Ulkoministeriön outo tietomurto

Runsas viikko sitten silmiin osui erikoinen uutinen Ylellä: "Ulkoministeriössä epäillään tietomurtoa".  

Tivin uutinen avaa tapahtunutta tarkemmin (suora lainaus): "Ulkoasiainhallinnon käyttämä etäyhteyspalvelu oli jo viime vuoden puolella todettu haavoittuvaksi, minkä vuoksi ulkoasiainhallinto otti käyttöön tehostetun tietoturvavalvonnan ja aloitti siirtymisen korvaavaan palveluun."

Haavoittuvaksi tiedetty VPN oli Ivantin Pulse Secure. Traficom onkin tiedottanut tammikuun alussa Ivantin muista tuotteista löytyneistä haavoittuvuuksista, jotka ilmeisesti liittyvät asiaan.

Erikoiseksi asian tekee se, että Ulkoministeriössä otettiin tietoinen riski ja jatkettiin haavoittuvan järjestelmän käyttöä, koska ilman VPN-yhteyksiä ei voitu olla. Rinnalla aloitettiin siirtymä uuteen, turvalliseen järjestelmään.

Tehostetusta valvonnasta huolimatta tietomurto onnistui, mutta ilmeisesti havaittiin pian. Siitä on tehty ilmoitus tietosuojavaltuutetulle ja KRP tutkii asiaa. Jotain siis ehti tapahtua?

Uutinen herättää kysymyksiä. Jos VPN tiedettiin haavoittuvaksi, eikö sitä voitu päivittää turvalliseksi? Kestikö Ivantilta korjauksen tekeminen niin kauan, jos ongelma kerran oli tiedossa? Tietoisesti haavoittuvan VPN:n käyttö on iso riski, jota tarkempi valvontakaan ei pysty poistamaan. Miten käyttöön on valittu toimittaja, joka ei pysty korjaamaan haavoittuvuuksia riittävän nopeasti?

Lisäksi UM:n tietohallintojohtaja toteaa jutussa "Tietomurtoa ei odotettu, mutta siihen oli varauduttu."

Näinä kriisiaikoina Suomen ulkomaantoiminta varmasti herättää kiinnostusta ainakin Kiinassa ja Venäjällä. Tietomurtoja yritetään varmasti koko ajan, vai joko UM:n verkosta 2013 löytyneet vakoiluohjelmat ovat päässeet unohtumaan? Entä parin vuoden takainen Pegasus-vakoiluohjelma puhelimissa? Tietomurtoja nimenomaisesti pitäisi odottaa. 

Luultavasti tapahtuneessa on jotain, mitä ei julkisesti uutisoida. Tällaisena uutinen kuitenkin hämmentää lukijaa. Ehkä KRP aikanaan kertoo, mitä se sai selville.

Traficomin ja Helsingin kaupungit tietovuodot - panikoida vai ei?

Mitä enemmän Helsingin kaupungin tietomurrosta ja tiedostojen kopioinnista tihkuu tietoja, sitä rumemmalta tapaus alkaa näyttää. Tämän päivän uutinen kertoo, että

• kyse on jaetusta levystä, jolla on yli 10 miljoonaa asiakirjaa
• koska kyse on verkkolevystä, vuotaneita tietoja ei voi jäljittää lokien perusteella
• hyökkääjä on korottanut oikeuksiaan ja päässyt ylläpitäjäksi, mikä on avannut pääsyn kaikkiin tiedostoihin
• ja aiemmin kerrottiin, että verkkolevyllä on säilytetty myös tietoa Santahaminan varuskunta-alueen yksiköiden asiakkaista sekä mahdollisesti myös ulkomaalaistaustaisten perheiden passinumeroita 

On aina paha merkki, että julki tulevat tiedot ovat aiempaa synkempiä. Se kertoo, ettei tutkijoilla itselläänkään ole tilannekuvaa eikä käsitystä, miten laajalle hyökkääjät ovat päässeet. Tiettävästi mukana on ollut tietoja yksityisistä varhaiskasvatusyksiköistä sekä oppilaitoksista ja vuosina 2005-2018 syntyneiden lasten ja heidän huoltajiensa henkilötunnukset, osoitteet, lapsen äidinkieli, kansalaisuus sekä uskontokunta.

Kaikki tietoja, jotka GDPR:n vuoksi pitäisi suojata erityisen hyvin. Helsingin kaupunki on selvästi jättänyt suojaukset puolitiehen. Oikeuksien korottaminen ylläpitäjäksi antaa ymmärtää, että myös sisäverkon palvelimet ovat jääneet päivittämättä.

Jo kolme viikkoa on mennyt ilman kiristystä tai muuta rikollista toimintaa. Onneksi henkilötunnusten perkaaminen miljoonista dokumenteista ja niiden yhdistäminen muihin henkilötietoihin ei ole helppo operaatio. Tiedoilla voi tehdä lähinnä kiusaa, suuria rahoja niillä ei voi ansaita. Tilanne olisi pahempi, jos tiedostot olisi kryptattu ja kaupungilta vaadittaisiin nyt miljoonalunnaita. Toisaalta verkkolevy on poistettu käytöstä, joten työt ovat joka tapauksessa pysähtyneet. Tämä on siis myös palvelunestohyökkäys.

Ymmärrettävästi uhrit (eli kaupunkilaiset) ovat erittäin vihaisia. Näillä tiedoilla en silti vielä maalaisi uhkaa kansalliselle turvallisuudelle. Medialla on taipumus dramatisoida, mikä lietsoo pelkoa ja epäluottamusta kansalaisiin. Siksi yritän itse pikemminkin vähätellä kuin liioitella uhkaa. Digimaailmassa kaikki on mahdollista, mutta kannattaa ensi sijassa keskittyä siihen, mikä on realistista ja mikä tiedetään varmaksi.

Helsingin varjoon on jäänyt Traficomin tapaus. Tietoja rekisteristä hakevan toisen yrityksen nimissä Trafilta on haettu 65 000 autoilijan nimi, kotiosoite ja hetu. Kyse on autoista, joiden rekisterikilpi on  väliltä AAA-nnn – ALJ-nnn, ja joiden omistaja ei ollut kieltänyt tietojen luovutusta "liikenteeseen liittyviin tarkoituksiin".

Rekisterin perusteella yksi tietovuodon uhreista (paitsi, jos hän oli kieltänyt tietojensa luovuttamisen).

Tämä on jopa vaarallisempi tapaus, ovathan tiedot valmiina tietokannassa ja niitä on jo yritetty hyödyntää verottajan luottotietorekisterissä. Tekijä lienee kotimainen, joten jäljittäminen on helpompaa kuin ulkomaisen hakkerin.

