Tusentals patientjournaler har läckt ut från privat psykoterapicenter - polisen utreder fallet

En skandal har blossat upp kring det privata psykoterapicentret Vastaamo. Tidigare i veckan avslöjades att konfidentiella klientuppgifter har stulits från centret - uppgifter om klienternas livssituation och mentala bekymmer. Natten till i dag publicerade en anonym utpressare nytt klientmaterial på Tor-nätverket, rapporterar yle.fi.

Ur uppgifterna framkommer klienters namn, adresser, personnummer samt patientjournaler. Journalerna innehåller känslig och intim information om klienternas privatliv.

Kräver lösen på nästan en halv miljon

Den anonyma utpressaren har också publicerat meddelanden som hen och en företrädare för Vastaamo ska ha utväxlat med varandra. Enligt meddelandena kräver utpressaren en lösen på 40 bitcoin för att sluta publicera klientmaterial. Summan motsvarar cirka 450 000 euro.

Utpressaren har hotat publicera 100 patientjournaler per dag, om hens krav inte tillmötesgås. Totalt har nu 200 journaler lagts ut på nätet.

Finska Yle har jämfört de publicerade uppgifterna med bland annat uppgifter i Befolkningsregistercentralen - och det visar sig handla om riktiga uppgifter på befintliga personer. Patientjournalerna verkar äkta, men för en utomstående är det omöjligt att bedöma om de är autentiska, skriver finska Yle.

Utpressaren använder sig av engelska i Tor-nätverket men hens modersmål är inte känt.

Vastaamo bekräftar - och beklagar

På Vastaamo bekräftar man att företaget utsatts för utpressning. Vastaamos styrelseordförande Tuomas Kahri säger att man inte tidigare har kunnat informera om utpressningen av utredningstekniska skäl.

I en intervju för Yle beklagar Kahri det skedda. Han säger att Vastaamo omedelbart tog kontakt med Cybersäkerhetscentret, Valvira och Dataskyddsombudsmannens byrå, då det uppdagades att uppgifter läckt.

Kahri avslöjar inte hur många patientjournaler det handlar om totalt, men han säger att journaler som upprättats efter november 2018 verkar vara i trygghet.

Utpressaren själv säger att hen har kommit över 40 000 journaler.

Polisen ber folk brottsanmäla

Kriminalkommissarie Marko Leponen vid Centralkriminalpolisen bekräftar att polisen som bäst utreder ett fall av grovt dataintrång och grovt spridande av information som kränker privatlivet.

Eftersom förundersökningen är på hälft vill Leponen inte avslöja mer om fallet, men han uppmanar alla som märker att uppgifter om deras privatliv har spridits, gör en brottsanmälan.

Anmälan kan göras elektroniskt på polisens webbsida.

Sällsynt att vårdföretag hackas

På Transport- och kommunikationsverket Traficom säger Perttu Halonen, sakkunnig inom cybersäkerhet, att dataintrånget på Vastaamo är mycket sällsynt. Det som gör fallet speciellt är att intrånget gjorts hos ett företag in social- och hälsosektorn.

Till Vastaamo dirigeras patienter också från den offentliga sektorn, och företaget har bland annat från och med i maj i fjol levererat psykoterapitjänster till Uleåborgs universitets centralsjukhus.

I dag meddelade Birkalands sjukvårdsdistrikt att uppgifter om dess patienter kan finnas bland det läckta materialet. Från början av år 2016 till slutet av år 2018 hade Tammerfors universitets centralsjukhus ett avtal med Vastaamo. Avtalet gällde terapitjänster för barn och unga.

Sjukhuset är i kontakt med de patienter det berör.

Själv uppger Vastaamo att de nu läckta patientuppgifterna inte omfattar material efter november 2018.

Artikeln är en översättning av Psykoterapiakeskus Vastaamon kiristäjä julkaisi yöllä lisää erittäin arkaluontoisia potilaskertomuksia. Under dagen har artikeln kompletterats bland annat med polisens bekräftelse.