Psykoterapiakeskus Vastaamo tietomurron kohteena

Vierailija kirjoitti:

Tuo on vahvasti yksinkertaistettu kuvaus tietoturva-aukon laadusta. Vaikka kirjautuu sisään root/root niin ei eteen suinkaan lävähdä lista asiakkaiden potilaskertomuksista.

Kerrottu root/root viittaa siihen että kyseessä on linux-kone, jonka järjestelmätunnuksen salasana on root.

Yksikään tämän päivän linux-distro ei anna sinun asettaa rootin salasanaksi "root" ilman käytännössä fyysistä väkivaltaa, eikä yhdenkään linux-distron sshd taida sallia rootin kirjautumista etänä. Tuo root:root viittaa mysql-kannan oletuskäyttäjään joka on paljon todennäköisempi hyökkäysvektori muutenkin.

Vierailija kirjoitti:

Vierailija kirjoitti:

En tiedä avasko kukaan tota mun viimeksi laittamaani linkkiä, mutta tässä pieni ote siitä:

– Olemme huomanneet, että meillä ulkoverkon rajapinnassa tuhansittain erilaisia kolkuttelijoita kokeilemassa sisäänpääsyä. Kutsumme sitä kohinaksi, Laakkonen sanoo.

Sairaalalaitteista siis kyse, joissa myös paljon potilastietoja. Eli kaikkia näitä käydään "koputtelemassa" jatkuvasti, kyllä varmaan Kantaa ja muitakin. En enää minäkään ole yhtään varma, että meidän tietomme oikeasti ovat suojassa.

No ei ole siitä kyse, vaan HUS:n ulkoverkon muurista.

”HUS:n ulkoverkon muuri” kuulostaa sanayhdistelmänä hienolta. Todellisuudessa jokainen laite HUSin sisällä joka on yhteydessä sen muurin ulkopuolelle on reikä siinä muurissa tai kiertotie sen muurin yli tai ali.

Vierailija kirjoitti:

En ymmärrä tätä "PITÄÄ MAKSAA PITÄÄ MAKSAA" mentaliteettiä. Tajuatteko, että kun muut hakkerit näkevät tämän miten ihmiset ovat heti maksamassa rahaa, niin kohta kaikki on iskemässä ihan kaikkiin potilastietoihin? 

Niin, en minäkään ymmärrä. Veikkaan, että he ovat sellaisia äkkiä, äkkiä asia hoitoon ja selväksi, mutta eivät näe pidemmälle.

Varas on aina varas. Ei ole kilttejä ja rehellisiä varkaita olemassakaan. Näkeehän sen näistäkin millaista "empatiaa" heillä on. Ei mitään. Joukossa on nuoria ja lapsia, joiden elämät on vasta kehittymässä. Ja muutenkin tuo hyökkäys on todella epäreilu, uhreina on ihmisiä, jotka on jo kärsineet tarpeeksi.

Jos näistä lähtökohdista miettii, että luottaisinko heidän hävittävän tiedot rahat saatuaan? En ikipäivänä usko niin tapahtuvan.

Vähän OT mutta pyytäkää lokitiedot omasta keskussairaalasta jotta voitte nähdä ketkä on teidän tietoja käynyt katsomassa. Harmittaa nyt kun tullut terapiassa puhuttua kaikenlaista, vielä toisista ihmisistä heidän omilla nimillä. Mielikuva vaitiolovelvollisuudesta oli mullakin vahva, ei oo enää

Uteliaisuus ja juoruilu on ihmiselle näköjään luontaista, oli ammattinimike mikä tahansa..

Asiasta tiedottaminen on ollut jotenkin löperöä. Ylen uutisissa poliisi kehotti ihmisiä tekemään jonkun pilipali-ilmoituksen nettisivujen kautta, ja joku laiskalla äänellä puhunut Valviran edustaja voivotteli että katsotaan nyt onko tämä Mokaamo tehnyt jotain väärää.

Siis helkkari, tällä hetkellä on parin sadan ihmisen kaikki hetut ja nimet identiteetivarkaiden näpeissä ja ensi yönä ropisee lisää! Tästä olisi pitänyt tehdä poliisin taholta ISO TIEDOTE, että ihmiset, jotka ovat käyneet tässä psykopuljussa edes pskalla, tekevät nyt heti itselleen luottokiellon. Sen jälkeen rikosilmoitus hakkereista JA Lataamosta.

Näin itsekin pitkän terapiaprosessin käyneenä suututtaa ihan h#lvetisti kaikkien terapiassa käyvien ja terapiaa harkitsevien puolesta. Terapian pitäisi olla maailman turvallisin paikka ja nyt se ei sitä todellakaan ole ollut. Toivottavasti tämä ei vaikuta siihen, uskaltaako ihmiset jatkossa hakeutua terapiaan.

Vierailija kirjoitti:

Vierailija kirjoitti:

En ymmärrä tätä "PITÄÄ MAKSAA PITÄÄ MAKSAA" mentaliteettiä. Tajuatteko, että kun muut hakkerit näkevät tämän miten ihmiset ovat heti maksamassa rahaa, niin kohta kaikki on iskemässä ihan kaikkiin potilastietoihin? 

