Tietoturvaloukkaus Exel Compositesilla – Kysymyksiä ja vastauksia

Viimeksi päivitetty: 7.8.2025 klo 11.26 – Same information in English at the bottom of this page.

1. Mitä on tapahtunut?

Exel Composites joutui kyberhyökkäyksen kohteeksi heinäkuussa 2025. Tietomurto todennettiin 18.7.2025 ja se koski rajattua määrää työasemia ja palvelimia.  Asiaa ryhdyttiin heti tutkimaan ulkopuolisten kyberasiantuntijoiden avulla ja asiasta ilmoitettiin viranomaisille. Selvitykset jatkuvat yhteistyössä asiantuntijoiden ja viranomaisten kanssa.

2. Mitä tietoja tietomurto käsittää?

Altistuneita tietoja ovat pääasiassa nykyisten ja entisten työntekijöiden sekä osakkeenomistajien nimet, osoitteet ja henkilötunnukset. Tietomurto sisältää myös yhtiön liiketoimintaan liittyvää tietoa, mukaan lukien taloudellista tietoa, minkä takia yhtiö julkaisi ennakkotietoja puolivuotiskatsauksesta tammi–kesäkuulta 2025.

3.Kuinka montaa ihmistä tietomurto koskee?

Tietomurto on saattanut altistaa jopa noin 10 000 henkilön tiedot.

4. Onko yhtiön liiketoiminta häiriintynyt?

Ei. Yhtiön liiketoiminta, tuotanto ja tehtaiden toiminta eivät ole häiriintyneet. Tietomurto ei ole myöskään ulottunut käytössä oleviin liiketoimintajärjestelmiin.

5. Miten hyökkäys tapahtui?

Kyseessä oli tietojenkalasteluun perustuva hyökkäys, jossa työntekijöitä houkuteltiin luovuttamaan salasanansa ja käyttäjätunnuksensa. Näin saatuja tietoja yhdistettiin kehittyneisiin hakkerointitekniikoihin.

6. Miten olette varautuneet kyberuhkiin ja erit. tietojenkalasteluyrityksiin?

Kyberturvaa on viime vuosina työstetty merkittävästi. Yhtiössä on menossa jatkuva kyberturvallisuuteen liittyvä koulutusohjelma jonka jokainen tietotyötä tekevä työntekijä käy sekä kalastusyritysten esto- ja raportointityökalut. Lisäksi kyberuhkiin on varauduttu laajasti teknisillä valvonta- ja hallintaratkaisuilla ja tietoympäristön suunnittelulla. Yhtiö käyttää säännöllisesti ulkopuolisia arvioitsijoita kehittämään ja arvioimaan varautumistaan.

7. Mihin hyökkäys kohdistui?

Hyökkäys kohdistui rajalliseen määrään yhtiön palvelimia ja työasemia. Merkittävä osa tietovuodosta liittyy yhteen Suomessa sijaitsevaan palvelimeen.

8. Olen nykyinen tai aiempi osakkeenomistaja. Ovatko tietoni altistuneet?

Mikäli olet nyt tai olet ollut osakkeenomistaja vuosien 2019–2022 ja 2024–2025 aikana, saattavat tietosi olla altistuneet. Suosittelemme tutustumaan ohjeisiin koskien henkilötietojesi suojaamista osoitteessa https://investors-fi.exelcomposites.com/tietomurto-2025/

9. Miksi ette voi vahvistaa minulle, että tietoni ovat edelleen turvassa?

Valitettavasti kyberturva-asiantuntijat eivät voi aukottomasti varmistaa onko tietty tieto edelleen turvassa vaikka siltä vaikuttaisikin. Olemme siksi lähteneet siitä, että kyseisillä palvelimilla sijainneet tiedot kokonaisuudessaan ovat altistuneet.

