Väntan är tung för Vastaamo-offren – och nya brott begås med de läckta id-uppgifterna

För fyra månader sen uppdagades det största dataintrånget någonsin i Finland. Gripanden har än så länge inte gjorts. Nu vet jag i alla fall vilka uppgifter som Vastaamo hade om mig och som läckte, säger ett av offren.

Uppemot 50 000 patientjournaler och samtidigt personuppgifter kom förövaren eller förövarna åt, när det privata psykoterapicentret Vastaamos dataregister hackades.

Id-kapningens offer fyra månader senare

– Jag har gjort alla åtgärder jag har hittat tips om, för att skydda min identitet. Utan stark identifiering kan man inte ändra min adress, ta lån eller köpa på avbetalning i mitt namn, säger ett av Vastaamos tiotusentals offer som vill förbli anonym, fyra månader efter läckan.

Hen har gjort brottsanmälan och yrkar på straff och skadestånd. Det har också 25 000 andra offer gjort och fortfarande droppar enstaka brottsanmälningar in till polismyndigheten.

Vilka har varit i kontakt med dig efter att skandalen var ett faktum?

– Ingen har varit i kontakt.

Efter Vastaamos första bekräftelsemejl på det som hade inträffat har hen varken blivit kontaktad av Vastaamo eller polisen.

– På brottsanmälan har det kommit ett bekräftelsemejl att den har gått igenom, men annars har jag inte fått veta något. Det jag vet har jag fått gräva fram själv.

Nog öppnade jag den där filen med spänning.

― offer i Vastaamo-dataintrånget

Hen begärde ett utdrag över vilka uppgifter som psykoterapicentret hade nedtecknade om hen och hens möten med psykoterapeuten.

– Det viktigaste för mig var att få veta vilka uppgifter Vastaamo har om mig, så jag vet vad som har läckt.

Stunden var laddad av spänning, när hen skulle öppna den krypterade filen som psykoterapicentret skickade elektroniskt.

– Står där bara mina personuppgifter eller finns där nedskrivet vad jag har diskuterat med terapeuten?

Där fanns nog allting från varje möte nedskrivet vad vi hade diskuterat

― offer i Vastaamo-dataintrånget

Den här terapeuten hade skrivit ned elektroniskt allt om diskussionernas innehåll.

– Jag var besviken. Jag har träffat terapeuter som inte för anteckningar elektroniskt och efter det här är jag ännu mer av den åsikten att om man skriver ned så vill jag att det är i häfte med penna och inte i en databas.

– Nu kan jag stålsätta mig om det skulle komma en situation att någon skulle utpressa mig med de här uppgifterna.

Polisen fyra månader senare

Förundersökningsarbetet är i ett intensivt skede, säger utredningsledare och kriminalkommissarie Marko Leponen vid Centralkriminalpolisen.

– Vi går igenom ett gigantiskt informationsteknologiskt material som vi har samlat och som kan leda oss brottslingen eller brottslingarna på spåren, säger Leponen.

En eller flera gärningsmän?

– Bägge alternativen utreds, inget är uteslutet i det här skedet.

Vad kan du säga om nationalitet?

– Nationens gränser syns inte på samma sätt i databrott som i brott som begås i den fysiska världen. Vårt utredningsfält är globalt.

– Det kan vara en utlänning i Finland, en finländare utomlands, en finländare i Finland eller en utlänning utomlands. Att IP-adressen ser utländsk ut betyder i nätvärlden inget annat än att den ser just utländsk ut, men den avslöjar inget om brottslingens nationalitet eller var brottslingen slutligen befinner sig, säger Leponen.

Har de läckta id-uppgifterna förekommit i nya brott?

– Enskilda fall har noterats. Bevis på att stulna id-uppgifter (från Vastaamo) skulle ha använts i en större utsträckning har vi inte. Stulna id-uppgifter används vanligast i nätbedrägerier, säger Leponen.

Har det skett genombrott i Vastaamo-fallet?

– Vi har gjort framsteg. Bevismaterialet som vi har samlat på oss för oss framåt och vi ser positivt på att vi har chans att lösa det här fallet, säger Leponen.

Vi jobbar för full maskin med att lösa fallet

― kriminalkommissarie Marko Leponen, CKP

– Vi jobbar för full maskin, fast det inte för tillfället syns utåt, säger Leponen.

Leponen säger att bevisföringen för att det här brottet har begåtts kommer från annat håll än att höra de målsägande; offren för id-stöld.

Men att höra drabbade är ett skede som närmar sig och CKP funderar tillsammans med åklagarmyndigheten hur det görs lämpligast. 25 000 privatpersoner är en kraftansträngning.

Brottsofferjouren fyra månader senare

– I slutet av oktober hade vi på en kort tid 1 500 klienter gällande Vastaamo-fallet, men nu har det lugnat ner sig betydligt, säger verksamhetsledare Leena-Kaisa Åberg på Brottsofferjouren.

Vad frågar de som nu tar kontakt?

– Frågor gällande framtiden. Hur den här brottsprocessen går vidare och vilken är brottsoffrets roll i den; ska man själv vara aktiv. Frågor om ersättning och skadestånd ställs också, säger Åberg.

Åberg säger att en del vill ännu veta mer om identitetsstöld, vilka är riskerna och vad man borde göra, för att undvika identitetskapning.

– Ganska många frågar om möjligheterna till att väcka grupptalan, säger Åberg.

Det är ett omfattande och komplicerat fall, där det kan finnas olika vägar till att skipa rättvisa.

Snudd på omöjlighet att väcka grupptalan

Utredningsledare Marko Leponen säger att utredningens mål är gemensamt, men att det är två olika processer som löper parallellt.

Det är att hitta den eller de som hackade sig in i Vastaamos dataregister.

Det är också att utreda om och i så fall vilka brister som fanns inom Vastaamos datasekretess. Här utreder dataombudsmannen och påför straff.

Professor i offentlig rätt Tomi Voutilainen, som har informationsrätt och elektronisk administration som specialområde, anser att grupptalan gäller i konsumentskyddsfrågor, där konsumentombudsmannen har jurisdiktion.

– I fallet Vastaamo är det fråga om skadestånd som kan krävas på basis av EUs dataskyddsförordning och inte är en konsumentfråga eller hör till konsumentombudsmannens jurisdiktion, säger Voutilainen.

Voutilainen tillägger att det kan hända att konsumentombudsmannen på något sätt vill driva ärendet som en konsumentskyddsfråga för de som varit så kallade privatkunder hos Vastaamo.

På Konkurrens- och konsumentverket (konsumentombudsmannen) säger man till Svenska Yle att man inväntar vilka instruktioner dataombudsmannen kommer att ge till dem som har lidit av dataintrånget.

Först efter det avgör konsumentombudsmannen om de begäranden som har inkommit om grupptalan.

Det kommer att ta sin tid. Så här säger man på dataombudsmannens byrå om tidtabellen:

– Vastaamo-fallets utredningar pågår. Det tar tid och vi kan inte ännu ge datum, men vi försöker at göra utslagen före sommaren, säger biträdande dataombudsman Jari Råman.

– Tyvärr är det så att det krävs mycket tålamod av offren. Det är en stor utmaning för alla brottsoffer i det finska rättssystemet, att väntetiden är lång. Normalt kan brottsprocessen ta två till tre år, säger Åberg.

Det är inte lätt att behöva leva med brottserfarenheten flera år utan att få det uppklarat, säger Åberg, och tillägger att just därför behövs Brottsofferjourens arbete och stöd.