Niin, en minäkään ymmärrä. Veikkaan, että he ovat sellaisia äkkiä, äkkiä asia hoitoon ja selväksi, mutta eivät näe pidemmälle.

Varas on aina varas. Ei ole kilttejä ja rehellisiä varkaita olemassakaan. Näkeehän sen näistäkin millaista "empatiaa" heillä on. Ei mitään. Joukossa on nuoria ja lapsia, joiden elämät on vasta kehittymässä. Ja muutenkin tuo hyökkäys on todella epäreilu, uhreina on ihmisiä, jotka on jo kärsineet tarpeeksi.

Jos näistä lähtökohdista miettii, että luottaisinko heidän hävittävän tiedot rahat saatuaan? En ikipäivänä usko niin tapahtuvan.

Jep, hyvä pointti tuo. Jos varkaalla olisi mitään moraalia tai empatiaa, niin olisi sentään poistanut lapset.. Mutta eipä tuota tehnyt. 

Vierailija kirjoitti:

Vierailija kirjoitti:

Ymmärrettekö, että joillakin voi olla siellä niin stigmatisoivia juttuja, että henkilö päätyy tap**maan itsensä jos tiedot tulevat julki? Kaikki eivät pui terapiassa mitään tavallisia ahdistuksia vaan sellaisia asioita, joista kukaan ulkopuolisen ei pitäisi koskaan saada tietää.

Kyllä jokainen tämän ymmärtää.

Teidän on kuitenkin ymmärrettävä se, että nyt kun ne on saatu ne tiedot niin eivät ne koskaan tule poistumaan  -  ei edes silloin, vaikka lunnaat maksettaisiin. 

Aivan mutta on aivan turha sönköttää, että ketä kiinnostaa toisen masennukset yms. Ihmiset saattavat olla hengen vaarassa! Joku its*emur*an tai sitten ulkopuolisen hyökkääjän takia.

Omat tietoni ovat vuotaneet. Sain myöhään eilen illalla WhatsApp-ryhmäviestin, jossa tietojeni kerrottiin vuotaneen. Aion juuri hankkia turvakiellon, mutta olen pian hakemassa ensimmäistä asuntolainaa ja pelkään, että lainaa ei luottomerkinnän takia myönnetä.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Hyvä pointti tuo, että Vastaamo yhtä ahne kuin hakkeritkin!

Ei varmasti ole ahneudesta kyse, vaan heitä on neuvottu olemaan maksamatta. Vastaamo tuottaa palveluita, josta ihmiset maksaa. Mitä nuo hakkerit tekee? Yrittää päästä samalle leivälle varastamalla.

Miksi tietoturva on ollut tuolla tasolla?

Koska ovat hölmöjä ja naiiveja?

Vierailija kirjoitti:

Vierailija kirjoitti:

Miten tilaat tavaraa tai otat pikavipin toisen nimellä? Ei onnistu, ne rahat maksetaan kumminkin sinun tilillesi, joten kiinni jäät. Tai miten haet Klarnan paketin postista, jos tilannut toisen nimelle? Vaikka tilaisit automaattiin, sinun pitäisi antaa oma puhelinnumerosi ja kiinni jäät.

No haloo, eihän verkkokaupat mitenkään tarkista, että annan oman puhelinnumeroni enkä vaikka miehen. 

Vaikka verkkokauppa ei tarkistaisikaan, niin maksuportaali tarkistaa että kaupan välittämät vastaanottajan tiedot täsmäävät heille rekisteröityneen käyttäjän tietojen kanssa. Siis nimi, hetu, email, puhnro ja toimitusosoite. Voit siis pahimmillaan tilata toisen nimiin hänen osoitteeseensa ja vastaaonttoilmoitus tulee hänen puhelimeensa ja sähköpostiinsa. Et saa tilausta mitenkään itsellesi, edes Klarnaa käyttäen.

Vuosia kestänyt traumojen työstäminen tuntuu valuvan läpi sormien ja vanhat tutut ahdistus, itseinho, häpeä ja kauhu valtaavat mielen. On käynyt niin, että ne asiat, joihin en pitkään uskaltanut hakea apua enkä sanoa niitä edes ääneen, ovat nyt julkista tietoa, netissä ikuisesti. En voi uskoa että tämä tapahtuu todella

Eikös itse data pitäisi olla tällaisessa palvelussa voimakkaasti kryptattuna?

Toki monen lukon takana muutenkin mutta lisäksi vielä salattuna?

Tuolla ei ole ilmeisesti hoidettu asiaa ollenkaan ammattimaisesti.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Tämä on jotain ihan kauheaa.

Miten pystyttäisiin estämään tämänkaltainen hakkerointi ja tällaiset tietovarkaudet? Onko kenelläkään tietämystä ja ehdotuksia???

Ilmeisesti vaihtamalla oletuskäyttäjä ja salasana.

