Vastaamon eteläkarjalaistenkin asiakkaiden potilastietoja on voinut joutua vääriin käsiin, koska Lappeenrannan toimipiste avattiin 2016

Poliisi pyytää tietovuodon kohteiksi joutuneiden henkilöiden tekevän asiasta sähköisen rikosilmoituksen. Niitä on tähän mennessä tehty koko Suomessa yli 200.

Kai Skyttä

Vastaamolla on ollut toimipiste Lappeenrannassa syksystä 2016 asti.
Vastaamolla on ollut toimipiste Lappeenrannassa syksystä 2016 asti.

Eri puolilla maata toimivan Psykoterapiakeskus Vastaamon asiakkaiden luottamuksellisia tietoja on varastettu. Yksi yhtiön toimipisteistä sijaitsee Lappeenrannassa.

Vastaamon hallituksen puheenjohtaja Tuomas Kahri ei osaa sanoa, miltä alueilta tietomurron kohteiksi joutuneet asiakkaat ovat. On kuitenkin mahdollista, että myös eteläkarjalaisten asiakkaiden potilastietoja on päätynyt vääriin käsiin, hän myöntää.

Vastaamon Lappeenrannan toimipiste avattiin syksyllä 2016.

Vastaamo tiedotti aiemmin viikolla, että tietomurron kohteena olisi ollut asiakasrekisteri vuoden 2018 marraskuulta.

Sanomalehti Kaleva kertoi lauantaina, että Vastaamon tietoja on voinut vuotaa vielä alkuvuodesta 2019. Kalevan mukaan Vastaamo on lähettänyt ainakin osalle asiakkaistaan viestin, jossa kerrotaan, että on todennäköistä, että yhtiön järjestelmään on tunkeuduttu myös marraskuun 2018 lopun ja maaliskuun 2019 välisenä aikana. Vastaamon mukaan sillä ei ole tiedossa, että tässä yhteydessä tietokanta olisi varastettu.

Vastaamo pahoittelee syvästi

Kahri ei kommentoi, kuinka monen henkilön tietoihin on murtauduttu. Yhtiöllä on 22 toimipistettä ja noin 40 000 asiakasta eri puolilla maata.

– Pahoittelemme syvästi murrosta johtuvaa tietovuotoa, Kahri sanoo.

Kahrin mukaan Vastaamo on ilmoittanut tapahtuneesta niille henkilöille, joiden tietoihin on murtauduttu.

Etelä-Saimaa tavoitti aiemmin viikolla Vastaamon Lappeenrannan henkilöstöpäällikön Jari Sokuran, mutta hän ei kommentoinut asiaa vaan pyysi ottamaan yhteyttä Vastaamon Helsingin työntekijöihin

Vastaamon verkkosivujen mukaan Lappeenrannan toimipisteessä työskentelee kymmenen psykoterapeuttia/psykologia.

Tietoturvan tilanne ennen tietomurtoa selvitetään

Tietomurtokohun kohteeksi joutunut Psykoterapiakeskus Vastaamo ei halua kertoa, miten yrityksen tietoturvasta on tähän asti huolehdittu. Kahri vakuuttaa, että Vastaamossa on nyt turvallista asioida ja että toiminta jatkuu normaalisti.

KRP on saanut yli 200 rikosilmoitusta ihmisiltä, jotka epäilevät tietojensa voineen joutua vääriin käsiin.

Vastaamo kertoi keskiviikkona joutuneensa tietomurron ja kiristyksen kohteeksi, jolloin osan sen asiakkaista luottamuksellisia tietoja oli joutunut vääriin käsiin. Mediatietojen mukaan kiristäjä olisi vaatinut Vastaamolta noin 400 000 euron edestä virtuaalivaluutta bitcoineja.

Kahri sanoi lauantaina STT:lle, ettei meneillään olevan rikostutkinnan vuoksi voi kommentoida, millainen yrityksen tietoturva on ollut tietomurron tapahtuessa tai sitä ennen.

Kun Vastaamo sai tiedon tietomurrosta, asiasta tehtiin Kahrin mukaan heti rikosilmoitus sekä ilmoitukset Kyberturvallisuuskeskukseen, Valviralle ja tietosuojavaltuutetulle. Asiaa on selvitetty myös ulkopuolisten riippumattomien asiantuntijoiden kanssa.

– Tämän hetken tiedon mukaan kaikki tietojärjestelmät on tarkastettu ja vahvasti suojattu ja niiden käyttöä valvotaan tehostetusti tietoturva-ammattilaisten toimesta, Kahri sanoo.

Tietoturvan tilanne ennen tietomurtoa selvitetään Kahrin mukaan osana ammattilaisten tutkimusta.

