toimintatapaansa

Venäjän täysimittaisen Ukrainaan kohdistaman hyökkäyksen jälkeen Euroopan maat karkottivat suuren määrän venäläisiä diplomaatteja, joista länsimaiset turvallisuuspalvelut arvioivat monien toimineen tiedustelutehtävissä.

Britannian MI5 pääjohtaja Ken McCallum on kuvannut seurannutta muutosta poikkeuksellisen suoraan. Kun satoja venäläisiä tiedustelu-upseereita poistettiin Euroopasta, Venäjän turvallisuuspalvelut alkoivat käyttää enemmän ulkopuolisia proxy-toimijoita, joita rekrytoidaan internetissä ja sosiaalisen median kautta, ohjataan salatuilla viestipalveluilla ja palkkiot maksetaan esimerkiksi kryptovaluutoilla.

MI5 on nostanut erityisesti GRU esiin Euroopassa tapahtuneiden sabotaasi- ja tuhopoltto-operaatioiden yhteydessä. Hollannin AIVD ja sotilastiedustelupalvelu MIVD ovat kuvanneet samaa kehitystä käsitteellä gelaagde netwerken, eli kerrostetut verkostot.

Niiden rakenteessa on koordinaattoreita, fasilitaattoreita ja varsinaisen teon suorittavia low-level-agentteja. AIVD mukaan suorittajat ovat usein rahallisesti motivoituneita eivätkä välttämättä edes tiedä toimivansa Venäjän tiedustelu- tai turvallisuuspalvelujen toimeksiannosta.

Tämä ei ole enää yksittäisen maan arvio. Nyt NATO on todennut Venäjän käyttävän proxy-toimijoita sabotointiin, väkivaltaan, kybertoimintaan ja muihin hybridioperaatioihin eri puolilla euroatlanttista aluetta. EU puolestaan pitää toimintaa laajana, koordinoituna ja pitkäaikaisena Venäjän hybridikampanjana.

Todennäköinen operatiivinen rakenne

Julkisista lähteistä ei voida muodostaa täydellistä organisaatiokaaviota, eikä ole näyttöä siitä, että Kremlin poliittinen johto hyväksyisi erikseen jokaisen varastopalon, tiedustelutehtävän tai droonioperaation. Todennäköisempi järjestelmä perustuu strategisen ohjauksen ja operatiivisen delegoinnin yhdistelmään.

Ylimmällä tasolla Venäjän valtio määrittelee strategiset tavoitteet, joita ovat Ukrainan sotilaallisen tukemisen vaikeuttaminen, lännen kustannusten nostaminen, yhteiskunnallisen epävarmuuden kasvattaminen, turvallisuusviranomaisten resurssien sitominen sekä länsimaiden reagointikynnyksen testaaminen.

Seuraavalla tasolla tiedustelu- ja turvallisuuspalvelut muuttavat strategiset tavoitteet operatiivisiksi ohjelmiksi. Fyysisissä sabotaasioperaatioissa GRU eli Venäjän sotilastiedustelu näyttäytyy julkisessa aineistossa keskeisenä toimijana, mutta se ei ole ainoa.

Puolan ABW on esimerkiksi yksilöinyt Venäjällä toimivan henkilön, jonka epäillään johtaneen Telegramin avulla vähintään 30 henkilön verkostoa Puolassa ja toimineen Venäjän FSB viidenteen palveluun liittyvässä rakenteessa. Verkostolle annettiin tiedustelu-, vaikuttamis- ja sabotaasiluonteisia tehtäviä.

Tästä seuraa tärkeä johtopäätös. Venäjän Eurooppaan kohdistamaa sabotaasitoimintaa ei pidä analysoida yksinomaan GRU-operaationa. GRU vaikuttaa olevan merkittävä fyysisen sabotaasin ja sotilaallisesti relevanttien kohteiden toimija, mutta FSB rakenteita esiintyy dokumentoidusti ulkomailla toimivien agenttiverkostojen johtamisessa. Palvelujen tehtävärajat näyttävät hybriditoiminnassa osittain limittyvän.

SVR rooli painottuu perinteisesti ulkomaantiedusteluun, pitkäaikaiseen henkilötiedusteluun ja poliittiseen vaikuttamiseen, mutta julkinen näyttö sen suorasta roolista tässä käsitellyissä fyysisissä sabotaasioperaatioissa on selvästi heikompaa.

Handler on järjestelmän kriittinen solmukohta

Tärkein henkilö ei välttämättä ole pommin, droonin tai sytytysvälineen kanssa kiinni jäävä tekijä. Paljon arvokkaampi kohde vastatiedustelulle on henkilö, joka yhdistää Venäjän tiedustelupalvelun suorittajaverkostoon. Tätä henkilöä voidaan kutsua handleriksi, koordinaattoriksi tai operaattoriksi.

