Vastaamon tietomurto

[Tuamas]

Näitä sitten arvioidaan, mutta jos ei pitävää faktaa löydy, vaikea on tehdä ratkaisua Tapion syyllisyydestä. Tuon perusteella hän tiesi toisesta murrosta, muistaakseni maaliskuussa 2019.

Toki, mutta potkut ja suora syytös julkisuuteen altistaa hallituksen myös omalta osaltaan oikeustoimille, jos ei todisteita toimarin osallisuudesta löydy.

Jos halliksen tapaan ”ilman foliota” spekuloisi, niin mielenkiintoisen kulman tuo myös se, että 2017 ~vuosi ennen ensimmäistä murtoa toimari ja äitinsä (omistivat ~90% yhtiöstä, isällä loput) hehkuttivat lehdessä kuinka firma on ja pysyy perheyhtiönä ja perheen hallussa. Sitten tietomurtojen jälkeen ~vuosi murrosta tehdäänkin kaupat jossa luovutaan kolmesta neljäsosasta firmaa.

Ja toki taas ilman foliota, on vaikea nähdä ettei toimari olisi noin pienessä firmassa ollut melko hands on softapuolen osalta, koska kyseessä on niin pieni firma ja hänen firmaan tuomansa erikoisosaaminen oli nimenomaan softan kehittäminen.

 

[Cobol]

Ja toki taas ilman foliota, on vaikea nähdä ettei toimari olisi noin pienessä firmassa ollut melko hands on softapuolen osalta, koska kyseessä on niin pieni firma ja hänen firmaan tuomansa erikoisosaaminen oli nimenomaan softan kehittäminen.

Tätä ihmettelin kanssa. Päädyin aina siihen, että hänen oli melkein pakko tietää, vaikka olisi palkannut mm. Linuxin tietoturvan tai palvelinasennusten ammattilaisia. Kuten kertoi palkanneensa. Melkoisia "ammattilaisia" ovatkin olleet, jos julkisuudessa olleet tiedot pitävät paikkansa. Ei toimi väite, mielestäni.

 

[hiitti]

Oletteko kokeilleet tätä? Syötät mailin ja mailiisi tulee linkki joka kertoo onko tietosi vuotaneet. Kuulosti hämärältä alkuun :D

Sivulta kopsattu:

Psykoterapiakeskus Vastaamon tietomurrossa viedystä potilaskertomuksista on julkaistu ainakin 303. Tällä työkalulla voit tarkistaa, ovatko sinun tietosi jo julkaistujen joukossa.

Tässä työkalussa ovat mukana ovat vain ne asiakkaat, joiden tiedoissa oli mukana sähköpostiosoite (n. 98%).
Kaikista, noin 40 000:sta vuodetusta tiedosta suhteellisen pieni osa, n. 0,8%, on varmuudella julkaistu. Ilmeisesti näiden lisäksi ainakin osa muistakin tiedoista on myös jaettu, mutta ne eivät tiettävästi ole tällä hetkellä julkisesti saatavilla.

Vuotivatko henkilötietosi julkisuuteen? Nyt saat kootut neuvot Suomi.fi-verkkopalvelusta - Suomi.fi

www.tietovuodot.fi

edit: ahaa on tästä näköjään uutinenkin.

Aapo perusti Vastaamon tietomurron uhrien avuksi palvelun - asiantuntijat kehuvat: ”Näin ihmisten hädän ja ahdistuksen”

F-Securen tutkimusjohtaja Mikko Hyppösen mielestä Aapo Puskalan perustama Tietovuodot.fi on paras tapa saada uhreille tietoa.

www.iltalehti.fi

 

[obi-wan]

Yritykset | Psykoterapiakeskus Vastaamolla on alan silmissä kehno maine: Harhaanjohtavaa mainontaa, painostusta ja ”härskiä toimintaa”

HS:n haastattelemat psykoterapeutit kertovat nopeasti kasvaneen Vastaamon aggressiivisesta viestinnästä, painostuksesta ja kyseenalaisesta markkinoinnista.

www.hs.fi

 

[Morgoth]

Psykoterapiakeskus Vastaamolla on alan silmissä kehno maine (HS)

Ilmeisesti yrityksessä on ollut paljon muutakin pielessä kuin tietoturva.

