ID-koodi lekked: kuidas e-poed pettust peatavad

Miljonid eurod on Eestis 2025. aastal petturitele kadunud ning politsei teatel saadi ligi ka suurele hulgale eesti.ee kontodele. Üks detail selles loos on e-kaubanduse jaoks eriti ebamugav: pättidel ei ole alati vaja “häkkida” — sageli piisab avalikust infost ja osavast telefonikõnest.

Kui sa juhid e-poodi (või vastutad kasvava e-kaubanduse eest), siis see teema ei ole “riigi IT mure”. Praktikas tähendab see rohkem tagasinõudeid, rohkem klienditoe koormust, rohkem mainekahju ja rohkem pingeid makselahenduste pakkujatega.

Ja kuna see postitus on osa sarjast „Sõidujagamine, Bolt ja platvormimajandus”, siis panen asja raami nii, nagu platvormid seda tunnevad: kui su teenus on harjumus ja rutiin (sõidujagamine, kuller, marketplace, e-pood), siis petturite ärimudel on sama rutiinne. Nad koguvad avalikke andmeid, ehitavad usaldust ja proovivad inimese käest viimase lüli — PIN1/PIN2 või ühekordse kinnituse — kätte saada.

Miks avalik isikuandmestik on e-kaubanduse risk

Avalik isikuandmestik vähendab petturite “eeltöö” hinda peaaegu nullini. ERR-i loos rõhutati, et avalikest registritest võib leida nimesid, isikukoode ja vahel ka kontaktandmeid. Kui petturil on juba isikukood ja telefoninumber, saab ta kõnes esineda “usutava” teenusepakkujana ning suruda vestlust sinna, kus ohver ütleb välja PIN1 või kinnitab Smart-ID/Mobiil-ID päringu.

E-kaubanduse vaatest on siin kaks olulist õppetundi:

1. Identiteedi “tõestamine” ei ole sama mis identiteedi “omanik”. Kui pettur saab inimese käest kinnituse, on tehniliselt kõik korrektne, kuid äriliselt on see katastroof.
2. Risk ei ole ainult sisselogimises. Risk on kogu elutsüklis: konto loomine, aadressi muutmine, makseviisi lisamine, tagastuse algatamine, järelmaksu taotlus, klienditoe kaudu muudatuste tegemine.

Platvormimajanduses (mõtle sõidujagamine või kullerteenus) on see ammu selge: pettus ei ründa ainult makset — ta ründab protsessi. E-kaubandus liigub samasse kohta.

Kuidas pettus e-poes päriselt välja näeb (mitte teoorias)

Kõige ohtlikumad rünnakud on need, mis kasutavad sinu brändi ja sinu protsesse inimese mõjutamiseks. Eestis on levinud skeemid, kus pettur:

• kogub avalikest allikatest ohvri baasiandmed;
• helistab “panga”, “riigiportaali”, “tarnefirma” või “e-poe klienditoe” nime alt;
• paneb inimese ise sisestama koodid või kinnitama päringud;
• kasutab saadud ligipääsu edasiseks pettuseks (konto ülevõtt, maksevahendi lisamine, tagastuse/ümberkorralduse tegemine, järelmaksu taotlus).

Konto ülevõtmine (ATO) e-kaubanduses

Account takeover tähendab, et pettur saab kliendi kontole sisse ja tegutseb “seestpoolt”. E-poe jaoks on see eriti valus, sest “legitiimne kasutaja” käitub järsku imelikult:

• tarneaadress muutub 2–3 minuti jooksul;
• ostukorvi lisatakse kõrge väärtusega kaup;
• tellimus tehakse ebatavalisel kellaajal;
• sama seadme/IP alt testitakse mitut kontot;
• klienditugi saab “kiire” palve: “muutke telefoninumber/ e-mail kohe ära”.

