Onko Gmail turvallinen ja yksityinen?

Gmailiin on vaikea murtautua. Googlen mukaan se estää yli 99,9 % roskapostista, tietojenkalasteluyritykset ja haittaohjelmat ennen kuin ne saavuttavat sinut, ja pääsyavain tai suojausavain tekee tilistäsi hyvin vaikean varastaa. Tämän ansiosta Gmail on turvallinen monia yleisiä uhkia vastaan, mutta ei välttämättä yksityinen.

Turvallisuus ja yksityisyys vastaavat eri kysymyksiin:

• Turvallisuus kysyy, voiko rikollinen päästä käsiksi saapuneisiin.
• Yksityisyys kysyy, ketkä muut voivat lukea sähköpostin, mukaan lukien sen ylläpitävä yritys.

Gmail ei ole oletuksena päästä päähän -salattu, mikä tarkoittaa, että viestit eivät ole salattuja tavalla, jossa vain lähettäjä ja vastaanottaja voisivat purkaa ne. Google hallitsee tallennettujen viestien avaimia, käsittelee niiden sisältöä roskapostisuodatuksen ja Smart Compose -ominaisuuden kaltaisten toimintojen tarpeisiin ja yhdistää tilin samaan Google-profiiliin, joka tukee sen mainosliiketoimintaa. Lyhyesti sanottuna Gmail on melko turvallinen, mutta se ei ole yksityinen sähköpostipalvelu.

• Onko Gmail salattu?
• Onko Gmail turvallinen?
• Onko Gmail yksityinen?
• Miten Gmailista tehdään turvallisempi ja yksityisempi
• Turvallisempi vaihtoehto Gmailille

Onko Gmail salattu?

Kyllä, mutta ei päästä päähän. Tavallinen Gmail käyttää siirrossa TLS-salausta ja salausta levossa. Yritysasiakkaat joillakin maksullisilla Google Workspace -tilauksilla voivat ottaa käyttöön vahvempia vaihtoehtoja.

Salaustyyppi	Mitä se suojaa	Saatavilla	Voiko Google lukea viestin?
TLS	Sähköposti kulkee sähköpostipalvelimien välillä, kun toinen palvelin tukee sitä	Kaikki tilit	Kyllä
Salaus levossa	Tallennettu sähköposti, suojattu varastetuilta levyiltä ja joiltakin infrastruktuurihyökkäyksiltä	Kaikki tilit	Kyllä
Isännöity S/MIME	Sähköposti käyttäjien välillä, joilla kummallakin on S/MIME-varmenne	Enterprise Plus, Frontline Plus ja Education-tilaukset	Kyllä: varmenteet ja yksityiset avaimet lähetetään Gmailiin
Asiakaspuolen salaus (CSE)	Selaimessa salattu sähköposti avaimilla, joita organisaatio hallitsee	Enterprise Plus, Frontline Plus, Education Standard ja Plus	Ei, mutta organisaatio voi

Henkilökohtaisessa Gmailissa todellinen päästä päähän -salaus edellyttää ulkopuolisen tahon PGP-laajennusta, kuten Mailvelopea, ja vastaanottajalla on myös oltava PGP (ohjelmisto, joka noudattaa OpenPGP-standardia, avointa päästä päähän -salauksen standardia).

Salaako Gmailin luottamuksellinen tila sähköpostin?

Ei. Luottamuksellisen tilan avulla voi asettaa erääntymispäivän, mitätöidä käyttöoikeuden, vaatia SMS-tunnuskoodin ja estää vastaanottajia välittämästä, kopioimasta, tulostamasta tai lataamasta viestiä. Vastaanottajat voivat silti ottaa kuvankaappauksia tai valokuvia sähköposteista. Luottamuksellinen tila rajoittaa vastaanottajan toimintaa, mutta ei pidä viestiä yksityisenä Googlelta.

Onko Gmail turvallinen?

