Aikajana Vastaamo-kohusta: Tietomurto vei "psykoterapiapalveluiden Onnibussilta" kymmenientuhansien ihmisten tiedot – tämä tapauksesta toistaiseksi tiedetään

Kymmenettuhannet ihmiset ovat menettäneet arkaluontoisten tietojensa hallinnan ja joutuneet lisäksi niitä koskevan kiristyksen kohteeksi.

Tämä tapahtumien kulusta toistaiseksi tiedetään.

– 2008: Psykoterapiakeskus Vastaamo perustetaan perheyrityksenä.

– Kesäkuu 2016: Yritys saa kunniamaininnan, kun Pääkaupunkiseudun Kasvupolku palkitsi lupaavimpia kasvuyrityksiä. "Yrityksellä on pyrkimys muuttaa oman toimialansa toimintalogiikkaa, mikä tekee siitä eräänlaisen psykoterapiapalveluiden Onnibussin", tuomariston puheenjohtaja kuvasi.

– Marraskuu 2018 ja maaliskuu 2019: Epäillyt tietomurrot tapahtuivat.

– Toukokuu 2019: Yhtiön pääomistajaksi tulee sijoitusyhtiö Intera Partners hallintayhtiö PTK Midcon kautta.

– 29.9.2020: Vastaamo tekee poliisille rikosilmoituksen tietomurrosta.

– 21.10. 2020: Vastaamo tiedottaa joutuneensa tietomurron ja kiristyksen uhriksi. Yrityksen mukaan osan asiakkaista luottamuksellisia tietoja on joutunut vääriin käsiin. Mediatietojen mukaan kiristäjä olisi vaatinut Vastaamolta noin 400 000 euron edestä virtuaalivaluutta bitcoineja. Poliisi kertoo myöhemmin, että esitutkinnan turvaaminen ja vahinkojen rajoittaminen olivat syynä sille, että Vastaamo ei voinut kertonut tapahtuneesta aiemmin.

– 24.10.2020: Useat Vastaamon asiakkaat kertovat saaneensa sähköposteja, joissa lähettäjä uhkaa paljastaa henkilökohtaisia tietoja, jos vastaanottaja ei maksa kiristäjälle lunnaita. Vastareaktiona ihmiset lupaavat muun muassa sosiaalisessa mediassa, että he eivät lue vuodettuja tietoa. Viranomaiset julkistavat neuvoja, mitä tietomurron uhrien kannattaa tehdä ja mistä saa apua.

– 25.10.2020: KRP kertoo tiedotustilaisuudessa tutkivansa tapausta törkeänä tietomurtona, törkeänä kiristyksenä ja törkeänä yksityiselämää loukkaavana tiedon levittämisenä. Rikosilmoituksia on tehty jo tuhansia. Varastetussa tietokannassa oli KRP:n mukaan kymmenientuhansien ihmisten tiedot.

– 26.10.2020: Vastaamon toimitusjohtaja Ville Tapio irtisanotaan. Yhtiön mukaan Tapio tiesi tietomurrosta puolentoista vuoden ajan. Tapio taas kertoo Facebook-päivityksessä marraskuun 2018 tietovuodon paljastuneen hänelle vasta nyt lokakuussa, mutta ei ota kantaa myöhempään tietovuotoon. PTK Midconin kerrotaan aloittaneen oikeudellisia toimia, jotka liittyvät yrityskauppaan. Valvira kertoo selvittävänsä Vastaamon toiminnan asianmukaisuuden, jotta potilasturvallisuus ei enää vaarannu ja että tietojärjestelmät toimivat asianmukaisesti.

– 28.10.2020: Hallitus aikoo keskustella iltakoulussa, mihin toimiin tietomurron vuoksi ryhdytään.

Muun muassa näitä asioita ei tiedetä:

– Kuka tai ketkä tekivät tietomurron? Onko/ovatko tekijä(t) kotimaisia, ulkomaisia vai molempia?

– Onko tietomurron ja kirityksen takana sama taho?

– Miksi kiristys alkoi vasta nyt, jos ensimmäinen tietomurto todella tehtiin jo vuonna 2018?

– Mistä syystä kohteeksi valikoitui nimenomaan Vastaamo? Onko yhtiön tietoturva ollut niin retuperällä kuin miltä ulkopuolisten asiantuntija-arvioiden mukaan näyttää?

– Missä vaiheessa irtisanottu toimitusjohtaja Ville Tapio tarkalleen tiesi tietomurroista ja niiden laajuudesta? Milloin ja keitä hän niistä informoi? Ketkä kaikki yhtiössä tietoturvaongelmista tiesi?