Ecuadorissa 20 miljoonan talous-, työnantaja- ja yhteystietoja vääriin käsiin

Pääasiassa ecuadorilaisia koskeneen tietovuodon tekee entistä vakavammaksi se, että tiedot näyttävät olevan yhdisteltyjä useista eri lähteistä. Tällaisesta "tietovarannosta" pitäisi eurooppalaisten parissa ja GDPR-aikana aktiivisesti kertoa rekisteröidyille; mistä olemme tällaiset tiedot alunperin keränneet, mihin niitä on tarkoitus käyttää ja esimerkiksi mitä oikeuksia rekisteröidyillä tietoihinsa ja niiden käsittelyyn on.

Vuodossa paljastui erittäin iso määrä tietoja jokaista rekisteröityä kohden. Huijari voisi halutessaan käyttää tietoja uskottavan kuuloiseen tietojenkalasteluun ja joko suoraan tai lisätietojen avulla identiteettivarkauksiin.

20 000 000 ecuadorilaisen tiedot vuotivat

Tietokanta sisälsi 20 miljoonan ihmisen tiedot. Tämän hetkinen asukasmäärä Ecuadorissa on n. 16 miljoonaa, joten mukana oli todennäköisesti paljon kuolleita sekä maasta pois muuttaneita.

Vuoto sisälsi yhteystietoja (nimi, osoite, puhelin, sähköposti), yleistietoja (siviilisääty, koulutustaso), työnantajatietoja (yritys, palkka) sekä taloustietoja (tilin saldo, luottostatus).

Vuoto koski useista lähteistä yhdisteltyjä ja siten sensitiivisiä tietoja

Vuodon tiedot vaikuttavat olevan kerätty hallituksen, autoteollisuusliiton sekä kansallisen pankin tietokannoista.

Tietokanta salaamattomana ja suojaamattomana verkossa

Kyseessä on ollut joko törkeä tiedottomuus tai yleinen digiturvatyön ongelma, eli vastuun putoaminen ihmisten väliin selkeän suunnitelman puuttuessa.

Asianmukaisten pääsyoikeuksien huolehtimisen pitäisi olla ensimmäinen asia, joka katsotaan kuntoon tietokantaa perustettaessa ja tarkistetaan säännöllisesti.

Uhreilla vaarana tietojenkalastelu ja identiteettivarkaudet

Vuotaneet yhteystiedot auttavat huijareita kalastelemaan tietoja sähköpostitse tai puhelimitse ja muut tiedot (talous, työnantaja, jne.) auttavat räätälöimään viestinnän uskottavaksi.‍

Vuotaneen tiedon joukossa näytti myös olevan kansallisia henkilötunnuksia ja veronmaksajanumeroita, joita yhdistäen muihin vuotaneisiin tietoihin saattaa hyvinkin pystyä tunnistautumaan esimerkiksi pankissa. Näin uhrit ovat alttiita identiteettivarkauksille.

‍