Puolan tutkinnat antavat tästä poikkeuksellisen hyvän kuvan. ABW:n mukaan Venäjällä sijaitseva koordinaattori saattoi Telegramin kautta johtaa kymmenien henkilöiden muodostamaa verkostoa, antaa tehtäviä ja valvoa niiden suorittamista ilman, että hänen tarvitsi fyysisesti tulla Puolaan.

Tämä muuttaa perinteisen agenttitoiminnan logiikkaa. Kylmän sodan klassisessa mallissa tiedustelu-upseeri tapasi agenttinsa salaisesti, koulutti häntä ja pyrki rakentamaan pitkäaikaisen suhteen.

Uudessa mallissa kontaktin ei tarvitse koskaan tapahtua fyysisesti. Handler voi operoida Venäjältä. Hänen alapuolellaan voi olla toinen välittäjä, joka puolestaan käyttää paikallista rekrytoijaa. Varsinainen suorittaja saattaa tuntea vain Telegram-käyttäjänimen eikä koskaan saada tietää todellisen toimeksiantajan henkilöllisyyttä.

Tällaisen verkoston tuhoaminen yhden suorittajan pidättämisellä on vaikeaa. Suorittaja voidaan yksinkertaisesti korvata.

Fasilitaattori erottaa ammattimaisen suunnittelun amatöörimäisestä toteutuksesta

Leipzigin tapauksessa epäillyn henkilön roolia on kuvattu logistiseksi ja ohjaavaksi. Tämä sopii erittäin hyvin AIVD:n kuvaamaan fasilitaattorikerrokseen.

Fasilitaattorin tehtävänä on yhdistää suunnittelu ja toteutus, kuten liikkuminen, materiaalit, yhteydenpito, paikallistuntemus ja muiden henkilöiden ohjaaminen. Tällä tavalla tiedustelupalvelun ammattimainen osaaminen voidaan pitää kaukana rikospaikalta. Tiedustelu-upseerin ei tarvitse itse asentaa järjestelmää, kuljettaa materiaalia tai tehdä sabotaasia. Hänen tarvitsee saada verkosto tekemään se.

Tämä antaa selityksen myös Leipzigissä havaitulle erikoiselle yhdistelmälle, joka oli teknisesti ja organisatorisesti kehittynyt kokonaisuus, mutta kentällä toimivia henkilöitä, joita Saksan hallitus kuvaa low-level-agenteiksi.

Kertakäyttöagentti on tarkoituksellisesti etäällä Venäjän valtiosta

Low-level-agentti eli saksalaisittain Wegwerfagent on kirjaimellisesti kertakäyttöagentti ja edustaa uuden järjestelmän alinta kerrosta. Hän voi olla opiskelija, maahanmuuttaja, pikkurikollinen, entinen sotilas, poliittisesti motivoitunut henkilö tai yksinkertaisesti nopeasti rahaa etsivä ihminen.

Kansalaisuus ei ole ratkaiseva

Britanniassa Venäjään liittyneessä Leytonin varastopalossa varsinaisiksi tekijöiksi rekrytoidut henkilöt eivät syyttäjän mukaan edes tienneet toimivansa Wagner-ryhmän puolesta. Operaation ylempi taso tiesi. Alin taso toteutti annetun tehtävän.

Puolassa Venäjän palvelut ovat ABW:n mukaan käyttäneet systemaattisesti internetissä tapahtuvaa rekrytointia sekä maksamista kryptovaluuttojen avulla. Heinäkuussa 2026 nostetussa syytteessä 18-vuotiaan Ukrainan kansalaisen epäillään suorittaneen kymmeniä tehtäviä Venäjän palvelujen toimeksiannosta. Samassa tutkinnassa tunnistettiin myös droonin käyttöön liittyneen sabotaasin valmistelua.

Toisessa Puolan tapauksessa kolumbialaisen miehen toiminnan todettiin kuuluneen malliin, jossa Venäjän palveluihin kytketty henkilö antoi yksityiskohtaisia tehtäviä, rahoitti toimintaa ja edellytti tulosten dokumentointia.

Sama henkilö oli tuomittu Tšekissä Prahan bussivarikon tuhopoltosta. Puolan ABW mukaan Venäjän palvelut rekrytoivat Latinalaisesta Amerikasta henkilöitä samankaltaisiin tehtäviin useissa Euroopan maissa. Kyse ei siten ole etniseen venäläisyyteen perustuvasta verkostosta.

Tehtävien porrastaminen toimii henkilöstön seulontajärjestelmänä

Agenttia ei tarvitse rekrytoida suoraan sabotaasiin. Ensimmäinen tehtävä voi olla hyvin vähäinen, kuten kuvaaminen, havainnointi, propagandamateriaalin levittäminen tai muu yksinkertainen toimeksianto.

