Sähköpotkulautayhtiö Rydellä on Suomessa yli 930 000 käyttäjätiliä. Kyberturvallisuuskeskus kehottaa varovaisuuteen.
Norjalainen sähköpotkulautayhtiö Ryde joutui viikonloppuna tietomurron kohteeksi. Yhtiön tiedotteen mukaan tietomurto koskee kaikkia sen asiakastilejä.
Rydestä kerrotaan MTV Uutisille, että sillä on Suomessa 935 000 käyttäjätiliä. Yhdellä asiakkaalla voi olla useita tilejä.
Yhtiö toimii Tanskaa lukuun ottamatta kaikissa Pohjoismaissa sekä Saksassa. Suomessa Ryden sähköpotkulautoja voi käyttää muun muassa pääkaupunkiseudulla, Turussa, Tampereella, Joensuussa ja Oulussa.
Tiedotteen mukaan ulkopuolinen taho pääsi Ryden järjestelmiin ja kopioi osan asiakkaiden tiedoista. Tahon pääsy estettiin yhtiön mukaan pian tapahtuneen jälkeen.
Tietomurrossa kopioitiin esimerkiksi puhelinnumeroita, sähköpostiosoitteita, nimiä ja osoitteita.
Ryde on ilmoittanut tapahtuneesta Norjan tietosuojaviranomaiselle Datatusynetille. Tapausta tutkitaan, eikä tapahtuman koko laajuutta ole vielä vahvistettu.
– Olemme ryhtyneet toimenpiteisiin tapahtuman vaikutusten rajoittamiseksi ja työskentelemme sen eteen, ettei vastaavaa pääse tapahtumaan uudelleen, tiedotteessa sanotaan.
– Se, mitä tietoja juuri sinusta on voinut joutua tapahtuman piiriin, riippuu siitä, mitä tietoja olet rekisteröinyt palveluumme. Näihin voivat kuulua puhelinnumero, sähköpostiosoite, syntymäaika, maksukortin numerosta vain kuusi ensimmäistä ja neljä viimeistä numeroa sekä pienellä osalla asiakkaista myös nimi ja osoite.
Näiden lisäksi tietovuoto voi tiedotteen mukaan koskea käyttäjätilin maksuhistoriaa, matkat, ostot ja maksut mukaan lukien.
– Tilin luomispaikan sijaintitietoa lukuun ottamatta muita sijaintitietoja, kuten matkahistoriaa, ei ole kopioitu. Mikään ei viittaa siihen, että tiedot siitä, missä olet matkustanut, olisivat joutuneet tapahtuman kohteeksi.
Syytä tarkkaavaisuuteen
Ryden tiedotteen mukaan asiakkaan ei tarvitse tehdä mitään käyttäjätilinsä suhteen. Maksukorttitietoja ei tarvitse poistaa.
– Emme säilytä maksukorttien täydellisiä numeroita, vaan ne ovat maksupalveluntarjoajamme hallussa, tiedotteessa sanotaan.
Yhtiö kehottaa asiakkaitaan olemaan kuitenkin erityisen tarkkaavaisia.
– Tietoja haltuunsa saanut henkilö voi ottaa sinuun yhteyttä ja vaikuttaa luotettavalta viittaamalla esimerkiksi todelliseen maksuusi, sen oikeaan summaan, päivämäärään ja maksukorttisi neljään viimeiseen numeroon, tiedotteessa todetaan.
– Älä koskaan luovuta salasanaasi, pankin kertakäyttöisiä tunnuslukuja tai muita tunnuksia kenellekään, joka ottaa sinuun yhteyttä, riippumatta siitä, kuinka paljon hän vaikuttaa tietävän sinusta. Emme me eikä pankkisi pyydä koskaan tällaisia tietoja.
Palvelu ei koskaan pyydä salasanaa, maksukorttitietoja tai turvakoodeja eikä pyydä kirjautumaan sisään tekstiviestissä tai sähköpostissa olevan linkin kautta.
