Suspect d'extorsion de psychothérapie: mandat d'arrêt délivré

Imaginez que vous ayez parlé en toute confiance à un psychothérapeute, mais que le contenu de vos séances ait été sauvegardé pour la postérité, avec des détails d'identification personnels précis tels que votre numéro d'identification national unique, et peut-être des informations supplémentaires telles que des notes sur votre relation avec votre famille…

… et puis, comme si cela ne suffisait pas, imaginez que les mots que vous ne vous attendiez pas du tout à saisir et à enregistrer, encore moins indéfiniment, aient été rendus accessibles sur Internet, prétendument « protégés » par un peu plus de un mot de passe par défaut permettant à quiconque d'accéder à tout.

Imaginez maintenant, quelque temps plus tard (selon certains rapports, la société qui dirigeait la clinique a subi des violations de données en 2018 et 2019, mais la criminalité ouverte entourant les données volées n'a commencé qu'en 2020), que vos secrets les plus profonds et ceux de des dizaines de milliers d'autres patients faisant confiance, ont été utilisés dans une tentative de chantage contre l'entreprise.

Et puis, étant donné que l'entreprise elle-même n'a pas payé (et à quoi cela aurait-il servi de toute façon, étant donné que les données étaient déjà disponibles « à l'état sauvage » ?), imaginez que vous ayez vous-même reçu une demande de chantage, mettant le vous obliger à payer 200 euros pour « supprimer » la publication de ces discussions pas si privées après tout où vous vous êtes confié à un thérapeute dont vous pensiez raisonnablement qu'il garderait vos secrets secrets.

N’oubliez pas que les données volées incluaient des choses que vous aviez dites sur votre famille et vos proches…

…et puis imaginez, comme le magazine Wired écrit dans 2021 dans le cas d'un jeune devenu adulte entre-temps, si l'extorsion avait également contacté d'autres personnes dont les informations personnelles figuraient dans votre note et les avait également menacées pour de l'argent.

C’est ainsi que la saga des violations de données s’est apparemment déroulée chez un tristement célèbre fournisseur de soins de santé finlandais, aujourd’hui en faillite, appelé Centre de psychothérapie Vastaamo.

Des milliers de plaintes déposées

Heureusement, si c'est le bon mot, des milliers de victimes ont porté plainte auprès de la police, donnant aux autorités finlandaises un mandat clair et vital pour poursuivre non seulement les criminels impliqués dans l'extorsion, mais aussi les hauts dirigeants de l'entreprise qui a permis un tel extorsion. une violation flagrante des données se produirait en premier lieu.

Début octobre 2022, le Le Helsinki Times a rapporté que l'ancien PDG du Centre de Psychothérapie Vastaamo, Ville Tapio, sera lui-même accusé de ce qu'il a décrit comme un « infraction à la protection des données [relative à] des vulnérabilités en matière de sécurité de l'information ayant entraîné une fuite d'informations sensibles sur des milliers de patients ».

Dans un parallèle intéressant avec la récente affaire pénale américaine contre Joe Sullivan, ancien CSO chez Uber, Ville Tapio semble être en difficulté non seulement pour avoir laissé la porte ouverte en premier lieu, mais aussi pour n'avoir signalé la violation que longtemps après, alors qu'elle ne pouvait plus être dissimulée.

Sullivan a récemment été reconnu coupable par un tribunal fédéral américain de ce que l'on appelle encore dans la jurisprudence américaine le mot anglo-normand méprise, ou dissimuler un crime.

Selon le tribunal, Sullivan a payé les auteurs d'une violation impliquant plus de 50,000,000 XNUMX XNUMX de dossiers de clients et de conducteurs en rédigeant la demande de chantage des criminels comme s'il s'agissait d'un rapport officiel de bug bounty, et en faisant passer le gain pour un montant irréprochable. « divulgation responsable » :

Ville Tapio, comme Sullivan, semble avoir décidé qu’il pouvait cacher la violation aux autorités jusqu’à ce qu’elle ne puisse plus être niée parce que les demandes d’extorsion l’ont révélée.

Selon le Helisinki Times, Tapio risque jusqu'à un an de prison s'il est reconnu coupable.

Un extorsionniste présumé pourrait être arrêté

Mais ce n’est pas tout : l’extorsionniste présumé lui-même est désormais sous le feu des projecteurs des forces de l’ordre européennes à la suite d’un mandat d’arrêt émis en Finlande.

Le Bureau national finlandais d'enquête annoncé vendredi dernier :

[Nous] avons placé une personne en détention par contumace pour cause probable d'effraction informatique aggravée, de tentative d'extorsion aggravée et de diffusion aggravée d'informations portant atteinte à la vie privée [en relation avec l'incident du centre de psychothérapie Vastaamo].

La police a établi que le suspect réside actuellement à l'étranger. Pour cette raison, il a été placé en détention par contumace. Un mandat d'arrêt européen a été émis contre le suspect. Il peut être arrêté à l'étranger en vertu de ce mandat. Après cela, la police demandera sa remise à la Finlande. Une notice d'Interpol sera également émise contre le suspect, qui est citoyen finlandais et âgé d'environ 25 ans.

On ne nous a pas dit son nom, ni où il se cache actuellement, mais nous garderons un œil sur cette affaire, ainsi que sur le cas du PDG qui n'aurait pas fait assez pour arrêter le violation en premier lieu, et de l'avoir effectivement balayée sous le tapis jusqu'à ce qu'elle soit révélée quand des dizaines de milliers de victimes ont été soumises à un chantage.

Que faire?

• Répétez ce que vous ferez si vous subissez vous-même une infraction. Vous ne vous préparez pas à échouer si vous le faites, mais vous échouez à vous préparer si vous ne le faites pas. Apprenez quelles sont vos obligations en matière de signalement et exercez-vous à dire ce que vous diriez aux personnes touchées par la violation. Comme le suggère cette affaire, une divulgation rapide aurait au moins empêché des dizaines de milliers de personnes vulnérables d'être informées de l'infraction par des demandes d'extorsion adressées directement à elles et à leurs familles.
• Envisagez de déposer un rapport personnel si vous êtes pris dans une infraction. Cela aide les régulateurs et les forces de l'ordre à collecter des preuves ; aide à déterminer un niveau de réponse approprié (si personne ne dit rien, il est alors difficile de convaincre un tribunal qu'un préjudice réel a été causé); et aide les autorités à exiger des normes de cybersécurité plus élevées à l'avenir.

D’ailleurs, les autorités finlandaises espèrent encore convaincre environ 10,000 XNUMX personnes concernées qui n’ont pas encore porté plainte dans l’affaire Vastaamo de le faire…

…donc, si vous avez été impliqué dans ce crime ignoble et que vous êtes prêt à vous manifester, vous pouvez en apprendre davantage sur Que faire sur le site de la police finlandaise. (Suomi [Finnois] – Svenska [suédois] – Anglais.)

---