Kyllä. Varastettuja salasanoja, tietojenkalastelua, roskapostia ja haittaohjelmia vastaan Gmail on yksi vahvemmista saatavilla olevista sähköpostipalveluista, erityisesti kun salasana korvataan pääsyavaimella tai suojausavaimella. Tässä syy:

Salaus siirrossa ja levossa

Gmail salaa viestit TLS-salauksella (Transport Layer Security) niiden kulkiessa sähköpostipalvelimien välillä, joten sähköpostit ovat suojattuja siirron aikana niin kauan kuin myös linjan toisessa päässä oleva sähköpostipalvelu tukee TLS:ää. Jos viestin vieressä näkyy punainen avoin lukkokuvake, se tarkoittaa, että sähköpostia ei ole salattu.

Kun sähköposti päätyy Googlen palvelimille, se on salattu levossa. Googlen Workspace –salausselvitys(uusi ikkuna) luettelee Gmailin viestit ja liitteet salatuiksi AES-salauksella, jossa on 128-bittinen tai sitä vahvempi avain, jonka Google luo ja hallitsee.

Molemmat suojaukset estävät ulkopuolisia, kuten jotakuta, joka kuuntelee verkkoyhteyttä tai varastaa levyn datakeskuksesta. Koska Google kuitenkin hallitsee avaimia, sillä on teknistä pääsyä sähköposteihin. Tämä erottaa sen päästä päähän -salauksesta, jossa vain lähettäjä ja vastaanottaja voivat purkaa viestin salauksen.

Kaksivaiheinen tunnistautuminen ja pääsyavaimet

Google tukee kaksivaiheista tunnistautumista (2FA). Kirjautumiset voi vahvistaa Googlen kehotteella puhelimessa, tunnistautumissovelluksella, pääsyavaimella, fyysisellä suojausavaimella tai tekstiviestillä tai puhelulla lähetetyllä koodilla. Tekstiviestillä tai puhelulla lähetetyt vahvistuskoodit ovat alttiita puhelinnumeroon perustuville hyökkäyksille, ja Gmailin tiedottaja kertoi Forbesille helmikuussa 2025(uusi ikkuna), että Google haluaa “siirtyä pois SMS-viestien lähettämisestä tunnistautumista varten”. Pääsyavaimet, Googlen oletuskirjautumisvaihtoehto, ovat vahvempia, koska ne voivat vastustaa verkkohyökkäyksiä, kuten tietojenkalastelua.

Ihmisille, joiden riski on kohonnut, Google tarjoaa Advanced Protection Program -ohjelman. Se vaatii kirjautumiseen pääsyavaimen tai suojausavaimen, sallii tilin tietojen käytön vain Googlen sovelluksille ja vahvistetuille ulkopuolisille sovelluksille ja tarkistaa lataukset tiukemmin. Se ei muuta sitä, miten Gmail salaa sähköpostin, joten Google voi edelleen lukea viestit.

Roskapostin, tietojenkalastelun ja haittaohjelmien suojaus

Gmail suodattaa saapuvan postin automaattisesti. Yhtiön mukaan Gmail estää lähes 10 miljoonaa roskapostiviestiä joka minuutti, ja vuoden 2024 lopulla esitelty uudempi tekoälymalli estää 20 % enemmän roskapostia kuin aiemmin. Gmail myös:

• Estää riskialttiit liitetyypit, kuten suoritettavat tiedostot, ja varoittaa ennen vaarallisen liitteen lataamista.
• Näyttää varoitusbannereita epäilyttävissä viesteissä, turvattomassa sisällössä ja harhaanjohtavissa linkeissä.
• Edellyttää, että kaikki Gmailiin lähettävät todentavat verkkotunnuksensa SPF- tai DKIM-menetelmällä, lähettävät TLS-salatusti ja pitävät roskapostiosuuden alle 0,3 %. Yli 5 000 viestiä päivässä lähettävien on lisäksi käytettävä sekä SPF:ää että DKIM:ää, DMARC:ia ja yhden napsautuksen tilauksen peruutusta. Vaatimukset täyttämättömät sähköpostit hylätään tai ohjataan roskapostikansioon.
• Näyttää vahvistetun logon (Brand Indicator for Message Identification, eli BIMI), joka muistuttaa sinistä valintamerkkiä, brändien vieressä, jotka ovat vahvistaneet verkkotunnuksensa ja logonsa. Tämä vaikeuttaa toisena esiintymistä.

