- Juulis tuvastasime mitmeid näotustatud Eesti veebilehti. Esines tõrkeid erinevate teenuste töös. Juulis levisid taas Swedbanki nimel saadetud õngitsuskirjad.
- Avaldasime RIA blogis postitused Windows 10 turvauuenduste programmi jätkumise kohta ja Signali sõnumirakenduses esinevatest õngitsustest. Uuendasime RIA veebilehel olevat fooriprotokolli. Kirjutasime ka tehisintellekti arenguga seotud ohtudest ja soovitustest organisatsioonidele.
- Kuu alguses tuli avalikuks Läti riigimetsa majandavat ettevõtet LVM tabanud küberrünnak. Tehnoloogia- ja IT-teenuste ettevõte Accenture langes küberintsidendi ja andmevarguse ohvriks. Vene luure kasutas tavainimeste internetti ühendatud valvekaameraid, et jälgida Ukrainale suunatud sõjalise abi teekonda. USA Minnesota osariigis tabasid küberründed ligikaudu kolmekümmet veejaotusettevõtet.
CERT-EE-le teavitatud intsidendid, millel oli mõju andmete või infosüsteemide konfidentsiaalsusele, terviklusele või käideldavusele.
Õngitsuslehed moodustavad suurema osa CERT-EE registreeritud intsidentidest.
Olukord Eesti küberruumis
Taas esines tõrkeid mitmete teenuste töös.
Kahel korral esines tõrkeid äriregistri veebilehe ariregister.rik.ee töös. 8. juulil ajavahemikul 00.59 kuni 9.52 ja 8. juulil alates 18.57 kuni 9. juulil 8.07 esines tõrkeid äriregistri veebilehe töös. Mõlemal juhul oli tegemist veebilehe skaneerimisega ning tõrked lahenesid peale seadistuse muutmist.
11. juulil ajavahemikul 19.12 kuni 20.12 esinesid tõrked mitme veebilehe töös - lennuilm.ee, ilmateenistus.ee, airport.ee, kemit.ee, geoportaal.ee, kalaluba.ee, minu.kataster.ee ja riigimaaoksjon.ee. Tõrgete põhjuseks oli halva ilma ja tormihoiatuse tõttu suurenenud liiklus veebilehtedel.
15. juulil kell 11.53 algasid tõrked Telia teenustes Tartumaal Kambja, Ülenurme ja Roiu alevikus. Mõjutatud olid osad koduinterneti-kasutajad, samuti oli piirkonnas probleeme kõneside-leviga. Tõrgete põhjuseks oli lõhutud andmesidekaabel. Teenuste töö taastus pärast kaabli parandamist kell 16.50.
20. juulil alates 18.08 kuni 21. juuli 4.44 oli mitmeid katkestusi registrite ja infosüsteemide keskuse (RIK) halduses olevate veebilehtede töös. Mõjutatud olid konkurentsiamet.ee, oiguskantsler.ee, prokuratuur.ee, vanglateenistus.ee ja rik.ee. Katkestuse põhjustas tarkvarauuenduse käigus tekkinud tehniline tõrge.
Juuli alguses tuvastasime mitmeid näotustatud Eesti veebilehti. Näotustamine tähendab seda, et esmalt saab ründaja ligipääsu veebilehele ja seejärel lisab sinna enda valitud sisu. Tihti lisatakse näiteks sõnum selle kohta, et veebileht on häkitud. Näiteks olid nende hulgas autokooli, ehitustehnika rendiga tegeleva ettevõtte ja e-poe veebilehed. Lehtedel ei kuvatud pahaloomulist sisu ja tõenäoliselt oli tegemist pigem kübervandalismiga. Samuti saatsime teavituse enam kui 90 veebilehe kontaktile, kelle halduses oleval lehel kuvati pahaloomulist faili. Kõik näotustatud lehed kasutasid Joomla sisuhaldustarkvara ning tõenäoliselt oli saadud ligipääs Joomla pistikprogrammides olevate turvanõrkuste kaudu. Soovitasime lehtede haldajatel esmalt eemaldada pahaloomuline sisu, seejärel uuendada tarkvara ja vahetada ära veebilehe haldajate ligipääsuandmed.
