PNLD tietovuoto nostaa esiin käytännön riskin, joka koskee myös suomalaisia yrityksiä: yhteystiedot eivät ole vaarattomia vain siksi, että salasanat tai henkilötunnukset eivät olisi vuotaneet. Kun nimet, organisaatiot ja työsähköpostiosoitteet päätyvät rikollisten käyttöön, niistä voidaan rakentaa uskottavia tietojenkalasteluviestejä, tukipyyntöjä, laskutushuijauksia ja käyttäjähallinnan väärinkäyttöyrityksiä.
Britannian Police National Legal Database, PNLD, on vahvistanut tietoturvaloukkauksen, jossa paljastui poliisien, poliisihenkilöstön, rikosoikeusalan toimijoiden, viranomaiskumppaneiden ja asiakkaiden yhteystietoja. Tapaus havaittiin 26. heinäkuuta 2026, ja sitä tutkitaan kyberturva-asiantuntijoiden sekä National Crime Agencyn kanssa. Myös tietosuojaviranomaiselle on tehty ilmoitus.
Mitä PNLD-tietovuodosta tiedetään
PNLD:n mukaan vuotaneiden tietojen joukossa on nimiä, organisaatiotietoja ja työsähköpostiosoitteita. Julkisesti kerrottujen tietojen perusteella salasanojen tai muiden tunnistautumistietojen vaarantumisesta ei ole näyttöä.
PNLD on myös kertonut, ettei järjestelmässä säilytetä uhreihin, todistajiin tai rikoksentekijöihin liittyviä luottamuksellisia tietoja, eikä tällaisten tietojen ole kerrottu altistuneen. Ask the Police -palvelun osalta vaikutus näyttää rajautuvan henkilöihin, jotka olivat lähettäneet kysymyksen palvelun kautta. Heidän nimensä ja sähköpostiosoitteensa ovat voineet paljastua.
ExfilSquad-niminen kiristysryhmä on väittänyt olevansa hyökkäyksen takana ja julkaisseensa näytedataa pimeässä verkossa. Ryhmä väittää varastaneensa 1,9 gigatavua dataa ja noin 135 000 yhteystietuetta. Väitteiden mukaan noin 114 000 tietuetta koskisi PNLD-tilaajia ja noin 21 000 Ask the Police -palvelun käyttäjiä. PNLD ei ole julkisesti kertonut, miten järjestelmään päästiin, milloin data vietiin tai kuinka monta henkilöä lopullisesti koskee.
Miksi pelkkä yhteystietojen vuoto on yritykselle merkittävä riski
Moni organisaatio arvioi tietovuodon vakavuutta ensisijaisesti sen mukaan, onko mukana salasanoja, maksutietoja tai henkilötunnuksia. Tämä on ymmärrettävää, mutta ei riittävää. Hyökkääjälle hyvin rajattu yhteystietolista voi olla erittäin käyttökelpoinen, jos siitä ilmenee henkilön rooli, organisaatio ja yhteys viranomaiseen tai asiakkaaseen.
Julkishallinnon ja sen toimittajien ympäristöissä tällainen tieto voi mahdollistaa uskottavia viestejä, joissa viitataan hankintoihin, tukipyyntöihin, portaaleihin, laskutukseen tai käyttöoikeuksiin. Sama koskee B2B-yrityksiä: asiakas- ja kumppanirekisteri voi paljastaa, keneen kannattaa kohdistaa seuraava vaihe hyökkäyksessä.
Käytännössä riski voi näkyä esimerkiksi näin:
- taloushallinto saa aidolta näyttävän maksutietojen muutospyynnön tunnetun kumppanin nimissä
- IT-tuki saa kiireellisen käyttäjätunnuksen palautuspyynnön henkilöltä, jonka nimi ja organisaatio täsmäävät
- myynti tai asiakkuustiimi saa tarjouspyynnöltä näyttävän liitteen tai linkin
- henkilöstölle lähetetään viranomaisviestintää jäljitteleviä kalasteluviestejä
- hyökkääjä käyttää vuotaneita kontakteja toimitusketjun luottamussuhteiden väärinkäyttöön
Suomi Solutions auttaa yrityksiä arvioimaan tällaisia vaikutuksia käytännön tasolla. Työ alkaa usein siitä, että selvitetään missä asiakas-, kumppani- ja portaalidata sijaitsee, kenellä siihen on pääsy ja millaisia loki- ja hälytysnäkymiä ympäristöstä saadaan ulos.
Low-code-portaalit ja julkiset lomakkeet vaativat tarkkaa hallintaa
Tapauksen yhteydessä on esitetty arvioita, että hyökkäysvektori olisi voinut liittyä julkisen sovelluksen virheelliseen konfiguraatioon, mahdollisesti Microsoft Power Platform- tai Power Pages -ympäristössä. Tätä ei ole virallisesti vahvistettu, joten siitä ei pidä tehdä varmaa johtopäätöstä. Silti havainto on yrityksille hyödyllinen muistutus.
