Jep, pitää ihan paikkaansa, sinne on launtain ja sunnuntain välisenä yönä joku laittanut kuuden poliisin tiedot esiin. Ihan siis koko tiedoston sisältö, vastaavat kuin ne alunperin vuodetut 300 tiedostoa. Noista siis löytyy nimi, henkilötunnus, sähköposti, puhelinnumero, osoite sekä kaikki muistiinpanot terapiaistunnoista. Sitähän tosin kukaan ei voi varmaksi sanoa onko nämä lisätty oikeasti ulkopuolisen toimesta. Kyllä se alkuperäinen hakkeri varmasti osaa olla halutessaan myös käyttämättä sitä trippikoodiaan jolla on tähän asti itsensä tunnistanut ja postata anonyymisti kuten monet muutkin käyttäjät. Esimerkiksi tavoitteenaan johtaa tutkintaa harhaan ja uskotella, että tiedot olisi useammallakin.
Lyhyt vastaus on että potilastietoja ei pysty poistamaan tiettyjä poikkeuksia lukuunottamatta. Näiden lisäksi kirjauksia on mahdollista korjata jos kirjattu väärin tietoja. Poistoon lähinnä liittyy että tieto ei pidä alkujaankaan paikkaansa tai että potilastietoihin on kirjattu jotain sinne kuulumatonta. Mitä tulee piilottamiseen ehkä lähinnä aikaisemminkin täällä keskusteltu tietojen jakamisen kieltäminen ehkä lähinnä mitä voi tehdä
Jospa nuo ovat jotain työhön liittyviä käyntejä, polliisithan saattavat joutua johonkin järkyttäviin tilanteisiin ja niitä on käyty käsittelemässä.
Joo ulkopuolista auditointia ei tarvita koska "B-luokan" toimija ja järjestelmä... No tähän tulee taatusti muutos.
Ei pidä paikkaansa, suurimmassa osassa on jo seiska käytössä
Ja tämä ei ole vitsi. Meillä päivitettiin kymppiin reilu vuosi sitten.Joo. Sen perustaja on mun koulukaveri lukioajoilta ja IT-suuntautunut psykologi.
Joku ehti jo vastaamaankin että ehkä nuo oli työhön liittyviä asioita. Muutoin minullakin on monessakin palvelussa vielä työsähköposti koska kun tulin kauan sitten töihin niin se oli käytännössä täysin paskojen roxette92@jippii.fi ja gunsandroses4ever@suomi24 tasoisten sähköpostien sijaan jotenkin älykkään kuuloinen etunimi.sukunimi@virallinentaho.fi. Toki alan nörttinä ehdin varaamaan etunimisukunimi@gmailin jo kun se tuli 1GB inviteonlynä, mutta old habits die hard.
Se on kyllä ollut alusta asti selvää, että tämä root:root juttu on ihan ankka. Kun ensinnäkään tuollaista oletustunnusyhdistelmää ei oikein millään järjestelmällä ole.Todennäköisesti tuo root:root on hakkerin omasta tietokannasta. Toivottavasti ainakin.
Thread by @suonpaa on Thread Reader App
@suonpaa: Osapuilleen tusinan twiitin mittainen lanka #Vastaamo-tietomurrosta. Puhun tietomurrosta, Pythonista ja SQL-tietokannoista, joista mistään en oikeastaan kovin paljon tiedä. Varovaisuutta lukijalle, siis. 1/...…threadreaderapp.com
Voi olla tosiaan, että asia on jotenkin näin. Olen itsekin iältäni kolmenkympin paremmalla puolella ja ruvennut internetiä sekä sähköpostia käyttämään jo ennen 2000-lukua. Muistan itsekin omistaneeni juuri jotain vähän epämääräisiä @jippii.fi osoitteita aikoinaan, tosin tuolloin olin vielä niin nuori että mikään kesätöitä kummempi työnhaku ei ollut ajankohtaista. Gmail aloitti toimintansa 2004, eli siitäkin on kuitenkin jo yli 16 vuotta. Silloin minäkin rekisteröin itselleni etunimisukunimi@gmail.com osoitteen ja sitä on siitä asti käytetty oikeastaan ihan kaikessa.
Pitäisi kyllä olla pakollinen auditointi kerran vuoteen kaikille potilastietoja käsitteleville järjestelmille. Ja tietomurron tapahtuessa kovat sanktiot, jos huomataan että auditointia ei ole suoritettu.
psykoterapeuttihannumajava.blogspot.com
Vaikuttaa tosiaan siltä, että se jaossa ollut iso paketti on pitänyt sisällään koko potilasrekisterin ja se on nyt useammallakin henkilöllä ja osa näistä on valmis myös julkaisemaan niitä tietoja ainakin osittain. Siinä uhreille jälleen yksi syy lisää olla maksamatta mitään kiristäjille.
