HIIGLASLIK ANDMELEKE ⟩ Küberkurjategijad varastasid 700 000 Apotheka kliendi andmed

Apotheka klientide tundlikud andmed sattusid küberkurjategijate kätte. Apotheka netiapteegi sisenemiskeskkond. Foto: Mihkel Maripuu

• Varastatud info puudutab aastaid 2014–2020.
• Politsei andmetel pole varastatud andmeid praegu kurjasti kasutatud.
• Kõik lekkega seotud inimesed saavad isikliku teavituse.

Küberkurjategijad varastasid veebruaris apteegi- ja haiglakaupadega tegeleva ettevõtte Allium UPI kliendikaardisüsteemist ligi 700 000 Apotheka kliendi isikukoode, ostuandmeid ja kontaktandmeid.

Kriminaalmenetluses on praeguseks tuvastatud, et Allium UPI andmebaasist laaditi ebaseaduslikult alla ligi 700 000 Apotheka, Apotheka Beauty ja PetCity kliendikaardi omaniku isikukoodi, üle 400 000 e-posti aadressi, ligi 60 000 koduaadressi ja umbes 30 000 telefoninumbrit.

Küberkurjategijate kätte sattunud andmete põhjal on võimalik tuvastada, milliseid käsimüügiravimeid ja muid apteegikaupu Apotheka kliendid ostnud on. Ostetud retseptiravimite info siiski lekkinud andmete seas ei ole. Lekkinud info apteegiostude kohta puudutab aastaid 2014–2020, seega viimaste aastate ostuandmed kurjategijate kätte ei jõudnud.

Allium UPI tevitab e-posti vahendusel isiklikult kõiki inimesi, kelle andmeid ebaseaduslikult alla laaditi. Andmekaitse inspektsiooni peadirektori Pille Lehise sõnul näitab juhtum, et andmete kaitsmine on ettevõtjate jaoks teisejärguline.

«Ettevõtetel tuleb tõsiselt kaaluda, kuidas suurendada investeeringuid turvalisuse tagamiseks. Juhtumi kahju ei ole pelgalt materiaalne, vaid õõnestab ka usaldust. Soovitame inimestel suhtuda kriitiliselt oma isikuandmete jagamisse, muu hulgas ka kliendikontode tarbeks. Andmete jagamise nõusoleku saab igal hetkel tagasi võtta, kuid juba kogutud andmeid lõplikult kustutada ei saa,» ütles Lehis.

Andmekaitse inspektsiooni juhi sõnul peame ka ise olema nõudlikud küsima, milliseid andmeid tema kohta teatakse, millisel eesmärgil neid kogutakse ja kes neile ligi pääseb.

«Andmetest on saanud inimeste kõige väärtuslikum valuuta. Palun kaubelge nendega vastutustundlikult, sest selle valuuta väärtus on iga päev kasvamas,» ütles Lehis.

Küberhügieeni ei tohi unustada

Riigi infosüsteemi ameti intsidentide lahendamise osakonna CERT-EE juht Veikko Raasuke selgitas, et tõsiste tagajärgedega küberrünnak algab sageli mõne ettevõtte töötaja kasutajakonto ülevõtmisest.

«Kurjategijad võivad kasutajanime ja parooli teadasaamiseks kasutada näiteks pahavara, mille töötaja tõmbab oma arvutisse nakatunud e-kirja manust avades või kahtlasest kohast leitud piraattarkvara kasutades. Et kurjategijad ei pääseks lekkinud parooliga kohe süsteemi sisse, tuleks kindlasti kasutada kaheastmelist autentimist,» rääkis Raasuke.

Ta toonitas, et internetist peaksid ligipääsetavad olema vaid need infosüsteemid ja teenused, mille puhul on see tingimata vajalik ning ka need tuleks paigutada VPNi või muu turvalahenduse taha.

«Paraku näitavad CERT-EE automaatseire andmed, et Eestis on praegu näiteks üle tuhande internetist vabalt ligipääsetava kaugtöölaua,» nentis Raasuke.

Andmevarguse uurimiseks alustati kriminaalmenetlust arvutisüsteemile ebaseaduslikult juurdepääsu hankimise paragrahvi järgi. Menetlust viib läbi keskkriminaalpolitsei küberkuritegude büroo ja juhib riigiprokuratuur. Andmekaitse inspektsioon alustas juhtunu uurimiseks järelevalvemenetlust.

Apotheka: teeme kõik endast oleneva, et selliseid juhtumeid tulevikus ei esineks

Jaanuaris avastati ulatuslik küberrünnak apteegi- ja haiglatehnika müügiga tegeleva Allium UPI OÜ andmebaasi vastu, mis pakub Apotheka apteekidele ja teistele koostööpartneritele, näiteks Apteegi Beauty OÜ-le ja PetCity OÜ-le ühtset programmi.

Rünnaku avastamisel võeti kohe tarvitusele vastumeetmed selle tõkestamiseks ja kuriteo ulatuse piiramiseks ning teavitati kohaseid riigiasutusi. Rünnaku käigus võis kolmandate osapoolte kätte sattuda andmeid klientide kohta, kes olid programmiga liitunud enne veebruari lõppu 2020. aastal. Teadaolevalt ei ole kurjategijate valdusesse sattunud hilisemate tehingute andmed ja mitte ühegi hiljem liitunud uue kliendi andmed.

Rünnaku alla sattunud andmekogud sisaldasid lisaks klientide nimele e-postiaadresse, telefoninumbreid, isikukoode, aadressiandmeid ja mitteravimite oste. Siiski on vähese osa klientide ostuajaloos erandlikel juhtudel salvestunud info käsimüügiravimite kohta.

Kliendiprogramm ei salvesta paroole, pangaandmeid ega infot retseptiravimite kohta ning nende sattumine kurjategijate kätte on välistatud. Menetluste toimumise ajal ei saa Allium UPI OÜ uurimise huvides täiendavaid detaile avalikkusega jagada.

«Palume olla tähelepanelikud erinevate e-kirjade sisu puhul, mille saatjaks on Apothekat, Apotheka Beautyt või PetCityt jäljendav kolmas isik ja kirja sisu puudutab teie terviseandmeid. Enne, kui olete veendunud kirja päritolus ja tõesuses, ärge klikkige ühelgi veebilingil ega avage kirja manuseid,» ütles Allium UPI OÜ esindaja Marika Pensa.

Alates neljapäevast saadetakse kõigile rünnaku ohvriks langenud andmebaasis olnud klientidele otseteavitus. Rünnaku asjus teevad menetlust nii politsei kui andmekaitse inspektsioon, keda teavitati juhtunust kohe selle avastamise järel.

Allium UPI juhatuse liige Marika Pensa sõnul võtab ettevõte andmekaitset väga tõsiselt ja vabandab võimalike ebamugavuste pärast, mida see juhtum võib inimestele põhjustada.

«Oleme rakendanud lisameetmeid kliendiprogrammi andmete turvalisuse tugevdamiseks; klientide andmed on hoitud kindlalt ning teeme kõik endast oleneva, et selliseid juhtumeid tulevikus ei esineks,» ütles Pensa.