Puolan ABW:n tutkimissa verkoissa Telegramin kautta värvätyt henkilöt kuvasivat infrastruktuuria, välittivät tietoa ja toteuttivat erilaisia vaikuttamistoimia samalla kun he jäivät odottamaan uusia tehtäviä. Tämä mahdollistaa porrastetun testauksen.

Henkilö, joka suorittaa ensimmäisen tehtävän nopeasti, pitää yhteyden salassa ja osoittaa olevansa valmis jatkamaan, voidaan siirtää seuraavalle tasolle. Tiedustelupalvelun näkökulmasta internet muodostaa näin valtavan rekrytointi- ja seulontajärjestelmän. Sen ei tarvitse löytää valmista sabotoijaa. Sen tarvitsee löytää riittävän suuri määrä ihmisiä, joista pieni osa voidaan vaiheittain ohjata vakavampiin tehtäviin.

Euroopan laajuinen järjestelmä näkyy kaikkein selvimmin lentorahtitapauksessa

Vuoden 2024 itsestään syttyneiden rahtipakettien tutkinta on ehkä vahvin yksittäinen näyttö kansalliset rajat ylittävästä rakenteesta. Paketteja lähetettiin Liettuasta ja niitä syttyi Saksassa, Puolassa ja Britanniassa. Yksi syttyi Leipzig/Hallen lentoasemalla juuri ennen mahdollista lastaamista lentokoneeseen.

Eurojustin koordinoima Saksan, Liettuan, Alankomaiden, Puolan ja Britannian yhteinen tutkinta tunnisti 22 epäiltyä, joiden epäillään toimineen Venäjän federaation sotilastiedustelupalvelun hyväksi. Tapaus osoittaa, miksi kansallinen näkökulma ei riitä.

• Liettuassa oleva henkilö voi hankkia materiaalin.
• Puolassa oleva henkilö voi toimia välittäjänä.
• Saksassa sijaitsevaa logistista järjestelmää voidaan käyttää kohteena.
• Britanniassa tapahtuu toinen osa operaatiosta.
• Komentava henkilö voi samanaikaisesti olla Venäjällä.
• Fyysisesti hajautettu toiminta muodostaa silti yhden tiedusteluoperaation.

Organisoitu rikollisuus tarjoaa seuraavan kehitysvaiheen

Kertakäyttöagenttimalli on halpa ja helposti skaalautuva, mutta siinä on merkittävä heikkous. Amatöörit tekevät virheitä. He jättävät DNA, käyttävät omia puhelimiaan, näkyvät valvontakameroissa, jättävät matkustus- ja maksujälkiä ja saattavat kertoa toiminnastaan muille.

Tästä syystä Venäjän turvallisuuspalvelujen voidaan arvioida pyrkivän seuraavaan vaiheeseen eli valmiiden rikollisten rakenteiden hyödyntämiseen.

MI5 on nostanut esille Venäjän kasvavan kiinnostuksen rikollisiin ja yksityisiin tiedustelutoimijoihin proxy-resurssina. Myös Britannian vuonna 2026 käyttöön ottamat uudet kansallisen turvallisuuden säännökset on rakennettu vastaamaan nimenomaan valtioiden käyttämien proxy-organisaatioiden kasvavaan merkitykseen.

Britannian hallitus arvioi lisäksi vuonna 2026 GRU Volunteer Corpsin olevan osa laajempaa GRU johtamaa rakennetta, jossa valtiollisia kyvykkyyksiä yhdistetään vapaaehtois- ja proxy-muodostelmiin sekä Wagneriin aiemmin liittyneisiin elementteihin.

Tämä voi olla erittäin merkittävä kehityssuunta. Jos Venäjän tiedustelu pystyy yhdistämään valtiollisen tiedustelupalvelun kohdevalinnan, järjestäytyneen rikollisuuden logistiikan ja internetin mahdollistaman massarekrytoinnin, tuloksena on verkosto, jonka toimintakapasiteetti on paljon suurempi kuin yksittäisillä tiedustelu-upseereilla.

Miksi järjestelmä on Venäjälle tehokas?

Proxy-mallissa yhdistyvät poikkeuksellisen hyvin kustannustehokkuus, skaalautuvuus ja kiistettävyys. Tiedustelupalvelu voi käynnistää useita rinnakkaisia operaatioita ilman, että jokaisen yhteydessä vaarannetaan koulutettua tiedustelu-upseeria.

• Epäonnistunut agentti voidaan korvata.
• Pidätetty suorittaja ei välttämättä tunne handleriaan.
• Handler ei välttämättä tunne operaation strategista johtoa.
• Jokainen kerros tietää vain sen, mitä oman tehtävän suorittaminen edellyttää.

