Finlande : un hacker accusé du vol de données de la société psy en ligne Vastaamo

Vastaamo était un bel exemple de réussite de la tech finlandaise : ce service proposait des offres de psychothérapie en ligne, avec un excellent référencement des praticiens et des tarifs raisonnables.

Mais la société utilisait aussi un système de gestion des dossiers reposant sur une base de données MySQL, qui est restée accessible sur Internet via un simple identifiant administrateur pendant 16 mois.

Le 21 octobre 2020, un cybercriminel indique à Vastaamo qu’il a piraté cette base de données, et dispose donc des notes de séances de thérapie hautement sensibles de 50 000 patients. Il réclame alors 40 bitcoins (450 000 euros à l’époque) pour ne pas divulguer ces informations.

Devant le refus de Vastaamo de payer, il menace de rendre publics 100 profils de patients toutes les 24 heures, tout en contactant individuellement 22 000 patients pour les faire chanter, en leur réclamant chacun 500 euros.

Mais le hacker rend involontairement accessible sur le dark web l’ensemble de la base de données qu’il avait dérobée. Il efface rapidement le fichier, mais des copies en ont été faites, qui se retrouvent en libre accès sur le dark web très rapidement.

La révélation de cette faille de sécurité provoque le renvoi du CEO et fondateur de Vastaamo, Ville Tapio, poursuivi depuis pour une infraction à la protection des données, le dirigeant ayant dissimulé la fuite pendant un an et demi. Vastaamo ne s’est jamais remise de cette attaque, et est désormais en faillite.

En cette fin octobre 2022, la justice finlandaise a publiquement accusé Julius Kivima, 25 ans, d’être l’auteur de la fraude. L’homme vivant à l’étranger, il a été également arrêté par contumace.

Le hacker est bien connu pour avoir été condamné en 2020, au terme d’un procès très médiatisé, pour plus de 50 000 cybercrimes commis alors qu’il avait moins de 18 ans, notamment des violations de données, des fraudes au paiement ou l’exploitation de botnets. Il a fait appel de cette décision.

Via une déclaration sur Twitter, Julius Kivima estime que les nouvelles accusations de la justice finlandaise visent à influencer le tribunal qui va bientôt statuer sur cet appel.