Een telecommunicatieprovider die in Letland actief is, heeft meer dan 125 miljoen sms’jes via een onbeveiligde database blootgesteld, wat mogelijk gevoelige communicatie van banken, zorgverleners, detailhandelaren en openbare instellingen in de Baltische staten in gevaar brengt. De gegevens omvatten authenticatiecodes, financiële transacties, medische informatie en persoonlijke contactgegevens.
De blootstelling betrof CSCTelecom, een bedrijf dat zakelijke berichtendiensten levert aan organisaties in Letland, Litouwen en Estland. Beveiligingsonderzoekers ontdekten op 28 september 2026 de openbaar toegankelijke ClickHouse-database, waarbij gegevens dateren van oktober 2022 tot september 2026.
In tegenstelling tot een gewone historische datalek ontving de database nieuwe berichten in realtime. Meer dan drie miljoen sms-berichten waren alleen al in september verwerkt, wat betekende dat iedereen met toegang mogelijk binnenkomende communicatie kon monitoren terwijl deze werd verzonden.
De blootgestelde informatie omvatte telefoonnummers van de ontvanger, volledige inhoud van het bericht, verzendtijdstempels, namen van klantorganisaties en routeringsgegevens van het mobiele netwerk. Sommige records bevatten ook kosten voor de verzending van berichten en andere operationele metadata.
Onder de getroffen organisaties bevonden zich de Letse activiteiten van Swedbank en SEB. Berichten die aan Swedbank waren gekoppeld, bevatten bankrekeningnummers, transactiebedragen, ontvangers van betalingen, resterende saldi en details die bepaalde aankopen identificeerden.
Andere blootgestelde communicatie omvatte eenmalige authenticatiecodes, tijdelijke wachtwoorden en accountverificatieberichten. Dergelijke informatie zou criminelen mogelijk toegang kunnen geven tot online accounts als ze geldige codes onderscheppen tijdens het starten of misbruiken van een authenticatieproces.
De database bevatte ook berichten die verband houden met de Letse 112-nooddienst, waaronder telefoonnummers en incidentgegevens. Verzekeraars zoals ERGO en Compensa waren vertegenwoordigd, waarbij sommige communicatie polisgerelateerde informatie, kentekennummers en facturatiebedragen onthulde.
Verschillende Litouwse bedrijven verschenen in de blootgestelde gegevens, waaronder IKI, Akropolis, PerlasGo, Autoplius en EuroCash. De informatie varieerde van klantverificatiecodes en aankoopupdates tot beveiligingsmeldingen over beschermde eigendommen.
Reisgerelateerde berichten van airBaltic bevatten contactgegevens van passagiers, vluchtinformatie en achternamen. Zorgorganisaties, waaronder Litouwse tandartspraktijken, werden ook getroffen, waarbij sommige dossiers medische testinformatie en communicatie met afspraken toonden.
Het incident roept zorgen op die verder gaan dan de directe blootstelling van individuele berichten. Het combineren van meerdere jaren communicatie met één telefoonnummer kan iemands bankrelaties, koopgewoonten, reisarrangementen, gezondheidsinteracties en financiële situatie onthullen.
Onderzoekers waarschuwden ook dat de realtime aard van de blootstelling mogelijkheden creëerde voor accountovername. Criminelen die inkomende authenticatiecodes of wachtwoordresetlinks monitoren, zouden deze mogelijk kunnen misbruiken voordat de beoogde ontvangers de relevante beveiligingsprocedures hadden afgerond.
De onderzoekers informeerden CSCTelecom op 29 september over de blootgestelde database. Vervolgens bevestigden ze dat de publieke toegang op 27 oktober was gesloten, bijna een maand na de eerste ontdekking.
Het onderzoek heeft echter niet vastgesteld of kwaadwillenden de informatie hebben benaderd of gedownload voordat de database werd beveiligd. Er is momenteel geen bevestigd bewijs dat de blootgestelde berichten zijn gebruikt om klantaccounts te compromitteren.
Het incident roept ook vragen op waarom de berichtenprovider jarenlang communicatie met gevoelige persoonlijke informatie heeft bewaard. Volgens Europese gegevensbeschermingsregels moeten organisaties het behoud van persoonsgegevens beperken tot periodes die gerechtvaardigd zijn door legitieme verwerkingsdoeleinden.