Suodattimet vähentävät riskiä, mutta eivät poista sitä. Microsoft havaitsi noin 8,3 miljardia sähköpostipohjaista tietojenkalasteluuhkaa(uusi ikkuna) vuoden 2026 ensimmäisellä neljänneksellä, ja hyökkääjät ovat väärinkäyttäneet Googlen omia järjestelmiä: huhtikuussa 2025 tietojenkalastelijat lähettivät vääriä hälytyksiä(uusi ikkuna) osoitteesta no-reply@google.com, jotka läpäisivät Gmailin tunnistautumistarkistukset.

Gmailin roskapostisuodattimessa on myös poikkeuksia, ja Google päättää, kenelle ne myönnetään. Syyskuusta 2026 lähtien Gmail Verified Sender Program antaa rekisteröidyille Yhdysvaltain poliittisille komiteoille mahdollisuuden ohittaa suodattimen, jos ne lähettävät vahvistetuista verkkotunnuksista ja pitävät valitusten osuuden alle 0,3 %. Poliittiset sähköpostit, jotka Gmail olisi aiemmin tunnistanut roskapostiksi, päätyvät nyt saapuneisiin, ja niiden suodattaminen pois on jätetty käyttäjän tehtäväksi.

Tilin suojausominaisuudet

Googlen tilityökalut havaitsevat monet tilin kaappausyritykset jo varhaisessa vaiheessa:

Turvallisuustarkistus antaa henkilökohtaisia suosituksia, kuten vanhojen laitteiden poistamisen tai palautustavan lisäämisen.

Suojaushälytykset ilmoittavat puhelimitse tai sähköpostitse, jos joku kirjautuu sisään uudelle laitteelle tai jos tilin kautta lähetetään epätavallisen paljon sähköposteja. Huijarit jäljittelevät näitä hälytyksiä. Vuonna 2024 vääriä palautuskehotteita ja tekoälyn tuottamia puheluita(uusi ikkuna) käytettiin tilien kaappaamiseen. Tarkista hälytys avaamalla Google-tili suoraan sen sijaan, että klikkaat hälytyksen linkkejä.

Laitehallinta näyttää kaikki kirjautuneet laitteet ja antaa kirjautua niistä ulos etänä. Käytä sitä aina haittaohjelmaepäilyn jälkeen. Vuonna 2024 tutkijat(uusi ikkuna) havaitsivat, että tietoja varastavat haittaohjelmat säilyttivät pääsyn Google-tileille salasanan palauttamisen jälkeenkin, koska ne käyttivät uudelleen varastettuja istuntotunnisteita. Googlen mukaan kirjautuminen ulos vaikuttaneesta selaimesta tai sen mitätöiminen laitesivulta katkaisee tämän pääsyn.

Palautuspuhelin ja -sähköposti auttavat pääsemään takaisin tilille, jos sinut on lukittu ulos.

Parannettu suojattu selaus lisää suojausta tietojenkalastelua ja haittaohjelmia vastaan Chromessa ja Gmailissa.

Gmailin tietoturvatapaukset ja hyökkäykset

Tässä on muutamia tunnettuja Gmailin tietoturvatapauksia. Huomaa, että nämä alkoivat käyttäjän puolelta tietojenkalastelun, haittaohjelmien tai vuotaneiden salasanojen kautta eikä Googlen järjestelmiin kohdistuneen murron kautta.