 

[Yläpesä]

Ilmeisesti yrityksessä on ollut paljon muutakin pielessä kuin tietoturva.

Lähes kaikkia tuntemiani psykoterapeutteja yritys on lähestynyt yrittäen rekrytoida heitä listoilleen, yleensä kuitenkin turhaan. Syynä heidän kommenttiensa perusteella se, että yritys ottaa peräti 50% psykoterapeutin taksasta palkkiona, minkä vuoksi puolestaan taksat täytyy virittää niin yläviistoon että siitä muodostuu moraalinen dilemma terapeutille itselleen.

 

[teroz]

Joku juusto jaellut siis tietoja myös ylilaudalla, sitten kai tajunnut, että hupsista - ei edes siellä saavuttanut aplodeja ja alkoi itse poistella jälkiään. Saattaapa jossain päin Suomea "nyymeillä" puhelimet piristä "poliisista päivää" style. Jumalauta pitää olla tyhmä ja moraaliton paskakasa, että tuollaiseen lähtee ja sama pätee toki näihin alkuperäisiin tekijöihin.

 

[Morgoth]

Joku juusto jaellut siis tietoja myös ylilaudalla, sitten kai tajunnut, että hupsista - ei edes siellä saavuttanut aplodeja ja alkoi itse poistella jälkiään. Saattaapa jossain päin Suomea "nyymeillä" puhelimet piristä "poliisista päivää" style. Jumalauta pitää olla tyhmä ja moraaliton paskakasa, että tuollaiseen lähtee ja sama pätee toki näihin alkuperäisiin tekijöihin.

Onneksi lähes kaikki ihmiset pitävät tuota toimintaan moraalimattomana, mutta ainahan moraalittomia paskakasoja on. Vaikea tuota tietoa on julkisessa internetissä levittää, koska kaikki on ihan eri tavalla jäljitettävissä ja tuskin juuri minkään alustan ylläpito haluaa olla osallisena potilastietojen levittämisessä.

Alkuperäiset tekijät mokasivat aika täysin, että hetken aikaa koko tietokanta oli ladattavissa tor-verkossa, joten tavallaan kiristysmielessä se on rahallisesti aika arvotonta matskua enää. Kukaan ei tiedä monellako tuota materiaalia, joten miksi maksaa yhdelle kiristäjällä mitään kun oven takana voi olla heti toinen tai koko kanta voi olla netissä ladattavissa? Toki materiaalilla pystyy tekemään ihan hirveästi puhtaasti kiusaa ja ilkivaltaa.

Tänäänhän kai kiristäjän määräaika umpeutuu ja täytyy nyt toivoa, että sielläkin ollaan runkkailtu vallan tunteesta jo riittävästi ja annettaisiin tämän olla. Rahaa tuskin enää tällä onnistuu hirveästi tekemään.

 

[jussi_j]

Iltasanomien mukaan MySQL kantaan oli sallittu yhteydet ulkoverkosta. Varmaan siis tarkoittaa, että kanta on näkynyt ulkoverkkoon ja ainakin joillain käyttäjillä on ollut mahdollisuus logata kantakoneeseen etänä ilman VPN:ää. Mitähän tohon sanois. Varmaan joku toimarin kaverin sukulaispoika, joka on tosi pätevä ja osaa kaikki tietsikkajutut, päässyt hoitamaan hommia.

GDPR:n mukaan tietosuojavaltuutetun toimisto voi määrätä sakon max. 4% yrityksen liikevaihdosta. Jos tästä ei napsahda, niin ei mistään.

 

[Tuamas]

Mitähän tohon sanois. Varmaan joku toimarin kaverin sukulaispoika, joka on tosi pätevä ja osaa kaikki tietsikkajutut, päässyt hoitamaan hommia.

GDPR:n mukaan tietosuojavaltuutetun toimisto voi määrätä sakon max. 4% yrityksen liikevaihdosta. Jos tästä ei napsahda, niin ei mistään.

Saatavilla olevan tiedon mukaan toimari on suurimman osan tainnut tehdä ihan omin pikku kätösin.

GDPR-sanktiomaksimit ovat joko 4% liikevaihdosta tai 20 miljoonaa euroa, riippuen kumpi on suurempi.
Eli Vastaamon osalta maksimisanktio on 20 000 000 €.

