CSC Telecomi turvanõrkus jättis kaitsmata andmebaasi, mis sisaldas enam kui 125 miljonit tekstisõnumit. Lekkega hõlmatud kirjed pärinevad ajavahemikust 2022. aasta oktoobrist kuni 2026. aasta septembrini ning neid uuendati reaalajas, mis tähendab, et ründajad võisid autentimiskoode, paroolide lähtestamise linke ja privaatset teavet näha juba enne, kui neid nägid sõnumite adressaadid.

Cybernewsi meeskond avastas kaitsmata CSC Telecomi ClickHouse'i andmebaasi selle aasta 28. septembril. Sel ajal oli teenuse kaudu ainuüksi septembris saadetud üle kolme miljoni tekstisõnumi.

Andmebaas sisaldas sõnumeid suurpankadelt, meditsiiniasutustelt, populaarsetelt ostusaitidelt, valitsusasutustelt ja isegi Läti riiklikult hädaabinumbrilt 112. Kuigi CSC Telecom tegutseb peamiselt Lätis, puudutas leke ka ettevõtteid ja eraisikuid Leedus ja Eestis.

Lekkega andmebaas sisaldas CSC Telecomi SMS-teenuseid kasutavate äriklientide nimesid, telefoninumbreid, millele sõnumid saadeti, ning sõnumite täielikku sisu, sealhulgas autentimiskoode, ajutisi paroole, meditsiiniliste analüüside tulemusi, broneeringute üksikasju, saadetiste uuendusi koos nimede ja aadressidega, reisibroneeringute kuupäevi ja pangaülekannete teateid. Lisaks sisaldas see metaandmeid, nagu ajatemplid, sõnumite hinnad ja mobiilsidevõrgu marsruutimisteave ning reaalajas uuendusi uute sõnumite saatmisel süsteemi kaudu.

Cybernews märkis, et avalikustatud andmed sisaldavad tekstisõnumeid Läti Swedbankist ja SEB-st, Läti kindlustusandjatelt ERGO, Compensa ja Artea, hädaabinumbrilt 112, Porsche jaemüüjatelt Lätis ja Leedus, CityBee ja Barbora Lätis, EuroCash Leedus, DEPO Leedus ja Eestis, Akropolis Lätis ja Leedus, IKI ja PerlasGo Leedus, Autoplius Lätis ja Leedus, Leedu tervishoiuettevõtetelt Sypsenos Akademija ja Denticija ning Läti rahvuslikult lennufirmalt Air Baltic kõigis kolmes Balti riigis.

Swedbank Latvija pressiesindaja Kristine Cekstere ütles uudisteagentuurile LETA, et pärast intsidenti puudutava teabe saamist alustas pank viivitamatult uurimist ja võttis tarvitusele kõik seadusega nõutud meetmed.

Praeguseks on Swedbank selle teenusepakkuja kasutamise peatanud ja nõudnud välja kogu vajaliku teabe, et täielikult hinnata intsidendi ulatust ja selle võimalikku mõju panga klientidele.

Swedbank jätkab teabe kogumist ja teeb koostööd asjassepuutuvate osapooltega, et kõik intsidendi asjaolud võimalikult kiiresti selgitada.

Samal ajal kutsub pank kliente üles olema valvsad ja mitte usaldama kahtlaseid tekstisõnumeid, telefonikõnesid või e-kirju, milles küsitakse isikuandmeid, paroole, autentimiskoode või muud tundlikku teavet.

"Meie prioriteet on praegu intsidendi põhjalik uurimine ning klientide huvide ja andmete kaitse tagamine," märkis Cekstere.

SEB Panga esindaja Anete Igaune ütles Läti uudisteagentuurile LETA, et SEB kasutas CSC Telecomi teenuseid piiratud ulatuses ja ainult pensionifondidega seotud turundusteabe saatmiseks. Tundliku klienditeabe saatmiseks kasutab SEB teisi sidekanaleid.

CSC Telecom ei ole SEB-i turvaintsidendist teavitanud, seega hindab pank praegu olukorda enda käsutuses oleva teabe põhjal.

Igaune rõhutas, et see konkreetne intsident ei mõjuta SEB süsteemide turvalisust ega ohusta tundlikku klienditeavet ega klientide rahalisi vahendeid.

Air Balticu esindajad ütlesid LETA-le, et lennufirma on teadlik teadetest võimaliku andmeturbeintsidendi kohta välise teenusepakkuja süsteemides. Ettevõte suhtub olukorda väga tõsiselt, sest klientide andmete turvalisus ja privaatsus on Air Balticu üks peamisi prioriteete.

Lennufirma on alustanud olukorra hindamist ja teeb tihedat koostööd asjassepuutuvate teenusepakkujate ja reguleerivate asutustega, et kontrollida avalikult teatatud teavet ja teha kindlaks intsidendi võimalik mõju Air Balticu klientidele.

Air Baltic märgib, et hindamine alles kestab, seega oleks praegu ennatlik teha järeldusi potentsiaalselt avalikustatud andmete mahu või mõjutatud klientide arvu kohta. Hindamise tulemuste põhjal võetakse tarvitusele vajalikud meetmed klientide huvide ja andmete turvalisuse kaitsmiseks.

Air Baltic kutsub kliente üles olema eriti ettevaatlikud tekstisõnumite, e-kirjade ja telefonikõnedega, mis näivad pärinevat Air Balticult, pöörates erilist tähelepanu sõnumitele, milles palutakse kiiresti tegutseda, klõpsata lingil, kinnitada broneeringut või edastada isiku-, maksekaardi- või sisselogimisandmeid.

Läti küberjulgeoleku intsidentide lahendamise amet Cert.lv teatas LETA-le, et seoses meedias ilmunud teadetega andmelekke kohta on Cert.lv palunud CSC Telecomil viia läbi põhjalik uurimine, et selgitada välja tegelikud asjaolud ja hinnata, kas on olemas tõenduspõhiseid viiteid, mis kinnitavad võimalikku andmeleket ettevõtte taristust.

Cert.lv on pakkunud ettevõttele vajaduse korral abi olukorra uurimisel. Teave on edastatud ka asjaomastele õiguskaitseasutustele.

Äriandmebaasi Firmas.lv andmetel teatas CSC Telecom 2025. aastal 4,483 miljoni euro suurusest käibest ja 110 554 euro suurusest kasumist. Ettevõte registreeriti 2022. aastal ja selle aktsiakapital on 273 339 eurot. CSC Telecomi omanikud on Eestis registreeritud osaühing Global Telecom Invest (89,99 protsenti) ja Sergejs Buzaks (10,01 protsenti).