Kaksiosainen tunnistautuminen on keksitty tätä varten.

Kaksiosaista tunnistautumista ei käytetä järjestelmätunnuksissa, kuten esim. tietokannoissa vaan käyttäjien tunnistautumisessa.

Tässä tapauksessa olisi riittänyt tietokannan tai sen hallinnointityökalun oletuskäyttäjän ja salasanan vaihtaminen.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Höpsistä. Kirjaaminen on lakisääteistä. Psykoterapeutin on kirjattava käynnit. Terv psykiatri

Kyllä mutta ei niiden nettiin kuulu mennä.

Netti se on terveysyrityksenkin intranetti. Kanta samoin.

Kantaan ei pääse takuulla. Tai sitten täytyy olla joku valtiollinen toimija (joilla on salaista tietoa esim. reitittimistä) ja niillä ei ole todennäköisesti intressiä siihen.

Vau. Kanta on maailman ainoa järjestelmä, jota ei voi hakkeroida. Koska eihän meillä Suomessa sellaista...

Se on varmaan hakkeroitu jo. Odottelevat sopivaa hetkeä pistää kiristysviestiä eduskuntaan.

Tiedä vaikka ne jo maksaisi siitä... poliisin salassapito-oikeuksia vasta lisättiin, joten tuskin enää edes kantautuu tuollainen uhka sen toteutuessaan julkisuuteen. Ihan niinkuin nytkin, hakkerit odottivat kuukauden ja kukaan Vastaamosta tai poliisistakaan ei kertonut meille vaikka GDPR:n mukaan olisi pitänyt kertoa aina uhan sattuessa.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Hyvä pointti tuo, että Vastaamo yhtä ahne kuin hakkeritkin!

Ei varmasti ole ahneudesta kyse, vaan heitä on neuvottu olemaan maksamatta. Vastaamo tuottaa palveluita, josta ihmiset maksaa. Mitä nuo hakkerit tekee? Yrittää päästä samalle leivälle varastamalla.

Miksi tietoturva on ollut tuolla tasolla?

Koska ovat hölmöjä ja naiiveja?

Ei, vaan ahneita. Kunnollinen suojaus maksaa rahaa.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Miten tilaat tavaraa tai otat pikavipin toisen nimellä? Ei onnistu, ne rahat maksetaan kumminkin sinun tilillesi, joten kiinni jäät. Tai miten haet Klarnan paketin postista, jos tilannut toisen nimelle? Vaikka tilaisit automaattiin, sinun pitäisi antaa oma puhelinnumerosi ja kiinni jäät.

No haloo, eihän verkkokaupat mitenkään tarkista, että annan oman puhelinnumeroni enkä vaikka miehen. 

No halååta vaan, ei tarkista, mutta joku numerohan sun on annettava, että sen paketin saat haettua. Helppoahan se on jälkikäteen tarkistaa, mihin numeroon viesti meni.

Voit käydä vaikka joka päivä hakemassa uuden prepaidin ja nakata vanhan roskiin. Ei niitä voi jäljitellä mitenkään.

Kyllä voi, puhelimen IMEI-koodin perusteella.

Sain tänään viestin Vastaamosta, että tietoni ovat vaarantuneet. En ole koskaan käynyt siellä.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Jossain luki, että jos nuo tunnukset tosiaan olisivat root:root, niin nämä tiedot olisivat hakkeroitu jo aika moneen muuhunkin paikkaan?

Todennäköisesti ovat muuallakin. Tämä murto vaikutti niin simppelille, että ihan vain varmuuden vuoksi ladattiin kaikki tieto palvelimelta. Pari vuotta myöhemmin huomattiin, että oltiin saatu haltuun jotain merkittävää.

Laskin juuri, että omaan kodin reitittimeen on tullut viimeisen kolmen vuorokauden aikana yli 10 000 kirjautumisyritystä. Yleisin tunnus, jolla yritetään kirjautua on root. Suurin osa osoitteista, joista yritetään kirjautua ovat Kiinasta.

OMG! Miten tuollaiset kirjautumisyritykset voi katsoa?

Muurin/reitittimen logeista.

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Vierailija kirjoitti:

Tämä on jotain ihan kauheaa.

Miten pystyttäisiin estämään tämänkaltainen hakkerointi ja tällaiset tietovarkaudet? Onko kenelläkään tietämystä ja ehdotuksia???

Ilmeisesti vaihtamalla oletuskäyttäjä ja salasana.

Kaksiosainen tunnistautuminen on keksitty tätä varten.

Kaksiosaista tunnistautumista ei käytetä järjestelmätunnuksissa, kuten esim. tietokannoissa vaan käyttäjien tunnistautumisessa.

Tässä tapauksessa olisi riittänyt tietokannan tai sen hallinnointityökalun oletuskäyttäjän ja salasanan vaihtaminen.

Onko jotain oikeaa poliisin antamaa tietoa, että tällaisesta olisi kyse? Kuulostaa enemmän siltä, että tietoturvayhtiöt pesevät käsiään väittäessään, että salasana on ollut liian helppo.