Psykoterapiakeskus Vastaamo on parhaillaan kiristyksen kohteena. Kiristäjillä on hallussaan potilastietoja, joista käy ilmi muun muassa asiakkaiden nimiä, osoitteita, puhelinnumeroita ja henkilötunnuksia. Tämän lisäksi vuodetuissa tiedoissa on arkaluontoisia henkilökohtaisia keskusteluja sisältäviä potilastietoja.
Ilta-Sanomat on nähnyt nettiin vuodettuja tietoja. Tiedoissa kerrotaan terapiaistuntojen sisällöistä, ja niistä paljastuu hyvin arkaluontoisia ja intiimejä asioita. Tämän lisäksi kiristäjä julkaisi lunnasvaatimuskirjeenvaihtoaan Vastaamon kanssa.
Kiristäjä esitti lunnasvaatimuksen, jossa Vastaamolta vaadittiin 40:tä bitcoinia eli noin 450 000:ta euroa. Vastaamo otti yhteyttä viranomaisiin, kun kiristys selvisi.
Ilta-Sanomien havainnon mukaan kiristäjän uhrilleen antamaan bitcoin-osoitteeseen ei ole tehty rahansiirtoja. Kiristäjä julkaisi tänä aamuna salatussa Tor-verkossa sadan terapia-asiakkaan tiedot kello 4.52 Suomen aikaa. Kiristäjä teki asiasta julkisen Ylilauta-foorumilla.
Kiristäjäksi esittäytynyt taho otti yhteyttä Ilta-Sanomiin ensimmäisen artikkelin julkaisun jälkeen. IS:n tekemien tarkistusten perusteella yhteyttä ottanut taho vaikuttaa samalta kuin tekijä.
Hyvällä englannilla toiminut kirjoittaja sanoi edustavansa ryhmää, joka oli murron takana. Kirjoittaja sanoi toimintansa olevan moraalitonta, mutta hän halusi vierittää syyn Vastaamolle, joka ”ei suojellut asiakkaitaan riittävästi eikä halunnut suojella näiden tietoja”. Yhteyttä ottanut taho sanoo julkaisevansa sadan psykoterapia-asiakkaan tiedot joka päivä, kunnes vaatimuksiin suostutaan.
Kiristäjän väitteen mukaan ryhmällä on hallussaan 40 000 terapia-asiakkaan tiedot. Väitteelle ei ole saatu vahvistusta muulta taholta.
Vastaamon tiedotteen mukaan marraskuun 2018 jälkeen kirjattuja tietoja ei ole päätynyt murtautujille. Tämä on linjassa oletetun kiristäjän Ilta-Sanomille välittämän tiedon kanssa.
IS ei julkaise tietoa murron tarkasta ajankohdasta. Kiristäjä sanoi ryhmän ymmärtäneen vasta hiljattain, millaista ainesta sillä on käsissään.
Vastaamon hallituksen puheenjohtaja Tuomas Kahri pahoittelee syvästi tapahtunutta. Hän sanoo Vastaamon saaneen kiristysviestin syyskuun lopussa, mutta ei vahvista murron mittakaavaa eikä vuotaneiden tietojen määrää. Kiristyksestä ilmoitettiin heti viranomaisille.
– Käynnissä olevan poliisitutkinnan takia emme ole aikaisemmin saaneet viestiä aiheesta, sillä tutkintateknisistä syistä asiaa ei ole haluttu julkistaa, Kahri kertoo sähköpostiviestissään IS:lle.
Kahri sanoo Vastaamon olevan syvästi pahoillaan tietoturvaloukkauksen kohteeksi joutuneiden puolesta. Vastaamon tietojärjestelmiä on tarkistettu, ne on vahvasti suojattu ja niiden tietoturva-ammattilaiset valvovat niiden käyttöä tehostetusti.
– Viranomaiset ja Vastaamo tekevät kaikkensa selvittääkseen tapahtuneen, estääkseen tietojen leviämistä ja saattaakseen syylliset vastuuseen. Keskusrikospoliisin lisäksi Traficomin alainen Kyberturvallisuuskeskus ja tietosuojavaltuutetun toimisto ovat mukana asian selvittämisessä. Käytämme myös ulkopuolisia riippumattomia tietoturva- ja tietosuoja-asiantuntijoita, Kahri toteaa.
Kiristäjän esittämien väitteiden mukaan Vastaamon järjestelmien salasanasuojaus olisi ollut erittäin heikko. Kahri ei kommentoi väitettä.
Vastaamo ei ole tiedottanut asiasta ennen tätä päivää, ei edes murron uhreiksi joutuneelle.
– Käynnissä olevan poliisitutkinnan takia emme ole aikaisemmin saaneet viestiä aiheesta, sillä tutkintateknisistä syistä asiaa ei ole haluttu julkistaa. Olemme tänään viestineet asiasta verkkosivuillamme.
– Vastaamo huolehtii rekisterissä olevien henkilöiden oikeuksien toteutumisesta lain velvoittamalla tavalla. Vastaamo tekee tarvittavat toimenpiteet tiedottaakseen tilanteesta tietoturvaloukkauksen kohteeksi joutuneille henkilöille, Kahri jatkaa.
Tutkinnanjohtaja rikoskomisario Marko Leponen Keskusrikospoliisista kertoo, että poliisilla on tutkinnassa kuvatunlainen tapaus. Hän ei tutkinnallisista syistä paljasta kohteeksi joutuneen tahon nimeä.
Tapausta tutkitaan törkeänä tietomurtona.
Tietoverkkorikoksia on yleensä vaikea selvittää. Leponen ei arvioi rikoksen selviämismahdollisuuksia, mutta sanoo poliisin tekevän esitutkintaa kaikin keinoin.
Poliisi kehottaa yksityishenkilöitä tekemään rikosilmoituksen, jos näiden tietoja julkaistaan verkossa. Tällöin kysymykseen tulee yksityiselämää loukkaava tiedon levittäminen.
Leponen ei ota kantaa siihen, onko taho syyllistynyt mahdolliseen gdpr-rikkomukseen, jos sen asiakastietokanta on varastettu, mutta uhreille ei ole ilmoitettu siitä. Asia kuuluu tietosuojavaltuutetulle, jonka toimien perusteella poliisi voi käynnistää esitutkinnan.