Tällaiset luokittelut on vahva osoitus siitä, että tässä on taustalla ennen kaikkea valtiotason epäonnistuminen. Nyt huudellaan lähinnä pyörävarkaan perään, kun valtio on ensin omilla toimillaan pakottanut ihmiset säilyttämään pyöriä lukitsemattomina kadulla.
www.is.fi
www.mtvuutiset.fi
Yksittäisiä paikkoja, ja vaatimuksetkaan vie välttämättä hyvään suuntaan.
Ei ole vuosi, vaan kaksi vuotta, eli syyteoikeus vanhenee viidessä vuodessa. Jos kyseessä on törkeä tietomurto, niin maksimi on 3v eli tällöin olisi 10 vuotta syyteoikeutta.
www.finlex.fi
Aika kaukaa haettua ja kuka tahansa tietysti voi halutessaan vetää tuommoisen johtopäätöksen, mutta eipä taida tuomioistuimet sellaista vetää. Tuossa selitetään tarkemmin Viestintäsalaisuuden loukkaus - Minilex .
Tosiaan hieman tuntuu, että huomio koitetaan väkisin siirtää tähän hakkeriin vaikka kyseessä on todennäköisesti joku nuori yksittäinen veijari. Kuitenkin tämä ilmeisen luokaton tietoturva on ollut täysin Valviran hyväksymää. Tai oikeastaan Valviralla ei ilmeisesti ole mitään käryä näiden B-luokan järjestelmien suhteen. Todellista B-luokkaa kymmenien tuhansien ihmisten terapiatiedot ovatkin. Eikä sillä ettei murtautujakin pitäisi saada kiinni ja rangaistavaksi. Mutta pitäisi varmistaa myös ettei näin pääse jatkossa käymään. Joka vaatisi sen, että Valvira tekee työnsä ja valvoo miten potilastietoja säilytetään.
Ei Valvira ole ketään pakottanut käyttämään heikkotasoisia suojausmenetelmiä ja laiskoja ylläpitäjiä. Kovin naiivia olisi myös olettaa, että Valviralla olisi resursseja valvoa ja testata aktiivisesti kaikkien toimijoiden tietojärjestelmiä. Uhkailla ja vaatia toki voi, mutta se on eri asia. Ja joku 10v välein tehtävä auditointikaan ei auta käytännössä yhtään mitään, kun systeemit happanevat käsiin vuodessa.
Jos se meinataan liittää Kantaan, niin sen pitää läpäistä auditoinnit.
No tämän voi myös ajatella niin että vahvistaa tuon root:rootin.Todennäköisesti tuo root:root on hakkerin omasta tietokannasta. Toivottavasti ainakin.
Thread by @suonpaa on Thread Reader App
@suonpaa: Osapuilleen tusinan twiitin mittainen lanka #Vastaamo-tietomurrosta. Puhun tietomurrosta, Pythonista ja SQL-tietokannoista, joista mistään en oikeastaan kovin paljon tiedä. Varovaisuutta lukijalle, siis. 1/...…
www.mtvuutiset.fi
www.is.fi
Mikä on oikeaa? On tietoturva-auditointia, "tietoturva-auditointia" ja sitten on ihan kunnon testausta. Pääosa auditeista on (valitettavasti) skannerin ajamista ja perusvirheiden tarkastusta jonka laatua/arvoa voi kyseenalaistaa aika reippaasti. Tästä saa kiittää pätemätöntä tilaajapuolta jotka ei vaadi parempaa, koska mikään ei vaadi ja muutaman tahon auditeihin tässä maassa luotetaan kuin kallioon.
Paitsi että tietokantadumpissa ei ole mukana tietokantaohjelman salasanoja.
Taitaa olla enemmänkin palveluntarjoajan koosta kiinni, ei varmaankaan yksittäisen terapeutin ole rahallisesti kannattavaa tehdä tälläistä investointia, tälläiset asiat kyllä pitää ottaa huomioon myös jos ja kun uudistuksia tehdään. Toisaalta psykiatri ja hoidon toteuttava taho esim psykologi ovat kyllä molemmat terveydenhuollon ammattilaisia, toimenkuva vaan on hieman erilainen.
Joku voisi jopa esittää toiveen digitaalisten tietoturva-asioiden yhteiskuntavastuullisuuden yms. tason parantamisesta siis ihan lainsäädännöllisellä tasolla.
Se B-luokka tarkoittaa, että organisaation tietojärjestelmää ei ole liitetty kansalliseen Kanta-palveluun. Ei se tarkoita, että se automaattisesti olisi jotenkin paska palvelu, vaikka tässä tapauksessa näin ehkä olikin.