Tagastuste ja kompensatsioonide pettus

Kui pettur ei saa makset, läheb ta protsessi teise otsa. Näiteks:

• vale “kaup ei saabunud” juhtumid;
• tagastuse suunamine teisele pangakontole;
• kinkekaartide või poe krediidi väljakauplemine.

Need skeemid kasvavad eriti kiiresti detsembris-jaanuaris, kui:

• tellimuste maht on kõrge;
• klienditugi on ülekoormatud;
• tarneviivitused annavad petturile “usutava” narratiivi.

AI e-kaubanduses: kas see teeb turvalisuse paremaks või hullemaks?

AI teeb turvalisuse paremaks ainult siis, kui sa ehitad sellele piirid. Muidu võimendab AI sama probleemi: rohkem automaatikat, rohkem andmeid, rohkem rünnatavat pinda.

Eesti e-poed kasutavad AI-d juba täna (või kasutavad teenuseid, mis seda teevad):

• klienditoe chatbotid ja kõnekeskuse abisüsteemid;
• personaliseerimine ja soovitused;
• turundusautomaatika (segmendid, lookalike publikud);
• pettuse tuvastamine maksete ja tellimuste tasemel.

Probleem tekib siis, kui:

• chatbot “aitab liiga palju” ja paljastab konto infot liiga nõrga tuvastuse peale;
• turundussegmentidesse jõuab liiga tundlik info;
• logidesse salvestatakse isikukood või autentimisvihjed;
• töötajatele kuvatakse kliendiandmeid laiemalt kui tööks vaja.

Minu seisukoht: AI ei peaks kunagi olema “uus klienditöötaja”, kellel on kõik õigused. AI peab olema abiline, kelle ligipääsud on rangelt piiratud ja jälgitavad.

Praktiline kontrollnimekiri: mida e-pood saab teha juba sel nädalal

Kiireim mõju tuleb protsessidest, mitte suurtest IT-projektidest. Siin on sammud, mis päriselt vähendavad pettuse riski.

1) Vähenda avaliku ja sisemise info ristkasutust

• Ära küsi isikukoodi “igaks juhuks”. Kui seadus või teenus seda ei nõua, jäta küsimata.
• Maski isikuandmed klienditoe vaates (nt näita isikukoodist ainult viimaseid numbreid).
• Keela klienditoel teha konto kriitilisi muudatusi ühe kanali kaudu.

Snippet lause: Mida vähem isikuandmeid liigub inimeste ja süsteemide vahel, seda vähem on petturil, millele usaldust ehitada.

2) Tee “kõrge riskiga” tegevustele eraldi reeglid

Kõrge riskiga tegevused e-poes:

• e-maili/telefoninumbri muutmine;
• tarneaadressi muutmine;
• makseviisi lisamine;
• suure väärtusega tellimus;
• kinkekaartide ost;
• tagastuse väljamakse konto muutmine.

Soovitus:

1. lisa teine kinnitus (mitte sama kanal, kust taotlus tuli);
2. kasuta jahtumisaega (nt 30–120 min) enne väljamakse kinnitamist;
3. logi ja flag’i kõik erandid.

3) Õpeta töötajaid “PIN-koodi punastest lippudest”

Kui sinu klienditugi ei ütle seda igas kõnes, on auk sees.

• “Me ei küsi kunagi PIN1/PIN2.”
• “Me ei palu kinnitada Smart-ID päringut kõne ajal.”
• “Kui keegi survestab, katkesta kõne ja helista ametlikule numbrile tagasi.”

Detsembris on see eriti tähtis, sest petturid kasutavad “kiire tarne”, “viimane võimalus” ja “pakiautomaat” surveargumente.