• Tammikuussa 2026 tutkija löysi julkisesti saatavilla olevan tietokannan, jossa oli 149 miljoonaa varastettua kirjautumistietoa(uusi ikkuna), joista noin 48 miljoonaa koski Gmailia. Googlen mukaan haittaohjelmat keräsivät kirjautumistiedot käyttäjien omilta laitteilta, eikä tietoja otettu Googlelta.
• Elokuussa 2025 ShinyHunters-nimellä tunnetut hakkerit varastivat tietoja Googlen Salesforce-tietokannasta: yhteystiedot ja muistiinpanot pienistä ja keskisuurista yrityksistä. Gmailin tietoja ei ollut mukana.
• Heinäkuussa 2025 tutkijat(uusi ikkuna) osoittivat, että sähköpostissa oleva piilotettu teksti voi huijata Geminin “Summarize this email” -toiminnon näyttämään väärennetyn turvallisuusvaroituksen.
• Huhtikuussa 2025 tietojenkalastelijat lähettivät vääriä hälytyksiä(uusi ikkuna) osoitteesta no-reply@google.com, jotka läpäisivät Gmailin tunnistautumistarkistukset ja linkittivät väärennetylle tukisivulle Google Sitesissa.
• Lokakuussa 2024 huijarit käyttivät tekoälyn tuottamia äänipuheluita, joissa esiintyivät Googlen tukena(uusi ikkuna), sekä vääriä tilin palautuskehotteita Gmail-tilien kaappaamiseen.
• Lokakuun ja joulukuun 2018 välisenä aikana kaksi Google+-virhettä paljasti profiilitietoja ensin jopa 500 000 käyttäjältä ja sitten 52,5 miljoonalta käyttäjältä. Google sulki Google+:n ja kiristi ulkopuolisten tahojen pääsyä Gmailiin.

Onko Gmail yksityinen?

Ei oikeastaan. Gmail suojaa sinua hyvin ulkopuolisilta, mutta Google itse pääsee käsiksi viesteihin, kerää tietoja siitä, miten niitä käytetään, ja yhdistää nämä tiedot Google-tiliin. Yksityisyyteen keskittyvät sähköpostipalvelut, jotka käyttävät päästä päähän -salausta ja nollapääsysalausta, on suunniteltu niin, etteivät ne voi tehdä tätä.

Gmail ei ole oletuksena päästä päähän -salattu

Jotta saapuneet voidaan indeksoida hakua varten ja ehdottaa vastauksia, Googlen palvelimet käsittelevät sähköposteja luettavassa muodossa. Tämä on mahdollista vain siksi, että salausavaimet ovat Googlen hallussa, ei käyttäjän.

Ainoastaan maksullinen Google Workspace tarjosi päästä päähän -salauksen asiakaspuolen salauksen avulla. Päästä päähän -salauksessa viesti salataan lähettäjän laitteella ja puretaan vain vastaanottajan laitteella. Palveluntarjoaja tallentaa salattua dataa, johon sillä ei ole avainta.

Mitä tietoja Google kerää Gmailin käyttäjistä?

Googlen tietosuojakäytäntöä sovelletaan Gmailiin samoin kuin Hakuun, Karttoihin ja YouTubeen, joten näissä kaikissa tehdyt toimet lisäävät sitä, mitä Google tietää sinusta. Siinä mainitaan seuraavat luokat:

Kategoria	Esimerkkejä Googlen tietosuojakäytännöstä
Luodut tai annetut tiedot	Nimi, salasana, puhelinnumero, maksutiedot ja sisältö, mukaan lukien sähköpostit
Sovellukset, selaimet ja laitteet	Yksilölliset tunnisteet, selaimen ja laitteen tyyppi, käyttöjärjestelmä, virheilmoitukset
IP-osoite ja sijainti	IP-osoite(uusi ikkuna), GPS, lähellä olevat laitteet ja toiminnan perusteella päätelty sijainti
Toiminta Googlen palveluissa	Haut, katsotut videot, ostotoiminta ja viestintä asetuksista riippuen

Lokakuun 2026 tilanteen mukaan Gmail-sovelluksen iOS App Storen tietosuojatunniste luettelee keräämänsä tiedot nimellä “Data Linked to You”, mukaan lukien ostot, karkea sijainti, yhteystiedot, sähköpostit ja muu käyttäjän sisältö, hakuhistoria, käyttäjä- ja laitetunnisteet sekä mainostiedot.

Muuta Googlen yksityisyysasetuksia, jotta voit pysäyttää verkko- ja sovellustoiminnan, poistaa henkilökohtaiset mainokset käytöstä Oma mainoskeskus -palvelussa, lopettaa sijainnin seurannan ja muuta.

Käyttääkö Google Gmailin tietoja mainoksiin?

