See omakorda peaks ka ID-kaartide sertifikaadid kehtetuks tunnistama, et kaarti enam elektrooniliselt kasutada ei saaks.

Infosüsteemi viga

Infosüsteem, mis SMITis selle eest hoolitsema peaks, kannab nime UUSIS ehk pika nimega “uus infosüsteem”, kuid nimest hoolimata on väga vana, pärit 2002. aastast. Aastate jooksul on teda muudetud, kaasajastatud ja parandatud, kuid UUSISes oli 2015. aasta keskpaigani viga, mistõttu teated kaartide automaatsest sulgemisest SK-sse korrektselt ei jõudnud.

“Bitid jõudsid kohale, aga vastuseks tuli viga, sest SMITi poolne ja SK poolne konfiguratsiooni andmevahetuses polnud identne,” ütles SMITi identiteediteenuste osakonna juhataja Kalle Kuusik. “Piltlikult öeldes koputas SMITi poolne sõnum valele uksele, vastuseks tuli “viga”, aga UUSISe poolel seda vastust ei monitooritud.”

Seega UUSIS saatis küll teate SK-sse välja, et ID-kaardi sertifikaadid tuleb kehtetuks tunnistada, kuid SK server vastas sellele veakoodiga ning UUSISesse polnud jällegi programmeeritud selle vastuse kuulamist. Infosüsteem eeldas, et SK-sse saadetud info on korrektselt edastatud ja sellega on kõik korras.

Tulemuseks oligi see, et 15 000 ID-kaardi sertifikaadid vähemalt 2014. aastast kuni 2015. aasta keskpaigani jäid tühistamata ning neid kaarte sai tegelikult edasi kasutada.

Surnud inimeste kaardid

Viga puudutas ainult kaarte, mis aegusid automaatselt. Kui inimene läks ise politseisse uut dokumenti taotlema, pidi uut kaarti väljastanud ametnik vanad sertifikaadid ise käsitsi kehtetuks muutma ning see protsess töötas.

Suures plaanis jagunevad need 15 000 kaarti kolme gruppi: surnud inimeste kaardid, algselt elamisloaga Eestis viibinud, kuid vahepeal kodakondsuse saanud inimeste kaardid ning nime muutnud inimeste kaardid. Viimaste hulgas on valdav enamus abiellujaid.

Politsei- ja piirivalveameti (PPA) arendusosakonna nõunik-ekspert Kaija Kirch ütles, et potentsiaalsest 15 000st kaardist oli pärast kehtivuse kaotamist kasutatud 353. Nendest omakorda 285 olid surnud isikute dokumendid, mida oli keegi kasutanud pärast inimese lahkumist.

Seetõttu võib Kirchi sõnul eeldada, et kodakondsuse saanud või nime muutnud inimesed kasutasid oma vanu kaarte ise edasi ning seal vaevalt et inimeste enda teadmata toimunud kuritarvitamisi on.

Politsei alustas kriminaalmenetlust

Küll aga on politsei alustanud kriminaalmenetlust ning uurib, kes ja milliseid tehinguid tegi 285 kaardiga, mis kuulusid surnud inimestele. Menetlus alles käib ja seetõttu ei saa Kirchi sõnul praegu öelda, kas seal oli ka suuri kuritarvitamisi või surnud inimeste kaartide kasutamist pikema aja jooksul.

Enamus neist juhtumitest on tema sõnul üsna tavalised: lahkunu kontolt kanti endale matuseraha, kusjuures see oli enne kadunukesega kokku lepitud, samuti lõpetati surnud inimese nime all olevaid lepinguid ja nii edasi.

“Valdavalt olid need inimlikud kasutusjuhud,” ütles Kirch. “Muidugi pole surnud inimese kaardiga autentimine ka kindlasti korrektne, aga see pole midagi, mille puhul me alustaks kriminaalmenetlust.”

Hetkel ongi politsei keskendunud nende juhtumite uurimisele, kus sisestati ka PIN2 ehk anti lahkunu eest digiallkiri, sest seal on kuritarvitamise oht suurem.

Valimistel hääletada ei saanud

Kirchi ja Kuusiku sõnul on oluline teada, et on terve rida tähtsaid toiminguid, mida surnud inimeste kaartidega siiski teha ei saanud: näiteks valimistel hääletada või sotsiaalkindlustusametis toetusi taotleda.  Nii valimiste kui sotsiaalkindlustusameti infosüsteemid kontrollivad iga kasutamise puhul rahvastikuregistrist järele, kas toimingut teha sooviv isik on üldse elus.

Samal põhjusel ei saanud nende kaartidega luua mobiil-ID ega Smart-ID kontot.

Kuigi viga sai Kuusiku sõnul parandatud juba 2015. aasta keskel, ei tulnud tollal keegi selle peale, et uurida, kas ja kuidas on minevikus selliseid kaarte kasutatud. Miks seda ei tehtud, on praegu Kuusiku ja Kirchi sõnul keeruline öelda.

“Ilmselt oleks võinud keegi seda ka varem vaadata,” ütles Kirch.

PPA ja SMIT jõudsid selle küsimuseni uuesti tänavu kevadel, kui hakati väljastama uusi ID-kaarte ning teatud vanade kaartide sertifikaadide kehtetuks tunnistamisel hakkas ilmnema üksikuid vigu.

Nende vigade parandamise käigus otsustasid spetsialistid põhjalikumalt kontrollida, kas minevikust on jäänud veel selliseid kaarte, mille sertifikaadid ei tohiks enam kehtida. Nad arvasid, et saavad mõne üksiku vastuse, kuid päring andis tulemuseks umbes 15 000.

Ise saab kontrollida

Kui kellelgi on kahtlus, et tema või ta lähedase juba suletud kaarti on kuritarvitatud, saab seda kontrollida Eesti.ee lehel siin, kuhu tuleb vastavasse lahtrisse sisestada isikukood ning süsteem ütleb, kas kaarti on pärast selle sulgemist kasutatud.

“Kui vastus tuleb jah ning inimesel on mingi kahtlus, et on toimunud väärkasutus, tuleks politseile avaldus esitada,” ütles Kirch.

Nii Kirch kui Kuusik ütlesid, et viga oli nendepoolne ning SK-le neil etteheiteid ei ole.

Riigi infosüsteemi amet (RIA) on juhtumi osas alustanud ka järelevalvemenetlust ja uurib nii PPA kui SK tegevust selles asjas.

“Digimaailmas ei ole paraku garantiisid ning selliseid intsidente tuleb ikka ja jälle ette,” ütles RIA eID valdkonna juht Margus Arm. “Kõige olulisem on sellistel puhkudel kiiresti reageerida, võimalikud riskid maandada ning neist õppida. Selle juhtumi puhul on riskid maandatud ja meile on täpselt teada mõju ulatus ehk PPA-l on ülevaade selle kohta, milliseid kaarte on pärast kehtetuks tunnistamist edasi kasutatud.”

Armi sõnul on üheks riski ennetavaks meetmeks on pidev süsteemide toimivuse jälgimine, uuendamine ja arendamine. Ta lisas, et RIA alustas järelevalvemenetlust nii SK ID Solutionsi kui ka PPA tegevuse suhtes, et selgitada muu hulgas välja, kas on täidetud usaldusteenuse nõudeid ning järgitud infosüsteemide turvameetmete ISKE nõudeid.