Tässä väitöstutkimuksessa käsitellään suomalaisten verkkopohjaisia terveyspalvelujen yksityisyyttä keskittyen niissä esiintyviin kolmannen osapuolen palveluihin ja näille vuotaviin henkilötietoihin. Koska palveluissa käsitellään esimerkiksi asiakkaiden lääkityksiin, sairauksiin ja hoitotoimenpiteisiin liittyviä tietoja, niitä ei saisi päätyä kolmansien osapuolien haltuun.

Väitöstutkimus pohjautuu pitkälti lukuisissa terveysalan verkkopalveluissa – verkkoapteekeissa, terveydenhuollon verkkopalveluissa ja erilaisilla mielenterveysalan toimijoiden sivustoilla – tehtyyn verkkoliikenneanalyysiin, jonka avulla selvitetään näistä palveluista kolmansille osapuolille vuotavia henkilötietoja. Tämän ohella tarkastellaan myös, tuleeko käyttäjä asianmukaisesti informoiduksi henkilötietojensa käsittelystä ja suostutellaanko häntä hyväksymään tiedonkeruu harhaanjohtavin keinoin. Verkkoliikenneanalyysin lisäksi väitöstutkimuksessa haastateltiin web-kehittäjiä tietovuotojen syiden selvittämiseksi ja ehkäisevien toimien löytämiseksi.

Tutkimus osoittaa, että suomalaisilla terveysalan sivustoilla on ollut vakavia tietovuotoja. Kolmansien osapuolten keräämien tietojen joukossa on mm. reseptilääkkeiden nimiä ja terveydenhuollon ajanvarauksiin liittyviä tietoja yhdistettyinä käyttäjän yksilöiviin henkilötietoihin kuten IP-osoitteeseen. Esimerkiksi tarkastelluista 163 verkkoapteekista 57 (35,0 %) vuoti reseptilääkkeiden nimiä kolmansille osapuolille. Vaikka tilanne on julkisen sektorin terveyspalveluissa parempi kuin yksityisellä sektorilla, on molemmilla runsaasti parannettavaa henkilötietojen käsittelyssä. Palvelujen käyttäjä puolestaan ei useinkaan tiedonkeruun kieltämälläkään voi estää näitä tietovuotoja, ja käyttäjän informointi henkilötietojen siirtymisestä kolmansille osapuolille on myös tavallisesti riittämätöntä. Löydökset antavat aihetta tarkemmalle regulaation noudattamiselle, auditoinneille, lokaalien analytiikkaratkaisujen suosimiselle ja huolellisemmalle kolmansien osapuolien valinnalle erityisesti kriittisten terveysalan verkkopalvelujen osalta.

Lue tiivistelmä
Turun yliopiston DI Sampsa Rautin väitöskirja paljastaa suomalaisten terveystietoja vuotaneen kolmansille osapuolille.

Tutkituilla sivustoilla havaittiin vakavia tietovuotoja, joissa arkaluontoisia tietoja päätyi teknologiajäteille ja jopa Venäjälle.

Valtaosa tietovuodoista on nyt korjattu, mutta vuotojen seuraukset ovat epäselvät.

Yksityiset ja julkiset terveydenhuollon verkkosivustot eivät ole käsitelleet suomalaisten terveystietoja riittävän turvallisesti, DI Sampsa Rauti Turun yliopistosta esittää.

Tällä viikolla väittelevän Rautin väitöskirjassa Tietovuodot kolmansille osapuolille suomalaisissa terveydenhuollon verkkopalveluissa tutkittiin verkkoapteekkien, terveydenhuollon verkkopalveluiden ja erilaisten mielenterveyssivustojen henkilötietovuotoja. Tutkituilla sivustoilla havaittiin vakavia tietovuotoja.

Koska palveluissa käsitellään esimerkiksi asiakkaiden lääkityksiin, sairauksiin ja hoitotoimenpiteisiin liittyviä tietoja, niitä ei saisi päätyä kolmansille osapuolille, kuten teknologiajättien tarjoamille analytiikkatyökaluille. Näin kuitenkin tapahtui.

Kolmansille osapuolille päätyi muun muassa reseptilääkkeiden nimiä ja terveydenhuollon ajanvarauksiin liittyviä tietoja yhdistettyinä yksilöiviin henkilötietoihin. Esimerkiksi suomalaisista verkkoapteekeista 35 prosenttia vuoti reseptilääkkeiden nimiä kolmansille osapuolille.

Yleisimmin henkilötietoja vuoti Googlen ja Metan kaltaisille suurille teknologiajäteille, mutta muutamissa tapauksissa lääketietoja päätyi myös esimerkiksi Venäjälle Yandexille ja Microsoftin Bingille.