Ka juuli viimasel nädalal tuvastasime 24 näotustatud veebilehte, kus ründajad kompromiteerisid lehed paikamata haavatavuste kaudu ja lisasid sinna oma sõnumi. Teavitasime näotustatud lehtede haldureid, palusime lehed puhastada ja nende tarkvara uuendada.
Juulis levisid taas Swedbanki nimel saadetud õngitsuskirjad, milles väideti, et käes on andmete uuendamise aeg ja selleks on vaja kirjas oleva lingi kaudu sisse logida ning andmete õigsus allkirjaga kinnitada. Kirjas rõhuti kiirusele ja soovitati andmed koheselt ära uuendada, et tegevus ei satuks päevale, mil kasutaja soovib ülekannet teha. Kirju saadeti kahtlastelt domeenidelt, näiteks [email protected], mis ei kuulu Swedbankile. Taolisi kirju oleme juba aastaid näinud ja neid saadetakse regulaarselt kõigi pankade nimel. Sisu on enamasti sama ja kirjaga on kaasas õngitsuslink, milles palutakse sisestada enda panka sisselogimise andmed. Tuletame taas meelde, et pangad ei palu andmeid uuendada e-maili teel ja ei saada selleks kahtlast linki.
RIA tegevused küberturvalisuse parandamisel Eestis
Avaldasime postituse Windows 10 turvauuenduste programmi jätkumise kohta. Juuni lõpus selgus, et Windows 10 kasutajad saavad turvauuendusi ESU programmiga kuni 12.10.2027. Microsoft lõpetas laialdaselt kasutusel oleva Windows 10 tootetoe 14.10.2025, kuid pikendas seda esmalt aasta võrra ja nüüd veel täiendavalt kuni 2027. aasta oktoobrini. Loe meie blogist täpsemalt, et mida tuleks teha kui oled veel Windows 10 kasutaja.
Kirjutasime blogis Signali sõnumirakenduses esinevatest õngitsustest. Signal on tuntud ja Eestis laialt kasutatav rakendus, mida mitmed turvaauditid on hinnanud üheks turvalisemaks olemasolevaks sõnumirakenduseks. Viimastel kuudel on mitmetes Euroopa riikides levinud Signali õngitsuslained, mille taga arvatakse olevat vaenulike riikide eriteenistused. Artiklis selgitasime, millised õngitsused välja näevad, mis on nende eesmärk ning kuidas Signalit turvaliselt kasutada.
Kirjutasime ka tehisintellekti arenguga seotud ohtudest ja soovitustest organisatsioonidele. Five Eyes ehk viie silma luureliit avaldas põhimõtted, mida soovitatakse organisatsioonidel järgida lähtuvalt tehisintellekti kiirest arengust ja sellega seotud riskidest. Soovitustes on näiteks välja toodud juhtkonna vastutuse olulisus ja nende vajalikud tegevused, kuid samuti ka erinevad praktilised tegevused, mida peaks rakendama süsteemidele. Loe selle kohta täpsemalt meie blogist.
Avaldasime RIA Facebooki lehel mitmeid postitusi. Näiteks hoiatasime parkimismärkidele kleebitud võltsitud QR-koodidest, mis suunasid kasutajad petulehtedele oma pangaandmeid sisestama. Samuti kirjutasime turvalisest kaugtööst, oma isiklike andmete kaitsmisest internetis ja pettustest ostu-müügi keskkondades. Loe neil ja paljudel teistel teemadel meie Facebookist.