Googlen mukaan sähköpostien sisältöä ei käytetä mainosten kohdentamiseen. Google lopetti tämän vuonna 2017, jolloin se sanoi: “Kuluttajien Gmail-sisältöä ei käytetä eikä skannata mainosten personointiin.” Googlen tietosuojakäytännössä todetaan nyt: “Emme näytä sinulle henkilökohtaisia mainoksia Drivesta, Gmailista tai Photosista peräisin olevan sisällön perusteella.”

Saapuneet-kansio on silti osa Googlen mainosliiketoimintaa muilla tavoin. Esimerkiksi Gmail näyttää mainoksia “verkkotoiminnan perusteella, kun olet kirjautuneena Googleen”, kuten hakujen ja YouTube-historian perusteella. Vuonna 2025 Ranskan tietosuojaviranomainen määräsi Googlelle 325 miljoonan euron sakon(uusi ikkuna), osittain siksi, että se lisäsi mainoksia sähköpostien väliin Kampanjat- ja Sosiaalinen -välilehdillä ilman suostumusta. Google valitti, eikä lokakuuhun 2026 mennessä ole raportoitu mitään päätöstä.

Käyttääkö Gmail sähköposteja tekoälyn kouluttamiseen?

Google vastaa kieltävästi. Marraskuussa 2025 tiedottaja kertoi Tom’s Guidelle(uusi ikkuna): “Emme käytä Gmail-sisältöä Gemini-tekoälymallin koulutukseen.”

Jos kuitenkin annat Geminin lukea Gmailin, sähköpostien sisältö, jonka Gemini tuo keskusteluun, noudattaa Geminin sääntöjä. Näiden sääntöjen mukaan Google voi käyttää kehotteita ja vastauksia tekoälyn kouluttamiseen, kun Geminin toimintaa tallennetaan. Ihmisten tarkastelemia keskusteluja säilytetään jopa kolme vuotta.

Gmailin älykkäiden ominaisuuksien asetukset ottavat käyttöön Smart Composen, pakettien seurannan ja yhteenvetokortit. Googlen mukaan, jos ne otetaan käyttöön, “saatamme käsitellä myös Workspace-sisältöä ja -toimintaa näiden ominaisuuksien parantamiseksi.” Geminin poistaminen käytöstä Gmailissa poistaa kuitenkin käytöstä myös muita hyödyllisiä tekoälyyn perustuvia ominaisuuksia, kuten saapuneiden luokittelun ja Smart Replyn.

Gmailin yksityisyyteen liittyvät oikeusjutut ja rikkomukset

Googlea on sakotettu ja haastettu oikeuteen toistuvasti sen tavasta käsitellä Gmailin käyttäjien tietoja. Tässä muutamia esimerkkejä:

• Marraskuussa 2025 Thele v. Google(uusi ikkuna) väitti, että Google otti Geminin käyttöön Gmailissa, Chatissa ja Meetissä ilman suostumusta. Tuomari hylkäsi kanteen mahdollisuudella tehdä siihen muutoksia heinäkuussa 2026, ja muutettu kanne on vireillä.
• Syyskuussa 2025 CNIL määräsi Googlelle 325 miljoonan euron sakon(uusi ikkuna), koska mainoksia näytettiin sähköpostien välissä Gmailin Kampanjat- ja Sosiaalinen -välilehdillä ilman suostumusta sekä evästeiden asettamisesta tilin luomisen yhteydessä. CNIL sanoo, että mainokset näki 53 miljoonaa ihmistä. Google valitti.
• Heinäkuussa 2018 The Wall Street Journal raportoi(uusi ikkuna), että kolmansien osapuolten sähköpostisovellusten työntekijät olivat lukeneet käyttäjien Gmail-viestejä. Google vastasi, ettei “kukaan Googlella ei lue Gmailia” paitsi suostumuksella tai turvallisuussyistä, ja että käyttäjät antavat näille sovelluksille käyttöoikeuden. Myöhemmin lokakuussa Google rajoitti Gmailin API-käyttöoikeuksia sovelluksille, jotka “suoraan parantavat sähköpostitoimintoja”.
• Vuosina 2013 ja 2014 käyttäjät nostivat oikeusjutun Gmailin sähköpostisisällön skannaamisesta mainosten kohdentamiseksi(uusi ikkuna). Ryhmäkanne epäonnistui, ja useimmat kantajat sopivat asian yksittäin. Google lopetti mainosskannauksen vuonna 2017.