– Jos et ole varma, onko viesti meiltä aito, älä napsauta linkkiä.
Ryde sanoo tiedotteessa sulkeneensa havaitut pääsyreitit, rakentaneensa uudelleen tapahtuman kohteena olleet järjestelmät sekä vaihtaneensa salasanat ja salausavaimet.
– Jos olet alle 18-vuotias, kerro tästä viestistä huoltajallesi tai muulle luotettavalle aikuiselle, jotta voitte käydä tiedot yhdessä läpi ja päättää, mitä kannattaa tehdä, yhtiö neuvoo.
"Aina saattaa tulla se päivä, kun sinun tietosi vuotavat"
Liikenne- ja viestintävirasto Traficomin kyberturvallisuuskeskuksen mukaan Ryden tapauksen kaltainen tietovuoto ei ole yllätys.
– Minulla itselläni on sellainen ajatus siitä, että mihin kaikkialle palveluihin nykyään on itse kirjautunut ja rekisteröitynyt, pois lukien tietysti verkkopankit ja viranomaisten palvelut, mutta nämä tällaiset yksityiset palvelut, niin aina saattaa tulla se päivä, kun juuri sinun tietosi vuotavat, operaatiopäällikkö Matias Mesiä toteaa.
– On kyseessä sitten vaatekauppa tai tässä tapauksessa nyt sähköpotkulautojen vuokraamiseen liittyvä palvelu. Sinällään ei tule yllätyksenä, että joka viikko tai joka kuukausi tulee vähän isompia tietovuotoja esiin maailmalta, missä suomalaistenkin tietoja vuotaa.
Se, mitä tietoja Ryden tietomurron kaltaisissa tapauksissa viedään, vaihtelee.
– Tosi paljon riippuu oikeastaan siitä, millä tavoin palveluntarjoaja on sen palvelun rakentanut. Jos mietitään ihan niitä kriittisempiä tietoja, mitä ihmisistä saattaa sitten olla yleisissä verkkopalveluissa, niin puhutaan esimerkiksi maksukorteista ja salasanoista.
Ryden tiedotteen mukaan maksukorttitiedoista on voinut mennä kortin kuusi ensimmäistä ja neljä viimeistä numeroa.
– Pahimmillaanhan totta kai meillä on sitten näitä esimerkkejä tietomurroista, mitkä ovat koskeneet Suomessakin laajasti vaikkapa Vastaamon asiakkaita tai Helsingin kaupungin asukkaita, Mesiä sanoo.
Mitä Ryden kaltaisissa tietomurroissa sitten oikein tapahtuu?
– Yleisesti ottaen tämän kaltaisissa murroissa jotain tapahtuu tuolla internetin tai verkon reunalla, eli siellä on palvelu, se voi olla omassa konesalissa tai se voi olla pilvipalvelu, sillä ei sinällään ole merkitystä, että miten se on saatavilla.
– Siellä on sitten joko kyvykäs "hyökkääjä" tai organisaatiolla voi olla siellä joku asia päivittämättä tai heikommin konfiguroitu. Tai "hyökkääjä" on mahdollisesti saanut tunnukset jostain tietovuodosta tai pimeästä verkosta tai vastaavasta.
Asiantuntijan mukaan useimmiten käy niin, että tietomurron tekijä saa verkon reunalla olevasta palvelusta ongittua joko tietoja ulos tai sitten murtauduttua vielä syvemmälle sisälle palveluun.
– Mutta tässä tapauksessahan ainakin Ryden viestinnän mukaan on aika nopeasti havaittu ja estetty pääsy. Vaikuttaisi siis siltä, että tietovuodon lisäksi ei ole sen enempää päästy tekemään hallaa siellä heidän järjestelmissä, Kyberturvallisuuskeskuksen operaatiopäällikkö sanoo.
