Vastaamon tietomurto

Psykoterapiakeskus Vastaamon tietomurto on vuosina 2018–2019 tapahtunut ja 21. lokakuuta 2020 julkiseksi tullut tietomurto, jossa kaikkiaan 33 086 Psykoterapiakeskus Vastaamon asiakkaan henkilö- ja potilastiedot varastettiin ja ainakin osittain julkaistiin Tor-verkossa. Käyttäjänimellä ransom_man esiintynyt toimija yritti kiristää tietojen julkaisulla rahaa aluksi Vastaamolta ja myöhemmin yksittäisiltä asiakkailta kiristyksessä laajemmin kuitenkaan onnistumatta.

Muun muassa tietoturva-asiantuntija Mikko Hyppönen ja apulaistietosuojavaltuutettu Jari Råman kuvasivat tapausta kansainvälisellä tasolla poikkeukselliseksi tietomurroksi potilastietojen häikäilemättömän kiristyskäytön vuoksi. Tietomurto on herättänyt laajaa keskustelua kyberturvallisuudesta, identiteettivarkauksista ja tietoturvasta sekä henkilötunnuksen käytöstä Suomessa.

Tietomurtoa tutkii keskusrikospoliisi ja Vastaamon tietoturvan riittävyyttä tietosuojavaltuutettu. 28. lokakuuta 2022 keskusrikospoliisi nimesi ensimmäisen tietomurrosta epäillyn, aiemmin useista tietoliikennerikoksista tuomitun suomalaisen Aleksanteri Julius Kivimäen (s. 1997) ja tiedotti, että Kivimäestä on annettu eurooppalainen pidätysmääräys ja hänestä tullaan antamaan myös Interpolin kansainvälinen etsintäkuulutus. Helsingin käräjäoikeus vangitsi miehen poissaolevana todennäköisin syin epäiltynä törkeästä tietomurrosta, törkeän kiristyksen yrityksestä ja törkeästä yksityiselämää loukkaavasta tiedon levittämisestä.

Vastaamon tietomurrosta epäilty Kivimäki otettiin kiinni Ranskassa 3. helmikuuta 2023. Hänet luovutettiin Suomeen 25. helmikuuta 2023. Poliisi epäilee Kivimäkeä sekä tietomurrosta että siihen liittyvästä kiristyksestä. Lokakuussa 2023 Kivimäkeä vastaan nostettiin syytteet yli 30 000 rikoksesta. Rikosnimikkeinä ovat muun muassa törkeä tietomurto, törkeä kiristys ja törkeä yksityiselämää loukkaava tiedon levittäminen. Syyttäjä vaatii hänelle seitsemän vuoden ehdotonta vankeusrangaistusta, ja että rikoksentekovälineet määrätään valtiolle menetettäviksi.

Tietomurto 
Ensimmäisen Vastaamon potilastietokantaan kohdistuneen tietomurron on arvoitu tapahtuneen 25. marraskuuta 2018. Maaliskuussa 2019 tietokantaan kohdistui toinen murto, jonka jälkeen tietokanta tyhjennettiin ja tilalle jätettiin kiristysviesti. Vastaamon toimitusjohtaja Ville Tapio on väittänyt, että vähintään toisen Vastaamon tietoturvavastaavan on täytynyt tietää murrosta jo tuolloin, mutta asiasta ei raportoitu eteenpäin. Tapio väittää, että ei itse ollut tietoinen tietomurrosta ennen syksyä 2020.

Varastettujen potilastietojen määräksi vahvistettiin elokuussa 2023 33 086. Tietokanta on sisältänyt ilmeisesti kaikki Vastaamon potilastiedot marraskuuta 2018 edeltävältä ajalta ja osittain myös sen jälkeiseltä ajalta. Varastettu tietokanta sisältää Vastaamon asiakkaiden psykoterapian potilaskertomuksia ja henkilötietoja mukaan lukien henkilötunnuksen sekä jonkin verran Vastaamon henkilökunnan tietoja. 

Useat asiantuntijat ovat kutsuneet Vastaamon tietomurron aikaista tietoturvaa erittäin huonoksi. Tietokantapalvelin on tiettävästi ollut löydettävissä julkisesti jopa Google-haulla ilman palomuuria marraskuussa 2017 tehtyjen muutostöiden jälkeen. Kiristäjä itse väitti käyttäneensä kirjautumiseen oletuskäyttäjätunnusta ja -salasanaa. Keskusrikospoliisi kuvasi Vastaamon tietoturvan tasoa murtohetkellä "riittämättömäksi".

Kiristys ja tietojen julkaisu 
Nimetön kiristäjä lähetti pääosin englanniksi kirjoitetun kiristyssähköpostin Vastaamon toimitusjohtajalle sekä kahdelle muulle työntekijälle 28. syyskuuta 2020. Vastaamo teki murrosta ilmoituksen tietosuojavaltuutetulle seuraavana päivänä. Tietomurron koko oli aluksi epäselvä, ja Vastaamo uskoi tietomurron koskeneen aluksi vain noin tuhatta asiakasta.

Keskiviikkona 21. lokakuuta 2020 nimimerkki ransom_man kirjoitti Tor-verkossa toimivalle suomalaiselle keskustelualusta Torilaudalle englanniksi, kuinka on hakkeroinut suomalaisen psykoterapiayrityksen tietokannan. Hän kertoi vaatineensa yritykseltä 40 bitcoinin (ajanhetkellä noin 450 000 euron) lunnaita, jottei julkaisisi tietoja. Kiristäjän mukaan Vastaamo lopetti vastaamisen kiristäjän sähköposteihin, joten tämä alkoi julkaista potilastietoja Tor-verkossa 100 kappaletta päivässä niin kauan, kunnes lunnaat maksetaan.