Ironisinta kaikessa on lähestyvä GDPR:n syntymäpäivä. Kolmen päivän kuluttua tulee kuluneeksi 6 vuotta siitä, kun siirtymäaika loppui ja kaiken piti olla kunnossa. Niin paljon aikaa, rahaa ja kahvia on uhrattu GDPR-koulutuksiin ja ohjeistamiseen, ettei tällaisia pitäisi enää voida sattua.

Varsinkin Helsingin kaupungin tapaus näyttää johtuneen monista virheistä ja laiminlyönneistä. Traficom on eri juttu, siinä kyse ei edes ole tietomurrosta, vaan luvattomista tietopyynnöistä.

Helsingin kaupungin tietovuoto ei ole uusi Vastaamo

Tämän viikon puheenaiheena on ollut Helsingin kaupungin opetustoimeen tehty tietomurto. Melkein kaikki on jo sanottu, itsekin olen kommentoinut asiaa monelle medialle, mutta kertauksena vielä muutama asia vastaisen varalle.

Ensinnäkin: ei, tämä ei ole uusi Vastaamo. Nyt ei ole kyse tietokannasta vaan suuresta määrästä tavallisia asiakirjoja. Ulkomaisen hakkerin olisi perin työlästä, ellei suorastaan mahdotonta, etsiä niistä arkaluonteisia tietoja, joilla kiristää uhreja. Kaikkien työntekijöiden käyttäjätunnukset ovat vuotaneet, mutta ne ovat sähköpostiosoitteita eivätkä sinänsä kriittisiä.

Asiakirjat ovat eri asia, niissä voi olla mm. terveystietoja. Henkilötunnuksia voisi skannata ohjelmallisesti, mutta ulkomailta niidenkin käyttö olisi hankalaa. Tunnukset voi myydä suomalaisille rikollisille, mutta vuoden alusta lähtien hetua ei ole enää saanut käyttää henkilön ainoana tunnistuskeinona, joten tilauspetokset ja muu kiusanteko on aiempaa hankalampaa.

Kuinka suuresta määrästä dokumentteja on kyse? Sitä emme tiedä, koska kaupungin tiedottaminen on ollut puutteellista. Aluksi kerrottiin, että juuri tiedostojen kopiointi vappuaattona paljasti koko murron, nyt kuitenkin ilmoitetaan, että asiakirjoja ehdittiin kopioida miljoonia. 

Mitä ihmettä ne ovat olleet? Opetustoimen palvelimella ei pitäisi olla "kymmeniä miljoonia" asiakirjoja, tai sitten kyse on arkistosta, jossa on ikivanhoja tiedostoja. Ne taas pitäisi poistaa tiedon elinkaaren päättyessä. Niin tai näin, GDPR ei tule pitämään tästä.

Miten ihmeessä hakkeri on päässyt käsiksi miljooniin tiedostoihin? Tuskin pelkällä taviskäyttäjän tunnuksella, vaikka alussa tiedotettiin juuri niin. Olisiko hän onnistunut murtamaan ylläpitäjän tunnuksen? Onko kaikilla työntekijöillä pääsy kaikkiin asiakirjoihin? Silloin herää yhä vain lisää kysymyksiä it-järjestelmien tietoturvasta.

Helsingin kaupungin avoin tiedotus on saanut paljon kiitosta. Meni tosin pari viikkoa, ennen kuin asiasta kerrottiin tarkempia tietoja, joten erityisen nopeaksi tiedottamista ei voi sanoa. Toisaalta poliisi yleensä kieltää kertomasta ulospäin muuta kuin pakolliset tiedot. Kielto on voimassa niin pitkään kuin esitutkinta on kesken. Ja se voi olla kesken vuosia. Lahden vakavasta tietomurrosta ei koskaan kerrottu avoimesti julkisuuteen. Jostain syystä tässä poliisi hyväksyi tiedottamisen, ehkä siksi että asia koskettaa niin monia ihmisiä.

Suomi.fi-sivuston ohjeita henkilötietovuodon uhreille.

Niin, miten heidän pitäisi nyt menetellä? Uutisissa asiantuntijat ovat kehottaneet asianosaisia suojautumaan mahdollisilta haitoilta, mutta antaneet vain yleisluonteisia ohjeita siitä, miten se pitäisi tehdä. Eikä ihme, sillä uhrit eivät voi tehdä kovinkaan paljon. Suomi.fi-sivulla on listattu ne tavanomaiset kiellot, joita uhri voi asettaa, mutta osa niistä voi haitata arkielämää, joten turhaan niitä ei kannata tehdä. Toisaalta kieltoja kannattaa asettaa, vaikka ei olisikaan uhri. Eli mitä siis jää? 

Ylen sivulla oleva kooste on mielestäni paras, aina rehellistä otsikkoa myöten ("voit yrittää..."). 

Alkuviikosta pidin todennäköisimpänä selitystä, että kyse on kiristysyrityksestä, joka keskeytyi verkonvalvontaohjelman hälyttäessä uloslähtevän liikenteen suuresta määrästä. Kiristäjät jäivät kiinni jo kopioidessaan tietoja (uhaten myöhemmin julkistaa ne), mutta eivät ehtineet aktivoida kryptausohjelmaa. Jos näin todella on, uhrit voivat selvitä säikähdyksellä, eikä heidän taakkaansa kannata nyt lisätä turhalla pelottelulla.

Toisaalta, jos palvelimelta on todella imuroitu miljoonia tiedostoja herää kysymys, miksei valvontaohjelma hälyttänyt ajoissa. Vaikka tiedostojen hyödyntäminen on hakkereille vaikeaa, jo niiden levittäminen kiusalla pimeään verkkoon riittää aiheuttamaan ikävyyksiä. Toivottavasti tästä ei ole kyse. Ainakin ensimmäiset kolme viikkoa ovat menneet ilman näkyviä seurauksia.

Ja sitten tietenkin se syyllisyys. Kuka jätti päivityksen asentamatta ja miksi? Yksi hiiren klikkaus olisi pelastanut paljolta harmilta. Emme voi syyttää yksittäistä työntekijää, sillä johdon tehtävänä on varmistaa, että prosessi toimii silloinkin, kun yksittäinen henkilö on sairaana, unohtaa asian tai jo lähtenyt organisaatiosta. Kyse on tietoturvan johtamisesta.

Jos verkonvalvonta paljasti tapahtuneen riittävän ajoissa, Helsingin kaupunki on tehnyt jotain myös oikein. 

Moni on somessa harmitellut, ettei julkiselle sektorille voida määrätä tietosuojan rangaistusmaksuja. En usko, että ne muuttaisivat mitään, sillä maksu menisi yhteisistä varoista taskusta toiseen. Kaupunki ei voi mennä konkurssiin eivätkä työntekijät joudu maksamaan tahattomista mokista. Ne ovat johdon vastuulla. 

