Uppdaterad information 27 september
Nu är det återigen möjligt att logga in på Mina sidor på akavia.se, efter att funktionen varit stängd under två dagar. Vi ber om ursäkt för eventuella olägenheter som den tillfälliga stängningen av Mina sidor har medfört.
En förbättring av inloggningsfunktionen är att alla som vill logga in behöver identifiera sig med bank-id. Det betyder att det inte är möjligt, ens i teorin, att försöka få indikation på om någon annan är medlem i Akavia. Medlemmar med åtkomst till Mina sidor kommer inte att märka någon skillnad mot tidigare, utan loggar in med hjälp av bank-id som vanligt.
Bakgrund
Måndagen den 25 september kontaktades Akavia av tidningen Arbetet som upptäckt ett potentiellt säkerhetshål i inloggningen till Mina sidor. Sårbarheten som identifierades innebär att det, i teorin, har varit möjligt att få indikation på om en person är medlem i Akavia eller ej. Den som haft tillgång till en persons fullständiga personnummer och medvetet velat pröva om en person är medlem, har kunnat göra det. Om det faktiskt har gjorts är omöjligt att svara på. Likväl är alla slags sårbarheter mycket viktiga att identifiera och minimera.
Sedan informationen nådde oss har framförallt tre insatser genomförts:
- Vi stoppade omgående möjligheten att utnyttja kryphålet genom att tillfälligt stänga ned inloggningen till Mina sidor och lämnade in en anmälan om personuppgiftsincident till IMY.
- Vi påbörjade skyndsamt utvecklingen av en ny inloggningsfunktion.
- Vi utreder hur och på vilka grunder det tidigare flödet sattes upp, så att vi säkerställer att framtida flöden inte har liknande kryphål som kan utnyttjas.
Vi är tacksamma över att Arbetet uppmärksammat denna lucka och gett oss möjligheten att omgående täppa igen den.