Hiina tehisintellekti ettevõte Moonshot AI avaldas uue tippmudeli Kimi K3, mida ettevõte ise nimetab avatud kaaludega mudeliks. Kirjeldasime enda blogipostituses, et millise mudeliga on tegemist, milline on selle hinnaeelis ja kuhu asetub Kimi K3 võrreldes teiste tippmudelitega. Loe rohkem meie blogist.
Uuendasime RIA veebilehel olevat fooriprotokolli (inglise keeles Traffic Light Protocol ehk TLP) märgistust selgitavat artiklit. Artiklis on kirjeldatud, et millal tuleks kasutada TLP märgistust, kuidas õige märge valida ja kuidas erinevate märgistustega tähistatud teavet jagada tohib. Loe täpsemalt RIA kodulehelt.
RIA Küberturvalisuse keskust asus alates 1. augustist juhtima Mai Kraft. Mai Kraft on tunnustatud küberturvalisuse ekspert ja juht, kellel on pikaajaline kogemus nii tehnoloogia- kui ka infoturbe valdkonnas ning küberkaitse magistrikraad Tallinna Tehnikaülikoolist. Viimased 8 aastat on Kraft töötanud Elisa Eesti infoturbejuhina, vastutades ettevõtte küberturbe valdkonna tervikliku juhtimise eest. Täpsemalt saad lugeda meie kodulehelt.
Rahvusvaheline olukord
Juunis tabas küberrünnak Läti riigimetsa majandavat ettevõtet LVM, kus häkkeritel õnnestus sisse tungida ettevõtte võrku ja varastada sealt andmeid. Läti CERTi kinnitusel näib olevat tegu rahaliselt motiveeritud ründega ja selle on endale omistanud üks rahvusvaheline lunavararühmitus. Juhtum on tekitanud Läti valitsuses arutelu riigiettevõtete küberturvalisuse olukorrast - LVM ei olnud täitnud neile küberturvalisuse seadusega pandud kohustusi ja ka audit ei toonud puudujääke välja. Samuti kritiseeritakse küberintsidentide puudulikku koordineerimist riigis. LVM on ühtlasi üks kolmest ettevõttest, mis on seotud elektroonilise valijate registri arendamisega.
Toronto ülikooli juures tegutsev uurimisrühm The Citizen Lab avaldas raporti, mille kohaselt oli aastatel 2022 ja 2023 Euroopa Parlamendi tollase liikme Stelios Kouloglou seadmesse paigaldatud Pegasus nuhkvara. Pegasus on Iisraeli firma NSO Group välja töötatud nuhkvara, mis oli algselt mõeldud rangelt kontrollitud kasutuseks valitsusasutuste poolt, ent jõudis kiiresti laiema kasutuse ja kuritarvitamiseni. Märkimisväärne on asjaolu, et Stelios Kouloglou kuulus muuhulgas Euroopa Parlamendi töörühma, mille ülesanne oli uurida Pegasuse väärkasutamist Euroopas. Raport ei ütle, kes võis olla nakatamise taga ja peab tõenäoliseks, et korraga sihiti mitmeid huvipakkuvaid isikuid Euroopas.
Hollandi sõjaväeluure (MIVD) ja luure- ja julgeolekuteenistuse (AIVD) teatel kasutas Vene luure tavainimeste internetti ühendatud valvekaameraid, et jälgida Ukrainale suunatud sõjalise abi teekonda. Sihtmärgiks olid eelkõige kaamerad ja elumajade videofonoluku süsteemid, mis asusid NATO liikmesriikides ja Ukrainas teadaolevate logistiliste marsruutide ääres, mida mööda transporditi sõjatehnikat Ukrainasse. Operatsiooni peamine eesmärk oli koguda luureinfot selle kohta, millist relvastust ja mis kogustes lääneriigid Ukrainale tarnivad. Hollandi luureteenistuste sõnul kasutavad häkkerid ära asjaolu, et paljud internetiga ühendatud kaamerad on ebapiisavalt kaitstud: omanik ei ole muutnud tehase vaikeparoole ning kaamerate tarkvara on sageli aegunud ja turvaparandusteta.