Jokainen työntekijä haluaa toimia oikein. Inhimillisiä erehdyksiä sattuu, mutta silloinkin prosessin pitää olla sellainen, että se havaitsee ongelmat ajoissa. Juuri tämä on GDPR:n henki, ja sitä on nyt selvästi rikottu.

Jäämme mielenkiinnolla odottamaan, mitä murrosta saadaan selville ja mitä muut voivat oppia siitä. Toivottavasti tiedottamisen avoin linja jatkuu myös tulevaisuudessa.

Vastaamo-kiristäjän jäljillä - se oli sittenkin hovimestari?

Vastaamon tietomurto järkytti suomalaisia 21.10.2020, kun vyyhdin uutisointi alkoi. Tasan vuotta myöhemmin poliisi kertoi seuraavansa jälkeä ulkomaille. Tänään, lähes tarkalleen kaksi vuotta tapahtuman jälkeen, poliisi kertoi antaneensa kansainvälisen pidätysmääräyksen 25-vuotiaasta suomalaisesta.

Tekijäksi epäilty Kivimäki tuomittiin Espoossa 2015 yli 50 000 automatisoidusta hakkeroinnista mm. Yhdysvaltojen tietojärjestelmiin. Hänen profiilinsa sopii hyvin Ransom_man-nimimerkin toimintaan. Kaksivaiheinen kiristys nousevalla vaatimuksella oli harrastajamainen viritys, johon ammattilainen ei koskaan lähtisi. Epäilty on siten "poliisin vanha tuttu" ja tietoturvapiireissä tuttu, mikä on melkeinpä pettymys. 

Näinkö yksinkertainen tapaus olikin? Melkein kuin se, että murhaajaksi osoittautuu hovimestari (vanha sanonta, en muista yhtään dekkaria missä hovimestari olisi oikeasti osoittautunut murhaajaksi). Todennäköisesti poliisilla on ollut vahva epäily tekijästä alusta lähtien. Ongelmana on vain ollut saada hänet yhdistettyä hakkerointeihin, jotka tapahtuivat kenenkään huomaamatta paljon aiemmin, ja joiden digitaaliset jäljet olivat jo ehtineet kylmentyä.

Olisi kiinnostavaa tietää, miten poliisi on kaksi vuotta käyttänyt. Virallisen selityksen mukaan tutkijat ovat käyneet läpi aineistoa teratavukaupalla, miljoonia sivuja. Eri lähteistä poliisille on kertynyt valtava määrä lokitietoa, mutta sen seulonta koneellisesti on melko tehokasta. Etsitään vain ip-osoitteita ja aikaleimoja sopivilla ehdoilla.

Uskoisin, että paljon aikaa on kulunut tietopyyntöihin eri maiden operaattoreille ja kryptopörsseihin. Onneksi muutama uhri maksoi kiristäjän pyytämän summan, sillä edes Bitcoin-siirrot eivät ole niin anonyymejä kuin kuvitellaan. 

Kivimäki on osoittanut rikolliset taitonsa hakkeroimalla ulkomaisia järjestelmiä. Poliisilla täytyy olla vahvat todisteet epäilyjensä tueksi, sillä Kivimäestä annettu pidätysmääräys on vahva toimenpide. Vaikka tekijä olisikin hovimestari, tapauksen mahdollinen selvittäminen on iso sulka Suomen poliisin ja KRP:n hattuun. Tähän asti kyberrikollisia on saatu kiinni lähinnä vain tapauksissa, joissa he ovat itse rehennelleet teoistaan. Veikkaanpa, että KRP:llä otetaan tänään perjantain kunniaksi porukalla hyvin ansaitut oluet.

Tapaus osoittaa, että lain koura on pitkä ja toimii myös verkkomaailmassa. Hakkerointi ei totisesti ole helppoa. Taitavakin tekijä tekee inhimillisiä erehdyksiä. Yhdysvaltojen demokraattipuolueen hakkeroinnissa venäläisen tiedustelupalvelun Guccifer 2.0 -hakkeri unohti kerran kytkeä VPN-yhteyden päälle, mikä mahdollisti ip-osoitteen jäljittämisen GRU:n pääkonttoriin Moskovaan.

Aamun uutinen on mainio, mutta homma ei ole vielä maalissa. Syytteen nostaminen ja tuomioon riittävän näytön kokoaminen vaatii vielä paljon työtä. Rikosnimikkeet ovat kuitenkin sen verran vakavia, että teot eivät vanhene ainakaan kahdeksaan vuoteen. Rangaistus on myös oleva paljon kovempi kuin se kahden vuoden ehdollinen tuomio, johon Kivimäki tuomittiin alaikäisenä tehdyistä hakkeroinneista.

Vastaamon uhreja tuleva tuomio voi hieman lohduttaa, mutta vahinkoja se ei poista. Uhrit kärsivät seurauksista vielä pitkään. 

"London based investor" Aleksanteri Kivimäki

Lisäys: "En ole osallistunut rikolliseen toimintaan sitten teinivuosieni, ja kadun niitä toimia syvästi”, epäilty kirjoittaa Twitter-tilillään nimellä Aleksanteri Kivimäki. 

Profiilissaan hän mainitsee olevansa Lontoossa, jo pidemmän aikaa. Jos tieto pitää paikkansa (tässä jutussa mikään ei ole varmaa), poliisin oli varmasti helppo jäljittää hänet.

Vuosi Vastaamo-tapauksesta

Tänään 21.10. tulee kuluneeksi vuosi Vastaamon tietomurron paljastumisesta mediassa. Ensimmäinen juttu tapahtuneesta oli Henrik Kärkkäisen uutinen  Psykoterapiakeskus joutui tietomurron kohteeksi - potilastiedot varastettiin. Seuraavan vuoden keväällä Kärkkäinen palkittiin suurella journalistipalkinnolla Vastaamo-uutisoinnistaan.

Ja uutisoitavaa totisesti riitti! Kärkkäinen oli yhteydessä kiristäjään, joka alkoi julkaista tietoja pimeässä verkossa sadan henkilön erissä. Verkkoon lipsahti suurikokoinen tiedosto, jota kukaan ei ehtinyt ladata kokonaisena. Koska Vastaamo oli kieltäytynyt maksamasta, kiristäjä alkoi vaatia rahaa uhreilta. Lauantai-iltana heidän sähköposteihinsa ilmestyi lunnasvaatimus Bitcoineina.

Vastaamo on säilynyt otsikoissa näihin päiviin asti. Tammikuussa tietoja levitettiin tavallisen verkon puolella, helmikuussa yhtiö ajautui konkurssiin ja elokuussa netissä toimi hetken vastaamohaku.com, jolla kuka tahansa pystyi hakemaan tietoja. Se saatiin kuitenkin suljettua nopeasti. 

