Hambaravi osutajatele infosüsteemi teenust pakkuv ettevõte Innovaatik teavitas augusti lõpus politseid, et nende hallatud arvutisüsteemi on korduvalt ebaseaduslikult sisenetud ja alla laaditud patsientide isikuandmeid, sealhulgas terviseandmeid. Politsei pidas kolmapäeval kuriteos kahtlustatavana kinni 45aastase Eesti kodaniku. Kahtlustataval ei ole enam andmetele ligipääsu ja andmete laiem levimine õnnestus tõenäoliselt ära hoida.

Keskkriminaalpolitsei küberkuritegude büroo juht Jete Luik sõnas, et pühapäevase teate põhjal oli tegemist ulatusliku andmelekkega. „Alustasime kohe juhtunu uurimist, et välja selgitada andmelekke täielik ulatus ja takistada andmete edasi liikumist,“ sõnas Luik.

Esialgsel hinnangul puudutas andmeleke üle 300 Eesti tervishoiuteenuse pakkuja andmeid. Kui paljude patsientide andmed kahtlustatavani jõudsid, selgitab politsei välja kriminaalmenetluses. Seni kogutud andmetel laaditi Innovaatiku andmebaasist alla muu hulgas patsientide isikukoode, e-posti aadresse ja terviseandmeid. Patsiente teavitab vajadusel tervishoiuteenuse pakkuja ise.

Praeguse info põhjal tegutses kahtlustatav andmebaasis ebaseaduslikult alates juuni lõpust. Suurem osa alla laaditud andmetest puudutasid inimeste hambaravi, kuid võisid sisaldada ka muud raviajalugu.

„Kui enamasti räägime küberkuritegude puhul rahvusvahelisest kuritegevusest, siis praegusel juhul tegutses kahtlustatav Eestis. Oleme kindlaks teinud, et mehel oli ettevõttega varasem seos ning esialgsel hinnangul oli tema motiiv juhtida tähelepanu infosüsteemi turvaaukudele,“ selgitas Luik.

Riigiprokurör Vahur Verte sõnul ei ole kahtlustatav praeguse info kohaselt andmeid kuritarvitanud või kellelegi edastanud. „Kannatanu tegutses kiiduväärselt kiiresti. Juhtumi avastamisel võtsid nad kohe politseiga ühendust ja see võimaldas meil kiirelt tegutseda ning kahtlustatav kinni pidada. Praeguse uurimisversiooni järgi saime kätte kõik andmed, mis ebaseaduslikult alla laaditi ning ei ole põhjust arvata, et kahtlustatav oleks neid kellegagi jaganud või neist varukoopiaid teinud. Andmete laiem levimine õnnestus tänu kiirele tegutsemisele tõenäoliselt ära hoida,“ ütles Verte.

„Inimesel ei ole arsti juures valikut, kas avaldada enda telefoninumber või tervisemure. Inimesed usaldavad​, et nii kohusetundlikult kui arstid inimesi ravivad, niisama hoolega suhtuvad tervishoiuteenuse osutamisega seotud inimesed ja ettevõtted nende kätte usaldatud andmete turvalisusse. Varastatud parooli saab hõlpsalt uue vastu vahetada, ent kurjategija kätte jõudnud telefoninumbrit, kodust aadressi või raviajalugu ei ole võimalik muuta. Delikaatsete andmete võõrastesse kätesse sattumisega tekkinud kahju on väga raske või võimatu heastada,“ lisas riigiprokurör Verte.

Küberkuritegude büroo juhi sõnul tegutsevad küberkurjategijad teadlikult selle suunas, et ligi pääseda üha tundlikumatele andmetele. „Seetõttu peavad küberturvalisusesse suhtuma eriti vastutustundlikult need ettevõtted, kes töötlevad inimeste terviseandmeid,“ lisas Luik