Rakenteen tärkein ominaisuus ei siis ole täydellinen salaisuus. Se on organisatorinen irtikytkentä. Rikospaikan ja Venäjän valtion välille rakennetaan mahdollisimman monta askelmaa.

Miksi Venäjä hyväksyy amatöörimäiset epäonnistumiset?

Perinteisessä tiedustelupalvelussa epäonnistunut operaatio on kallis. Kertakäyttöagenttimallissa yksittäinen epäonnistuminen voi olla hyväksyttävä kustannus. Jos esimerkiksi kymmenestä käynnistetystä operaatiosta suuri osa epäonnistuu mutta yksi onnistuu merkittävästi häiritsemään Ukrainan logistista tukiketjua, kokonaisuus voi toimeksiantajan näkökulmasta silti olla hyödyllinen. Epäonnistuneetkin operaatiot pakottavat viranomaiset reagoimaan.

Lentoasemien, rautateiden, satamien, energiainfrastruktuurin, puolustusteollisuuden ja muiden strategisten kohteiden suojaamiseen joudutaan käyttämään lisää resursseja. Hybriditoiminnan vaikutusta ei siten pidä mitata vain syntyneellä fyysisellä vahingolla. Myös estetty hyökkäys voi tuottaa kustannuksia ja epävarmuutta.

Tapaus Leipzig näyttää mahdollisen uuden kehitysvaiheen

Aikaisissa proxy-operaatioissa oli usein kyse suhteellisen yksinkertaisista teoista, kuten omaisuuden vahingoittamisesta, junien suistamisista raiteilta, graffiteista, kohteiden kuvaamisesta tai tuhopoltoista.

Leipzigissä asetelma on olennaisesti vakavampi. Tässä yhdistyivät räjähteet, lennokit, viestijärjestelmät, kohteen tiedustelu, logistinen valmistelu ja Ukrainan sotilaalliseen logistiikkaan liittyvä kohde.

Saksan hallitus arvioi kokonaisuuden osoittaneen korkeaa teknistä asiantuntemusta ja huomattavaa organisatorista valmistelua. Jos tämä havainto vahvistuu jatkotutkinnassa, kyse saattaa olla sabotaasijärjestelmän seuraavasta vaiheesta, jossa low-level-agentille voidaan antaa entistä kehittyneempi toimintakyky ilman, että hän itse muuttuu ammattimaiseksi tiedusteluagentiksi.

Ammattitaito sijaitsee tällöin järjestelmän ylemmissä kerroksissa. Suorittajan tehtäväksi jää ennalta valmistellun kokonaisuuden toteuttaminen. Tämä on Euroopan turvallisuuden kannalta huomattavasti vaarallisempi malli kuin yksittäiset opportunistiset tuhopoltot.

GRU esiintyy toistuvasti Venäjään liitetyissä eurooppalaisissa hybriditoimissa.

MI5 on nostanut sen erityisesti sabotaasin yhteydessä esille. Eurojustin vuoden 2024 lentorahtitutkinnassa epäillyt yhdistetään Venäjän sotilastiedusteluun. EU on määrännyt pakotteita useille GRU yksiköille ja henkilöille osana Venäjän hybriditoiminnan torjuntaa.

GRU yksikkö 29155 on puolestaan julkisesti yhdistetty useisiin länsimaihin kohdistuneisiin operaatioihin. Viron viranomaiset ovat esimerkiksi osoittaneet yksikön osallistuneen NATO- ja EU-maihin kohdistuneisiin kyberoperaatioihin.

Tapaus Leipzig kuuluu samaan Venäjän valtiollisen hybriditoiminnan kokonaisuuteen, jossa GRU on yksi keskeisistä toimijoista, mutta täsmällinen palvelu, yksikkö ja komentoketju eivät ole julkisesti tiedossa.

Leipzigin rikosteknisistä näytteistä on saatu osumia eurooppalaisiin tietokantoihin, mukaan lukien Suomeen ja Liettuaan. Näytteitä on löydetty muun muassa droonista, räjähteeseen liittyneestä esineestä ja lentoaseman lähistölle sijoitetusta antennista.

Tämä on tiedustelullisesti kiinnostava havainto, mutta se ei tällä hetkellä osoita Suomessa toimivaa sabotaasisolua. DNA-osuma voi tarkoittaa esimerkiksi sitä, että henkilö on aikaisemmin joutunut Suomessa viranomaismenettelyn kohteeksi ja hänen DNA-profiilinsa on tämän vuoksi käytettävissä kansainvälisessä vertailussa.