Vielä viikko sitten Vastaamo oli uutisissa, kun Asiakastieto lähetti epäselvän tiedotteen luottotietovahdin muutoksista. 

Miten Vastaamon tietomurto todella tapahtui ja kuka siitä tiesi, on vieläkin epäselvää. Ehkä asioihin saadaan valaistusta sitten, kun poliisitutkinta valmistuu ja asiaa aletaan käsitellä oikeudenkäynnissä. Rikosnimikkeet tulevat olemaan yksi mielenkiinnon kohde.

Uhreille kulunut vuosi on ollut yhtä kärsimystä. Potilaskertomusten vuotamisen lisäksi nettiin on päätynyt myös henkilötietoja, joita on saatettu käyttää identiteettivarkauksiin. Uhrit ovat joutuneet ottamaan maksullisia luottokieltoja, jotta heidän tietojaan ei käytettäisi väärin. Tiettävästi mitään laajaa väärinkäytösaaltoa ei ole tapahtunut. Suhtautuminen verkkotilauksiin on kiristynyt aiemmasta, eikä identiteettivarkaus enää onnistu yhtä helposti kuin aiemmin.

Ylen arvion mukaan uhrit voisivat saada Vastaamon konkurssipesältä enintään 2500 euron korvaukset. Se tuskin kattaa henkisiä kärsimyksiä. Yli 25 000 uhria on tehnyt rikosilmoituksen. Tuntuu kohtuuttomalta, että tällaisessa jutussa jokainen joutuu hoitamaan asiansa itsenäisesti, vaikka kaikkien rikostapaus on samanlainen. Korvausten hakeminen ei sekään ole yksinkertaista.

Saadaanko tekijää koskaan selville ja vastuuseen? Mikko Hyppönen uskoo, että tekijä jää kiinni. Itse en usko. Poliisi on viran puolesta optimistinen. Kesäkuussa tutkinnanjohtaja Marko Leponen KRP:stä kertoi tutkinnan etenevän hyvin. 

Digitaaliset jäljet ehtivät kuitenkin kylmetä jo ennen kuin poliisitutkinta alkoi. Tekijän selvittäminen, tuomiosta puhumattakaan, voisi toteutua vain, mikäli kiristäjä tulee katumapäälle ja tunnustaa tekonsa. Se ei ole todennäköistä.

Vastaamosta on opittu paljon, kantapään kautta. Suomen pahin it-rikos havahdutti huomaamaan, miten heikkoa kriittisten henkilötietojen valvonta on, ja miten nettisivulla annetut hurskaat vakuuttelut turvallisesta käsittelystä ovat pelkkää sanahelinää, jos niin ei todellisuudessa toimita.

Vastaamon tietomurto elää myyjien, konsulttien ja it-ammattilaisten puheissa ja Powerpointeissa vielä vuosia. Tapaus osoitti, miten tietoturvamokat voivat kaataa koko yrityksen. Kukaan ei halua uudeksi vastaamoksi.

Myös rangaistuksia pitäisi miettiä uudelleen. Vakavakin tietomurto voi jäädä ilmoittamatta, koska työntekijää ei voi rangaista siitä. Julkishallinnossa tilanne on virkavastuun vuoksi toinen. Maksimirangaistus tietosuojarikoksesta (tahallaan tai törkeästä huolimattomuudesta rikkoo henkilötietojen käsittelyn turvallisuutta) on mitätön yksi vuosi, joten syyteoikeus vanhenee kahdessa vuodessa. Saa nähdä, ehditäänkö Vastaamossa syytteitä edes nostaa siinä ajassa.

Toivottavasti Vastaamo jää alan suurimmaksi rikokseksi, eikä suurempaa ruumista Suomen oloissa enää tule. Silloin tapahtuneesta olisi edes jotain hyötyä.

Tietomurto eduskunnan sähköpostiin saa Suomen näyttämään lampaalta

KRP tiedotti tänään 28.12.2020 niukkasanaisesti tutkivansa eduskunnan tietojärjestelmiin kohdistunutta tietomurtoa. Media ehti jo otsikoida tapahtuman kyberhyökkäykseksi. Meille ei tietenkään kerrota mitään, mutta tasavallan presidentti Niinistön kommenteista päätellen ("kyberhyökkäys vakava loukkaus suomalaista demokratiaa vastaan") tapaus on harvinainen ja vakava.

Tietojen (tai pikemminkin niiden puuttumisen) valossa kyseessä on todennäköisesti samanlainen operaatio, joka kohdistui Norjan parlamentin sähköposteihin elokuussa, joka havaittiin syyskuussa ja tiedotettiin julkisuuteen lokakuun alkupuolella. Norjan salainen poliisi (PST, Police Secret Service - oletettavasti Supoa vastaaa taho) julkisti oman raporttinsa joulukuussa. Sen mukaan Norjaan kohdistunut teko oli osa laajempaa kampanjaa, jonka takana on Venäjän sotilastiedustelu ja sen APT28 ("Fancy Bear") -yksikkö. 

Tällaisia syytöksiä ei heitetä kevein perustein, joten Venäjän osuutta voidaan pitää käytännössä varmana. Ja Suomi reagoi kuten Venäjän toimiin aina: varovasti ja hiljaa.

Tästä eteenpäin oletan, että eduskuntaan kohdistuneen teon takana ovat samat tahot kuin Norjassa (ja Saksassa 2015). Mitään todisteita ei ole, mutta toisaalta eipä mikään todista myöskään päinvastaista. Kuten aina, KRP perustelee vaitonaisuutta tutkinnan turvaamisella. Perustelut kuulostavat jopa koomisilta: "...perustelee niukkaa tiedottamista tutkinnan turvaamisella. Tekijä todennäköisesti seuraa tiedotusvälineitä." Valtiollisen toimijan ei tarvitse seurata tiedotusvälineitä tietääkseen, miten tutkinta edistyy.

Tuskin on sattumaa, että tieto julkistettiin juuri tänään, kun suomalaisessa mediassa on vain minimimiehitys ja Venäjän lomakausi on juuri alkanut. Tarkemmin ajatellen päivämäärä voi olla jopa viesti Venäjälle: tiedämme kyllä, että te olitte asialla.

Norjan raportin mukaan kansanedustajien sähköpostin heikkoja salasanoja yritettiin murtaa ja näin päästä sisään järjestelmään. KRP ei kerro, oliko tämä tekotapana myös meillä ja millaista tietoa mahdollisesti saatiin. Toivottavasti kansanedustajien tietoturva on paremmalla tasolla kuin vuosia sitten, jolloin vuoti lista edustajien salasanoista. Ne olivat naurettavan helppoja. Eräskin tunnettu edustaja käytti salasanana tyttärensä etunimeä.

