Krimi

Veebis pääses ligi vähemalt 34 000 kasutaja ning 100 000 tehingu andmetele

HIIGLASLIKUD ANDMELEKKED: avalikult oli kättesaadavad Olerexi ja Tartu rattaringluse kasutajate andmed (50)

Hindrek Pärg, 11. juuli 2019, 17:12
Foto: Alar Truu
Viimase pooleteise nädala jooksul on Riigi Infosüsteemi Ametit (RIA) teavitatud suurtest andmeleketest. Avalikult oli kättesaadavad 100 000 Olerexi ärikliendi tehingute andmed, Tartu rattaringluse 20 000 kasutaja andmed ning netipoodi Charlot kasutanud 14 000 eestlase isikuandmed. 

„Esialgsel hinnangul olid andmed avalikud inimlike vigade tõttu. RIA alustas siiski kõigi kolme osapoole suhtes järelevalvemenetlust, et selgitada välja, kas nende infosüsteemid on nõuetekohaselt kaitstud,“ ütles RIA küberturvalisuse teenistuse juht Uku Särekanno.

RIA intsidentide käsitlemise osakond sai 9. juuli õhtul Olerexilt info, et kolimise tõttu olid avalikult kättesaadavaks jäänud ligikaudu 100 000 ärikliendi toimingut ehk info äriklientide tehingute kohta. 

„Meile teadaolevalt lekkisid ärikliendi nimi ja isikukood, krediitkaardiandmed kättesaadavad ei olnud. See ei tähenda, et kättesaadavad olid 100 000 inimese andmed, vaid 100 000 tankimise omad. Seega me ei tea täpselt, kui mitme ärikliendi nimi, isikukood ja kaardilimiit internetis leitav oli,“ rääkis Uku Särekanno, RIA peadirektori asetäitja küberturvalisuse alal. 

Olerex kontrollis üle oma teised keskkonnad, et välistada sarnase olukorra tekkimist ning viib läbi turvalisuse auditi. 

Särekanno lisas, et Olerexi sõnul olid avalikud andmed viimase pooleteise kuu tehingute kohta ning 9. juulil turvanõrkus suleti. „Need andmed oli võimalik üles leida, kui neid teadlikult otsiti, igaüks nende otsa ei komistanud. Turvanõrkusi otsis tõenäoliselt robot, mis proovis eri andmebaasidesse sisse pääseda. Teame ka, et neid andmeid laeti reaalselt alla,“ sõnas Särekanno. Postimehe andmetel laaditi infot alla lausa 71 korda. 

RIA alustas juhtunu osas järelevalvemenetlust, et selgitada välja, kas Olerexi infosüsteemid on nõuetekohaselt kaitstud.

Õhtuleht pöördus kommentaari saamiseks ka Olerexi poole. 

Tartu rattaringluse andmeleke

Info teisest suuremast vahejuhtumist jõudis RIAni samuti 9. juulil, kui Tartu linnavalitsus andis teada rattaringlust pakkuva ettevõtte Bewegeni andmebaasi turvanõrkusest. Selle tõttu oli võimalik rattaringluse käivitamise algusest kuni 9. juulini, mil viga parandati, autentimata ligi pääseda natuke rohkem kui 20 000 kasutaja andmetele. Kättesaadavad olid kasutajate nimi, meiliaadress, telefoninumber ja kasutaja ID, mis võimaldas näha, kus ta liikus. Kättesaadavad olid 7180 kasutaja isikukoodid, kuna nende konto oli ühendanud ka bussikaardiga.

Ajaliselt esimesest andmelekkest sai RIA tänu ajakirjanikule teada 3. juulil. Avalikud olid ligikaudu 14 000 Charloti e-poe kasutaja isikuandmeid sisaldavad kataloogid. „Kuna avalikud olid telefoninumbri, nimede ja aadressi kõrval ka kasutajate meiliaadressid ja e-poe parool lihttekstina, siis peavad Charloti kasutajad oma paroole vahetama. On enam kui tõenäoline, et e-poodi sisse logimiseks mõeldud parool oli ka teistes keskkondades kasutusele. Kui need andmed jõuavad küberkurjategijateni, siis nad saavad meiliaadressi ja parooli teades logida ka teistesse keskkondadesse sisse,“ toonitas Särekanno.

„Kõik inimesed ja ettevõtted peavad suhtuma andmekaitsesse täie tõsidusega. Inimesed peaksid hoolega jälgima, kuhu ja mis andmeid nad edastavad, sest peale edastamist nad enam oma andmeid ei kontrolli. Ettevõtetele on soovitus, et testige regulaarselt enda veebikeskkondade ja teiste süsteemide turvalisust, tuvastage ja paigake regulaarselt tarkvara nõrkusi. Kõik see on kordades odavam, kui hilisemate tagajärgedega tegelemine,“ lisas Särekanno.

REKLAAM JA KUULUTUSED

reklaam@ohtulehtkirjastus.ee