"Tämä voi olla oleellinen tekijä, joka vaikuttaa Vastaamon tulevaisuuteen" – olisiko Vastaamo-tietomurto tullut koskaan ilmi ilman GDPR-asetusta?

F-Securen tutkimusjohtaja Mikko Hyppösen mukaan tiistain ja keskiviikon välisenä yönä ladattu tiedosto on saatu poistettua. 

Siitäkään huolimatta yli 32 000 Vastaamon potilaan tiedot eivät ole turvassa. 

– Siitä on jo tehty kopioita, ja tuntuu, että se jatkaa elämäänsä verkossa. Valitettavasti, Hyppönen toteaa. 

Ilman tietosuoja-asetusta Vastaamon tietomurrosta ei välttämättä tiedettäisi

Vuonna 2018 voimaan astunut EU:n tietosuoja-asetus, eli henkilötietojen käsittelyä säätelevä laki, pakottaa yritykset kertomaan tietovuodoista. 

– GDPR-regulaatio tarjoaa kuluttajille sekä parempaa turvaa että ehkä kaikkein tärkeimpänä paremmin tietoa siitä. Nykypäivänä, kun yritykset hukkaavat meidän tietojamme, yritysten on pakko kertoa siitä meille. Näin ei ole aina ollut.

Esimerkiksi Vastaamon tapauksessa tieto tietomurrosta ja sen jälkeisistä tietovuodoista olisi voinut tulla julkisuuteen vasta monen mutkan ja sattumuksen kautta ilman tietosuoja-asetusta. 

– Vastaamon ei olisi ollut pakko kertoa murrosta meille ennen GDPR:ää, Hyppönen pohtii. 

Tietosuojavaltuutettu vahvistaakin MTV Uutisille, että mikäli Vastaamon tietomurto olisi tapahtunut esimerkiksi kolme vuotta sitten, edes tietomurron uhrit eivät välttämättä tietäisi tapahtuneesta mitään.

Miten käy Vastaamon tulevaisuudessa?

Hyppönen on seurannut noin kolme vuosikymmentä, mitä vakavien tietomurtojen kohteiksi joutuneille yrityksille käy. 

Vaikka historiassa onkin esimerkkejä yrityksistä, jotka ovat menneet nurin nimenomaan tietomurron seurauksena, Hyppösen mukaan yllättävän harva yritys ajautuu konkurssiin vaikeankaan tietomurron jälkeen.

– Vaikkapa tapaus Ashley Mardison viiden vuoden takaa. Tapauksessa pettämissivuston asiakasrekisteri vietiin ja postattiin verkkoon. Tämäkin firma selvisi tästä tietovuodosta, Hyppönen kertoo esimerkkinä. 

Onko sakkorangaistus Vastaamon loppu?

Vaikka Vastaamo saisikin uuden omistajan, tietomurrosta aiheutuva sakkorangaistus seuraa yritystä ja sen uutta omistajaa. 

Sakkorangaistus voi olla jopa useita miljoonia euroja.

– Tämä voi olla oleellinen tekijä, joka vaikuttaa Vastaamon tulevaisuuteen, Hyppönen spekuloi. 

Lue myös: Vastaamon vastavalittu toimitusjohtaja irtisanoutui – MTV:n tietojen mukaan yritys päättää torstaina toiminnan jatkamisesta

Missä Ransom man luuraa?

Hyppösen mukaan vuodetut tiedot kuuluivat niille samoille potilaille, joiden tiedot vuodettiin verkkoon viime vuoden lokakuussa.

Vaikka kuukausia on kulunut, tietomurron tekijälle ja potilastiedoilla kiristänyttä henkilöä, niin kutsuttua Ransom mania, ei ole saatu kiinni. 

– Ransom manin seuranta jatkuu edelleen. Tämän alkuperäisen kiristäjän jäljiltä jäi poikkeuksellisen paljon tutkittavaa aineistoa – paljon enemmän kuin yleensä verkkorikoksissa on. 

– Mitään varsinaista savuavaa asetta ei ole löytynyt, Hyppönen kertaa. 

Katso yllä olevalta videolta: Tutkinnanjohtaja kertoo Vastaamoon liittyvästä tutkinnasta – miten toimia, jos omat tiedot päätyivät uudelleen verkon syövereihin?

Lue myös: Onko kyseessä alkuperäinen Vastaamo-kiristäjä? KRP: Tämä uudesta levityksestä Tor-verkossa tiedetään

Lue myös: Psykoterapiakeskus Vastaamon tietomurrossa vietiin lähes 35 000 asiakkaan tiedot, joista suuri osa ei ole vielä tehnyt rikosilmoitusta – Poliisi: "Toivottavasti kaikki tekevät"