Viljandimaalt pärit Kalev Põldsaare loodud matemaatikavõistluste keskkonna Nutisport ligi 36 000 kasutaja isiku- ja parooliandmed võisid sattuda võõrastesse kätesse, kirjutab Sakala. Sellest teatab BNS.
Leke avastati, kui riigi küberturvalisuse spetsialistid märkasid tumeveebis Nutispordiga seotud andmeid. Keskkonna eestvedaja tunnistab, et turvaprobleem sai alguse hooletusse jäänud failist, kui ta üritas luua parima turvavõrgu variandi.
Nutispordi endised kasutajad said novembri alguses hoiatava e-kirja, milles neil soovitati viivitamata vahetada paroole kõigis veebiteenustes, kus nad on kasutanud sama salasõna nagu Nutispordi vanas keskkonnas. Teade puudutas kuni 36 000 inimest, kelle andmed pärinesid aastatest 2017–2024.
Lekkinud andmete hulgas võisid olla seda keskkonda kasutanud inimeste nimed, kasutajanimed, e-posti aadressid ja paroolide räsid ehk nendest matemaatiliselt tuletatud koodid. Et Nutisport on mõeldud eelkõige kooliõpilastele, puudutab juhtum ka laste andmeid.
Nutispordi eestvedaja Kalev Põldsaar sai juhtunust teada 6. novembril, kui riigi infosüsteemi ameti küberturvalisusega tegelev üksus CERT-EE andis talle teada tumeveebis märgatud andmetest. Seejärel asuti kontrollima Nutispordi vana keskkonda ning selgus, et serveri kolimise ajal loodud andmebaasi varundusfail oli jäänud kõrvalistele isikutele kättesaadavaks.
Serveri logidest oli Põldsaare sõnul näha, et faili olid alla laadinud välismaised automaatsed programmid ehk robotid. Kui palju kordi seda tehti ja kelle kätte andmed lõpuks jõudsid, pole teada.
Samuti pole praegu kinnitust, et lekkinud andmeid oleks kasutatud kellegi kontole sisenemiseks või muul viisil kuritarvitatud.
“Võib-olla keegi pakub kellelegi müüa ja ostjat pole veel leitud. Kas ta on midagi teinud sellega või mitte, ei tea,” rääkis Põldsaar.
Andmeleke tekkis suurema turvalisuse soovist
Iroonilisel kombel sai võimalik andmeleke alguse Kalev Põldsaare soovist muuta Nutispordi keskkond turvalisemaks. Nimelt otsustati 2024. aastal tuua seni välismaal asunud serverid Eestisse, et kasutajate andmed oleksid paremini kaitstud.
Serverite kolimine polnud aga sugugi lihtne ettevõtmine. Selleks tuli luua andmebaasist varukoopia, mis sisaldas ka kasutajate andmeid. Kogu protsess võttis Põldsaare sõnul aega kolm päeva ning nõudis omajagu pingutust. Kui keskkond viimaks uues serveris tööle saadi, jäi üks oluline samm tegemata: varundusfail unustati kustutada.
“Puhtalt minu isiklik hooletus,” tunnistas Põldsaar. Tema sõnul oli pärast kolmepäevast pingutust kergendus sedavõrd suur, et ajutine fail läks lihtsalt meelest.
Nii kujunes turvalisuse parandamiseks ettevõetud kolimisest hoopis uus turvarisk. Põldsaare sõnul ei ole võimalik öelda, kui kaua fail kõrvalistele isikutele kättesaadav oli või millal seda esimest korda alla laaditi.
Vanas keskkonnas kasutati paroolide talletamiseks MD5-räsifunktsiooni. Kuigi paroolid ei olnud failis loetava tekstina, ei peeta seda meetodit enam turvaliseks, sest paroole võib olla võimalik räside põhjal välja selgitada.
Põldsaare sõnul saadeti võimaliku lekke avastamise järel teade kõigile 36 000 kasutajale, kelle andmed võisid varundusfailis sisalduda.
Kirju oli nii palju, et need tuli saata mitmes osas ning osa teadetest võis sattuda adressaatide rämpsposti kausta.
“Reageerisime kohe, tegelikult samal päeval,” lausus Põldsaar.
Juhtunust teavitas Nutisport ka andmekaitse inspektsiooni ja politseid, kuid ta polnud ametkondadelt veel sisulist tagasisidet saanud.
Ohus võivad olla ka e-posti ja sotsiaalmeedia kontod
Kõige suuremas ohus on need inimesed, kes kasutasid Nutispordis sama parooli nagu oma e-postis, sotsiaalmeedias või mõnes muus veebiteenuses.
Kui kõrvalised isikud suudavad parooli räsi põhjal salasõna välja selgitada, võivad nad proovida sellega sisse logida ka teistele kontodele.
Põldsaare sõnul ei tähenda see, et kõik 36 000 võimalikust lekkest puudutatud kasutajat oleksid otseses ohus. Kui Nutispordi vana parooli pole mujal kasutatud, ei anna selle teadasaamine ligipääsu teistele kontodele.
Keerulisem on olukord neil, kes ei mäleta enam, millist parooli nad aastate eest kasutasid. Sellisel juhul tasub üle vaadata oma olulisemate veebikontode turvalisus, vahetada paroolid, mida on mitmel pool kasutatud, ning lülitada võimaluse korral sisse kaheastmeline autentimine.
Põldsaar rõhutas, et juhtum puudutas ainult Nutispordi vana keskkonda. Praegu kasutusel olev Nutisport 2 ei olnud tema kinnitusel lekkega seotud ning on täiesti turvaline.
Pärast juhtunu avastamist kontrollis programmeerija mõlema keskkonna turvalisust ning leitud probleem kõrvaldati. “Nutisport ise on nüüd ilmselt üks paremini kaitstud kohti,” nentis Põldsaar.
