Tehnoloogia- ja küberturbeuudiste portaal Cybernews teatas, et telekommunikatsiooniettevõtte CSCTelecom Läti harule kuuluvas avalikult ligipääsetavas andmebaasis leidus enam kui 125 miljonit nelja aasta jooksul lekkinud tekstisõnumit.

Cybernewsi uurijad avastasid andmelekke, mis puudutas mitmeid Leedu ettevõtteid ja organisatsioone, sealhulgas EuroCash1, Akropolis, Depo, Iki, Perlas Go, Autoplius, Šypsenos akademija, Denticija, airBaltic ja Porsche, vahendab lrt.lt.

Avalikuks saanud teabe hulgas oli isiklikke ja ettevõtete sisemisi telefoninumbreid, tellimuste numbreid, kaheastmelise autentimise (2FA) koode, lennuandmeid, perekonnanimesid ja muid tundlikke andmeid.

„Lekkinud teave võimaldab koostada üksikute kasutajate kohta äärmiselt detailseid profiile. Isegi ilma sõnumite sisu nägemata annab ainuüksi teadmine sellest, milliseid teenuseid inimene kasutab, võimaluse korraldada väga täpselt sihitud andmepettusi,” sõnas avalduses Voldemaras Kadys, kes on Cybernewsi haldava digitaalse kirjastusettevõtte Mediatech turva- ja platvormiarenduse juht.

Kadysi sõnul sisaldasid EuroCash1-ga seotud sõnumid telefoninumbreid ning turvateateid, mis puudutasid kaitstavaid objekte ja sularahaautomaate. Depo andmed sisaldasid telefoninumbreid, tellimuste identifikaatoreid ja staatuse uuendusi, samas kui Akropolise sõnumid paljastasid ettevõtte sisemisi telefoninumbreid ja külastusstatistikat.

Ikiga seotud sõnumid sisaldasid telefoninumbreid ja autentimiskoode. AirBalticuga seotud sõnumid paljastasid klientide telefoninumbreid, lennuinfot ja perekonnanimesid.

Kadysi sõnul tekitab see intsident küsimusi ka Euroopa Liidu isikuandmete kaitse üldmääruse (GDPR) järgimise kohta. Määruse kohaselt peavad ettevõtted säilitama isikuandmeid ainult nii kaua, kui see on vajalik eesmärkide täitmiseks, milleks need koguti.

„Avalikult ligipääsetav arhiiv sisaldas nelja aasta taguseid andmeid, mis tekitab tõsiseid turvaprobleeme,” ütles ta.

Analüütikute sõnul hõlmasid paljastatud andmed perioodi oktoobrist 2022 kuni septembrini 2026 ja andmebaasi uuendati pidevalt.

Cybernewsi teatel tähendas see, et kurjategijad said potentsiaalselt autentimiskoode, parooli lähtestamise linke ja privaatset teavet jälgida enne, kui sihtrühmad sõnumeid üldse nägid.

Uudisteportaali andmetel teavitati ettevõtet turvanõrkusest 29. septembril. Andmebaas suleti 27. oktoobril ja on praegu ligipääsmatu.

Andmeleke puudutas organisatsioone kõigis kolmes Balti riigis. Lätis leidsid uurijad ka SMS-sõnumeid, mis olid seotud Swedbanki, SEB, meditsiiniasutuste, veebipoodide, riigiasutuste ning riikliku hädaabinumbriga 112.

Eestis puudutas leke teiste seas ettevõtete airBaltic ja Depo kohalikke üksusi.