Ok en ole sisältöön tutustunut.
www.is.fi
www.lyyti.fi
Mitenkäs, osaakos joku heittää lonkalta kuinka monta tietoturvapäivitystä tuon 2.4.18 Apassin ja uusimman välillä on tullut? Mietin että meneekö moinen enää edes törkeän huolimattomuuden piikkiin? Selkokielinen kanta, palvelin avoinna julkiseen verkkoon ja vanhat versiot... :/Kun joku kyseli aikaisemmin noiden subdomainien selvittämisestä niin teoriassa kaikkia mahdollisia ei saa ilman bruteforcea(joka sekään nyt ei kauaa kestä, kaikki on suhteellista), mutta tällä tarvittavalla tasolla ne todellakin saa sekunneissa:
Uusin vakaa versio taitaa olla 2.4.46
Joo, tuon jälkeen löysinkin tollasen sivun jonka mukaan tuossa versiossa olisi 26 security vulnerabilitiä... Tiedä sitten :/
Tuo Ubuntu 16.04 Apache on numeroitu seuraavasti. Uusin on 2.4.18-2ubuntu3.17 ja jotain päivityksiä siihen tulee.
launchpad.net
www.is.fi
www.finder.fi
Minä en usko tähän. Omien lähteideni pohjalta pidän todennäköisimpänä sitä, että eivät vain ole tajunneet joutuneensa tietomurron kohteeksi tuolloin 2018-2019. Uskon että ovat saaneet tiedon tästä vasta kun kiristys alkanut ja tehneet sitten rikosilmoituksen. Eli noin kuukausi sitten.Iltasanomien jutussa pohditaan miksi hakkeri odotellut 2 vuotta. Voisiko olla että on sen ajan yrittänyt saada Vastaamolta rahaa, joka kuitenkin kieltäytynyt ja painanut asian nk. "villaisella" ja toivonut ettei paska osu tuulettimeen.Näitä yksityiskohtia nyt ihmetellään Vastaamo-tietomurrossa: Miksi kiristäjä odotti 2 vuotta, miksi juuri tuota summaa vaaditaan – ja kuka on oikeasti asialla?
Tiesikö kiristäjä heti, minkä päällä istui – vai odottiko vain taktisesti?
Samaan aikaan Vastaamo tehnyt B-suunnitelman, siirtänyt varoja yrityksestä ulos ja siten varautua pahimpaan.
Tilinpäätöstiedoissa yhdessä vuodessa lähes 1 meur muutos tuloksessa joka herättää epäilyksiä ainakin itselleni.
Psykoterapiakeskus Vastaamo Oy Helsinki - taloustiedot, Y-tunnus ja päättäjät - Finder.fi
Katso Finder.fi:stä yhtiön Psykoterapiakeskus Vastaamo Oy Helsinki (2212204-1) yritystiedot, päättäjät, työntekijämäärä ja taloustiedot, kuten liikevaihto ja tulos.
Tuo nyt voi selittyä ihan kirjanpidollisilla toimilla. Ei firmasta niin vain pysty nostamaan varoja ulos. Tai jos sen tekee laittomasti, niin harvemmin näkyy tuloksessa.
Turhaan te näitä versionumeroita arvotte. Kuten on aiemminkkin sanottu, se ei ole mikään indikaatio siitä, onko järjestelmään asennettu päivitykset vai ei. Kaikki ns. vakavasti otettavat yrityskäytössä suositut Linux-jakelut toimivat niin, että jakelun version elinkaaren ajan softien versiot pysyvät samana, vaikka niihin tulee backportattuja tietoturvapäivityksiä. Tällä vältetään se, että palvelut hajoaisivat päivitysten myötä. Harvemmassa vakavasti otettavassa yrityksessä käännellään käsin ja asennellaan softista uusia versioita, vaan käytetään sitä versiota, jonka Linux-jakelun tuottaja tarjoaa.
Niin en tarkoittanutkaan että varoja olisi nostettu laittomasti, vaan maksettu reilummin osinkoja, nostettu omistajien palkkoja yms. eikä jätetty varoja taseeseen mahdollisten korvausten pelossa.
Miten päädyit tuohon tulkintaan? 2018 maksoi osinkoja 200k. 2019 teki tappiota, mikä nyt ei ainakaan paranna osingonmaksokykyä.
Miksi? Pikkukioskeissa tuloksen suuret heittelyt eivät ole mitenkään poikkeuksellisia. Investointi vaikka uusiin toimitiloihin ja vähän liian isot rekrytoinnit, niin äkkiä sen tuloksen saa tappiolle. En siis ole lainkaan tutustunut tuohon firmaan, mutta ei pelkkä tappiollinen tulos vielä kerro yhtään mitään yhtään mistään.
www.is.fi
