Jopa 125 miljoonaa tekstiviestiä on voinut päätyä vääriin käsiin teleoperaattorin tietokantaan kohdistuneen tietovuodon vuoksi, kertoo Viron yleisradioyhtiö ERR.
Tietoturvaongelma koskee latvialaisen teleoperaattorin CSC Telecomin järjestelmää, mutta tietokannassa oli viestejä myös Liettuassa ja Virossa toimivilta yrityksiltä.
Cybernews löysi suojaamattoman tietokannan syyskuun lopulla. Siihen oli tallennettu viestejä lokakuusta 2022 syyskuuhun 2026. Pelkästään tämän vuoden syyskuulta tietokannassa oli yli kolme miljoonaa tekstiviestiä.
Tietokanta sisälsi viestien koko sisällön lisäksi asiakkaiden nimiä, puhelinnumeroita ja aikaleimoja. Mukana oli muun muassa väliaikaisia salasanoja, lääkinnällisten tutkimusten tuloksia, toimitusosoitteita, matkavarauksia ja pankkien lähettämiä ilmoituksia. Cybernewsin mukaan tietokanta päivittyi reaaliajassa, joten ulkopuolinen olisi voinut nähdä viestejä jo ennen niiden saapumista vastaanottajille.
Aineistossa oli viestejä muun muassa Swedbankilta ja SEBiltä, vakuutusyhtiöiltä sekä Latvian hätänumerosta 112. Lisäksi tietokannassa oli muun muassa Porsche-jälleenmyyjien, yhteiskäyttöautopalvelu CityBeen, verkkokauppa Barboran, DEPO-rautakauppaketjun ja lentoyhtiö airBalticin lähettämiä viestejä.
CSC Telecomin Viron myyntijohtaja Rain Aasmäe sanoo, että Viron asiakkaiden tekstiviestipalvelu toimii eri palvelimilla ja erillisessä tietokannassa kuin Latvian järjestelmä. Hänen mukaansa Latvian järjestelmän haavoittuvuuden kautta ei päässyt käsiksi Viron asiakastietoihin. Yhtiö aikoo silti tarkistaa Viron järjestelmänsä tietoturvavaatimukset tapauksen jälkeen. Myös SEB Viron-yksikön mukaan sen asiakkaiden tietoja ei ole vuotanut.
Swedbank Latvia on keskeyttänyt CSC Telecomin palvelujen käytön ja selvittää nyt tapauksen laajuutta. Pankki kehottaa asiakkaitaan suhtautumaan varauksella epäilyttäviin viesteihin, puheluihin ja sähköposteihin, joissa pyydetään henkilötietoja tai tunnistautumiskoodeja. SEB Latvia puolestaan kertoo käyttäneensä CSC Telecomia vain rajattuihin eläkerahastoja koskeviin markkinointiviesteihin ja välittävänsä arkaluonteiset asiakastiedot muita kanavia pitkin.
Lentoyhtiö AirBaltic selvittää mahdollista tietovuotoa palveluntarjoajiensa ja viranomaisten kanssa. Yhtiön mukaan vielä ei tiedetä, kuinka paljon tietoja on voinut paljastua tai kuinka monia asiakkaita tapaus koskee.
Latvian kyberturvallisuusviranomainen CERT.lv on pyytänyt CSC Telecomia selvittämään, onko yhtiön järjestelmistä tapahtunut tietovuoto, ja välittänyt asiaa koskevat tiedot myös lainvalvontaviranomaisille.