Keskkriminaalpolitsei pidas kinni ulatuslikus terviseandmete lekkes kahtlustatava mehe

Keskkriminaalpolitsei pidas kinni 45-aastase Eesti kodaniku, keda kahtlustatakse hambaraviteenuse osutajate infosüsteemist patsientide isiku- ja terviseandmete ebaseaduslikus allalaadimises. Esialgsetel andmetel puudutas leke enam kui 300 Eesti tervishoiuteenuse pakkuja andmeid.

Hambaravi osutajatele infosüsteemi teenust pakkuv ettevõte Innovaatik teavitas politseid augusti lõpus, et nende hallatavasse arvutisüsteemi on korduvalt loata sisenetud ning sealt patsientide andmeid alla laaditud.

Politsei alustas juhtunu uurimist ning pidas kolmapäeval kuriteos kahtlustatavana kinni 45-aastase mehe. Kahtlustataval enam andmetele ligipääsu ei ole ning praeguse info kohaselt õnnestus takistada nende laiemat levikut.

Andmeleke puudutas enam kui 300 tervishoiuteenuse pakkujat

Keskkriminaalpolitsei küberkuritegude büroo juhi Jete Luige sõnul viitas politseile saabunud teave ulatuslikule andmelekkele ning uurijad asusid kohe välja selgitama selle täpset ulatust.

Esialgsel hinnangul puudutas juhtum rohkem kui 300 Eesti tervishoiuteenuse pakkuja andmeid. Kui paljude patsientide info kahtlustatava kätte jõudis, ei ole veel teada ning see selgitatakse välja kriminaalmenetluse käigus.

Seni kogutud andmetel laaditi Innovaatiku andmebaasist alla muu hulgas patsientide isikukoode, e-posti aadresse ja terviseandmeid. Suurem osa andmetest oli seotud inimeste hambaraviga, kuid lekkinud info võis sisaldada ka muud raviajalugu.

Vajaduse korral teavitavad andmelekkest puudutatud patsiente nende tervishoiuteenuse osutajad.

Ebaseaduslik tegevus võis alata juba juuni lõpus

Uurimise praeguse versiooni kohaselt tegutses kahtlustatav andmebaasis ebaseaduslikult alates juuni lõpust. Politsei on kindlaks teinud, et mehel oli Innovaatikuga varasem seos.

Esialgse hinnangu järgi ei olnud mehe eesmärk andmeid müüa ega muul viisil kuritarvitada. Politsei hinnangul võis tema motiiviks olla soov juhtida tähelepanu infosüsteemis leidunud turvaaukudele.

Riigiprokurör Vahur Verte sõnul ei ole praegu põhjust arvata, et kahtlustatav oleks saadud andmeid teistele inimestele edastanud või neist varukoopiaid teinud.

Uurijate praeguse versiooni kohaselt saadi kätte kõik ebaseaduslikult alla laaditud andmed. Prokuratuuri hinnangul oli juhtumi kiire lahendamise juures oluline Innovaatiku tegevus, sest ettevõte pöördus pärast rikkumise avastamist kohe politsei poole.

Terviseandmete lekkimise tagajärjed võivad olla tõsised

Verte rõhutas, et terviseandmed erinevad paljudest teistest küberrünnakute käigus varastatavatest andmetest. Kui näiteks lekkinud parooli saab välja vahetada, siis inimese telefoninumbrit, kodust aadressi või raviajalugu ei pruugi olla võimalik muuta.

Seetõttu võib delikaatsete isiku- ja terviseandmete sattumine kõrvaliste isikute kätte põhjustada kahju, mida on hiljem väga keeruline heastada.

Ka küberkuritegude büroo juht Jete Luik rõhutas, et tundlikke terviseandmeid töötlevatel ettevõtetel lasub küberturvalisuse tagamisel eriti suur vastutus. Küberkurjategijad otsivad tema sõnul järjest enam võimalusi pääseda ligi just sellisele tundlikule informatsioonile.

Politsei hoiatab ühtlasi, et avalikuks saanud andmeleket võivad ära kasutada ka teised kurjategijad, näiteks petukõnede või muude kelmuste korraldamiseks. Inimestel soovitatakse olla ettevaatlik, kui nendega võetakse ühendust väidetavalt lekkinud andmete tõttu. Kui keegi nõuab lekkinud andmete eest raha, võib tegemist olla kelmusega.

Juhtumi uurimiseks alustati kriminaalmenetlust arvutisüsteemile ebaseadusliku juurdepääsu hankimist käsitleva paragrahvi alusel. Menetlust viib läbi keskkriminaalpolitsei küberkuritegude büroo ning seda juhib riigiprokuratuur.

Teema: Politsei, Küberturvalisus