Kansanedustajien sähköposteja tärkeämpiä ovat sieltä avautuvat reitit muihin palveluihin ja syvemmälle verkkoon sekä pilvipalveluihin. Lisäksi teko on jo itsessään isku demokratiaa vastaan ja lietsoo  epäluottamusta, aivan kuten hyökkääjä toivookin.

Lokakuussa 2013 kerrottiin Ulkoministeriön verkosta löytyneestä vakoiluohjelmasta. Itse asiassa niitä oli useampia erilaisia. KRP on tutkinut asiaa nyt runsaat seitsemän vuotta, eikä ole tiedottanut mitään, koska virallisesti tutkinta on yhä kesken. Mediat ovat sentään kertoneet, että jäljet johtivat tässäkin itänaapuriin.

Mietitäänpä vielä Suomen tilannetta. Kun Norjassa paljastuu tietomurto, tieto kulkee varmasti pohjoismaiden ja muidenkin länsimaiden välillä. Suomessa on varmasti osattu epäillä jotain jo alkusyksystä. Nyt kerrotaan, että KRP on tehnyt tutkintaa loppusyksystä alkaen. Jostain syystä siitä päätettiin ilmoittaa juuri tänään, kertomatta silti varsinaisesti mitään.

Tieto tuli yllätyksenä myös kansanedustajille, jopa puolustusvaliokunnan jäsenille. Jos Suomea vastaan tehdään määrätietoinen verkkomurto, miksi valiokunnan jäsenet saavat kuulla siitä mediasta? Varmaan siksi, ettei KRP usko heidän pitävän salaisuuksia. Herää silti kysymys, mitä eduskunnassa on tehty murron paljastuttua, ja miten mahdolliset puhdistus/suojaustoimet ovat jääneet edustajilta huomaamatta? Eikö kukaan ole todellakaan huomannut mitään?

Olisi helppoa selvittää, onko asialla sama ryhmä ja sama tekniikka kuin Norjassa, ja kertoa se julkisesti. Tutkinnalliset syyt johtavat tälläkin kertaa siihen, ettei tutkintaa koskaan muodollisesti päätetä, jolloin siitä ei koskaan tarvitse kertoa tämän enempää.

Onneksi muiden maiden turvallisuusviranomaiset ovat avoimempia. Voimme lukea heidän tiedotteitaan sekä uutisia mediasta ja tehdä omat johtopäätöksemme Suomen tapahtumista. 

Tällä hetkellä johtopäätös on, että me suomalaiset olemme aikamoisia lampaita.

Lisäys 30.12.2020: Joku saattoi pahastua lammas-vertauksesta, mutta se tulee mieleen kun muistelee vuoden 2013 tapahtumia. Ulkoministeriön vakoiluohjelman paljastuttua ministeriön valtiosihteeri Pertti Torstila uhosi, että "Suomi aikoo läksyttää kunnolla ulkoministeriön tietoverkon vakoilijaa" kun tekijä selviää. En muista, että Suomi olisi esittänyt protestia tai muutakaan läksytystä Venäjälle ja Kiinalle senkään jälkeen, kun niiden syyllisyyttä pidettiin selvitettynä.

Lisäys 26.5.2026: Tässä tekijäksi paljastui Kiina.

Tietomurron uhrin asema on huono

Vastaamon tietomurron uhrit kärvistelevät helvetissä, jota he eivät ole itse aiheuttaneet eivätkä todellakaan ansainneet. Viranomaiset julkaisevat ohjesivuja ja avaavat tukipuhelimia, mutta niiden apu on rajallista. Tukipuhelimet kuuntelevat ja jakavat soittajan tuskaa, ohjesivuilla on aina samat neuvot: suojaa tietosi, tee luottokielto, tarkkaile postiasi ja laskujasi. Luottokiellolta ei kuitenkaan kannata odottaa liikoja. Klarna on sentään luvannut nyt parantaa toimintaansa. Tilauspetosten selvittäminen, jos niitä tulee, työllistää uhria joka tapauksessa.

Todellista helpotusta on luvassa vasta, jos poliisi saa tekijän kiinni. Miten todennäköistä se on? Suuressa tietovuotojen sarjassa marraskuussa 2011 levitettiin mm. 16 000 ihmisen henkilötiedot nettiin. Poliisi pääsi lopulta tekijän jäljille, mutta todisteet eivät riittäneet syytteen nostoon saati tuomioon. 

Palvelunestohyökkäyksessä valtion palvelimille elokuussa 2018 tekijä saatiin melkein kiinni, mutta hän ei enää ollut maallisen oikeuden tavoitettavissa.

Huhtikuussa 2018 tietomurrossa Liiketoimintasuunnitelma.com -palveluun varastettiin 130 000 käyttäjätunnusta ja salasanaa. Siitä ei ole kuulunut mitään. Ilmeisesti tutkinta on kaikessa hiljaisuudessa lopetettu, eikä poliisi tiedota mitään.

Myöskään Lahden kesäkuun 2019 "kyberhyökkäyksestä" ei ole kuulunut mitään. Ilmeisesti tekijät tulivat ulkomailta eikä heitä ole mahdollista tavoittaa. Poliisi ei ole kertonut tästäkään mitään julkisuuteen.

OP:n pankkipalveluun hyökkäyksen 2015 tehneet kaksi nuorta miestä saatiin kiinni ja tuomittiin, koska he alkoivat itse leveillä netissä teoillaan. 

Vastaamon hyökkääjä on luultavasti yksin toimiva suomalainen nuori mies. Jos hän pystyy hiljaa eikä tee virheitä, häntä on erittäin vaikea tavoittaa. Tässä suhteessa lunnasrahojen osittainen maksu jopa helpottaisi poliisin työtä, sillä "follow the money" -periaate toimii myös nettirikollisten suhteen. Rahaa on vaikea piilottaa ja etenkin käyttää, vaikka se olisi Bitcoineina. Ehkä poliisi on kaikessa hiljaisuudessa tehnytkin pari maksua uhrien puolesta, jotta niitä voidaan seurata? Virallinen viesti julkisuuteen on tietenkin jyrkkä ei maksamiselle.

Vielä senkään jälkeen, kun tekijä on kiinni ja tuomittu, uhrit eivät voi olla täysin levollisin mielin. Jonkin verran tietoja on jo ehtinyt levitä nettiin ja ne voivat kummitella vuosien ajan. Vaikka niin mediat kuin käyttäjätkin lupaavat #enlue ja #enjaa, uteliaita ja epärehellisiä löytyy aina. Tor-verkon sivuilla tiedostoja on jo kyselty.

