Nordnetin ongelmat – ja sen vaikutukset

Nordnetin eiliset ongelmat säikäyttivät monta Nordnetin käyttäjää. Kysymyksiä aiheeseen liittyen tuli sen verran paljon, että yksittäisten vastausten sijaan, avaan tässä tekstissä hieman ongelmien kokonaisuutta, laajuutta, mitä itse ajattelen niistä ja mitä toimenpiteitä voit tehdä oman mielenrauhasi tueksi.

Olen niin Nordnetin asiakas itse, kuin päivätyöltäni työskentelen finanssialalla juuri samanlaisten palveluiden parissa, joten asia kiinnosti itseäni syvästi myös ihan ammatillisestikin.

Mikä ongelmassa siis oli kyseessä? Lyhyesti, jos eilen tiettyyn kellonaikaan aamupäivästä/päivästä kirjautui Nordnetin palveluun omilla tunnuksillaan, saattoi päätyä jonkun aivan toisen käyttäjän tunnuksilla sisään. Ongelmaa oli kaikissa Nordnetin maissa.

Mitä tapahtui?

Spekuloinnin sijaan annetaan Nordnetin itsensä kertoa, mitä tapahtui. Oheinen otettu Nordnetin virallisesta tiedotteesta.

Tiistaina 11.2. Nordnetin palvelussa oli laaja sisäinen tekninen ongelma. Kyseessä ei ollut hakkerihyökkäys tai muu ulkoinen vaikutus. Ongelman aiheutti kirjautumiseen liittyvä ohjelmistokomponentti. Komponentti ei toiminut oikein, minkä vuoksi osalle kirjautuneista asiakkaista näkyi hetkellisesti virheellistä tietoa.

Heti ongelman havaittuamme poistimme kirjautumismahdollisuuden verkkopalveluun ja sovellukseen. Tämä oli Nordnetin itse käynnistämä varotoimenpide. Aloitimme välittömästi vianmäärityksen ja muodostimme käsityksen ongelman syystä, mutta halusimme varmistaa asian ennen kuin avasimme kirjautumisen uudelleen.

Kun ongelman aiheuttanut komponentti oli tunnistettu, poistimme sen käytöstä ja toteutimme tarvittavat toimenpiteet varmistaaksemme, ettei vastaavaa pääse tapahtumaan uudelleen. Palvelu toimii nyt normaalisti.

Mikä on pahinta, mitä Nordnet-sijoittajalle olisi voinut käydä?

Periaatteessa haitat asiakkaille voidaan jakaa ylätasolla kahteen asiaan:

1) Taloudelliseen haittaan
2) Tietoturva-haittaan

Käytännössä ihminen, joka oli siis päätynyt jonkun muun henkilön tilitietoihin, olisi voinut tehdä niin osto- kuin myyntitoimeksiantoja sijoituksille. Jos joku olisi siis halunnut vain harrastaa ilkivaltaa toisten ihmisten tileillä, tämä olisi ollut tämän lyhyen ikkunan verran mahdollista.

Nordnet kuitenkin totesi, että ”Kauppoja on myös mahdollista perua, jos käyttäjä voi osoittaa, ettei ole itse kauppoja tehnyt.”. Tämä on hyvä asia, mutta toivon todella, että Nordnet ei jätä tätä todistustaakkaa asiakkaalle, koska heiltä itseltään lokitiedot pitäisi löytyä ja he pystyvät asiat varmistamaan, jos yhtään tällaista casea vastaan tulee. Tämä olisi suoraan sanottuna aliarvoista asiakaspalvelua.

Edit: Ja nyt virallisten tietojen mukaan vain yksi tällainen virheellinen transaktio tapahtui Nordnetin palveluissa, ja tästä on jo kontaktoitu, joten tässä kohtaa voidaan todeta, että kenellekään muulle paitsi tälle yhdelle suomalaisasiakkaalle ei näin käynyt.

Mutta siinä suorat taloudelliset haitat olivatkin. Bugi ei mahdollistanut Nordnetin mukaan rahojen siirtämistä Nordnetin pankkitililtä toisen henkilön pankkitilille, joten itse rahojen varastaminen ei olisi mahdollista.