Paljon kiinnostavampi kysymys on se, kuinka laajasti samoja henkilöitä on liikkunut Schengen-alueella. Leipzigin epäiltyjen tapauksessa matkustaminen eri maiden kautta sekä eri valtioiden tietokannoista löytyvät osumat kuvaavat juuri sitä ympäristöä, jota hajautettu tiedusteluverkosto pystyy hyödyntämään.

Schengen-järjestelmä ei aiheuta uhkaa, mutta sen tarjoama vapaa liikkuvuus tekee valtionrajat ylittävien verkostojen havaitsemisesta väistämättä kansainvälisen vastatiedustelukysymyksen.

Venäjän todellinen järjestelmä ei todennäköisesti ole yksi komentopyramidi. Olisi liian houkuttelevaa piirtää rakenne:

Kreml → GRU → yksikkö → handler → agentti → sabotaasi.

Todellisuus näyttää kuitenkin monimutkaisemmalta. Julkisten tapausten perusteella Venäjän järjestelmä muistuttaa pikemminkin verkostoa kuin pyramidia.

Sotilastiedustelu, turvallisuuspalvelu, proxy-organisaatiot, rikollisverkostot, Venäjällä toimivat koordinaattorit, verkossa värvätyt agentit ja paikalliset fasilitaattorit voivat muodostaa eri operaatioihin erilaisia kokoonpanoja.

Yksi operaatio voi olla GRU-vetoinen. Toisessa verkoston taustalla on FSB. Kolmannessa tehtävän toteuttamiseen voidaan käyttää Wagneriin tai muuhun proxy-organisaatioon liittyvää välikättä. Alimmalla tasolla sama henkilö ei välttämättä tiedä tästä mitään. Tämä tekee järjestelmästä sekä joustavan että vaikeasti attribuoitavan.

Tiedustelullinen kokonaisarvio

Merkittävin virhe olisi tarkastella jokaista paloa, droonia, kaapelivauriota, tunkeutumista, junan suistamista tai epäilyttävää tiedustelutapausta vain erillisenä kansallisena rikoksena.

Se on juuri se näkökulma, jossa hajautettu järjestelmä menestyy. Sama handler voi ohjata henkilöitä useassa maassa. Sama rekrytointikanava voi tuottaa suorittajia kymmeniin valtioihin. Sama henkilö voi liikkua useiden maiden kautta ennen operaatiota.

Yhdessä maassa tehty vähäpätöiseltä näyttävä tiedustelutehtävä voi olla valmistelua toisessa maassa toteutettavalle operaatiolle. Siksi torjunnan keskiössä pitäisi olla yksittäisten tekojen lisäksi verkostojen löytäminen.

Ratkaiseva tiedustelukysymys ei enää ole vain kuka tämän teki, vaan kuka antoi tehtävän, kuka yhdisti toimijat toisiinsa, kuka maksoi, kuka valitsi kohteen ja mitä muita tehtäviä sama verkosto on käynnistänyt?

Eurooppaan on syntynyt uudenlainen harmaan alueen turvallisuusympäristö

Venäjän Euroopassa harjoittama sabotaasitoiminta on muuttunut muutamassa vuodessa. Diplomaattipeitteisten tiedustelu-upseerien ympärille rakennetuista perinteisistä verkostoista on siirrytty kohti hajautettua, digitaalista ja osittain rikolliseen toimintaympäristöön sulautuvaa järjestelmää, jonka

• strateginen johto voi sijaita Venäjällä.
• koordinaattori voi käyttää vain verkkoyhteyttä.
• fasilitaattori voi matkustaa Schengen-alueella.
• varsinainen suorittaja voi olla minkä tahansa maan kansalainen eikä välttämättä edes tiedä työskentelevänsä Venäjän tiedustelupalvelulle.

Tapaus Leipzig näyttää tämän järjestelmän vaarallisimman mahdollisen kehityssuunnan. Kun valtiollisen tiedustelupalvelun tekninen ja organisatorinen osaaminen yhdistetään halpoihin, helposti korvattaviin paikallisiin suorittajiin, syntyy järjestelmä, jonka avulla suhteellisen pieni ammattimainen organisaatio voi aiheuttaa turvallisuusongelmia koko Euroopan alueella.

Yksittäinen kertakäyttöagentti ei ole tämän järjestelmän varsinainen voima. Voima syntyy verkostosta, joka pystyy löytämään uuden suorittajan aina edellisen tilalle.

Siksi Euroopan turvallisuuden kannalta keskeinen tavoite ei ole vain pysäyttää sabotoijaa rikospaikalla. Paljon tärkeämpää on päästä komentoketjussa ylöspäin: tunnistaa fasilitaattorit, handlerit, rahoitus, digitaalinen infrastruktuuri ja lopulta se tiedustelupalvelun rakenne, joka kykenee käynnistämään uusia operaatioita.

