Vastaamon tietomurto

Psykoterapiakeskus Vastaamon tietomurto on vuosina 2018–2019 tehty ja 21. lokakuuta 2020 julkiseksi tullut tietomurto, jossa kaikkiaan 33 086Jecaterina Mantsinen, Poliisi on selvittänyt kaikkien Vastaamon tietomurron uhrien henkilötiedot Aamulehti 2.8.2023 Psykoterapiakeskus Vastaamon asiakkaan henkilö- ja potilastiedot varastettiin ja ainakin osittain julkaistiin Tor-verkossa. Käyttäjänimellä ”ransom_man” esiintynyt toimija yritti kiristää tietojen julkaisulla rahaa aluksi Vastaamolta ja myöhemmin yksittäisiltä asiakkailta mutta ei kuitenkaan onnistunut kiristyksessä laajemmin.

Muun muassa tietoturva-asiantuntija Mikko Hyppönen ja apulaistietosuojavaltuutettu Jari Råman kuvasivat tapausta kansainvälisellä tasolla poikkeukselliseksi tietomurroksi potilastietojen häikäilemättömän kiristyskäytön vuoksi. Tietomurto on herättänyt laajaa keskustelua kyberturvallisuudesta, identiteettivarkauksista ja tietoturvasta sekä henkilötunnuksen käytöstä Suomessa.

Tietomurtoa tutki keskusrikospoliisi ja Vastaamon tietoturvan riittävyyttä tietosuojavaltuutettu. Useista tietoliikennerikoksista tuomittu Aleksanteri Kivimäki nimettiin lokakuussa 2022 epäillyksi, ja hänestä annettiin kansainvälinen pidätysmääräys. Kivimäki otettiin kiinni Ranskassa 3. helmikuuta 2023. Häntä vastaan nostettiin lokakuussa syytteet yli 30 000 rikoksesta. Rikosnimikkeinä ovat muun muassa törkeä tietomurto, törkeä kiristys ja törkeä yksityiselämää loukkaava tiedon levittäminen. Länsi-Uudenmaan käräjäoikeus tuomitsi Kivimäen huhtikuussa 2024 kuuden vuoden ja kolmen kuukauden vankeusrangaistukseen.

 Tietomurto 
Ensimmäisen Vastaamon potilastietokantaan kohdistuneen tietomurron on arvoitu tapahtuneen 25. marraskuuta 2018. Maaliskuussa 2019 tietokantaan kohdistui toinen murto, jonka jälkeen tietokanta tyhjennettiin ja tilalle jätettiin kiristysviesti. Vastaamon toimitusjohtaja Ville Tapio on väittänyt, että vähintään toisen Vastaamon tietoturvavastaavan on täytynyt tietää murrosta jo tuolloin, mutta asiasta ei raportoitu eteenpäin. Tapio väittää, että ei itse ollut tietoinen tietomurrosta ennen syksyä 2020. Tapion mukaan hänelle selvisi vasta lokakuussa 2020, että Vastaamon tietoturvasta vastanneet henkilöt olivat juuri ennen Vastaamoon siirtymistään pidätettyinä Tekesiin tehdystä tietomurrosta, josta lopulta ei nostettu syytteitä. Tapion mukaan miehet kertoivat tästä oma-aloitteisesti.

Varastettujen potilastietojen määräksi vahvistettiin elokuussa 2023 33 086. Tietokanta on sisältänyt ilmeisesti kaikki Vastaamon potilastiedot marraskuuta 2018 edeltävältä ajalta ja osittain myös sen jälkeiseltä ajalta. Varastettu tietokanta sisältää Vastaamon asiakkaiden psykoterapian potilaskertomuksia ja henkilötietoja mukaan lukien henkilötunnuksen sekä jonkin verran Vastaamon henkilökunnan tietoja. 

Useat asiantuntijat ovat kutsuneet Vastaamon tietomurron aikaista tietoturvaa erittäin huonoksi. Tietokantapalvelin on tiettävästi ollut löydettävissä julkisesti jopa Google-haulla ilman palomuuria marraskuussa 2017 tehtyjen muutostöiden jälkeen. Kiristäjä itse väitti käyttäneensä kirjautumiseen oletuskäyttäjätunnusta ja -salasanaa. Keskusrikospoliisi kuvasi Vastaamon tietoturvan tasoa murtohetkellä ”riittämättömäksi”.

 Kiristys ja tietojen julkaisu 
Nimetön kiristäjä lähetti pääosin englanniksi kirjoitetun kiristyssähköpostin Vastaamon toimitusjohtajalle sekä kahdelle muulle työntekijälle 28. syyskuuta 2020. Vastaamo teki murrosta ilmoituksen tietosuojavaltuutetulle seuraavana päivänä. Tietomurron koko oli aluksi epäselvä, ja Vastaamo uskoi tietomurron koskeneen aluksi vain noin tuhatta asiakasta.