Tietoturvahaitta ja tietoturvaloukkaus tässä on potentiaalisesti huomattavasti isompi. Tietoturvahaitta syntyykin siitä, jos ihminen joka kirjautui tilille, latasi jostain syystä kaiken dokumentaation, mitä Nordnetistä saa yhteystiedoista tilinumeroihin sekä henkilötunnukseen. Näitä saattaisi pystyä teoriassa käyttämään ottamaan haltuun jonkun toisen tili, jos Nordnetin asiakaspalvelu ei olisi hereillä. Pelkästään näillä tiedoilla ei kuitenkaan juuri muuta pysty tekemään kuin henkilötunnuksilla muutenkaan.

Hyvä asia kuitenkin on se, että koska suurin osa ihmisistä on tavallisia kunnon kansalaisia, se, että tässä pienessä ikkunassa joku pahatahtoinen ihminen / rikollinen olisi sattunut Nordnettiin osumaan juuri sellaiseen tiliin, jonka haltuun ottaminen olisi kannattavaa, on suhteellisen pieni.

Jos kuitenkin pelkää tätä skenaariota kaikesta huolimatta, kannattaa toimia, kuten missä tahansa identiteetti-varkaus tilanteessa.

Ensin kannattaa kysyä Nordnetiltä asiakaspalvelusta, oliko aktiviteettia tuon aikana oman aktiviteetin lisäksi (eli käyttikö joku verkkopankkia, kun et itse siellä ollut). Tämän he voivat varmistaa siitä, onko tilillesi joku kirjautunut eri IP-osoitteella.

Ja vaikka Nordnetin vastaus olisi ei, ja haluaa ottaa aivan varman päälle, vaihtoehtona on omien tietojen luovutuskieltojen asettaminen erilaisissa julkisissa rekistereissä sekä pari muuta juttua. Tämä toki ei mielestäni ole tarpeellista, jos Nordnet vahvistaa, että tilillä ei outoja kirjautumisia ollut – silloin vaaraa ei ole.

Kiitokset MoneyWalker nimimerkille Inderesin foorumilla näiden linkkien kasaamisesta.

PRH – Kaupparekisteri – Rekisteröintikielto

Positiivinen luottotietorekisteri – Positiivinen luottotietorekisteri (Vero.fi)

Tee tiedonluovutuskielto | Traficom

Muuttosuojauksella estät osoitteesi vaihtamisen. | Posti

Henkilötiedot – Suomi.fi

Henkilötietojen luovutuksen kieltäminen, palvelut – Suomi.fi

Nämä asiat voi tehdä ihan muutenkin, jos haluaa, että omat tiedot eivät ole erilaisten rekistereiden käytössä eli jos haluaa omia tietojaan suojella mahdollisimman hyvin. Eli ei pelkästään mahdollisissa identiteettivarkaus tilanteissa.

Tämän lisäksi voit asettaa itsesi vapaaehtoiseen luottokieltoon vero.fi:ssä täällä. Itse hankin vapaaehtoisen luottokiellon, kun lompakkoni varastettiin toissa vuonna.

Kaikesta tästä huolimatta, mielestäni suurin vahinko tässä sattuikin puhtaasti Nordnetin maineelle. 99,99 % käyttäjistä todennäköisesti tällä ei ollut mitään vaikutusta, koska lähes kaikki sijoittajat kuitenkin ovat tavallisia ihmisiä, jotka todennäköisesti vain ilmoittivat Nordnetille viasta tai kirjautuivat säikähdettyään pois tililtä. Tämän lisäksi bugi tuntui olevan vain erittäin vähän aikaa voimassa.

On siis mielestäni hyvinkin mahdollista, että yksikään käyttäjä ei tästä ole kärsinyt. Ainoa ja suurin vahinko nähdäkseni tästä tuleekin ennen kaikkea Nordnetille, joka hukkuu lakicaseihin ja viranomaisselvityksiin nähtävillä olevaan tulevaisuuteen – kuten pitääkin. Markkinat itsessään ottivat tämän yllättävän rauhallisesti vastaan, Nordnetin osakkeen laskien vain noin 6 % ongelman laajuuden selvittyä.

Kuinka iso ja uniikki virhe oli kyseessä?