10. Onko hyökkäyksen tekijä tiedossa?

Kyllä, yhtiöllä on tekijä tiedossa, mutta yksityiskohtia ei paljasteta altistuneiden tietojen suojaamiseksi.

11. Onko pankkitietoja tai maksutietoja vuotanut?

Tällä hetkellä ei ole syytä olettaa, että pankkitunnuksia tai vastaavia tietoja olisi vaarantunut.

12. Miksi yhtiö tiedotti asiasta vasta 25.7.2025?

Tietomurron laajuutta voitiin arvioida ja todentaa vaiheittain 18.7 – 25.7 välisenä aikana. Yhtiö on toiminut ripeästi selvittäen mitä tietoja on vaarantunut ja missä laajuudessa. Tietomurron vakavuus tarkentui vasta tiedottamista edeltävän noin puolentoista vuorokauden aikana.

13. Miten Exel Composites on reagoinut tapahtuneeseen?

Yhtiö aloitti välittömästi vastatoimet ja selvitykset yhdessä kansainvälisten kyberturva-asiantuntijoiden kanssa. Yhtiö on tehnyt rikosilmoituksen poliisille ja ilmoittanut asiasta tietosuojaviranomaisille. Lisäksi olemme käynnistäneet tukiohjelman henkilöstölle ja osakkeenomistajille sekä olemme yhteydessä henkilöihin, joita tietomurto koskettaa.

Yhtiö jatkaa tapauksen selvittämistä yhdessä asiantuntijoiden ja viranomaisten kanssa.

14. Mihin toimiin olette ryhtyneet vuodon aiheuttamien haittojen minimoimiseksi?

Olemme pyrkineet tiedottamaan asiasta laajasti yhteistyössä median kanssa, sekä tavoittelemalla asianosaisia ohjeistaaksemme heitä. Yhtiö on perustanut tietomurtoa koskevan maksuttoman puhelinneuvonnan ja päivittyvät verkkosivut sekä tavoittelee kaikkia asiaosasia kirjeitse tai muilla tavoin. Lisäksi olemme järjestäneet kaikille asianosaisille maksuttomat Suomen Asiakastieto Oy:n henkilötietojen suojaus- ja väärinkäyttöjen valvontapalvelut.

15. Koska ja miten tavoittelette asianosaisia?

Henkilöstöä on tavoiteltu laajasti eri kanavia käyttäen heti 25.7.2025 alkaen jolloin asiasta on myös annettu pörssitiedotteet sekä medialle lehdistötiedotteet. Osakkeenomistajia lähestymme kirjeitse ja muita asianosaisia eri kanavia käyttäen 28.7.2025 alkaen riippuen käytössämme ja julkisesti saatavilla olevista yhteystiedoista. Asiakkaitamme tiedotamme erillisen arviointi- ja yhteydenottosuunnitelman mukaisesti.

16. Mitä tukitoimia yhtiö tarjoaa osakkeenomistajilleen tiedottamisen lisäksi?

Exel kustantaa nykyisille ja entisille altistuneille osakkeenomistajille sekä muille joiden tietoja on voinut altistua Suomessa Asiakastieto Oy:n luottokieltopalvelun ja henkilötietojen valvontapalvelun vuodeksi. Halutessasi voit ottaa palvelun käyttöön ja se on maksuton asianosaisille jotka tekevät tilauksen ennen 15.9.2025. Palvelun tilausohjeet löytyvät osoitteesta https://investors-fi.exelcomposites.com/tietomurto-2025/

17. Miten aiotte jatkossa viestiä tietomurrosta tai siihen liittyvistä asioista

Olemme perustaneet päivittyvän verkkosivuston osoitteeseen https://investors-fi.exelcomposites.com/tietomurto-2025/ Verkkosivuilta löytyvät ohjeet henkilötietojen suojelemiseksi sekä Suomen Asiakastieto Oy valvontapalvelun käyttöön ottamiseksi. Olemme myös julkaisseet tämän kysymyksiä ja vastauksia -sivun.

