Personas datu aizsardzības incidentu apskats 2026 gada 43 nedēļa

TWINO: neatļauta piekļuve investoru personas datiem

Sākotnējais riska vērtējums - augsts
Latvija

2026. gada 15.–16. oktobrī TWINGO platformai tika veikti vairāki kiberuzbrukumi. Uzņēmuma izmeklēšanā konstatēts, ka nepiederoša trešā persona ieguvusi piekļuvi daļai investoru personas datu.

Saskaņā ar uzņēmuma sniegto informāciju:

• skarti aptuveni 8% pašreizējo investoru;
• ietekmētie lietotāji informēti pa e-pastu;
• uzbrukumā izmantotā ievainojamība ir novērsta un uzbrukums ir apturēts;
• investoru kontiem, parolēm un identitātes dokumentu kopijām uzbrucēji neesot piekļuvuši;
• nav konstatēti neatļauti darījumi vai naudas izņemšana.

Uzņēmums norāda, ka sākotnējās izmeklēšanas rezultāti liecina par iespējamu autonomu mākslīgā intelekta rīka izmantošanu uzbrukumā, šim apgalvojumam nav neatkarīga apstiprinājuma.

Skartie dati

Uzņēmums ir apstiprinājis piekļuvi ierobežotam investoru personas datu apmēram, taču publiskajā paziņojumā nav pilnībā uzskaitīti konkrēti skartie datu lauki. Patreiz nav pamata apgalvot, ka būtu noplūduši finanšu kontu dati vai identitātes dokumenti.

Ietekme un risks

Neatļauta piekļuve investoru informācijai var radīt mērķētu krāpšanas un pikšķerēšanas risku, piemēram, uzbrucēji var izmantot iegūto informāciju, lai veidotu ticamus viltus ziņojumus. Faktisks šādas informācijas izmantojums ļaunprātīgi nav apstiprināts.

Incidents Vispārīgās datu aizsardzības regulas skatījumā

• 32. pants — apstrādes drošība: jāvērtē, vai tehniskie un organizatoriskie pasākumi nodrošināja datu drošībai atbilstošu aizsardzību.
• 33. pants — ziņošana uzraudzības iestādei: TWINO norādījis, ka informējis Datu valsts inspekciju. Šīs informācijas paziņošanas savlaicīgums un juridiskā atbilstība no publiskā paziņojuma vien nav nosakāma
• 34. pants — datu subjektu informēšana: uzņēmums norāda, ka skartos investorus informējis.

Quest Diagnostics: iespējama piekļuve pacientu ierakstiem

Sākotnējais riska vērtējums - augsts
ASV

22.oktobrī Quest Diagnostics paziņoja, ka 21. oktobrī atklājis neatļautu piekļuvi sistēmai Quanum Lab Services Manager. Šo sistēmu daļa klientu izmanto laboratorisko izmeklējumu pasūtīšanai un rezultātu apskatei.

Uzņēmums uzskata, ka varētu būt skarti atsevišķi pacientu ieraksti. Izmeklēšanā piedalās ārējie kiberdrošības speciālisti un tiesībaizsardzības iestādes.

Ietekme un risks

• ietekmēto pacientu skaits nav publiski zināms;
• apdraudēto vai iegūto datu saraksts nav publiskots.

Tā kā uzlauztā sistēma ir saistīta ar laboratoriskajiem izmeklējumiem, pastāv liela iespēja, ka uzbrucējs ir ieguvis veselības informācijai, taču publiskotā informācija nenorāda kādi ieraksti iegūti.

Veselības dati ir īpašu kategoriju personas dati VDAR izpratnē. To neatļauta izpaušana var radīt privātuma aizskārumu, diskriminācijas vai krāpšanas risku. Patreiz tie ir iespējamie riski, nevis pierādītas sekas.

Quest Diagnostics jau iepriekš ir hakeru uzbrukumos, piemēram, 2016. gadā uzņēmums ziņoja, ka kompromitēti laboratorijas rezultāti un kontaktinformācija, par aptuveni 34 000 cilvēkiem. 2019. gadā uzņēmums cieta tā saucamajā "piegāžu ķēžu incidentā" (hakeri uzbruka rēķinu iekasēšanas pakalpojumu sniedzējam), kura laikā tika nopludināta 11,9 miljons Quest Diagnostics  pacientu informācija.