On itsestään selvää, että tällaista ei saisi koskaan tapahtua. Samalla kuitenkin tiedän, millaista IT-kehitys parhaimmillaan ja pahimmillaan voi olla, koska sitä niin pitkään olen tehnyt. Kaikki Nordnetin kokoisten talojen IT-järjestelmät ovat nykypäivänä sen verran monimutkaisia, että ennen kuin päivityksiä tehdään, pitäisi tehdä aina huomattava määrä testausta.

Fakta onkin, että bugeja päivitysten myötä tulee aina IT-kehityksessä. Ne pitäisi vain huomata aina ennen kuin uusi versio otetaan käyttöön käyttäjille. Tämä korostuu etenkin näin kriittisessä toiminnallisuudessa.

Nyt tässä testausvaiheessa oli yksinkertaisesti epäonnistuttu joko aikataulupaineen tai inhimillisen virheen takia.

Finanssiala onkin erityisen herkkä tälle, koska kyseessä on ihmisten rahat ja erittäin tarkka regulaatio. Erilaiset pelifirmat ja koko Piilaakson megateknot kuitenkin tekevät nykyään ihan normaalistikin sitä, että kaikki mikä laitetaan ihmisten saataville on lähtökohtaisesti bugista, eikä kaikkia bugeja edes yritetä korjata. Moni ihminen, joka on käyttänyt esimerkiksi aivan upouutta Windowsin käyttöjärjestelmää, tietää tämän tunteen hyvin. Sekä jokainen videopelaaja tietää millaista roskaa nykypelifirmat nykyään ulos laittavat.

Finanssialalla ei kuitenkaan ole samaa luksusta kuin muilla toimialoilla, vaan kaiken pitäisi aina toimia heti täydellisesti. Ja kuten olettaa saattaa, kun mukana on ihmiskomponentti, tämä ei luonnollisesti ole mahdollista 100 % ajasta. Tästä hyvänä esimerkkinä on se, että tällaisia samanlaisia isoja virheitä on tapahtunut muutaman vuoden sisään vähän liikaakin finanssialalla.

1. S-Pankilla oli identtinen ongelma mobiilisovelluksensa kanssa vuonna 2019
2. Nordealla oli samankaltaista ongelmaa viime vuonna
3. S-Pankissa oli myös merkittävä haavoittuvuus kirjautumisessa vuonna 2022

Onko sattumaa, että samanlaisia tapauksia on viime aikoina ollut yllättävän paljon alalla, jonka yksi suurimmista arvoista on turvallisuus? Eipä juuri, sillä tunnistautumiseen liittyvä regulaatio on koko ajan vahvistunut ja samalla monet isot finanssitalot Suomessa ovat olleet tai ovat parhaillaan keskellä isoja IT-uudistuksia.

Sama pätee myös vakuutusalaan, jossa itse asiassa käytännössä lähes jokainen iso suomalainen vakuutusyhtiö on keskellä kerran kahdessakymmenessä vuodessa IT-järjestelmäuudistusta. Nämä yhdessä aiheuttavat sen, että ongelmia on noussut esiin juuri viime vuosina.

Miten itse toimin?

Montaa uutinen saattaa ihan syystäkin säikäyttää. Onko Nordnet turvallinen? Pitäisikö omaa sijoituspalvelua vaihtaa? Jne.

Mitä itse teen? Varmistan asiakaspalvelulta, onko kaikki ok ja onko kukaan kirjautunut tililleni. Ja jos ei ole, en tee mitään. Jos on, kysyn, onko siellä tehty toimenpiteitä. En itse rahojani tai puolisoni rahoja Nordnetistä ota pois, koska todellinen haitan riski oli kuitenkin erittäin olematon, vaikka valtavasta tietoturvavirheestä olikin kyse.

Se täytyy kuitenkin sanoa, että siinä missä viestintä epäonnistuu aina paitsi vahingossa, sama pätee kriisiviestintään. Nordnet itsessään informoi asiasta ongelman ollessa päällä turhan markkinoinnillisesti tyyliin ”palvelumme tarvitsee nyt vähän lisärakkautta”, sen sijaan, että olisi informoinut asiakkaitaan ongelmasta kunnolla.

Toivon, että tämä teksti antoi vastauksia, avasi ja antoi myös työkaluja siihen, mitä toimia voi tehdä, jos niitä haluaa nyt tai jos tulevaisuudessa samanlaisen tilanteen uhriksi joutuisi.