18. Miten yhtiö aikoo estää vastaavat tapaukset jatkossa?

Kyberturvaan liittyvä suojautumisemme on ollut korkealla prioriteetillä jo useamman vuoden ajan. Yhtiö jatkaa kyberturvallisuutensa kehittämistä, investointien tekemistä teknisiin ratkaisuihin ja tarjoaa henkilöstölleen lisää työkaluja ja koulutusta. Tapauksesta on tekeillä laaja selvitys jonka tarkoituksena on selvittää tapahtumien kulku perinpohjaisesti ja pintauttaa riskitekijöitä tulevaisuutta ajatellen.

19. Miten tulette minimoimaan tietomurron vaikutuksia liiketoimintaanne?

Yhtiö jatkaa työskentelelyä luottamuksen ja myönteisen yhtiökuvan rakentamiseksi. Uskomme, että voimme avoimella viestinnällä, tähän liittyviä ihmisiä tukemalla ja palvelemalla asiakkaitamme hyvin siirtyä eteenpäin entistä vahvempana.

20. Suojautumisohjeissa on useita vaihtoehtoja luottokieltopalveluun, miksi Exel tarjoaa juuri Suomen Asiakastieto Oy:n palveluita?

Exel tarjoaa Suomen Asiakastieto Oy:n Oma luottokielto ja Tietovahti-palvelut, koska ne ovat laajasti käytössä Suomessa ja tarjoavat kattavan suojan henkilötietojen väärinkäytön varalta. Asiakastiedon mukaan luottokielto toimii silloin, kun luottotietoja tarkastetaan heidän kauttaan – mikä on yleistä kotimaisessa luotonmyönnössä. Tietovahti puolestaan ilmoittaa käyttäjälle, jos hänen tietojaan käytetään tai levitetään, ja näin suojaa identiteettivarauksilta. Exel on päättänyt tarjota osakkeenomistajille ja työntekijöille myös Tietovahdin, koska se täydentää Suomi.fi-sivuston ohjeita ja tuo ylimääräistä suojaa.

21. Osakeomistukseni on tai on ollut vain yrityksen nimissä. Ovatko henkilötietoni altistuneet?

Mikäli osakeomistus on ollut vain yrityksen nimissä, osakasluetteloissa on tällöin ollut näkyvissä yrityksen nimi, Y-tunnus ja postiosoite.

Cyberattack on Exel Composites – Questions and answers

1. What has happened?

Exel Composites was the target of a cyberattack in July 2025. The data breach was confirmed on July 18, 2025, and affected a limited number of workstations and servers. The matter was immediately investigated with the help of external cybersecurity experts, and authorities were notified. Investigations are ongoing in cooperation with experts and authorities.

2. What information does the data breach involve?

The exposed data primarily includes names, addresses, and personal identity numbers of current and former employees and shareholders. The breach also involves company-related business information, including financial data, which led the company to release preliminary information from the January–June 2025 half-year report.

3. How many people are affected by the breach?

The data breach may have exposed information of up to approximately 10,000 individuals.

4. Has the company’s business been disrupted?

No. The company’s operations, production, and factory activities have not been disrupted. The breach did not extend to the business systems currently in use.

5. How did the attack occur?

It was a phishing-based attack where employees were tricked into giving up their passwords and usernames. The obtained credentials were combined with advanced hacking techniques.

6. How have you prepared for cyber threats, especially phishing attempts?

Cybersecurity has been significantly developed in recent years. The company runs a continuous cybersecurity training program that all office workers must complete, along with phishing prevention and reporting tools. Additionally, the company has broadly prepared for cyber threats with technical monitoring and management solutions and information environment design. External evaluators are regularly used to develop and assess preparedness.

7. What was the target of the attack?

The attack targeted a limited number of company servers and workstations. A significant portion of the data leak is linked to one server located in Finland.