Tapaus Leipzigin tärkein tiedustelullinen viesti ei siksi ehkä ole se, että drooni löydettiin räjähteineen saksalaiselta lentoasemalta. Se on se, että Euroopassa toimivan suorittajan ja Venäjällä sijaitsevan valtiollisen toimeksiantajan väliin näyttää muodostuneen kokonainen uusi operatiivinen ekosysteemi, jonka tunnistaminen ja tuhoaminen on seuraavan vaiheen vastatiedustelun keskeinen haaste myös Suomessa.

Supon haasteena on miten havaita hajautettu sabotaasiverkosto ennen iskua?

Venäjän käyttämä kerrostettu sabotaasimalli muodostaa supolle olennaisesti erilaisen vastatiedusteluhaasteen kuin perinteinen valtiollinen vakoilu. Perinteisessä tiedustelutoiminnassa vastapuolen tiedustelu-upseeri, diplomaattipeite, yhteydenpitomenetelmät ja agenttisuhteet muodostavat rakenteen, jota voidaan pyrkiä tunnistamaan ja seuraamaan. Hajautetussa sijaistoimijamallissa tämä rakenne on tarkoituksellisesti rikottu useisiin erillisiin kerroksiin.

Supo arvioi Venäjän muodostavan edelleen keskeisimmän Suomeen kohdistuvan tiedustelu-uhan. Euroopan maiden karkotettua diplomaattipeitteellä toimineita venäläisiä tiedustelijoita Venäjä on lisännyt sekä Venäjältä käsin tapahtuvaa henkilötiedustelua että etänä rekrytoitavien sijaistoimijoiden käyttöä. Supo korostaa, etteivät tällaiset henkilöt aina edes tiedä toimivansa Venäjän palveluiden hyväksi.

Juuri tämä tekee mallista vastatiedustelullisesti vaikean. Suorittaja on verkoston näkyvin mutta vähiten arvokas osa. Sabotaasioperaation rikospaikalla havaittava henkilö ei välttämättä ole koulutettu tiedusteluagentti eikä hänellä tarvitse olla näkyviä yhteyksiä Venäjään.

Supon mukaan Venäjän tiedustelu rekrytoi sijaistoimijoita sosiaalisen median ja viestisovellusten, erityisesti Telegramin, kautta. Rekrytointi tapahtuu pitkän välikäsiketjun välityksellä, minkä vuoksi toimeksiannosta ei välttämättä pysty päättelemään sen yhteyttä Venäjän viranomaisiin.

Tällöin Suomessa tai muualla Euroopassa havaittu suorittaja voi näyttää tavalliselta pikkurikolliselta, rahaa tarvitsevalta henkilöltä, opiskelijalta, matkailijalta tai muuten turvallisuusviranomaisille merkityksettömältä henkilöltä. Tämä merkitsee perustavanlaatuista muutosta vastatiedustelun kohteessa.

Supon pitäisi kyetä tunnistamaan suhde Venäjän tiedusteluun tilanteessa, jossa edes operatiivinen suorittaja ei välttämättä tiedä tämän suhteen olemassaolosta.

Operaatio pilkotaan heikoiksi signaaleiksi

Venäjän käyttämän mallin tehokkuus perustuu osittain siihen, että operaation valmistelu voidaan jakaa useille henkilöille ja useisiin erillisiin tapahtumiin.

Supon julkisen kuvauksen mukaan sijaistoimijan ensimmäiset tehtävät voivat olla hyvin vähäisiä, esimerkiksi tarrojen liimaamista. Niiden avulla testataan henkilön luotettavuutta ennen vaativampien tehtävien antamista.

Sama yksittäinen sabotaasioperaatio voidaan puolestaan jakaa useille henkilöille, jotka eivät välttämättä tiedä toisistaan. Yksi voi tuoda materiaalin, toinen toteuttaa teon ja kolmas kuvata tapahtuman.

Tämän seurauksena sabotaasin valmistelu voi muodostua tapahtumista, joista mikään ei yksinään täytä vakavan kansallisen turvallisuuden uhan tunnusmerkkejä.

Tällaisia signaaleja voivat yleisellä tasolla olla esimerkiksi poikkeava kiinnostus infrastruktuurikohteeseen, lyhytaikainen liikkuminen kohteen ympäristössä, tavallisuudesta poikkeavat yhteydet, pienet rahansiirrot tai useiden eri henkilöiden toisiaan täydentävä toiminta.

Yksittäisenä havaintona näiden merkitys on vähäinen, mutta niiden yhdistäminen voi paljastaa mahdollisen operaation.