Keskiviikkona 21. lokakuuta 2020 nimimerkki ransom_man kirjoitti Tor-verkossa toimivalle suomalaiselle keskustelualusta Torilaudalle englanniksi, kuinka on hakkeroinut suomalaisen psykoterapiayrityksen tietokannan. Hän kertoi vaatineensa yritykseltä 40 bitcoinin (sillä hetkellä noin 450 000 euron) lunnaita, jottei julkaisisi tietoja. Kiristäjän mukaan Vastaamo lopetti vastaamisen kiristäjän sähköposteihin, joten tämä aikoi julkaista potilastietoja Tor-verkossa sata kappaletta päivässä niin kauan, kunnes lunnaat maksetaan.

Perjantaina 23. lokakuuta kiristäjä kuitenkin latasi verkkoon sadan potilastiedon sijasta paljon aiempia suuremman, noin 10 gigatavun kokoisen tiedoston. Suuren tiedoston epäillään olleen kiristäjän koko tietokanta, jonka tämä olisi julkaissut vahingossa. Suurikokoinen tiedosto oli saatavilla vain muutamia tunteja, eikä sen tarkka sisältö ole tiedossa.

Lauantaina 24. lokakuuta kiristäjä muutti toimintaansa ja alkoi lähettää kiristysviestejä yksittäisille Vastaamon asiakkaille. Hän vaati heiltä 200–500 euron lunnaita, jotta heidän henkilökohtaisia tietojaan ei julkaistaisi. Lunnaiden maksun takarajaksi kiristäjä ilmoitti tiistai-illan 27. lokakuuta kello 20. Poliisi kehotti, että lunnaita ei tule missään tapauksessa maksaa. Lunnaiden takarajan umpeuduttua kiristäjä kuitenkin hiljeni eikä julkaissut enää enempää tietoja.

Tietomurron tietokannasta on julkaistu joitakin versioita myös syksyn 2020 jälkeen. Elokuussa 2021 pimeään verkkoon julkaistiin hakukone, jolla potilastietoja oli mahdollista hakea, ja kopio hakukoneesta oli lyhyen aikaa saatavilla myös julkisessa verkossa.

 Reaktio ja vaikutukset 
pienoiskuva|350px|Hallituksen tiedotustilaisuus tietomurron jatkotoimenpiteistä 12. marraskuuta 2020.
Keskustelijoiden reaktio Torilaudalla tietojen julkaisemisen jälkeen oli monin paikoin kielteinen. Keskustelijat pitivät ihmisten potilastiedoilla kiristämistä epämoraalisena ja toisaalta pitivät tietomurtajaa pelkurina, joka ei julkaissut tietoja, kuten oli väittänyt, ja julkaisi vahingossa kaikki tietonsa ennen aikojaan. Monet tietoturva-alan yritykset ja ammattilaistason tietotekniikan asiantuntijat alkoivat vapaaehtoisesti jäljittää kiristäjää ja auttaa poliisia heti tietojen julkaisun jälkeen erityisesti moraalisista ja eettisistä syistä.

Tietomurtoon liittyviä rikosilmoituksia tehtiin yhteensä noin 25 000. Lunnaat maksaneita uhreja on joitakin kymmeniä, eikä rikoksesta saatu rahallinen hyöty ole kovin merkittävä. Suurin riski Vastaamon asiakkaille on henkilötietojen väärinkäyttö ja identiteettivarkaus.

Valtioneuvosto aloitti tietomurron myötä lokakuun 2020 lopussa selvityksen henkilötunnuksen vaihtamisen helpottamisesta kuntaministeri Sirpa Paateron johdolla. Tulevien tietomurtojen tapahtuessa yksityishenkilöiden ilmoitusmenettelyä pyritään myös helpottamaan siten, että siitä vastaisi yksi keskitetty toimija. Lisäksi jo käynnissä ollutta Kansallisen Terveysarkisto Kannan laajentamishanketta päätettiin nopeuttaa, jotta myös pienet terveysalan yritykset olisivat velvoitettuja liittymään siihen.

Psykoterapiakeskus Vastaamo myytiin keväällä 2019 Intera Partnersin holding-yhtiö PTK Midcolle, joka sanoo, ettei kauppa olisi toteutunut, jos se olisi tiennyt tietomurrosta, ja on vaatinut kaupan purkamista sillä perusteella, että Vastaamon toimitusjohtaja Ville Tapio olisi tiennyt tietomurrosta myyntihetkellä. Tapio on kiistänyt väitteet ja kertonut, että sai tietää tietomurrosta vasta lokakuussa 2020. Tapion omaisuutta on takavarikoitu yli 10 miljoonan euron edestä poliisitutkinnan ajaksi.