Venemaa riiklikult toetatud küberrühmitus Laundry Bear ehk Void Blizzard kasutas Zimbra meiliplatvormi turvanõrkust Lääne organisatsioonide e-kirjade varastamiseks. Beehive’i ehk Ulej nime saanud ründe puhul piisab pahatahtliku kirja vaatamisest haavatavas meiliteenuses. Ühtegi muud kasutajapoolset tegevust pole pahavara käivitamiseks vaja. Kampaaniat katsetati esmalt Ukraina sihtmärkidel ning hiljem rünnati NATO liikmesriikide organisatsioone. Ründed algasid teadaolevalt 2025. aasta juulis ning puudutasid valitsusasutusi, kaitse-, energeetika-, haridus-, tehnoloogia- ja meediasektorit. Edukas rünne võimaldas häkkeritel saada püsiva ligipääsu ohvrite e-kirjadele ja varastada tundlikku teavet. Zimbra parandas vea 2025. aasta novembris, kuid ründed jätkuvad paikamata serverite vastu.
OpenAI teatas, et sisemise kübervõimekuse hindamise käigus kompromiteerisid nende mudelid Hugging Face’i taristu. Intsidenti seostati OpenAI agendiga alles päevi hiljem. Hindamisel kasutati GPT-5.6 Soli ja veel võimekamat avaldamata mudelit, mille turvapiiranguid oli testimise eesmärgil vähendatud. OpenAI sõnul leidsid mudelid nende enda uurimiskeskkonnas ja Hugging Face’i taristus mitu turvanõrkust ning aheldasid need kokku, et saada ligipääs ExploitGymi kübervõimekuse testi lahendustele Hugging Face’i andmebaasis. Hugging Face’i teate järgi juhtis intsidenti algusest lõpuni autonoomne tehisintellekti agendisüsteem. OpenAI ja Hugging Face uurivad juhtumit koos ning tehisintellekti ettevõtte teatel tugevdatakse pärast intsidenti hindamiskeskkondade eraldatust, seiret ja ligipääsukontrolle.
Dublinis peakorterit omav ning enam kui 120 riigis (sh Eestis) tegutsev tehnoloogia- ja IT-teenuste ettevõte Accenture kinnitas, et on langenud küberintsidendi ja andmevarguse ohvriks. Kinnitus tuli pärast seda, kui tumeveebis paisati müüki osa ettevõttelt varastatud andmeid. Kokku väidavad kurjategijad enda valduses olevat 35 gigabaidi jagu ettevõtte tehnilisi ja arenduskeskkonnaga seotud andmeid (krüptovõtmed, Azure Storage juurdepääsuvõtmed, lähtekoodi jms). Ettevõte ei kommenteerinud varastatud andmete koosseisu, kuid väitis, et ohtu ettevõtte teenustele ja tegevusele ei ole.
USA Minnesota osariigis tabasid juulis küberründed ligikaudu kolmekümmet veejaotusettevõtet, vähemalt ühes linnas oli veevarustus selle tõttu ka paar tundi häiritud. Ründajad sihtisid mitte tavavõrku, vaid tööstuslikku käidutehnoloogiat (OT). Ründaja kohta infot ei ole, kuid ametivõimud uurivad võimalikku seotust Iraaniga. Samal nädalal teatasid rünnetest veetaristu vastu ka Michigan ja veel viis osariiki. 28. juulil andis USA küberturbeagentuur CISA koos partnerasutustega välja juhise elutähtsa taristu operaatoritele, milles hoiatatakse riikliku taustaga ohustajate kasvava ründesurve eest ning antakse soovitusi käidutehnoloogia seadmete isoleerimiseks tavavõrgust ja kolmandate osapoolte teenustest.
Viimati uuendatud 05.08.2026