Rikoksen uhrien asema on aina heikko. Siksi tuntuu julmalta, että viranomaiset velvoittavat kaikkia jättämään samansisältöisen rikosilmoituksen teosta, jota poliisi jo tutkii kaikin mahdollisin keinoin. Ilmoituksella on merkitystä lähinnä vasta sitten, jos tekijä saadaan kiinni ja häneltä voidaan vaatia korvauksia. Ilmoitus on edellytys korvausten hakemiselle. Todennäköisesti henkilöltä ei pystytä perimään kuin murusia, joten tämäkään ei paljon lohduta.

Se vähän lohduttaisi, jos Vastaamon vakuutusyhtiö maksaisi korvauksia yrityksen laiminlyönneistä kärsineille. Niin ikään tulisi avata ryhmäkannemahdollisuus myös muissa kuin kuluttajariita-asioissa. Sen jälkeen uhrit voisivat ajaa asiaansa yhteisellä kanteella, jopa yhteisellä rikosilmoituksella.

Lisäksi pitäisi vaatia, että luotollisessa myynnissä myyjä tarkistaa ostajan tai tilaajan henkilöllisyyden, jos se ei perustu vahvaan tunnistamiseen. Nyt tilaamisesta on haluttu tehdä mahdollisimman helppoa, mikä houkuttelee väärinkäytöksiin ja rankaisee syyttömiä.

Edelleen pitäisi vaatia, että myyjä todella tarkistaa mahdollisen luottokiellon ennen myyntiä, tai muuten laskua ei voida lähteä perimään.

Tässäkin mielessä Vastaamon tapaus antaa paljon mietittävää ja parannettavaa viranomaisille.

Verotilin insinööriturva turhaa käyttäjän kiusaamista

Verottaja avasi muutama vuosi sitten palvelun, jossa yritykset voivat hallita veroluonteisia maksujaan. Rekisteröidyin käyttäjäksi ja valitsin 8-merkkisen salasanan, aivan kuten pyydettiin.

Tänä vuonna tuli ilmoitus, että tietoturvan parantamiseksi salasanojen vaatimuksia kiristetään. Niissä pitää jatkossa olla isoja ja pieniä kirjaimia sekä numeroita. Kun en tehnyt muutosta ajoissa, en tänään enää päässyt hallinnoimaan yritykseni maksuja. Jouduin käyttämään aikaani päästäkseni salasanojen hallintaan ja luomaan uuden, vaatimukset täyttävän salasanan.

Episodi on hyvä esimerkki siitä, miten insinöörien käsitys tietoturvasta on kaukana arjen todellisuudesta. Ja IT-osastot ovat täynnä insinöörejä (kuten minäkin). Ei ihme, että meillä riittää turvaongelmia. Tietoturvassa teoria ja käytäntö ovat usein kaksi eri asiaa.

Se, onko kahdeksan merkin salasanassa pelkkiä pieniä kirjaimia vai myös isoja ja numeroita, ei faktisesti vaikuta turvallisuuteen mitenkään. Voi käydä jopa niin, että kiristetyt vaatimukset pakottavat kirjoittamaan salasanan paperille tai helpottavat sen unohtamista, jolloin kokonaisvaikutus tietoturvaan on negatiivinen.

Salasanaohje on jo itsessään hieman koominen:

Salasanaohje viraston malliin.

"Vältä salasanojen kirjoittamista ylös. Jos kuitenkin teet niin..." Heh.

Jos salasanan minimipituus on kahdeksan merkkiä, sen arvaamisen kannalta on täysin yhdentekevää onko isoja kirjaimia ja numeroita vai ei. Vähintään kahdeksan merkin salasanan arvaaminen on täysin mahdotonta. Kahdeksalla pienaakkosella on 377 801 998 336 vaihtoehtoa (siis ilman numeroita, erikoismerkkejä ja isoja kirjaimia). Mahdollisia lottorivejä on vain 15 380 937 kappaletta. On siis noin 24 532 kertaa todennäköisempää voittaa lotossa kuin arvata pelkistä pienistä kirjaimista koostuva kahdeksanmerkkinen salasana (ok, salasana ei ole satunnainen, vaan yleensä jokin oikea sana, mutta silti veikkaisin mieluummin lottoa kuin salasanaa).

Ainoa tilanne, missä numeroiden ja isojen kirjainten vaatimisella on merkitystä liittyy brute-force-hyökkäykseen. En kokeillut asiaa mutta oletan, että tili menee lukkoon jo alle kymmenen väärän arvauksen jälkeen. Jos yrityksiä vielä jatketaan, ennen pitkää poliisi kolkuttaa ovelle. Brute-force ei toimi online-palveluissa.

Brute-force voi tulla kyseeseen vain, mikäli hyökkääjä murtautuu itse palveluun ja varastaa sen suojatun käyttäjätietokannan. Tietokone pystyy kokeilemaan miljoonia vaihtoehtoja sekunnissa ja silloin kahdeksan merkin mittaiset helpot salasanat voidaan murtaa.

Mutta jos niin käy, vika ei ole käyttäjässä eikä huonossa salasanassa, vaan ylläpidossa. Miksi käyttäjien pitää ottaa vastuuta, joka kuuluu järjestelmän rakentajille?

Ja kaiken huipuksi salasanan murtamisella ei verotilin kannalta ole edes merkitystä, koska todentamisen jälkeen sinne pääsy vaatii vielä kertakäyttösalasanan.

Salasanavaatimusten kiristäminen on ainakin tässä tapauksessa pelkkää insinööritiedettä -- käyttäjien kiusaamista, joka ei paranna turvallisuutta.

Tietomurron miljoonat uhrit

Suomalainen kaveri on murtautunut ilmeisesti noin 300 sivustoon ja varastanut niistä käyttäjätietoja: nimiä, käyttäjätunnuksia ja salasanojen tiivisteitä, mahdollisesti myös henkilötunnuksia ja luottokorttinumeroita. Iltapäivälehti laski uhreja olevan satoja tuhansia, Ylen tv-uutisissa puhuttiin jo miljoonista, koska osa murretuista palveluista oli ulkomailla.

Tietomurto on rikos, eikä sitä ole syytä vähätellä. Tässä tapauksessa median uutisointi näyttää kuitenkin liioittelevalta.

Tiettävästi murtautuja ei jakanut käyttäjätietoja eteenpäin eikä hyödyntänyt niitä itse. Tältä osin kyse näyttää olleen wanhanaikaisesta old-school hakkeroinnista, jota tehtiin 1990-luvulla jonkinlaisena älyllisenä haasteena ja ilman rikollista motiivia. Vanhat alustat sisältävät haavoittuvuuksia, joita hyökkääjän on helppo kokeilla ja hyödyntää, vaikka ei haluaisikaan tehdä varsinaista vahinkoa.