– Heidän selvityksessään varmasti nousee esiin toimenpiteitä, joilla tietoturvaa voidaan vielä entisestään parantaa, ja luonnollisesti me toteutamme niitä sitten mahdollisimman nopeasti.

Kritiikkiä tietoturvajärjestelyille

Mediassa on esitetty arvostelua Vastaamon tietoturvasta. Esimerkiksi F-Securen tietoturvallisuusjohtaja Erka Koivunen on arvioinut Helsingin Sanomille, että vuodetuista tiedoista on nähtävissä, ettei niiden käsittelyssä ja säilyttämisessä ole nähty suurta vaivaa niiden salaamiseksi.

MTV:n haastattelussa Koivunen toi esille, että järjestelmissä on käytetty oletussalasanoja.

Toisen Helsingin Sanomien haastatteleman asiantuntijan mukaan useita Vastaamon verkkoja ylläpitäviä palvelimia on ollut päivittämättä jo vuosia. Lisäksi julkisesti on ollut nähtävillä verkko-osoitteita, jotka viittaavat suoraan yrityksen intranetiin ja potilasrekisteriin. HS:n haastateltavan mukaan hyökkäys on voinut toteutua tätä reittiä.

Vastaamon Tuomas Kahri ei vahvista STT:lle, pitävätkö tiedot paikkansa.

– Jos sieltä löytyy tämäntyyppisiä alueita, joita täytyy kehittää, niitä tietysti ruvetaan kehittämään välittömästi.

Kriisipuhelinnumero on auki

Apulaistietosuojavaltuutetun mukaan Vastaamon pitää ilmoittaa tapahtuneesta tietoturvaloukkauksesta asiakkailleen henkilökohtaisesti ja ilman aiheetonta viivytystä. Kaikille, joiden sähköpostiosoite on ollut tiedossa ja toiminnassa, on Kahrin mukaan lähetetty nyt sähköpostia asiasta.

Jos sähköposti ei ole tiedossa, asiasta lähetetään postitse kirje. Jos osoitettakaan ei ole tiedossa, yhteyttä otetaan puhelimitse.

– Tämä on ollut sellainen ratkaisu, johon tietosuojavaltuutetun kanssa yhdessä keskustellessa on päädytty, Kahri sanoo.

Tietomurto on kohdistunut Kahrin mukaan yhteensä kymmenientuhansien asiakkaiden tietoihin.

Vastaamo avasi perjantaina kriisitukipuhelinnumeron, johon tukea tarvitsevat ihmiset voivat soittaa. Lisäksi yrityksen verkkosivuille on koottu toimintaohjeita ja vastauksia usein kysyttyihin kysymyksiin.

KRP:llä menossa iso tutkinta

Keskusrikospoliisi tutkii julkisuudessa ollutta arkaluontoiseen aineistoon kohdistunutta epäiltyä törkeää tietomurtoa ja törkeää yksityiselämää loukkaavaa tiedon levittämistä.

KRP ei kerro kyseisen yrityksen nimeä, mutta vahvistaa STT:lle saaneensa yli 200 rikosilmoitusta ihmisiltä, jotka epäilevät, että heidän tietojaan olisi voinut tietomurron yhteydessä joutua vääriin käsiin. Tämä ei vielä automaattisesti tarkoita, että rikosilmoituksen tehneiden ihmisten tietoja olisi vuotanut rikoksesta epäillyn tai epäiltyjen haltuun.

KRP:stä kerrotaan, että viikonvaihteen aikana ei uutta tiedotettavaa tutkinnasta ole.

Keskusrikospoliisi tutkii Vastaamoon kohdistunutta hyökkäystä törkeänä tietomurtona ja törkeänä yksityiselämää loukkaavana tiedon levittämisenä. Poliisi pyytää, että tietovuodon kohteiksi joutuneet henkilöt tekevät asiasta sähköisen rikosilmoituksen.

Ohjeet

Ilmoita poliisille

Jos näet jossain omia tietojasi julkistettuna, ota näyttökuvat todisteeksi ja tee rikosilmoitus poliisille.

Jos sinua uhkaillaan tai kiristetään tietojen levittämisellä, ota viesteistä näyttökuvat todisteeksi ja tee rikosilmoitus.

Tekemällä luottokiellon voi ennaltaehkäistä henkilötietojen väärinkäytöllä tehtäviä petoksia.

Verkkorikollisuuden uhrit voivat saada neuvoja rikosasioissa ja keskusteluapua Rikosuhripäivystyksen chatista ja numerosta 116 006, joka palvelee ma–pe kello 9–20. Puhelu on maksuton.

Anne Penttinen

Anne Penttinen

Liisa Kukkola

Liisa Kukkola

Terhi Säynäjärvi/STT