Incidents Vispārīgās datu aizsardzības regulas skatījumā

9. pants, īpašu kategoriju personas dati. Būtu nozīmīga ietekme, ja apstiprinātos neatļauta piekļuve veselības datiem.
32. pants, apstrādes drošība. Jāvērtē izmantotās sistēmas aizsardzība un incidenta cēloņi.
33. un 34. pants, paziņošanas pienākumi. Jāvērtē atbilstoši konkrētajam riskam un piemērojamajam tiesiskajam regulējumam.

Tā kā uzņēmums darbojas ASV, piemērot VDAR automātiski uzreiz nevar, tas atkarīgs no skartās informācijas un tās saistību ar Eiropas Savienības pilsoņiem.

Neatļauta piekļuve Genesys iekšējām biznesa sistēmām

Sākotnējais riska vērtējums - vidējs / augsts
Starptautisks

Genesys savā paziņojumā informēja par 16.oktobra incidentu, kura laikā trešā persona piekļuva atsevišķām iekšējām sistēmām, tostarp:

• mācību pārvaldības sistēmai (LMS);
• klientu attiecību pārvaldības sistēmai (CRM).

Uzņēmums apstiprināja, ka noteikta informācija šajās sistēmās tika apskatīta un/vai lejupielādēta bez atļaujas. Pēc četrām dienām uzņēmums atjaunoja ziņojumu un norādīja, ka ielaušanās ir ierobežota un veikti tūlītējie novēršanas pasākumi.

Skartie dati

Sistēmās glabājās informācija par esošajiem un potenciālajiem klientiem:

• vārdi un uzvārdi;
• darba e-pasta adreses un tālruņu numuri;
• amati;
• uzņēmumu un klientu kontu informācija;
• cita klientu attiecību informācija.

Genesys uzsvēra, ka tā galvenās klientu platformas Genesys Cloud, Genesys Engage un Genesys Engage Cloud, nav kompromitētas un nav konstatēta neatļauta piekļuve klientu un partneru datiem šajās platformās, tostarp zvanu ierakstiem un analītikas datiem.

Ietekmēto personu skaits un faktiski iegūto datu apjoms pagaidām nav publiskots.

Riska izvērtējums

Uzņēmējdarbības kontaktinformācija var tikt izmantota mērķētai pikšķerēšanai un krāpnieciskai saziņai, īpaši, ja uzbrucēju rīcībā ir arī informācija par darba pienākumiem un uzņēmuma struktūru. Informācija par datu nonākšanu melnajā tirgū vai to izmantošanu krāpniecībai pagaidām nav apstiprināta.

Incidents Vispārīgās datu aizsardzības regulas skatījumā

• 32. pants. Jāizvērtē piekļuves kontrole, sistēmu aizsardzība un incidenta novēršanas pasākumi.
• 33. pants. Jānoskaidro, vai un kad informēta attiecīgā uzraudzības iestāde, ja šāds pienākums bija piemērojams.
• 34. pants: Jāvērtē, vai risks skartajām personām sasniedza līmeni, kas prasa viņu informēšanu.

Lietuvas ceļotāju personas datu noplūde

Sākotnējais riska vērtējums - augsts vai pat kritisks
Lietuva

Lietuvas mediji 2026. gada oktobrī ziņoja, ka Krievijas datu melnajā tirgū, iespējams, pieejama informācija par cilvēkiem, kuri laikā no 2012. līdz 2026. gadam Lietuvā bija iegādājušies ceļojumus. Žurnālistu izpētē minēti ceļotāju identifikācijas un kontaktinformācijas dati, ceļojumu maršruti, datumi un cenas, kā arī personu apliecinošo dokumentu numuri.

Publiskie ziņojumi liecina par iespējamu plaša mēroga datu kompromitēšanu, taču incidenta pilnais apjoms un katras iesaistītās organizācijas atbildība vēl nav galīgi noskaidroti. Tāpat nav pamata apgalvot, ka noteikti noplūdušas visu skarto personu pasu kopijas.

Incidents

1. 2026.g. sept. — iespējamais sākotnējais incidents.
   Varētu būt skartas ceļojumu organizatoru sistēmas Krievijā un Baltkrievijā. Precīzs piekļuves datums un cēlonis nav.
   
   
2. 21. okt. — publiska informācija par noplūdi.
   Lietuvas Delfi ziņo, ka tā žurnālisti atraduši pierādījumus par ceļotāju datiem melnajā tirgū. Tez Tour paziņo, ka sācis iekšēju izmeklēšanu un sadarbojas ar atbildīgajām institūcijām.
   