Tällaisessa hakkeroinnissa uhrina on lähinnä palvelu ja sen ylläpito, eivät niinkään rekisteröityneet käyttäjät. Uhria ei pidä syyllistää, mutta jos alustat ovat päivittämättä (tai salasanat tallennetaan selväkielisinä!) voi sanoa ylläpidon toimineen ainakin luvattoman huolimattomasti ja siten edesauttaneen rikollista tekoa.

Huolimatonta ylläpitoa voisi syyttää henkilötietolain nojalla, sillä se velvoittaa huolehtimaan henkilörekisterin tietoturvasta. Sen sijaan on kyseenalaista, voiko palveluun rekisteröitynyt käyttäjä nostaa syytteen hakkeria vastaan. Jos käyttäjä ei voi nostaa syytettä, voiko hän silloin olla uhrikaan? Onko yksittäinen käyttäjä hakkerin vai huolimattoman ylläpidon uhri? Onko laissa tässä suhteessa aukko?

Koituuko palveluun rekisteröityneelle käyttäjälle vahinkoa siitä, että joku hakkeroi palvelun ja kopioi käyttäjätiedot itselleen -- hyödyntämättä tai jakamatta niitä eteenpäin? Ainoa seuraus lienee se, että saatuaan tiedon asiasta käyttäjän pitää vaihtaa salasanansa. Tilanne on tietenkin toinen, jos hakkeri jakaa tietoja eteenpäin tai käyttää niitä omaksi hyödykseen.

Viestintäviraston tietoturvayksikkö tiedotti asiasta niukasti. Se kertoi, että palveluihin on murtauduttu ja neuvoi käyttäjiä vaihtamaan salasanansa. Kun ei kerrottu, mitkä palvelut oli murrettu, käyttäjien piti siis vaihtaa kaikki salasanansa. Niitä voi olla yli sata. Ihan kaikkia ei tarvinnut vaihtaa, sillä tiedotteessa kerrottiin, mitä palveluita ei ole murrettu: pankit ja luottokorttiyhtiö Nets. Tämä on uudenlaista, käänteistä tiedottamista.

Kymmenien salasanojen vaihtosavottaan ryhtyminen vain siksi, että joku oli murtautunut jollekin keskustelupalstalle ja kopioinut käyttäjätietokannan itselleen, ei ollut mitenkään perusteltua.

Kriisiviestintä on vaikeaa -- varsinkin kun tilanne syntyy perjantaina työajan jo päättyessä ja poliisitutkinta asiasta on yhä kesken. Tänään lauantaina CERT onkin vedonnut siihen, ettei se halunnut paljastaa haavoittuvien palvelujen nimiä ennen kuin järjestelmät on korjattu.

Helistimessä ihan kohtuullisia salasanoja

Helistin.fi on tuorein tietomurron uhri. Nettiin vuodetut 73 158 salasanaa ja käyttäjätunnusta tarjoavat mahdollisuuden arvioida, miten oppi turvallisista salasanoista on mennyt perille.

Varsin hyvin. Ainakin kun ottaa huomioon, että helistin.fi on lähinnä äideille -- siis tavallisille kotikäyttäjille -- suunnattu palvelu.

Yleisin salasana on -- tadaa! -- jälleen kerran salasana. Sen on valinnut 197 käyttäjää eli 0,27 % rekisteröityneistä. Ei erityisen huono tulos, jos kyse on vain kirjoittelusta nettifoorumille. Mutta jos kyse on terveysasioinnista tai jos samaa "salasanaa" on käytetty muissakin palveluissa, riski on suuri.

Toiseksi yleisin salasana on aurinko (yllätys!), kolmanneksi yleisin johanna (naisten palsta, nääs) ja neljäs vauva (eipä ole vaikea arvata, kun ollaan vauva-aiheisella palstalla).

Kaikkien salasanojen äiti, kansainvälinen voittaja jo ties monettako kertaa eli 123456 on vasta sijalla 10 (77 henkilöä). Muita yleisiä sanoja ovat rakkaus, terveys, mustikka sekä naisten etunimet (todennäköisesti rekisteröityneiden henkilöiden tai vauvojen omat).

32 suosituimman salasanan joukkoon mahtuvat myös enkeli ja pikkumyy. Hakkerille se kertoo, että palvelun sisältö ohjaa salasanan valintaa. Ehkä autoharrastajien foorumissa kannattaisi kokeilla autojen merkkejä tai osia?

Kakkahuumoria, jota ruotsalaiset kuulemma suosivat, on hyvin vähän, vaikka esimerkiksi kakkapylly sopii hyvin aihepiiriin. Myöskään seksi ei ole kovin monella mielessä.

Kaikkien salasanojen keskipituus on 7,49 merkkiä, mikä ei aivan yllä turvallisena pidettyyn kahdeksaan merkkiin. Viestintäviraston suosittelemasta 15 merkistä jäädään todella kauas: vain 0,06 prosentilla salasana täyttää tämän (mielestäni kohtuuttoman ankaran) kriteerin. Toisaalta 32,1 prosentilla salasana on kuusi merkkiä tai lyhyempi.

Jostain syystä seitsemän merkin salasanoja on vähemmän kuin kuuden ja kahdeksan merkin salasanoja. Olen nähnyt saman ilmiön ennenkin, enkä osaa selittää syytä seitsemän merkin epäsuosioon.

Vielä yksi jännä havainto: salasanan 123456 valinneissa oli suhteettoman paljon miehiä. Joko he ovat huolimattomia tai olivat Helistimessä vain käymässä, eivätkä sen vuoksi vaivautuneet keksimään kunnollista salasanaa.

Oma päätelmäni näistä laskelmista on, että oppi salasanojen valinnasta on mennyt kohtuullisen hyvin perille. Vaikka helposti arvattava vauva on yleinen, senkin löytämiseksi pitäisi kokeilla keskimäärin 500 käyttäjätunnusta ennen kuin tärppäisi (ns. reverse hacking).

Käytetyt salasanat riittävät torjumaan satunnaiset kokeilut, mutta valtaosa niistä murtuu helposti mikäli hyökkääjä saa hash-tiivistein suojatun tietokannan. Ja jos ylläpito on suojannut kannan huonosti tai jättänyt sen kokonaan tekemättä, hyvälläkään salasanalla ei ole merkitystä. Turha siis stressata itseään asialla kohtuuttomasti.

Niin... entäpä ylläpidon omat tunnukset? Heidän salasanojensa keskipituus on 7,7 merkkiä eli sama kuin käyttäjillä. Joukossa on yksi huono, muutama kyseenalainen ja vain yksi vahva salasana. Monessa on käytetty yleistä kikkaa vaihtaa e-kirjaimet kolmosiksi, i-kirjaimet ykkösiksi ja o-kirjaimet nolliksi. On kyseenalaista, voiko tätä enää nykyoloissa pitää turvallisena menetelmänä ainakaan ylläpidon ollessa kyseessä.