4) Kasuta AI-d pettuse avastamiseks, mitte andmete koondamiseks

AI on väga hea mustrite leidmises. Pane ta tööle kohtades, kus inimene ei jaksa:

• ebatavaliste ostumustrite tuvastus (aeg, korvi suurus, tarneaadressi vahetus);
• mitme konto “klasterdamine” sama seadme/IP järgi;
• klienditoe piletite anomaaliad (palju “muutke konto andmeid” taotlusi lühikese aja sees);
• tagastusmustri analüüs (liiga palju “ei saabunud” või “vale toode”).

Oluline põhimõte: AI peaks andma riskiskoori ja soovituse, mitte tegema lõplikku otsust ilma kontrollita — eriti kui otsus puudutab väljamakseid.

5) Pane paika “minimaalse andmejälje” poliitika

• Logidesse ei salvestata isikukoodi, PIN-i vihjeid, dokumente täismahus.
• Juurdepääs on rollipõhine ja ajutine.
• Andmete säilitusaeg on lühike ja põhjendatud.

See pole ainult juriidika. See on pettusevastane disain.

Mida platvormimajandus (Bolt jt) õpetab e-poodidele

Platvormid teavad, et usaldus on toode. Sõidujagamise ja kullerteenuste mudel põhineb sellel, et kasutaja teeb otsuseid kiiresti: tellib sõidu, kinnitab makse, vahetab aadressi, suhtleb äpis.

Sama kiirus on petturi liitlane.

Kolm platvormiõppetundi, mida e-kaubandus võiks otse üle võtta:

1. Riskipõhine kogemus: madala riskiga tegevus on kiire, kõrge riskiga tegevus on aeglasem ja rangem.
2. Mitme osapoole vastutus: mitte ainult klient — ka teenusepakkuja, eID vahend, maksepartner ja klienditugi peavad oma osa tegema.
3. Nähtav turvalisus: kasutajale tuleb selgelt öelda, mida “õige teenus” kunagi ei küsi. Häbi pole kliendi harimises. Häbi on vaikimises.

Kiired vastused levinud küsimustele (mida juhid päriselt küsivad)

Kas isikukoodi peitmine lahendaks probleemi?

See vähendaks petturi eeltööd, aga ei kaota sotsiaalset manipuleerimist. Kui inimene annab PIN-i, on rünne endiselt võimalik. E-poe kontrollid peavad töötama ka siis, kui pettur teab nime ja isikukoodi.

Kas Smart-ID/Mobiil-ID on “ohtlik”?

Ei, ohtlik on inimese mõjutamine kinnitama midagi, millest ta aru ei saa. Seega on võtmekoht kasutajaliideses, sõnumites, klienditoe skriptides ja jahtumisaja kasutamises.

Kas väiksel e-poel on üldse mõtet AI pettusevastaseks tööks?

Jah, kui alustada kitsalt. Näiteks riskiskoor ainult kinkekaartidele ja kõrge väärtusega tellimustele annab sageli kohe nähtava tulemuse.

Järgmine samm: turvaline AI e-kaubanduses (ja vähem pettuseid)

Kui ERR-i lugu millestki valusalt räägib, siis sellest, et avalik info + osav suhtlus on tänase pettuse “standardpakett”. Ja detsembri lõpus, kui e-poed töötlevad aasta suurimaid mahtusid, on petturitel eriti lihtne peituda päris probleemide (tarneviivitused, tagastused, kampaaniad) taha.

E-poed, kes tahavad AI-st kasu saada, peavad võtma turvalisust sama tõsiselt nagu konversiooni. AI abil saab pettust avastada kiiremini kui inimene, aga ainult siis, kui andmete kasutus on distsiplineeritud ja protsessid on disainitud “petturiga arvestades”.

Kui sa peaksid valima ühe fookuse 2026. aasta alguses, siis see on lihtne: riskipõhine konto- ja maksekaitse, mis ei palu kliendil kunagi teha “midagi kiiresti kõne ajal”.

Milline osa sinu e-poe protsessist oleks petturile kõige lihtsam rünnata — konto muutmine, väljamaksed või klienditoe kaudu identiteedi “kinnitamine”?