Suomessa toistaiseksi isoin sanktio on tullut Postille, joka sai 100 000 € sanktiomaksun (ei ollut kertonut muuttoilmoituksen tekemisen yhteydessä rekisteröidyille heidän oikeuksistaan, muun muassa oikeudesta kieltää tietojen luovuttaminen), maailmalla hotelliketju Marriot pitää kärkipaikkaa 110 000 000 € sanktiomaksulla (339 miljoonan asiakkaan tiedot vuosivat ostetun Starwood-hotelliketjun järjestelmistä maailmalle).

 

[lihaani]

Eiköhän Vastaamon taru ole tässä?
Terapia perustuu luottamukseen. Siksi vaitiolovelvollisuus lain mukaan on miltei ehdoton. Vain oikeuden päätöksellä sen voi hyvin rajatuissa tapauksissa murtaa.
Että kymmeniätuhansia potilastietoja teillä tietymättömillä?
Käräjillä tavataan!

 

[Individual]

Jotenkin ei taas yllättänyt.
Edit: Olihan tästä jo puhetta

Ylilauta-foorumilla julkaistu Vastaamon potilaskertomuksia – Näin vastaa ylläpito

Keskustelufoorumin ylläpito ei salli potilastietojen julkaisua sivustolla. Ylilaudan entinen edustaja muistuttaa, että koko foorumia ei pidä syyllistää tietojen julkaisusta.

www.iltalehti.fi

 

[Morgoth]

Eiköhän Vastaamon taru ole tässä?

Toivotaan. Toimari nyt heitetään ihan syystäkin bussin alle, yhtiön hallitukselle tulee ehkä jotain kolhuja, mutta mitä sitten lainsäätäjät eli poliitikot lopulta tekevät? Ollaan järkkytyneitä, luvataan kaikki mahdollinen apu ja lopuksi ei tapahdu juuri mitään. Kenties kirjataan lakiin "potilastiedot eivät saa vuotaa nettiin eikä hakkerien käsiin" vähän niin kuin hoitajamitoitus ja homma ratkaistu. Valviraan kenties palkataan kaksi uutta virkamiestä oikealla puoluekirjalla varustettuna (ihan kuin näiden tekninen osaaminen olisi välttämättä yhtään parempi kuin tällä tee-se-itse-toimarilla tai edes samalla tasollakaan) valvomaan tietoturvaa. Seuraavissa vaaleissa taas kaikki puhuvat digiloikasta, vaikka kukaan mitään ymmärräkään mistään, mutta kuulostaa aina niin hyvältä.

Siinä sitten tietomurron uhri vain ripustelee narua kaulaansa terapioinnin lopputuloksena tai ainakin vannoo ettei enää ikinä mene puhumaan asioistaan.

 

[Jakedeus]

Mitä sitten lainsäätäjät eli poliitikot lopulta tekevät?

Mielenkiinnosta, mitä pitäisi tehdä?

 

[Turha Kaukalo]

Oletteko kokeilleet tätä? Syötät mailin ja mailiisi tulee linkki joka kertoo onko tietosi vuotaneet. Kuulosti hämärältä alkuun :D

Kiitos vinkistä!

Ei ollut Turha Kaukalon löpinät ainakaan vielä netissä. "T.K. on sitä mieltä että modet on ihan paskoja kun ovat ilkeitä ja kateellisia jne."

 

[Siivu]

Mielenkiinnosta, mitä pitäisi tehdä?

Ainakin GDPR:n osoitusvelvollisuuden täyttämisen tarkempi valvonta tulee äkkiseltään mieleen. Lisäksi tämänkaltaisten hyvin sensitiivisiä tietoja säilyttävien organisaatioiden tietoturvatestaus pitäisi olla säännöllistä ja pakollista.

 

[Snakster]

Ainakin GDPR:n osoitusvelvollisuuden täyttämisen tarkempi valvonta tulee äkkiseltään mieleen. Lisäksi tämänkaltaisten hyvin sensitiivisiä tietoja säilyttävien organisaatioiden tietoturvatestaus pitäisi olla säännöllistä ja pakollista.

No tämähän menee sitten Sipilän hallituksen piikkiin, vai miten?