Perjantaina 23. lokakuuta kiristäjä kuitenkin latasi verkkoon 100 potilastiedon sijasta paljon aiempia suuremman, noin 10 gigatavun kokoisen tiedoston. Suuren tiedoston epäillään olleen kiristäjän koko tietokanta, jonka tämä olisi julkaissut vahingossa. Suurikokoinen tiedosto oli saatavilla vain muutamia tunteja, eikä sen tarkka sisältö ole tiedossa.

Lauantaina 24. lokakuuta kiristäjä muutti toimintaansa ja alkoi lähettää kiristysviestejä yksittäisille Vastaamon asiakkaille. Hän vaati heiltä 200–500 euron lunnaita, jotta heidän henkilökohtaisia tietojaan ei julkaistaisi. Lunnaiden maksun takarajaksi kiristäjä ilmoitti tiistai-illan 27. lokakuuta kello 20. Poliisi kehotti, että lunnaita ei tule missään tapauksessa maksaa. Lunnaiden takarajan umpeuduttua kiristäjä kuitenkin hiljeni, eikä julkaissut enää enempää tietoja.

Tietomurron tietokannasta on julkaistu joitakin versioita myös syksyn 2020 jälkeen. Elokuussa 2021 pimeään verkkoon julkaistiin hakukone, jolla potilastietoja oli mahdollista hakea, ja kopio hakukoneesta oli lyhyen aikaa saatavilla myös julkisessa verkossa.

Reaktio ja vaikutukset 

Keskustelijoiden reaktio Torilaudalla tietojen julkaisemisen myötä oli monin paikoin negatiivinen. Keskustelijat eivät kokeneet ihmisten potilastiedoilla kiristämistä moraalisena ja toisaalta pitivät tietomurtajaa pelkurina, joka ei julkaissut tietoja kuten oli väittänyt ja julkaisi vahingossa kaikki tietonsa ennen aikojaan. Monet tietoturva-alan yritykset ja ammattilaistason tietotekniikan asiantuntijat alkoivat vapaaehtoisesti jäljittää kiristäjää ja auttamaan poliisia heti tietojen julkaisun jälkeen erityisesti moraalisten ja eettisten syiden takia.

Tietomurtoon liittyen on tehty yhteensä noin 25 000 rikosilmoitusta. Lunnaat maksaneita uhreja on joitakin kymmeniä, eikä rikoksesta saatu rahallinen hyöty ole kovin merkittävä. Suurin riski Vastaamon asiakkaille on henkilötietojen väärinkäyttö ja identiteettivarkaus.

Valtioneuvosto aloitti tietomurron myötä lokakuun 2020 lopussa selvityksen henkilötunnuksen vaihtamisen helpottamisesta kuntaministeri Sirpa Paateron johdolla. Tulevien tietomurtojen tapahtuessa yksityishenkilöiden ilmoitusmenettelyä pyritään myös helpottamaan siten, että siitä vastaisi yksi keskitetty toimija. Lisäksi jo käynnissä ollutta Kansallisen Terveysarkisto Kannan laajentamishanketta päätettiin nopeuttaa, jotta myös pienet terveysalan yritykset olisivat velvoitettuja liittymään siihen.

Psykoterapiakeskus Vastaamo myytiin keväällä 2019 Intera Partnersin holding-yhtiö PTK Midcolle. PTK Midco väittää, ettei kauppa olisi toteutunut, mikäli se olisi tiennyt tietomurrosta ja on vaatinut kaupan purkamista sillä perusteella, että Vastaamon toimitusjohtaja Ville Tapio olisi tiennyt tietomurrosta myyntihetkellä. Tapio on kiistänyt väitteet ja kertonut, että sai tietää tietomurrosta vasta lokakuussa 2020. Tapion omaisuutta on takavarikoitu yli 10 miljoonan euron edestä poliisitutkinnan ajaksi.

Tapio erosi Vastaamon toimitusjohtajan paikalta tietomurron tultua julkiseksi lokakuussa 2020. Hänet korvasi marraskuussa Heini Pirttijärvi, joka kuitenkin myös erosi yhtiön muun hallituksen mukana 26. tammikuuta 2021. 28. tammikuuta 2021 yhtiö asetettiin selvitystilaan ja helmikuussa 2021 yritys haettiin konkurssiin. Terapiatoiminta on tarkoitus myydä suomalaiselle terveysalan yritys Vervelle, eikä potilastietoja siirretä osana kauppaa.

Tapion oikeudenkäynti 
Helsingin käräjäoikeus tuomitsi Tapion huhtikuussa 2023 kolmen kuukauden ehdolliseen vankeusrangaistukseen tietosuojarikoksesta. Tuomion mukaan Tapio ei toteuttanut Vastaamossa yleisen tietosuoja-asetuksen vaatimusta käsiteltävien henkilötietojen pseudonymisoinnista ja salauksesta. Potilastietokantaan oli tallennettu asiakkaiden henkilötietoja ja käyntimerkintöjä selkokielisinä ilman riittävää salausta.

Kivimäen oikeudenkäynti 
18. lokakuuta 2023 syyttäjä nosti Aleksanteri Kivimäkeä vastaan syytteet yli 30 000 rikoksesta asiaan liittyen. Rikosnimikkeinä ovat törkeä tietomurto, törkeä kiristys, törkeän kiristyksen yritys ja törkeä yksityiselämää loukkaava tiedon levittäminen. Epäillyillä rikoksilla on yli 21 000 asianomistajaa. Oikeudenkäynnin on tarkoitus alkaa Länsi-Uudenmaan käräjäoikeudessa myöhemmin syksyllä.

Lähteet 

Vuoden 2020 rikokset
2020-luvun rikokset Suomessa
Selvittämättömät rikokset
Tietoturva