Un hacker finlandese ha violato il sistema di una clinica di psicoterapia, ha minacciato di rivelare i dati sensibili dei pazienti e ha cercato di estorcere denaro. È stato condannato a oltre sei anni di prigione.
Un cittadino finlandese di 26 anni è stato condannato a più di sei anni di reclusione dopo aver ottenuto illegalmente l’accesso al database di una clinica di psicoterapia online, aver diffuso decine di migliaia di registrazioni di sessioni di terapia dei pazienti e aver tentato di estorcere sia la clinica sia i pazienti.
Il 21 ottobre 2020, il Vastaamo Psychotherapy Center in Finlandia è diventato bersaglio di un individuo noto come “ransom_man”, che ha richiesto un pagamento di 40 bitcoin (equivalenti a circa 450.000 euro al momento) per non pubblicare online le note molto delicate delle sessioni di terapia dei pazienti rivelate da Vastaamo.
Dopo che Vastaamo ha rifiutato di pagare, ransom_man ha cambiato tattica e ha iniziato a estorcere singoli pazienti. Secondo la polizia finlandese, circa 22.000 vittime hanno segnalato tentativi di estorsione personali, ricevendo email minacciose che minacciavano di pubblicare online le loro note di terapia a meno che non pagassero un riscatto di 500 euro.
I pubblici ministeri finlandesi hanno subito individuato un sospetto: Julius “Zeekill” Kivimäki, un noto hacker criminale condannato per aver commesso decine di migliaia di crimini informatici prima di compiere 21 anni. Dopo essere stato incriminato per l’attacco nell’ottobre 2022, Kivimäki è fuggito dal paese ed è stato arrestato quattro mesi dopo in Francia, dove si nascondeva sotto falso nome e con un passaporto falsificato.
Il comportamento di Kivimäki e le conseguenze dei suoi crimini hanno suscitato enormi preoccupazioni nella comunità degli esperti in sicurezza informatica e fra gli avvocati sulla gravità delle pene per i crimini informatici.
Nonostante la gravità dei crimini commessi, Kivimäki dovrà scontare solo circa la metà della sua pena a causa di una legge in Finlandia che considera un individuo come recidivo solo se ha subito condanne per crimini commessi dopo l’età adulta.
Questo caso evidenzia l’importanza critica della cyber security in tutti i settori, e in particolare nel settore sanitario, dove le informazioni personali dei pazienti sono di natura estremamente sensibile.
Il CEO dell’azienda, Ville Tapio, è stato in seguito licenziato e denunciato a seguito della violazione. Il criminale informatico vantava una scarsa sicurezza in Vastaamo e indicava l’uso di un debole nome utente e una password (“root/root”) per proteggere i sensibili registri dei pazienti. In seguito si è scoperto che Vastaamo era stato attaccato precedentemente nel 2018 e nel 2019, mettendo ulteriormente in discussione le politiche di sicurezza dell’azienda.