8. I am a current or former shareholder. Has my data been exposed?

If you are or have been a shareholder during 2019–2022 or 2024–2025, your data may have been exposed. We recommend reviewing the guidelines for protecting your personal data at https://investors-fi.exelcomposites.com/tietomurto-2025/

9. Why can’t you confirm that my data is still safe?

Unfortunately, cybersecurity experts cannot definitively confirm whether specific data is still secure, even if it appears to be. Therefore, we assume that all data located on the affected servers has been exposed.

10. Is the perpetrator known?

Yes, the company knows the perpetrator, but details are not disclosed to protect the exposed data.

11. Have banking or payment details been leaked?

At this time, there is no reason to believe that banking credentials or similar information have been compromised.

12. Why did the company only inform the public on July 25, 2025?

The scope of the breach could be assessed and confirmed gradually between July 18 and July 25. The company acted swiftly to determine what data was compromised and to what extent. The seriousness of the breach became clear only in the approximately 36 hours leading up to the public announcement.

13. How has Exel Composites responded to the incident?

The company immediately initiated countermeasures and investigations with international cybersecurity experts. A criminal report was filed with the police, and data protection authorities were notified. A support program was launched for employees and shareholders, and the company is contacting affected individuals. Investigations continue in cooperation with experts and authorities.

14. What actions have you taken to minimize the harm caused by the breach?

We have aimed to communicate widely in cooperation with the media and to reach affected individuals to guide them. The company has established a free helpline and updated website regarding the breach and is contacting all affected parties by mail or other means. Additionally, we offer all affected individuals free personal data protection and misuse monitoring services from Suomen Asiakastieto Oy.

15. When and how are you contacting affected individuals?

Employees have been contacted through various channels starting July 25, 2025, when stock exchange and press releases were also issued. Shareholders are being contacted by mail, and other affected individuals through various channels starting July 28, 2025, depending on available and publicly accessible contact information. Customers will be informed according to a separate assessment and contact plan.

16. What support does the company offer shareholders beyond communication?

Exel will cover the cost of Suomen Asiakastieto Oy’s credit ban for two years and personal data monitoring services for one year for current and former exposed shareholders and others whose data may have been exposed. You can activate the service free of charge if you order it before September 15, 2025. Instructions for ordering the service are available at https://investors-fi.exelcomposites.com/tietomurto-2025

17. How will you continue to communicate about the breach and related matters?

We have established an updated website at https://investors-fi.exelcomposites.com/tietomurto-2025/ The site includes instructions for protecting personal data and using the monitoring service from Suomen Asiakastieto Oy. We have also set up this Q&A page.

18. How does the company plan to prevent similar incidents in the future?

Cybersecurity has been a high priority for several years. The company continues to develop its cybersecurity, invest in technical solutions, and provide more tools and training to its staff. A comprehensive investigation is underway to thoroughly understand the sequence of events and identify risk factors for the future.

19. How will you minimize the impact of the breach on your business?

The company continues to work on building trust and a positive corporate image. We believe that through transparent communication, supporting affected individuals, and serving our customers well, we can move forward stronger than before.

20. There are several options for credit ban services in the protection guidelines – why does Exel offer services specifically from Suomen Asiakastieto Oy?

Exel offers the Oma luottokielto (personal credit ban) and Tietovahti (data watch) services from Suomen Asiakastieto Oy because they are widely used in Finland and provide comprehensive protection against misuse of personal data. According to Asiakastieto, the credit ban is effective when credit information is checked through their system – which is common in domestic credit granting. The Tietovahti service alerts the user if their personal data is used or distributed, helping to prevent identity theft. Exel has decided to offer Tietovahti as an extra service to shareholders and employees, as it complements the recommendations found on the Suomi.fi website and provides additional protection.

21. My shareholding is or has been only under a company name. Have my personal details been exposed?

If the shareholding has been only under a company name, the shareholder registers have shown the company name, business ID (Y-tunnus), and postal address.