Näin Gmailista tehdään turvallisempi ja yksityisempi

Nämä toimet vaikeuttavat tilin kaappaamista huomattavasti ja vähentävät Googlen keräämiä tietoja. Yksikään niistä ei estä Googlea pääsemästä käsiksi viesteihin.

1. Käytä pääsyavainta tai turva-avainta. Luo se Google-tilin kohdassa Suojaus. Pääsyavaimet kestävät tietojenkalastelua paremmin kuin salasanat ja SMS-koodit.
2. Ota kaksivaiheinen tunnistautuminen käyttöön ja suosi Googlen kehotteita tai tunnistautumissovellusta tekstiviestien sijaan.
3. Käytä ainutlaatuista salasanaa, jonka on luonut salasananhallinta, jotta toisen verkkosivuston vuoto ei pääse avaamaan Gmail-tiliäsi.
4. Tarkista laitteesi ja kirjaudu ulos kaikista laitteista, joita et tunnista.
5. Poista ulkopuolisten tahojen sovellukset, joita et enää käytä, tilisi yhdistettyjen sovellusten luettelosta, erityisesti ne, joilla on lupa lukea sähköpostiasi.
6. Suorita suojaustarkistus ja lisää palautuspuhelinnumero ja sähköposti, jonka hallitset.
7. Poista Smart-ominaisuudet käytöstä Gmailin asetuksista, jos et halua Googlen käsittelevän sähköpostiasi Smart Compose -toimintoa, yhteenvetokortteja ja tuotteiden välisiä ominaisuuksia varten, ja tarkista toimintatietosi Google-tilisi tiedoista ja yksityisyysasetuksista.
8. Opi tunnistamaan tietojenkalastelu. Suhtaudu epäluuloisesti kiireellisiin turvallisuushälytyksiin, jopa sellaisiin, jotka näyttävät tulevan Googlelta.
9. Älä lähetä erittäin arkaluonteisia tietoja. Käytä tähän yksityistä ja turvallista sähköpostia.

Yksityisempi ja turvallisempi vaihtoehto Gmailille

Jos haluat yksityisemmän ja turvallisemman Gmail-vaihtoehdon, etsi palvelua, jossa on sisäänrakennettu päästä päähän -salaus ja nollakäyttöoikeussalaus. Proton Mail tarjoaa molemmat sekä Gmailista tutut arkiset ominaisuudet ilmaisissa ja maksullisissa tilauksissa.

Protonin käyttäjille tai PGP:tä käyttäville vastaanottajille lähettämäsi sähköpostit ovat päästä päähän -salattuja, mukaan lukien viestin sisältö ja liitteet. Muissa tapauksissa voit lisätä salasanasuojauksen. Näin vain sinä ja henkilö, jolle kirjoitat, voivat lukea nämä sähköpostit. Protonin palvelimiin kohdistuvan murron sattuessa, mikä on epätodennäköistä, sähköpostisi sisältö pysyy suojattuna. Sama pätee, jos Proton saa tuomioistuimen määräyksen.

Protonia rahoittavat tilaukset, eivät tiedot sinusta. Emme koskaan näytä mainoksia, seuraa sinua, myy tietojasi tai käytä niitä tekoälyn koulutukseen. Kaikkia Proton-sovelluksia, Proton Mail mukaan lukien, suojaa sveitsiläinen yksityisyyslainsäädäntö, joka on yksi maailman vahvimmista.

Voit siirtyä Googlesta Easy Switch -työkalulla. Se tuo Gmail-viestisi, yhteystietosi ja kalenterisi, välittää uudet sähköpostit Proton Mailiin ja antaa sinun jatkaa lähettämistä Gmail-osoitteestasi, kun totut uuteen saapuneet-kansioosi. Kun olet valmis jättämään Googlen lopullisesti taakse, voit tehdä täyden siirtymisen ja poistaa Gmail-tilisi, mikä on tärkeä askel kohti elämäsi irrottamista Googlesta.