Tieto on hajallaan useiden toimijoiden järjestelmissä
Suomen turvallisuusjärjestelmän kannalta tästä seuraa toinen merkittävä haaste. Sabotaasiverkoston eri vaiheet voivat näkyä eri viranomaisille ja yksityisille toimijoille:

• Poliisi saattaa havaita ilkivaltatapauksen.
• Rajavartiolaitos havaitsee henkilön matkustamisen.
• Tulli voi havaita tavaravirran.
• Yrityksen turvallisuushenkilöstö voi havaita valvontakameroista poikkeavaa toimintaa.
• Kyberturvallisuustoimija voi tunnistaa verkossa tapahtuvaa tiedustelua.
• Ulkomainen tiedustelupalvelu puolestaan voi tietää henkilön kuuluvan toisessa maassa tutkittavaan verkostoon.

Yksittäin nämä havainnot voivat olla lähes merkityksettömiä. Kokonaisuus syntyy vasta, kun ne kyetään yhdistämään ajallisesti, henkilöllisesti, teknisesti ja organisatorisesti. Tästä näkökulmasta Venäjän proxy-malli ei ole pelkästään vastatiedustelun henkilöstökysymys. Se on ennen kaikkea tiedon yhdistämisen ongelma.

Vastatiedustelun tärkein tavoite ei ole suorittaja vaan komentoketju

Supon mukaan sijaistoimijat ovat Venäjälle käytännössä kertakäyttöisiä. Kiinni jäävät yleensä varsinaiset toteuttajat eivätkä rekrytointiketjun henkilöt, eikä Venäjä välttämättä tarjoa paljastuneille suorittajille mitään tukea.

Tästä seuraa tärkeä vastatiedustelullinen johtopäätös. Pelkkä suorittajan pidättäminen estää yhden operaation mutta ei välttämättä heikennä sitä järjestelmää, joka tuotti operaation. Todellinen vastatiedustelullinen arvo syntyy siitä, pystytäänkö suorittajasta etenemään ylöspäin:

• suorittaja
• rekrytoija
• fasilitaattori
• digitaalinen välittäjä
• maksuketju
• koordinaattori
• handler
• Venäjän tiedustelupalvelu.

Juuri tämän ketjun rekonstruointi on proxy-järjestelmässä vaikeaa, koska jokainen kerros on suunniteltu suojaamaan seuraavaa. Venäjän näkökulmasta verkoston suojaamiseen ei edes tarvita täydellistä salaisuutta. Riittää, että suora yhteys toimeksiantajaan katkeaa riittävän monta kertaa.

Rikostorjunnan ja vastatiedustelun tavoitteet kohtaavat samassa operaatiossa

Sabotaasioperaatio synnyttää myös klassisen tiedustelullisen ongelman. Jos viranomainen tunnistaa valmistelun varhaisessa vaiheessa, välitön turvallisuusintressi puoltaa teon estämistä mahdollisimman nopeasti.

Vastatiedustelullinen intressi voi samalla puoltaa verkoston seuraamista pidemmälle, jotta voidaan tunnistaa rekrytoija, handler ja mahdollisesti muut käynnissä olevat operaatiot. Liian aikainen puuttuminen saattaa katkaista verkoston tutkimisen. Liian myöhäinen puuttuminen voi mahdollistaa vakavan vahingon.

Proxy-malli tekee tästä tasapainosta erityisen vaikean, koska alemman tason toimija voidaan korvata nopeasti uudella suorittajalla.

Kansainvälinen liikkuvuus tekee verkostosta Suomen rajat ylittävän

Supon mukaan Venäjän sijaistoimijoiden rekrytointi on kansainvälistä ja myös suomalaisen henkilön rekrytoiminen ulkomailla toteutettavaan fyysiseen vaikuttamiseen on mahdollista. Toimeksiannon toteuttajaryhmä voi olla monikansallinen.

Leipzigin tutkinnassa esiin tullut Suomeen liittyvä tietokantaosuma havainnollistaa tätä ongelmaa hyvin, vaikka se ei tällä hetkellä osoita Suomessa toimivaa sabotaasiverkostoa.

Henkilö voi tulla suomalaisen viranomaisen tietoon yhdessä asiayhteydessä ja esiintyä myöhemmin täysin toiseen valtioon kohdistuvan operaation tutkinnassa. Tämän vuoksi kansallinen tietopohja ei yksinään riitä.

Venäjän verkostojen paljastaminen ja tuhoaminen edellyttävät eurooppalaista vastatiedustelun tilannekuvaa, jossa henkilöiden lisäksi kyetään yhdistämään matkustus, viestintä, maksuliikenne, tekniset tunnisteet ja aikaisemmat tutkinnat useista valtioista.

Kybertiedustelu ja fyysinen valmistelu voivat olla saman operaation eri vaiheita

Supon mukaan Venäjän tiedustelua kiinnostavat Suomessa muun muassa kriittinen ja sotilaallinen infrastruktuuri. Venäjän tiedustelun toimintatapojen arvioidaan lisäksi monipuolistuvan, ja Venäjä pyrkii säilyttämään sekä perinteisiä että etätoimintaan perustuvia tiedustelukykyjä.