   
3. 22. okt. — jautājums nonāk valsts institūciju uzmanības centrā.
   Lietuvas Seima deputāts Audrius Petrošius vērsās Ģenerālprokuratūrā, Valsts datu aizsardzības inspekcijā un Nacionālajā kiberdrošības centrā, lūdzot izvērtēt iespējamo datu noplūdi un ar to saistītos riskus.
   
   
4. 23. okt. — papildu procesuālā informācija.
   Delfi ziņo, ka prokuratūra uzdevusi pārbaudīt incidenta apstākļus. Publiski ziņots arī par Valsts datu aizsardzības inspekcijas pārbaudi.
   
   
5. 24. okt — brīdinājums par personu apliecinošo dokumentu maiņu.
   Advokāte Inga Abramavičiūtė intervijā MadeinVilnius, skaidro iespējamos riskus un norāda, ka iespējams cilvēkiem, izvērtējot konkrētos apstākļu, jāpieņem lēmums mainīt dokumentus.

Skartie dati

Precīzs skarto personu skaits pagaidām nav apstiprināts.

Tez Tour partneriem adresētajā paziņojumā norādīja, ka uzņēmums neievāc un neglabā maksājumu karšu datus vai personu apliecinošo dokumentu kopijas.

Riska izvērtējums

Šī incidenta sekas potenciāli ir smagākas nekā klasiskas kontaktinformācijas noplūdes gadījumā.

• Datu savienošanas risks. Viss noplūdušo datu kopums ļauj izveidot detalizētāku personas profilu nekā katrs datu elements atsevišķi.
• Iespējama ilgtermiņa ietekme. Ziņojumos minēti ceļojumi no 2012. līdz 2026. gadam. Ja šī informācija ir patiesa, tā var atklāt ne tikai aktuālos, bet arī kopējos ceļošanas paradumus.
• Pārrobežu datu apstrāde. Ziņojumos minētas informācijas sistēmas Krievijā un Baltkrievijā. Tomēr datu atrašanās melnajā tirgū pati par sevi vēl nenorāda, kurā valstī vai uzņēmumā ir notikusi datu noplūde.

Incidents Vispārīgās datu aizsardzības regulas skatījumā

• 5. pants, apstrādes principi. Jāvērtē konfidencialitātes un integritātes nodrošināšana, kā arī datu apstrādes pārskatatbildība.
• 28. pants, datu apstrādātājs. Ja rezervāciju sistēmu uzturēja ārējs pakalpojumu sniedzējs, jāizvērtē tā pienākumi un datu pārziņa kontrole.
• 32. pants, apstrādes drošība. Jānoskaidro vai piekļuves kontrole, uzraudzība un citi drošības pasākumi bija samērojami ar iespējamo risku.
• 33. pants, ziņošana uzraudzības iestādei. Jānoskaidro, kad datu pārzinis uzzināja par pārkāpumu un vai noteiktajā termiņā paziņoja uzraudzības iestādei.
• 34. pants, personu informēšana. Ja pārkāpums var radīt augstu risku cilvēku tiesībām un brīvībām, skartās personas jāinformē bez nepamatotas kavēšanās.

Ja tiktu apstiprināta pilnu dokumentu kopiju noplūde plašā mērogā, riska līmeni varētu traktēt kā kritisku.

Kā rīkoties ceļotājiem, kuri iegādājušies ceļojumus Lietuvā?

1. Sazināties ar savu ceļojuma organizatoru un pieprasīt informāciju par savu personas datu apstrādi, vai tie ir skarti incidentā.
2. Ja esat nodevuši organizatoram sava dokumenta kopiju, noskaidrot vai tas ir ievadīts sistēmā pilnībā (skenēts) vai tikai dokumenta numurs, citi dati.
3. Ja apstiprināta pases vai personas apliecības datu noplūde, sazināties ar PMLP un noskaidrot, vai šādā situācijā ir ieteicama dokumenta nomaiņa.
4. Būt piesardzīgiem pret viltus ziņām par rezervācijām, ceļojumu izmaiņām, atmaksām vai papildu maksājumiem.
5. Bez maksas piesaki pakalpojumu Stop Kredīts ManaKreditVesture.lv to, gan var izdarīt arī lai vienkārši novērstu šo risku tavā dzīvē.