– Vaikka käyttäjän yksilöivät henkilötiedot ovat esimerkiksi ip-osoitteen kaltaisia laitetunnisteita, suurilla teknologiajäteillä on keinot yhdistää nämä käyttäjän oikeaan nimeen ja henkilöllisyyteen. Tämä voi tiettyjen kolmansien osapuolien tapauksessa aiheuttaa käyttäjälle vakavan riskin, jos henkilötietoja käytetään väärin, tai niitä luovutetaan, myydään tai joutuu tietomurtojen seurauksena niin sanotuille neljänsille osapuolille, Rauti huomauttaa yliopiston tiedotteessa.

Tutkimus ei osoita, mitä tiedoille tapahtuu kolmansille osapuolille päätymisen jälkeen, mutta käyttäjän terveydentilaan mahdollisesti liittyviä tietoja ei saisi silti vuotaa, Rauti korostaa. Valtaosa tietovuodoista on nyt korjattu.

Väitöskirjan teema on nyt entistä ajankohtaisempi, koska myös yhdysvaltalaisten yhtiöiden kykyyn käsitellä suomalaisten tietoja vastuullisesti kohdistuu suuria kysymysmerkkejä.

– Meillä on Suomessa ja Euroopassa pitkään lähdetty siitä, että oleellista on datan fyysinen sijaintipaikka. Kun palvelin hurisee vaikkapa Helsingissä, niin se olisi ok. Nyt on alettu keskustella tosi paljon siitä, minkä maan lainsäädännön alaisuudessa se taho on, joka tietoja säilyttää, pilvipalveluyhtiö Magic Cloudin toimitusjohtaja Timo Haapavuori hahmotti maaliskuussa.

Targeted by 20.5 million DDoS attacks, up 358% year-over-year: Cloudflare’s 2025 Q1 DDoS Threat Report
https://blog.cloudflare.com/ddos-threat-report-for-2025-q1/

SK Telecom cyberattack: Free SIM replacements for 25 million customers
https://www.bleepingcomputer.com/news/security/sk-telecom-cyberattack-free-sim-replacements-for-25-million-customers/

South Korean mobile provider SK Telecom has announced free SIM card replacements to its 25 million mobile customers following a recent USIM data breach, but only 6 million cards are available through May.

SK Telecom is the country’s largest mobile network operator, serving roughly half of the domestic mobile phone market.

On April 19, the company detected a malware running on its network that allowed threat actors to steal customers’ Universal Subscriber Identity Module (USIM) data, typically including International Mobile Subscriber Identity (IMSI), Mobile Station ISDN Number (MSISDN), authentication keys, network usage data, and SMS or contacts if stored on the SIM.

No customer names, other identification details, or financial information were exposed due to this incident.

The main risk from this breach is the potential for threat actors to perform unauthorized number ports to cloned SIM cards, known as “SIM swapping.”

In an update published earlier today, SK Telecom assured customers that such requests would be automatically detected and blocked by its Fraud Detection System (FDS) and SIM Protection Service, which have been enhanced to handle the elevated risk.

As of today, SK Telecom is also offering free-of-charge SIM card replacements to 25 million mobile subscribers, including approximately 2 million using budget carriers, who are worried about the potential for SIM swapping attacks impacting them.

However, the mobile carrier warns that due to a lack of inventory, they can only replace up to 6 million SIM cards through May 2025.

“Currently, SK Telecom holds 1 million SIM cards and plans to secure 5 million more by the end of May 2025,” reads the update.

“Due to potential congestion, customers are encouraged to use the online reservation system (care.tworld.co.kr) to book their SIM replacement in advance.”

The FAQ also clarifies that roaming services have been disabled for subscribers who have activated SIM Protection, but they plan to upgrade the feature to make it usable while abroad for optimal protection.

France accuses Russian intelligence of repeated cyber attacks since 2021
https://www.reuters.com/world/europe/first-france-accuses-russian-intelligence-repeated-cyber-attacks-2025-04-29/

Summary

Cybersecurity agency says a dozen French entities hit since 2021
Prior attack in 2017 leaked Macron election campaign mails
GRU unit APT28 is based in Rostov-on-Don
APT28 active worldwide since at least 2004

Microsoft Confirms $1.50 Windows Security Update Hotpatch Fee Starts July 1
https://www.forbes.com/sites/daveywinder/2025/04/28/microsoft-confirms-150-windows-security-update-fee-starts-july-1/

Millions of Apple Airplay-Enabled Devices Can Be Hacked via Wi-Fi
Researchers reveal a collection of bugs known as AirBorne that would allow any hacker on the same Wi-Fi network as a third-party AirPlay-enabled device to surreptitiously run their own code on it.
https://www.wired.com/story/airborne-airplay-flaws/

Marks & Spencer breach linked to Scattered Spider ransomware attack
https://www.bleepingcomputer.com/news/security/marks-and-spencer-breach-linked-to-scattered-spider-ransomware-attack/

EFF Leads Prominent Security Experts in Urging Trump Administration to Leave Chris Krebs Alone
Political Retribution for Telling the Truth Weakens the Entire Infosec Community and Threatens Our Democracy; Letter Remains Open for Further Sign-Ons
https://www.eff.org/press/releases/eff-leads-prominent-security-experts-urging-trump-administration-leave-chris-krebs