Low-code/no-code-portaalit ovat tehokkaita, koska liiketoiminta voi rakentaa lomakkeita, asiakasportaaleja ja prosesseja nopeasti. Samalla ne tuovat uuden hallintatarpeen: oikeudet, taulukoiden näkyvyys, anonyymi käyttö, API-pääsy, jakamisasetukset ja lokitus on tarkistettava samalla vakavuudella kuin perinteisessä sovelluskehityksessä.
Erityisen tärkeää on erottaa julkiseen asiointiin tarvittava tieto sisäisestä ja arkaluonteisesta datasta. Jos julkinen lomake tai portaali tarvitsee vain rajatun yhteystietokentän, sen ei pidä päästä laajempiin asiakas- tai kumppanirekistereihin. Tämä on arkkitehtuurikysymys, ei pelkkä asetusruksi.
Suomi Solutions voi tukea Microsoft 365- ja pilviympäristöjä käyttäviä organisaatioita tarkistamalla portaalien käyttöoikeuksia, ehdollista pääsynhallintaa, monivaiheista tunnistautumista ja valvonnan kattavuutta. Tarvittaessa sama työ yhdistetään Linux-palvelinympäristöjen, WordPress-ylläpidon ja muiden julkisten verkkopalvelujen koventamiseen.
Miten ilmiö näkyy yrityksen arjessa
Yhteystietovuoto ei välttämättä pysäytä tuotantoa tai kaada verkkopalvelua. Juuri siksi se voi jäädä liian vähälle huomiolle. Todellinen vaikutus näkyy myöhemmin, kun organisaation henkilöstö alkaa saada aiempaa uskottavampia viestejä tai yhteydenottoja.
Yrityksen kannattaa seurata erityisesti poikkeavia yhteydenottoja, joissa pyydetään kiireellisiä muutoksia, uusia käyttöoikeuksia, laskutustietojen päivityksiä tai luottamuksellisia liitteitä. Jos viesti käyttää oikeita nimiä, titteleitä ja organisaatiosuhteita, perinteinen varovaisuus voi pettää.
Myös kriisiviestintä ja tietosuojaprosessit nousevat esiin. Vaikka vuoto koskisi vain yhteystietoja, organisaation pitää pystyä arvioimaan vaikutus, dokumentoimaan havainnot, informoimaan tarvittavat osapuolet ja tekemään viranomaisilmoitukset, jos kynnys täyttyy.
Mitä yrityksen kannattaa tehdä nyt
Ensimmäinen käytännön askel on kartoittaa julkiset portaalit, lomakepalvelut ja asiakasrajapinnat. Erityistä huomiota kannattaa kiinnittää siihen, mitä tietoja anonyymi käyttäjä voi nähdä, mihin tauluihin sovellukset pääsevät ja voiko portaali palauttaa enemmän tietoa kuin käyttäjän tehtävä edellyttää.
- Tarkista Power Platform-, Power Pages- ja vastaavien ympäristöjen taulukoiden oikeudet, roolit, jakamisasetukset, API-pääsyt ja lokitus.
- Vahvista monivaiheinen tunnistautuminen, ehdollinen pääsynhallinta ja ylläpitotunnusten erillinen valvonta.
- Seuraa domain-jäljitelmiä, epäilyttäviä tukipyyntöjä, väärennettyjä laskutusviestejä ja viranomais- tai kumppanikontakteja jäljitteleviä viestejä.
- Kouluta henkilöstöä tunnistamaan tilanteet, joissa oikeat nimet ja organisaatiotiedot voivat olla peräisin vuodosta.
- Varmista, että tietovuodon arviointi, ilmoitusvelvollisuudet, asiakasviestintä ja viranomaisraportointi on harjoiteltu etukäteen.
- Harjoittele myös kiristystilannetta, jossa data varastetaan ja julkaistaan ilman, että järjestelmiä salataan.
- Rajoita asiakas- ja kumppanirekisterien tietosisältö minimiin ja erota julkisiin portaaleihin tarvittava data sisäisistä järjestelmistä.
Toimittajasuhteissa kannattaa lisäksi sopia selkeästi, kuka vastaa lokeista, hälytyksistä, tietoturvatestauksista, haavoittuvuuksien korjausajoista ja ilmoitusvelvoitteista. Pilvipalvelun tai SaaS-ratkaisun käyttö ei poista organisaation tarvetta ymmärtää, miten dataa käsitellään ja miten poikkeamat havaitaan.
Jos oma ympäristö sisältää julkisia portaaleja, WordPress-sivustoja, Microsoft 365 -palveluita tai liiketoimintakriittisiä Linux-palvelimia, vaikutukset kannattaa arvioida ennen kiireisiä muutoksia. Suomi Solutions auttaa muuttamaan havainnot konkreettisiksi toimenpiteiksi: käyttöoikeuksien tarkistuksiksi, lokituksen parantamiseksi, valvonnan käyttöönotoksi, henkilöstön ohjeistukseksi ja ylläpidon selkeyttämiseksi. Tarvittaessa keskustelun voi aloittaa suoraan Suomi Solutionsin pääsivulta: https://suomisolutions.fi/
