Offerilla-palvelussa näkyi useiden ihmisten käyttäjänimiä ja yksi sähköposti Iltalehden näkemän videomateriaalin perusteella.
Offerilla-palvelu kertoo tarjoavansa päivittäin tarjouksia ja diilejä, joita voi ostaa. Ostamsen jälkeen käyttäjä saa lahjakortin sähköpostiin, jonka voi lunastaa. Henri Kärkkäinen
Alekuponkeja tarjoava suomalainen Offerilla-sivusto näytti sivustolla vierailijoille alekuponkeja käyttäneiden ihmisten nimiä.
Iltalehti sai vinkkaajalta maanantai-iltana videomateriaalia Offerilla-sivustolta. Videossa näkyy avoimesti, minkä nimiset henkilöt olivat käyttäneet mitäkin alennuskoodia tai minkä niminen henkilö oli voittanut arvonnasta tietyn alekoodin. Nimien joukossa näkyi myös yhden henkilön sähköpostiosoite.
Nimet näkyivät, kun sivustolla lisäsi tuotteen ostoskoriin ja käytti siihen alennuskoodia. Vielä tiistaiaamuna Iltalehden toimittaja huomasi saman ongelman Offerilla-sivulla.
Tietoturva-asiantuntija Petteri Järvinen kommentoi sähköpostitse, että kyseessä on verkkopalvelu, joka käsittelee henkilötietoja ja sen kautta liikkuu rahaa. Sen takia asiakkaiden on voitava luottaa palvelun virheettömään toimintaan.
– Koko nimen näkyminen vahingossa yhdistettynä esimerkiksi terveystuotteiden ostamiseen voi paljastaa luottamuksellisia tietoja. Yrityksen kannattaa korjata pikimmiten järjestelmänsä niin, ettei tietoja näy tahattomasti ulospäin, Järvinen neuvoi.
Offerilla-palvelun sovellusta on ladattu yli 50 000 kertaa Google Play -kaupassa.
Näin nimiä näkyi Offerilla-sivustolla kaikille vierailijoille. Kuvasta peitetty nimiä ja henkilökohtaisia alennuskoodeja sekä yksi sähköpostiosoite. Kuvakaappaus
Näin yritys vastaa
Ongelma korjaantui, kun Iltalehti oli tiistaiaamuna yhteydessä Offerilla-palvelun toimitusjohtajaan Risto Juntuseen.
Juntusen mukaan kyse ei ollut varsinaisesta tietoturvaloukkauksesta, vaan Offerillan sisäisessä käytössä olleista tai asiakkaille luoduista alennuskoodeista, joihin oli merkitty asiakkaan nimi tai sähköpostiosoite kommenttikenttään. Näitä tietoja ei ollut tarkoitus näyttää muille käyttäjille.
– Kyseinen kommenttikenttä on normaalisti vain meidän sisäistä hallintaamme varten. Siihen oli merkitty asiakkaan nimi tai sähköposti, jotta koodi voidaan tarvittaessa yhdistää sisäisesti oikeaan asiakkaaseen. Itse alennuskoodista ei voi päätellä, mitä asiakas on ostanut tai mitä tietoja hänestä on tallennettuna.
Juntusen mukaan henkilöityjen alennuskoodien näkyminen muille käyttäjille on nyt estetty. Koodin näkyminen ei aiheuta vaaraa koodin omistajalle.
– Koodi itsessään antaa vain alennuksen verkkokaupassa. Se ei anna pääsyä mihinkään tietoihin eikä paljasta ostohistoriaa.
Onko käyttäjällä mahdollista valita, haluaako hän käyttäjänimensä juuri tässä asiayhteydessä näkyviin?
– Asiakkaan nimi tai sähköposti eivät missään tilanteessa ole tarkoitettu muiden nähtäviksi. Tässä tapauksessa kyse oli kentästä, jonka ei pitänyt näkyä ulospäin lainkaan. Se on ollut yksiselitteisesti meidän virheemme, Juntunen sanoo.
Yksittäisen sähköpostiosoitteen näkymiseen kommenttikentässä Juntunen ei ota kantaa.
– Vaikea ottaa yksittäisesti kantaa. Onko se ollut meidän työntekijämme sähköposti vai jonkun yhteistyön sähköposti?
Sähköpostiosoite oli korkeakoulupäätteinen.
– En osaa sanoa, mihin kyseinen sähköposti liittyy. Joka tapauksessa olemme reagoineet heti asiaan, kun saimme siitä tiedon.
– Käymme samalla prosessin läpi teknisesti, jotta vastaavaa ei tapahdu uudelleen.