Tietosuojavaltuutettu vaatii identiteetin varkaudesta rikosta

Tietosuojavaltuutettu varoitti viime viikolla Aamulehdessä nettikäyttäjiä vaaroista, joita liittyy henkilötietojen antamiseen netissä. Pahimpia ovat yhteisöpalvelut, joihin tyypillisesti rekisteröidytään oikeilla tiedoilla ja joihin saatetaan kertoa hyvinkin henkilökohtaisia tietoja.

Tänään Helsingin Sanomissa tietosuojavaltuutettu vaatii identiteetin varkaudesta rikosta. Hänen mielestään henkilötiedoista on tullut täydellinen rikoksentekoväline, koska laki ei suojele niitä tarpeeksi. "Jos tietojen varastaminen olisi rikos, kynnys anastamiseen todennäköisesti nousisi."

Onko tilanne Suomessa todella näin huono? Ei nyt ihan.

Jutussa käytetään esimerkkinä viime talvella sattunutta tapausta, jossa 78 000 suomalaisen käyttäjätunnukset ja salasanat imuroitiin eri verkkopalveluista. Mutta oliko tässä edes kyse identiteettivarkaudesta? Käyttäjätunnus on itse keksitty ("Make53") eikä välttämättä mitenkään liity oikeaan henkilöllisyyteen. Tunnuksella ja salasanalla ei voi tilata tavaraa toisen nimissä eikä tehdä muutakaan sellaista, mikä täyttäisi oikean identiteettivarkauden tunnusmerkistön.

Konkreettisin vaara on siinä, että henkilö on saattanut käyttää samaa tunnusta ja salasanaa muissa palveluissa, vaikkapa verkkokaupassa tai sähköpostipalvelussa. Tunnuksen varastanut pääsee näihin palveluihin käyttäjän puolesta ja voi siten aiheuttaa merkittävää vahinkoa.

Yhdessäkään nettipalvelussa ei ole painiketta, josta voisi imuroida itselleen käyttäjätietokannan. Sen hankkiminen edellyttää aina palveluun murtautumista, joka on jo nykyisellään kriminalisoitu (jopa pelkkänä yrityksenä). Nettisivulla levitettävien, muilta varastettujen tunnusten käyttö täyttää niin ikään tietomurron tunnusmerkistön. Ja jos tilaa toisen henkilön puolesta tavaraa tai siirtää esimerkiksi rahaa, kyse on vähintäänkin petoksesta.

"Tällä haavaa Suomen lait eivät velvoita kertomaan tapahtuneesta niille, joiden identiteetti on varastettu verkossa". Tämä on oikea epäkohta, jonka korjaamista sopii pohtia. Jos hakkeri onnistumaan www-palveluun ja varastaa sieltä käyttäjätunnukseni ja salasanani, olisi kohtuullista velvoittaa ylläpito kertomaan tapahtuneesta minulle oma-aloitteisesti. Pelkkä ilmoitus palvelun etusivulla ja kehotus vaihtaa salasanat ei välttämättä riitä. Tietysti myös käyttäjän itsensä kannattaa olla varovainen eikä käyttää samaa salasanaa eri palveluissa.

Toinen ongelmakohta on nettipalveluiden omissa suojauksissa. Vaikka murto onkin aina rikos, myös palvelun ylläpidolta tulee edellyttää huolellisuutta henkilötietojen käsittelyssä. Tähän velvoittaa jo nykyinen henkilötietolaki. Ylläpito ei vain useinkaan ole tietoinen asiasta ja omasta vastuustaan.

Suomessa identiteettivarkaudet ovat pysyneet kurissa, koska meillä on (toisin kuin USA:ssa) erittäin hyvät viranomaisrekisterit ja luotettavat henkilöllisyystodistukset. Hesarin jutun lopussa onkin kuvattu tapaus, jossa turkulaisen miehen tili tyhjennettiin kolme vuotta sitten varastetusta lompakosta löytyneillä papereilla. Tapauksella ei ole mitään tekemistä pääjutussa kuvattujen nettivaarojen kanssa. Ainakin tämän päivän tilanteessa reaalimaailman identiteettivarkaudet ovat nettivarkauksia suurempi uhka.

"Herra"klubin naisarviot

Enpä olisi uskonut, että Vasabladetin uutinen (Herrklubb kränkte unga kvinnor) herättää Hesarin referoimana näin paljon keskustelua.

Tapaus on kaikin puolin typerä. Helsingissä toimivan ruotsinkielisen korkeakoulun naisopiskelijat saivat tietää miesten akateemisesta "herra"klubista, jonka suljetulla nettifoorumilla pisteytettiin naisopiskelijoita ulkonäön mukaan. Arvioinnin kohteeksi joutuneet naiset kokivat tulleensa loukatuiksi ja ilmoittivat asiasta oppilaitoksen rehtorille.

Hän oli ilmaissut paheksuntansa asian suhteen mutta todennut, ettei voi puuttua asiaan. Se, mitä täysi-ikäiset ihmiset tekevät koulun ulkopuolella, on heidän yksityisasiansa. Ja näinhän se onkin.

Naisten ulkonäön arviointi miesporukassa ei ole fiksua puuhaa tapahtuipa se sitten kaljakuppilan terassilla tai nettisivulla. Akademiska Herrklubben ei ole nimensä veroinen sen paremmin akateemisuuden kuin herraskaisen käytöksenkään osalta.

Asia olisi ollut aivan eri, jos arvostelijat olisivat olleet koulun opettajia tai jos sivut olisivat sijainneet koulun palvelimella. Nykyisellään asiasta ei ole edes kunnon uutiseksi. Melkeinpä suurempi uutinen on siitä syntyneen nettikeskustelun määrä. Kaikesta päätellen kyse on herkästä asiasta.

Uutisen mukaan arvioinnit olivat suljetulla nettifoorumilla. Se, miten naiset olivat sivuille päässeet, ei käynyt uutisesta ilmi. Ehkä joku "herra"klubin jäsenistä oli unohtanut koneen auki tietokoneluokassa tai luovuttanut tunnuksensa? Silloin asian tässä puolessa ei ole tapahtunut mitään lainvastaista. Tietomurrosta olisi kyse, jos naisopiskelijat olisivat päässet "herra"klubiin urkkimalla jonkun jäsenen tunnuksen tai arvailemalla sitä. Koska suljetun foorumin käyttäjäpiiri on tarkkarajainen ja ilmeisen pieni, tuskin myöskään kunnianloukkaussyyte voi tulla kysymykseen.

Typerä tapaus, typerä uutinen, typerä kiista.