KRP tutkii tietovuotoa: Suomalaisyrityksen kautta päätyi satoja henkilötietoja ympäri maata – tunnukset kuuluvat mahdollisesti kuolleille henkilöille

Kiteeläisten saama kirje oli täynnä pelkkiä henkilötunnuksia, mutta heidän saamiinsa arkkeihin niitä oli printattu  11 sivun verran. 

Lähettäjää ei paljastettu

Kiteeläisperheen kuolinpesälle kirje tuli menehtyneen äidin nimellä. Ainoa asia, joka kirjeen sisältä paljastui, oli Postnordin logo kirjeen liimapalkissa.

– Hautajaisjärjestelyjen lomassa pohdimme hämmentyneinä, mitä kirjeitä äidille voisi tulla, eikä keksitty kuka voisi olla kyseisen postin lähettäjä. Olimme kaikki heti sitä mieltä, että tässä on kysymys tietovuodosta, kiteeläisperheen jäsen kertoo.

Sinikan äidin kuolinpesälle saapuneessa kirjeessä ei myöskään ollut henkilötunnusten omistajien nimiä. Jokaisen paperin alareunassa luki englanninkielinen sana "luottamuksellinen". Henkilötunnusten yhteyteen oli merkitty tiedot asiakastunnuksesta, väestötyypistä ja kielestä.

– Sen verran kävin henkilötunnuksia läpi, ettei yksikään niistä kuulunut minulle tai kellekään läheiselleni. Tässä yhteydessä panin merkille, että suurin osa henkilötunnuksista oli suomalaisia ja muutama oli muodoltaan sellainen, että päättelin ne ulkomaalaisiksi, Sinikka kuvailee ja arvioi, että henkilötunnuksia oli kirjeessä yhteensä noin 600.

Kiteeläisen kuolinpesän saamassa kirjeessä oli 550 henkilötunnusta. Kiteeläiset löysivät henkilötunnusten joukosta perheen äidin tunnuksen, muita tuttuja henkilötunnuksia listasta ei löytynyt.

Lue myös: Suomalaishotellien jättimäinen tietovuoto laajeni kolmeen uuteen hotellia – Poliisi: Seurauksia uhreille mahdoton arvioida

Kiteeläiset ryhtyivät jäljitystyöhön

Kiteeläisperhe yritti selvittää kirjeen alkuperää postiyhtiöstä ja jäljittää sitä kautta lähettäjää. Kirje on mahdollisesti postitettu Kuopiosta, kuoressa olleen numerosarjan perusteella.

– Postnordissa oltiin aika vaitonaisia. Ymmärtääkseni keskukselle oli annettu toimintaohjeet, jos kyselyjä tulee. Sieltä ilmoitettiin, että he eivät voi liikesalaisuuksiin ja asiakassuhteisiin vedoten paljastaa lähettäjää, kuolinpesän jäsen kertoo.

Postitusyhtiö vaati kuolinpesää hävittämään heti aineiston. Kuolinpesä ilmoitti, että ennen sitä asia pitää selvittää ja tarvittaessa viranomaisten kanssa.

Kuolinpesän jäsen vaati Postnordia välittämään asiakkaalleen tiedon, että he odottavat yhteydenottoa ennen hautajaispäivää tai asia siirtyy poliisille. Yhteydenottoa ei tullut ja kuolinpesä otti yhteyttä poliisiin.

– Itä-Suomen poliisilaitokselta selvisi, että asia on jo Keskusrikospoliisin tiedossa ja tutkinnassa eikä meidän tarvitse tehdä enää uutta rikosilmoitusta.

Kuolinpesälle kerrottiin, että vastaava kirje on postitettu noin 570:lle muulle kuolinpesälle ympäri maata.

Poliisille viety kirjeitä

Pääkaupunkiseudulla asuva Sinikka otti kuoren avattuaan yhteyttä perunkirjoitusta hoitavaan juristiin, joka totesi, että poliisi saattaisi olla kiinnostunut asiasta.

– Ajattelin ensin, että tämä liittyy jotenkin väestötietojärjestelmään tai maahanmuuttoon tai johonkin tällaiseen, Sinikka kuvailee.

Henkilötunnusjonoja katsellessaan Sinikka ajatteli heti Psykoterapiakeskus Vastaamon tietomurtoa ja vallitsevaa kyberturvallisuustilannetta. Sinikka arvioi, että ilman näitä kirje tuskin olisi herättänyt turvattomuudentunnetta.

– Henkilötunnusten päätyminen vääriin käsiin muodostaa selvän uhan esimerkiksi identiteettivarkauksille, Sinikka kuvailee.

– Olin jokin aika sitten tilaisuudessa, jossa puhuttiin siitä, miten turvattomuudentunne liittyy siihen, että kyberhyökkäykset kohdistuvat kansalaisyhteiskuntaan.

Koska poliisiasema oli jo kiinni,  Sinikka välitti tiedon tapahtumasta netin kautta poliisille heti eilen illalla. Tänään aamulla hän soitti poliisille, joka pyysi tuomaan kirjeen poliisiasemalle.

Sinikka kertoi poliisille, ettei ymmärrä mikä kirje oli ja miksi se oli täynnä henkilötunnuksia.

– Ensimmäisenä kirjettä katsonut poliisi sanoi, että "oho".  Sitten tuli toinen poliisi ja kertoi, että näitä vastaavia kirjeitä on tiedossa muitakin ja ehkä ajan myötä selviää, mistä niissä on kyse. Että kohta tieto niistä on varmaan mediassakin, Sinikka kuvailee.

Lue myös: Tietovuodon piirissä yli 20 000 helsinkiläishotellien asiakasta – hotellit sai tiedon vuodosta myöhään

Anteeksipyyntöä ei ole kuulunut

Kiteeläisperhe kävi läpi kirjeen sisältämiä henkilötunnuksia.

– Listassa vanhin henkilötunnus kuuluu vuonna 1924 syntyneelle ihmiselle ja nuorin oli vuonna 2001 syntyneen tunnus. Epäselvää on, että ovatko nämä kaikki kuolleita henkilöitä. Tuntuu aika pahalle käsitellä näitä, perheenjäsen hämmästelee.

Kiteeläiset ovat tuskastuneita, kun kirjeen lähettäjä tai siinä mukana olleet yhtiöt eivät ole millään tavalla olleet kirjeen saajiin yhteydessä.

– Olisimme vähintään toivoneet, että lähettäjä ottaa yhteyttä ja esittää edes anteeksipyynnön.

Rikostarkastaja Lauri Pajunoja KRP:stä toteaa, että mikäli ihminen saa itselleen kuulumattoman lähetyksen, se kannattaa ensisijaisesti palauttaa lähettäjälle.

– Mikäli ihminen vastaanottaa itselleen kuulumatonta tietoa tai asiakirjoja, jotka ei itseänsä koske ja jossa on mahdollisesti vieraiden ihmisten henkilötietoja ja tiedon lähettäjä ei lähetyksestä selviä niin, että lähetyksen voisi turvallisesti palauttaa, niin kaikista turvallisinta on tuhota kyseiset asiakirjat varmasti ja turvallisesti esimerkiksi polttamalla tai silppurilla, Pajunoja sanoo.

Lue myös: Poliisi huolestui uudesta ilmiöstä: Vastaamo-tietomurron uhreihin kohdistetaan raukkamaisia rikoksia