Kerroimme 28.8.2026 Musiikintekijat.fi-sivustoon kohdistuneesta tietomurrosta. Riippumaton tekninen selvitys on nyt valmistunut, ja sen tulokset ovat rauhoittavia: salasanat olivat koko ajan asianmukaisesti suojattuja. Lisäksi selvityksessä ei havaittu viitteitä siitä, että arkaluonteisimmat tiedot, kuten henkilötunnukset, olisivat vaarantuneet. Täyttä varmuutta tästä ei voida antaa, joten kerromme alla tarkemmin, mitä selvitys osoitti, mitä jäi avoimeksi ja mitä olemme tehneet.

Mitä selvitys osoitti

Sivustollemme murtauduttiin heinäkuussa hyödyntämällä WordPress-julkaisujärjestelmässä ollutta ohjelmistovirhettä. Kyse ei ollut meihin kohdistetusta hyökkäyksestä: sama virhe vaikutti samaan aikaan miljooniin sivustoihin ympäri maailman. Tietoja kopioitiin sivustomme tietokannasta ajalla 18.–22.7.2026, ja kopiointi päättyi 22.7.2026 teknisen kumppanimme asentamaan korjauspäivitykseen.

Selvitys rajaa vahinkoa kolmella tavalla:

– Vaikka haavoittuvuus oli sivustollamme olemassa jo maaliskuusta lähtien, sitä ei käytetty hyväksi ennen kuin virhe tuli julkisesti tunnetuksi heinäkuussa.

– Hyökkääjät eivät onnistuneet ajamaan omaa ohjelmakoodiaan palvelimellamme, eivätkä he jättäneet sivustolle haittaohjelmia.

– Tietoja ei kopioitu kerralla koko tietokannasta, vaan pieninä, yksittäisinä hakuina. Selvityksen mukaan salasanojen tiivisteitä sisältävää taulua ei todennäköisesti viety.

Salasanat itsessään eivät olleet missään vaiheessa vaarassa paljastua sellaisenaan: järjestelmä tallentaa niistä ainoastaan vahvasti suojatun tiivisteen, ei koskaan salasanaa luettavassa muodossa, ja tämä suojaus oli alan nykysuositusten mukainen. Heikko tai yleisesti käytetty salasana voidaan kuitenkin selvittää tiivisteestä kokeilemalla. Siksi edellisen tiedotteen ohjeistus pysyy voimassa: jos olet käyttänyt Musiikintekijat.fi-sivustolla samaa salasanaa kuin muissa palveluissa, vaihda se niissä. Musiikintekijat.fi-sivustolla ei voi enää vaihtaa salasanaa, koska tunnuksia ei enää ole.

Miksi kirjautuminen ei ole tällä hetkellä käytössä

Poistimme varotoimena kaikki sivuston käyttäjätilit ja suljimme kirjautumisen. Salasanaa ei voi siis vaihtaa, koska omia verkkosivun jäsentilejä ei enää ole, eikä sinun tarvitse tehdä sivustolla mitään. Uusi verkkosivusto otetaan käyttöön uuden teknisen kumppanin kanssa, ja sen kirjautuminen toteutetaan alusta alkaen uudella tavalla. Siihen asti tapahtumailmoittautumiset hoidetaan erillisellä työkalulla, josta tulee tieto jokaisen tapahtuman yhteyteen.

Mitä jäi avoimeksi

Sivustollamme oli tekninen yhteys erilliseen, sivustosta irralliseen jäsenrekisteriin, jossa säilytettiin muun muassa henkilötunnuksia. Emme löytäneet mitään merkkejä siitä, että tätä yhteyttä olisi käytetty väärin. Emme kuitenkaan pysty sulkemaan tätä mahdollisuutta täysin pois, koska rekisteripalvelun lokitietoja ei ole toistaiseksi ollut saatavilla tarkistusta varten. Olemme silti jo poistaneet varotoimenpiteenä jäsenrekisteristä henkilötunnukset, uusineet yhteyden tunnisteet varotoimena, ja puramme koko yhteyden kokonaan.

Mitä olemme tehneet

Olemme korjanneet haavoittuvuuden, poistaneet hyökkääjien luomat tunnukset ja uusineet järjestelmien väliset tunnisteet. Olemme myös varotoimenpiteenä poistaneet henkilötunnukset jäsenrekisteristä ja sulkeneet verkkosivujen kirjautumisen kokonaan. Olemme ilmoittaneet asiasta tietosuojavaltuutetun toimistolle ja jättäneet lopullisen täydennysilmoituksen 5.9.2026, ilmoittaneet henkilökohtaisesti 28.8.2026 niille, joita asia erityisesti koskee, ja tulemme tekemään tapahtuneesta rikosilmoituksen lähipäivinä. Riippumattoman teknisen selvityksen suositukset otetaan huomioon uuden sivuston toteutuksessa.

Ymmärrämme, että tietomurto on herättänyt huolta, ja pahoittelemme tapahtunutta vilpittömästi. Teemme jatkossakin kaikkemme, ettei vastaavaa pääse tapahtumaan. Kiitämme jäsenistöä ymmärryksestä.

Suomen Musiikintekijät ry

Tiedustelut: Nina Lith, viestintä- ja järjestöpäällikkö, nina.lith@musiikintekijat.fi, 041 517 8998

Luethan myös päivitetyt usein kysytyt kysymykset

Aikaisempi tiedote asiasta