 

[teppana]

No tämähän menee sitten Sipilän hallituksen piikkiin, vai miten?

Mikä ei menisi?

 

[Siivu]

No tämähän menee sitten Sipilän hallituksen piikkiin, vai miten?

Epäilemättä aika kieli poskessa heitetty tämä, mutta ehkäpä tarkemmalle sääntelylle tietyn tyyppisiä tahoja kohtaan olisi tarvetta nyt kun voidaan hyvin karulla tavalla todeta, millaisten häikäilemättömien opportunisti-uuvattien toimesta helvetin arkaa tietoa suojataan ja miten.

Ylen uutisessa Kuluttajaliitto hämmästelee, miten Vastaamon tietojärjestelmää 14000 asiakkaan tietoineen ei oltu luokiteltu A-luokkaan, jolloin siihen olisi kohdistunut mm. ulkopuolinen tietoturva-auditointi ja paljon muuta.

 

[Tadu]

Ylen uutisessa Kuluttajaliitto hämmästelee, miten Vastaamon tietojärjestelmää 14000 asiakkaan tietoineen ei oltu luokiteltu A-luokkaan, jolloin siihen olisi kohdistunut mm. ulkopuolinen tietoturva-auditointi ja paljon muuta.

Kuluttajaliitossa ei osata lukea. Vastaamon järjestelmä ei kuulu A-luokkaan, koska sitä ei ole integroitu omakantaan.

 

[Morgoth]

Mielenkiinnosta, mitä pitäisi tehdä?

Kuten kyberturvallisuuskeskuksen asiantuntija eilen A-studiossa sanoi niin kai tämä on myös osittain arvovalinta että miten paljon asioita halutaan säädellä ja miten paljon antaa vapauksia. Vapaus ainakin mahdollistaa villetapiot.

Tuntuu vain uskomattomalta, että näin sensitiivistä dataa voi olla säilytettynä niin kuin nyt oli. Yksittäisen ihmisen kannalta kiusallisempaa tietovuotoa en keksi. Toki nyt yhteiskunnan kannalta paljon vaarallisempia tietovuotoja voisi kuvitella. Työelämässä kun tottunut kaikenlaista huomattavasti vähemmän sensitiivisen datankin kanssa vain aivan erilaisiin toimintatapoihin.

SOX 2000-luvun alussa iso juttu ja GDPR oli myös jotain, joten toivotaan että tässä nyt herätään, että tekninen kehitys menee edella ja lainsäädäntö tulee perässä.

 

[teppana]

Tästä olen erimielinen, lapsellisen helppoa ilman minkäänlaista kiinnijäämisen pelkoa. Vaatii prepaidin ja sen ettet ole tyhmä.

Ei se julkisessa verkossa liene ihan noin idioottivarmaa. Prepaid liittymätkin on jäljitettävissä.

 

[Zeta03]

Alkuperäiset tekijät mokasivat aika täysin, että hetken aikaa koko tietokanta oli ladattavissa tor-verkossa, joten tavallaan kiristysmielessä se on rahallisesti aika arvotonta matskua enää

Tuostahan oli jossain juttua, että se kantalimppu oli kryptattu, joten ei siitä varmaan kukaan sen ladannut kostu mitään?

 

[teppana]

Jaa kerrotko millähän lailla, kun käytät sitä simmiä sen kerran kun nuo nettiin latailet? Toki jos olet tyhmä ja käytät samaa luuria kuin muutoin, on mahdollista jäädä kiinni.

Eikös noista jää myyntitilanteessa jälki? Eli puhelimen/mokkulan/liittymän yksilöiminen ja jäljittäminen myyntitilanteeseen. toki jos käteisellä maksaa prepaid liittymän ja laitteen niin silloinhan se on jo huomattavasti hankalampi lähteä selvittämään.

 

[heavy]

Jaa kerrotko millähän lailla, kun käytät sitä simmiä sen kerran kun nuo nettiin latailet? Toki jos olet tyhmä ja käytät samaa luuria kuin muutoin, on mahdollista jäädä kiinni.

Tapoja jäljittää prepaid on varmaan useita, esim. kun ostat sen prepaidin, niin aika varmaan jää johonkin kameraan ostaja.