Andmekaitse Inspektsioon (AKI) sai 2026. aasta kolmandas kvartalis 123 rikkumisteadet, mis on rekord. AKI nimetab ühe põhjusena suve keskel avastatud turvanõrkusi Magento ja WordPressi veebitarkvaras. Mitu inspektsiooni toodud näidet on pärit e-poodidest.
Mis juhtus?
AKI avaldas kvartali kokkuvõtte 8. oktoobril. Juulis esitati 25 rikkumisteadet, augustis juba 47 ja septembris veelgi rohkem, 51. Aasta varem oli samal ajal teateid 57, seega on kasv 116%. Teises kvartalis oli teateid 66. Avalikku sektorit puudutas 123 teatest 25.
Rikkumisteate esitab organisatsioon ise, kui tema käes olevad isikuandmed on lekkinud või võõrastesse kätesse sattunud.
„Juhtumite suure arvu üheks põhjuseks olid suve keskpaigas avastatud turvanõrkused Magento ja WordPress veebitarkvarades,“ kirjutab AKI. Inspektsiooni sõnul kasutasid kurjategijad need vead kiiresti ära. Teine suurem põhjus oli andmeleke hambaravikliinikute tarkvara pakkuja juures.
Konkreetseid turvanõrkusi AKI ei nimeta. Kuna vead avastati ja neid kasutati kiiresti ära, olid tõenäoliselt kõige rohkem ohus poed, mis ei jõudnud tarkvara õigel ajal uuendada.
Mis e-poodidega juhtus?
AKI kirjeldab mitut juhtumit e-poodides.
- Kosmeetika e-pood. Magento turvanõrkuse kaudu murti veebipoodi sisse ja paigaldati pahavara.
- Üldkaupade e-pood. WordPressi vea kaudu lisati lehele pahatahtlikke pluginaid ehk pistikprogramme, sealhulgas võlts Cloudflare’i kontrollileht.
- Reisibroneeringute e-pood. Ründaja laadis turvanõrkuse kaudu veebiserverisse skripti ja ründas andmebaasi.
Võlts kontrollileht väärib eraldi tähelepanu. See jäljendab Cloudflare’i tuttavat „kas olete inimene?“ kontrolli. Nii muutub häkitud e-pood ohuks omaenda klientidele.
Kõigi juhtumite taga ei olnud siiski veebitarkvara viga. Ühel mänguplatvormil sattus makseteenuse pakkuja salajane API-võti seadistusvea tõttu lähtekoodi ja seda kasutati kliendiandmete kättesaamiseks. Ühe tarkvaraettevõtte arendaja GitHubi konto võeti üle ja selle kaudu levitati pahatahtlikku koodi.
Miks see puudutab teie e-poodi?
Kui teie e-pood kasutab Magentot või WordPressi, puudutab see teid otseselt. Juba teises kvartalis märkis AKI, et kahes e-poes olid Magento uuendused jäänud tegemata. Kolmandas kvartalis nimetas inspektsioon Magento ja WordPressi vigu juba rekordi üheks põhjuseks.
E-pood vastutab oma klientide isikuandmete eest. Kui need lekivad, tuleb AKI-d teavitada hiljemalt 72 tundi pärast rikkumisest teada saamist. Tähtaeg ei alga rünnaku hetkest, vaid sellest, kui te rikkumisest teada saate. Teate saab esitada AKI veebilehe vormiga.
Mida teha?
- Uuendage Magento või WordPress ja kõik pluginad niipea, kui turvauuendus ilmub. Eemaldage pluginad, mida te ei kasuta. Kui poe on teinud arendaja, leppige kokku, kes turvauuendused paigaldab ja kui kiiresti.
- Laske kontrollida, kas lehel on tundmatuid pluginaid, skripte või faile. Võõras plugin või võlts kontrollileht on märk, et leht on üle võetud.
- Hoidke salajased võtmed koodist eemal. Kui API-võti on koodi või avalikku hoidlasse sattunud, laske see kohe välja vahetada.
- Kaitske arendajate kontod kaheastmelise autentimisega. See puudutab ka GitHubi ja muid koodihoidlaid.
- Leppige kokku, milliseid andmeid tohib tehisintellekti teenustesse laadida. AKI näidete hulgas on töötaja, kes laadis töölepingud tehisintellekti teenusesse, kus neid nägid ka teised sama konto kasutajad.
Kui rikkumine on juba juhtunud, leiate esimesed sammud meie juhtumi lehelt. Tarkvara versioone, pluginaid ja lekkinud võtmeid kontrollime ka veebilehe turvakontrolli käigus.
Allikad
- Andmekaitse Inspektsioon: Kolmandas kvartalis esitati rekordarv rikkumisteateid
- Andmekaitse Inspektsioon: Isikuandmetega seotud rikkumistest teavitamine 2026. aasta II kvartalis
- Andmekaitse Inspektsioon: Rikkumisteade
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