Mitä tietovuodosta voi pahimmillaan seurata yhtiön näkökulmasta?
– Konkurssi on varmaan se oikea vastaus, jos mietitään Vastaamon tapausta. Mutta siis pahimmillaanhan organisaatiolla voi olla tosi sensitiivistä tietoa. Se voi olla bisneskriittistä tietoa, se voi olla turvallisuuteen liittyviä asioita, se voi olla henkilöihin liittyviä asioita, terveyteen liittyviä asioita ja sitten kaikki vuotaa pois, Matias Mesiä sanoo.
– Mutta vastaavasti taas sitten, jos tietomurron tekijä on sellainen, joka haluaa tuhota, eli toisin sanoen saada aiheutettua siellä organisaation järjestelmissä jotain haittaa, tai sitten vastaavasti, jos he haluavat kiristää, niin he voivat sitten sellaisen kiristyshaittaohjelman koittaa sinne saada sisälle.
– Tällaisessa tapauksessa, jos haittaohjelma saadaan aktivoitua "hyökkääjien" toimesta, niin ne saastuneet tietokoneet tai järjestelmät, niillähän ei voi tehdä mitään, ennen kuin ne joko saadaan teknisesti putsattua ja hoidettua, tai sitten huonoimmassa tapauksessa joku saattaa maksaa ”hyökkääjälle”, jolloin hän sitten lunnaita vastaan suostuu antamaan koodin, millä saadaan taas järjestelmät toimimaan.
Jos siis näin kävisi esimerkiksi tehdasympäristössä, niin silloinhan kaikki pysähtyisi.
Entä sitten tavallisen kansalaisen, esimerkiksi Ryden käyttäjän kannalta, mikä on pahinta, mitä voi tietovuodossa tapahtua?
– No kyllä tässä tapauksessa, miten tulkitsen tätä Ryden viestintää, pahinta mitä voi tapahtua, on se, mitä yleisestikin näissä verkkopalveluiden ja verkkokauppojen tietovuodoissa: se, että alkaa saada jonkinlaisia huijausviestejä, kyberturvallisuuskeskuksen Mesiä toteaa.
Eli tämän hetken julkisuuteen annettujen tietojen mukaan tapahtuneessa tietomurrossa saadut tiedot eivät riitä siihen, että joku esimerkiksi lähtisi Ryden käyttäjän nimissä tilailemaan asioita.
– Mutta kyllä ehkä ennemmin voi käydä niin, että sähköpostiosoite vuotaa ehkä johonkin listalle ja sieltä saattaa ruveta tulemaan sitten erilaisia huijaus- tai kalasteluviestejä, asiantuntija sanoo.
– Minä luulen, että suomalaisetkin ovat aika tottuneita siihen, että erinäköisiä huijauksia tulee mailiin ja puhelimeen. Sinällään en siis ehkä pelästyisi tätä sen enempää.
Operaatiopäällikkö ei ole tutustunut Ryden palveluun itse, mutta huolta herättää se, että palveluun käyttäjätilin luoneissa saattaa olla alaikäisiä, jotka sitten alkavat saada näitä huijausviestejä.
– Se voi aiheuttaa vähän hämmennystä, että mitä tämä nyt tarkoittaa. Siinä on ehkä sitten vanhemmilla vähän juttelemista, että katsotaan nyt, mitä on tapahtunut ja sitten ehkä kerrotaan, että tästä on kysymys ja jos tulee vaikkapa jotain huijausviestejä, niin osataan sitten reagoida niihin tai kertoa kaverille tai vanhemmille.
Kyberturvallisuuskeskuksen Matias Mesiä muistuttaa, että on hyvä keskustella näistä asioista niissä perheissä, joissa vuokrasähköpotkulautoja käytetään.