Tapio erotettiin Vastaamon toimitusjohtajan paikalta tietomurron tultua julkiseksi lokakuussa 2020. Hänen tilalleen tuli marraskuussa Heini Pirttijärvi, joka kuitenkin erosi yhtiön muun hallituksen mukana 26. tammikuuta 2021. Sen jälkeen 28. tammikuuta 2021 yhtiö asetettiin selvitystilaan, ja helmikuussa 2021 yritys haettiin konkurssiin. Terapiatoiminta on tarkoitus myydä suomalaiselle terveysalan yritykselle Vervelle, eikä potilastietoja siirretä osana kauppaa.

 Poliisin tutkimukset 
Tietomurtoa tutki keskusrikospoliisi ja Vastaamon tietoturvan riittävyyttä tietosuojavaltuutettu. 28. lokakuuta 2022 keskusrikospoliisi nimesi ensimmäisen tietomurrosta epäillyn, aiemmin useista tietoliikennerikoksista tuomitun suomalaisen Aleksanteri Kivimäen (s. 1997) ja tiedotti, että Kivimäestä on annettu eurooppalainen pidätysmääräys. Helsingin käräjäoikeus vangitsi miehen poissaolevana todennäköisin syin epäiltynä törkeästä tietomurrosta, törkeän kiristyksen yrityksestä ja törkeästä yksityiselämää loukkaavasta tiedon levittämisestä.

Kivimäki otettiin kiinni Ranskassa 3. helmikuuta 2023. Hänet luovutettiin Suomeen 25. helmikuuta 2023.

Tammikuussa 2025 Viron keskusrikospoliisi otti kiinni Virossa asuvan miehen epäiltynä Vastaamon tietomurrosta ja lunnasvaatimuksista. Suomen keskusrikospoliisi ei kommentoinut tapausta, mutta vahvisti epäillyn yhteyden tutkintaan, joka valmistuu keväällä 2025.

 Tapion oikeudenkäynti 
Helsingin käräjäoikeus tuomitsi Tapion huhtikuussa 2023 kolmen kuukauden ehdolliseen vankeusrangaistukseen tietosuojarikoksesta. Tuomion mukaan Tapio ei toteuttanut Vastaamossa yleisen tietosuoja-asetuksen vaatimusta käsiteltävien henkilötietojen pseudonymisoinnista ja salauksesta. Potilastietokantaan oli tallennettu asiakkaiden henkilötietoja ja käyntimerkintöjä selkokielisinä ilman riittävää salausta. Sekä syyttäjä että Tapio valittivat tuomiosta hovioikeuteen. Syyttäjä vaati rangaistuksen koventamista ja Tapio vaati syytteen hylkäämistä. Helsingin hovioikeus käsitteli tapausta toukokuussa 2025. Tapion tuomio kaatui hovioikeudessa joulukuussa 2025.

 Kivimäen oikeudenkäynti 

Lokakuussa 2023 Kivimäkeä vastaan nostettiin syytteet yli 30 000 rikoksesta. Rikosnimikkeinä olivat muun muassa törkeä tietomurto, törkeä kiristys ja törkeä yksityiselämää loukkaava tiedon levittäminen.

Syyttäjä nosti 18. lokakuuta 2023 Aleksanteri Kivimäkeä vastaan syytteet yli 30 000 rikoksesta. Rikosnimikkeinä ovat törkeä tietomurto, törkeä kiristys, törkeän kiristyksen yritys ja törkeä yksityiselämää loukkaava tiedon levittäminen. Epäillyillä rikoksilla on yli 21 000 asianomistajaa. Oikeudenkäynti alkoi Länsi-Uudenmaan käräjäoikeudessa lokakuussa 2023, ja se jatkui maaliskuulle 2024. Kivimäki vapautettiin 5. helmikuuta 2024 odottamaan tuomiotaan, mutta vangittiin uudelleen. 

Länsi-Uudenmaan käräjäoikeus tuomitsi Kivimäen huhtikuussa 2024 kuuden vuoden ja kolmen kuukauden vankeusrangaistukseen. Syyttäjä oli vaatinut hänelle seitsemän vuoden ehdotonta vankeusrangaistusta ja rikoksentekovälineet valtiolle menetettäviksi. Kivimäki todettiin syylliseksi törkeään tietomurtoon, kiristyksiin ja yksityiselämää loukkaavan tiedon levittämiseen. Kivimäki on valittanut tuomiostaan, ja tapaus etenee Helsingin hovioikeuteen. Hovioikeus aloitti asian käsittelyn 19. elokuuta 2025. 26. Helmikuuta 2026, Helsingin hovioikeus tuomitsi Kivimäen kuuden vuoden ja yhdentoista kuukauden vankeusrangaistukseen.

 Lähteet 

Luokka:Vuoden 2020 rikokset
Luokka:2020-luvun rikokset Suomessa
Luokka:Kyberhyökkäykset