Hiiglaslik andmeleke: Eesti veebipoe 14 000 kliendi andmed lekkisid

Töötu programmeerija Foto: Sander Ilvest / Postimees

Eile pärastlõunal teavitati Riigi infosüsteemi ametit tuntud veebipoe Charlot.ee kliendiandmete lekkest. Avalikult olid kättesaadaval klientide nimed, meiliaadressid, e-poe konto paroolid, aadressid ja isikukoodid.

Riigi Infosüsteemi Ameti küberintsidentide käsitlemise osakond CERT-EE sai lekkest teada eile pärastlõunal, kui sellest andis teada portaali Geenius ajakirjanik. Esialgselt on RIA intsidentide käsitlemise osakonna CERT-EE juhi Tõnu Tammeri sõnul juttu olnud 14 000 kasutaja andmete lekkimisest. «Avalikult olid näha kataloogide sisu, mis tähendas, et veebist võis leida kasutaja ees- ja perenime, meiliaadressi, e-poe konto parool, aadress ja isikukood. Praegu ei ole need andmed enam avalikud,» ütles Tammer.

RIA võttis ühendust e-poe omanikuga, kellel paluti viga kohe kõrvaldada. Tammer lisas, et amet leidis leheküljelt teisi puudujääke turvalisuses ning ka need paluti kõrvaldada. «Hetkel puudub meil info, kui kaua need andmed võisid enne avastamist veebis rippuda. Kuidas andmelekke ja isikuandmete kaitse riive võimalikuks sai on andmekaitse inspektsiooni pärusmaa,» lisas ta.

Tammer sõnul paistab esmahinnangul tegu olevat hooletusest, mitte pahatahtlikkusest tingitud lekkega. «Regulaarsed e-poe turvalisuse testid aitavad sellised vead päevavalgele tuua ning need eemaldada. Turvatestimine ei peaks olema tüütu kohustus, vaid võimalus kontrollida, et teenus töötab turvaliselt, eriti siis, kui töödeldakse inimeste andmeid,» rõhutas ta.

Ettevõtte tegevjuht: turvaauk on suletud

Ettevõtte OÜ Charlot tegevjuht Kuno Pindmaa ütles, et eile kella 14.58 oli ligipääs turvaaugule suletud, teavitatud on RIA-t ning andmekaitseinspektsiooni. Ta lisas, et klientide andmete allalaadimise märke ei ole ettevõte leidnud. 

Pindmaa selgitas, et lekke põhjustas tarkvarauuendus. «Eelmise nädala neljapäeval, 27. juunil toimus toimus pahavara rünnak charlot.ee serverile, mille järel teostati öösel IT osakonna poolt serveri tarkvarauuendus, mille käigus avanes kaust logifailidega, mis jäi ainult charlot.ee päringutele vastamiseks piiramata,» selgitas ta.

Pindmaa rõhutas, et lekkinud andmebaas ei olnud vabalt kätte saadav, vaid leitav ainult väga konkreetsete päringutega. Andmed olid leitavad 28. juuni kella 4.30-st kuni eilse pärastlõunani, mil leke avastati.

Nüüdseks on Pindmaa sõnul turvaauk suletud. «Tellisime täiendava küberturvalisuse auditi ning püüame koostööpartneritega parandada olemasolevat lahendust,» lisas ta.

OÜ Charlot põhitegevuseks on bürootarvete, kontoritehnika, kontoritehnika kulumaterjalide ja büroomööbli jaemüük. Ettevõttele kuulub Eestis kaupluste kett Charlot.