– Se on ehkä se oma ajatus, että tuo on se todennäköisin skenaario. Luulen, että ne kuitenkin tulevat jäämään sitten sinne muiden huijausviestien sekaan, mitä vähintään viikkotasolla ihmiset näkevät.
– En sinällään usko, että tästä mitään sen isompia tulee. Ainakaan tämänhetkisillä tiedoilla.
"Tapahtumat saattavat vielä eskaloitua"
Ryden tiedotteessa toimintaohjeena käyttäjille oli ensisijaisesti se, että on syytä tarkkailla tilannetta ja olla varovaisia.
Mikä on asiantuntijan neuvo? Mitä kannattaa tehdä vai kannattaako tehdä mitään?
– Ryden viestinnän perusteella minulla on ihan sama ajatus. Ehkä ensimmäinen ohje on se, että kannattaa seurata sitä viestintää. Tietovuoto on tapahtunut sunnuntaina 2. elokuuta, eli tätä on tutkittu vasta noin neljä päivää. Yleensä nämä tapahtumat saattavat vielä eskaloitua. Havaitaan jotain muutakin, mitä on lähtenyt, Matias Mesiä sanoo.
– Ryden tiedotteessa ei mainita, että esimerkiksi sijaintitietoja tai matkahistoriaa olisi lähtenyt. Toivotaan, että ei olekaan, mutta ainahan on se mahdollisuus, että uhriksi joutunut organisaatio kertoo viikon päästä, että onkin löytynyt vähän lisää juttuja, mitä tietovuodossa on lähtenyt.
Kyberturvallisuuskeskuksen mukaan kuitenkaan tietomurrosta saatujen tämänhetkisten tietojen perusteella ei tarvitse olla yhteydessä pankkiin, tehdä rikosilmoituksia poliisille tai ilmoituksia kyberturvallisuuskeskukselle.
– Yksi asia, mikä on hyvä muistaa, on se, että kun meillä on kymmeniä, ellei satoja paikkoja, mihin ollaan sähköpostiosoitteen kanssa rekisteröidytty tai tehty tunnuksia, niin jos niissä kaikissa on se sama salasana, niin jos se joskus vuotaa jossain tietovuodossa, niin silloinhan sillä samalla sähköpostin ja salasanan yhdistelmällä saattaa päästä aika moneen paikkaan, operaatiopäällikkö muistuttaa.
– Tämä on ehkä hyvä muistutus siitä, että laitetaan aina eri salasanat eri palveluihin.
Ei ensimmäinen eikä viimeinen tietomurtotapaus
MTV Uutisten Rydeltä saama tieto yhtiön palveluun luotujen käyttäjätilien määrästä (935 000) Suomessa hämmästyttää liikenne- ja viestintäviraston kyberturvallisuuskeskuksen Matias Mesiää.
– Olisin arvellut, että lukema saattaa olla kuusinumeroinen, mutta on tosi iso luku kyllä.
– Oliko se vuonna 2021 vai 2022, kun oli Facebookin tietovuoto, niin silloin meni vähän muistaakseni reilu miljoona käyttäjätiliä suomalaisilta. Tässä ollaan aika lähellä sitä lukumäärällisesti.
Matias Mesiä muistuttaa vielä, että Ryden tietovuoto ei ole ensimmäinen eikä viimeinen vastaavanlainen tapaus.
– Ehkä tärkeintä on se, että suomalaisten kannalta kriittiset palvelut on tosi hyvin suojattu. Uskon ja toivon, että paikat, missä vaikkapa meidän terveys- ja pankkitietoja on, on niin hyvin tehty, että siellä ei toivottavasti koskaan tämän kaltaisia juttuja pääse käymään.
Visa Högmander työskentelee MTV Uutisissa toimittajana ja tuottajana.
Hän tekee uutisia laajalti kotimaan aiheista, isoimpina kiinnostuksen kohteinaan ovat musiikkiin, elokuviin ja muihin kulttuuriaiheisiin liittyvät uutiset.