Tämä asettaa analyysille tärkeän vaatimuksen. Fyysistä turvallisuutta ja kyberturvallisuutta ei voida tarkastella täysin erillisinä ilmiöinä.

Strategisen kohteen verkkoinfrastruktuurin kartoittaminen, henkilöstöön kohdistuva tiedustelu, fyysinen havainnointi ja myöhempi sabotaasi voivat teoriassa muodostaa saman operaation eri vaiheita.

Yksikään tällainen havainto ei yksinään osoita sabotaasin valmistelua, mutta jos useita niitä ilmenee saman kohteen tai saman toimijaverkoston ympärillä, niiden yhteisarvo kasvaa olennaisesti.

Supon toinen vaikea tehtävä on välttää ylireagointia

Venäjän hybriditoiminnan torjunnassa on myös päinvastainen riski. Kaikkea epäilyttävää ei pidä tulkita Venäjän toiminnaksi.

Supo painottaa tätä itse vuoden 2026 katsauksessaan. Sen mukaan Suomi ei ole toistaiseksi ollut Venäjän sabotaasi-iskujen kohteena.

Suomessa tehtyjä lennokkihavaintoja on selvitetty viranomaisyhteistyöllä ja lähes kaikki on pystytty selittämään muulla lentotoiminnalla. Supon johtaja Martelius on varoittanut myös siitä, että perusteettomasti Venäjään yhdistetyt tapahtumat voivat vahvistaa kuvaa Venäjästä kaikkivoipana toimijana.

Supon analyysitehtävä on siksi poikkeuksellisen vaativa. Sen pitäisi samaan aikaan havaita todellinen operaatio mahdollisimman aikaisin ja kyetä hylkäämään suuri määrä vääriä signaaleja.

Liiallinen herkkyys tuottaa virheellisiä attribuutioita. Liian korkea havaintokynnys voi puolestaan jättää aidon operaation tunnistamatta. Suomen nykytilanne ei oikeuta alarmismiin mutta edellyttää ennakointia.

Supon julkisen arvion mukaan Suomi ei syyskuuhun 2026 mennessä ole ollut Venäjän sabotaasi-iskujen kohdemaa. Samanaikaisesti Venäjä on Suomen keskeisin valtiollinen tiedustelu-uhka, kriittinen ja sotilaallinen infrastruktuuri kiinnostavat Venäjän tiedustelua ja Euroopassa käytettyjen sijaistoimijamallien arvioidaan säilyvän osana Venäjän keinovalikoimaa.

Supo arvioi lisäksi, että Venäjä voi tulevaisuudessa siirtää Ukrainaan nyt sidottuja tiedusteluresurssejaan muualle Eurooppaan, myös Suomeen. Suomen turvallisuuden kannalta huomio pitäisi siksi kohdistaa erityisesti vaiheeseen, joka edeltää mahdollista sabotaasia.

Tällöin toiminta saattaa näkyä vasta infrastruktuurin kartoittamisena, henkilöiden testaamisena, verkossa tapahtuvana rekrytointina, logististen mahdollisuuksien selvittämisenä tai pienten toimeksiantojen antamisena. Kun varsinainen tuhotyö tapahtuu, operaatio on vastatiedustelullisesti jo pitkällä.

SecMeterin arvio

Venäjän uuden sabotaasimallin suurin haaste supolle voidaan kiteyttää yhteen rakenteelliseen ongelmaan:

Venäjä pyrkii tekemään operaation näkyvimmästä henkilöstä sen tiedustelullisesti vähiten arvokkaan osan.

Yksittäinen suorittaja voidaan menettää tai korvata, mutta Venäjän tiedustelu- ja turvallisuuspalvelujen kyky tunnistaa kohteita, rekrytoida ihmisiä, jakaa tehtäviä ja käynnistää uusia operaatioita säilyy.

Tästä syystä supon onnistunutta vastatiedustelua ei pitäisi arvioida ainoastaan sen perusteella, saadaanko yksittäinen sabotööri kiinni. Ratkaisevaa on, kuinka pitkälle suorittajasta pystytään etenemään kohti rekrytoijia, välittäjiä, koordinaattoreita ja lopulta operaation todellista johtoa.

Supon keskeinen haaste ei siten ole vain yksittäisen sabotaasi-iskun estäminen tai tutkinta. Suurempi vastatiedustelullinen haaste on tunnistaa operaatiota mahdollistava verkosto jo siinä vaiheessa, kun sen yksittäiset osat näyttävät toisistaan riippumattomilta eikä varsinaista verkostoa vielä ulospäin ole havaittavissa.