Hiiglaslik leke: ligi 10 000 eestlase terviseandmed sattusid valedesse kätesse

Mitmete meditsiiniasutuste lepingupartnerit Asper Biogene tabanud küberründe tagajärjel lekkisid kokku ligi 10 000 patsiendi isikuandmed, sealhulgas terviseandmed.

Kõige rohkem on andmeid lekkinud Ida-Tallinna Keskhaiglast, Tartu Ülikooli Kiinikumist, aga ka teistest haiglatest. Lisaks on lekkinud 56 välisriigi inimese andmed.

Novembri keskel teatas Asper Biogene OÜ politseile, Riigi Infosüsteemi Ametile ja Andmekaitse Inspektsioonile, et ettevõte sai 11. novembril teada, et keegi on nende andmebaasi ebaseaduslikult sisse tunginud ning laadinud alla erinevaid faile. Asjaolude selgitamiseks alustas politsei kriminaalmenetlust ja Andmekaitse Inspektsioon alustas andmetöötleja suhtes järelevalvemenetlust.

Andmebaasist laaditi alla ligikaudu 100 000 erineva faili koopiat, milles on praegustel andmetel umbes 10 000 inimese isiku- ja terviseandmeid. Osa failidest sisaldasid geneetiliste analüüside tulemusi, mida tervishoiuteenuse osutajad ja eraisikud olid ettevõttelt tellinud. Töö andmete täpse sisu selgitamiseks on veel pooleli.

Lõuna ringkonnaprokuratuuri vanemprokuröri Kretel Tamme sõnul viitavad tõendid sellele, et rünnak andmete saamiseks oli teadlik ja läbimõeldud. „Kriminaalasja algusest kuni praeguseni oleme teinud kiireloomulisi menetlustoiminguid nii Eestis kui ka rahvusvahelises koostöös, et fikseerida kuriteojäljed ja püüda tuvastada kuriteo toimepanijat. Kuigi iga klikk jätab virtuaalmaailmas jälje, on küberkuriteod reeglina väga professionaalsed – need on põhjalikult plaanitud ja jälgi on segatud. Tavaliselt on eesmärk teenida kuriteost kriminaaltulu. Ka selle juhtumi puhul esitati pärast rünnakut ettevõttele rahaline nõue, mille peale pöördus ettevõte politsei poole,“ ütles Tamm.

Lõuna prefektuuri kriminaalbüroo juht Rain Vosman ütles, et kurjategijad tegutsesid oskuslikult ja pääsesid ligi ettevõtte andmebaasidele. „Koostöös teiste asutustega kaardistame praegu andmelekke täielikku ulatust. Kurjategijad esitasid ka lunarahanõude ning tasub üle korrata, et sellises olukorras ei tohi kunagi raha maksta. See julgustab neid edasi tegutsema, aga ei kindlusta andmete tagastamist ega seda, et kurjategija need ise kustutab. Väljapressimisest tuleb kohe teavitada politseid, nagu seda tehti ka praegusel juhul. Iga isiku- või terviseandmetega kokkupuutuv ettevõte või teenuseosutaja peab tagama, et andmed on tema käes hästi hoitud – see tähendab ajakohaseid ja kaitstud infosüsteeme,“ rääkis Vosman.

Andmekaitse Inspektsiooni kinnitusel teavitavad kõiki puudutatud isikuid, keda on võimalik lekkinud andmete põhjal tuvastada, tervishoiuteenuse osutajad personaalselt. Enamik teavitusi saadetakse välja neljapäeva jooksul.

„Kahjuks näitab juhtunu, et küberruumis valitsevatesse ohtudesse ei suhtuta jätkuvalt täie tõsidusega. Organisatsioonide suunal edukalt sooritatud väliseid ründeid ja sellega kaasnevaid tagajärgi ei tohi võtta kui paratamatust. Iga andmetöötleja kohustus on muuhulgas tagada andmete terviklus ja konfidentsiaalsus. Andmete taga on päris inimesed ja päris elud, mis võivad sellistes olukordades tugevalt mõjutatud saada. Andmekaitse on oluline ja me kõik vastutame, et meie andmed oleksid kaitstud,“ ütles andmekaitse inspektsiooni peadirektor Pille Lehis.

Politsei alustas küberründe kohta 17. novembril kriminaalmenetlust arvutisüsteemile ebaseaduslikult juurdepääsu hankimist käsitleva karistusseadustiku paragrahvi järgi.

„Sellised teod on mõõtmetelt suured ja rahvusvahelised. Politsei on asunud tõendeid koguma ja teeme kõik koostöös prokuratuuriga, et kurjategija kohtu ette anda. Käib tihe koostöö eestisiselselt kui rahvusvahelisel tasandil,” lausus Vosman. „Töös on erinevad uurimisversioonid, mille kallal töötame.”