Ctrl+Alt+Kaaos - jo toinen kirja Kivimäestä

BBC:n toimittaja Joe Tidy on julkaissut kirjan "Ctrl+Alt+Chaos - How teenage hackers hijack the Internet", joka on ilmestynyt suomeksi nimellä "Ctrl+Alt+Kaaos - Julius Kivimäen ja muiden hakkerien jäljillä" (Bazar 2025). Tidy on epäilemättä oikea henkilö kirjoittamaan asiasta, sillä hän sai Kivimäen antamaan tv-haastattelun heti Sonyn Playstation -verkon kaatamisen jälkeen. 

Aleksanteri/Julius Kivimäki on tämänkin kirjan päähenkilö, jonka ympärille muiden hakkerien tarinat kietoutuvat. Tidy liikkuu samoissa maisemissa kuin Malin kirjassaan Ransom_Man, mutta kuvaa tapahtumia vielä laajemmin ja yksityiskohtaisemmin. Erityisesti Vastaamon tietomurron paljastuminen ja sitä seuranneet tapahtumat on kerrottu vauhdikkaasti ja jännittävästi, aivan kuin Tidy olisi ollut itse paikalla. KRP:n Leponen ja Kurittu ovat antaneet toimittajalle paljon materiaalia. 

Vastaamon tapahtumat, kiristys ja oikeudenkäynti on kuvattu yksityiskohtaisesti ja nähdäkseni virheettömästi. Ainakin suomenkielisessä versiossa faktat ja nimet ovat oikein, mikä ei aina ulkomaisissa kirjoissa ole varmaa. Kirja mainitsee jopa allekirjoittaneen havainnon Kivimäestä pelaamassa pasianssia istuntojen aikana, mikä loukkasi erityisen paljon videoyhteyttä seuranneita uhreja.

Viimeistään tämä kirja tekee Kivimäestä kansainvälisesti tunnetun hakkerin, oman aikamme Kevin Mitnickin.

Ctrl+Alt+Kaaos

Kirjan luettuaan jää hämmentynyt olo. Mikä on se voima, joka sai nuoret miehet suorittamaan järjettömiä tekoja, ja lähinnä nauramaan uhrien kärsimykselle? Miksi Kivimäki antoi omilla kasvoillaan haastattelun kaadettuaan jouluna Sonyn verkon, pilattuaan monien joulun ja aiheutettuaan miljoonavahingot yhtiölle? Mikä saa nuoret pitämään itseään voittamattomana yli-ihmisenä, jolle edes oikeuslaitos ei voi mitään?

Ensi vuoden kesällä Kivimäki vapautuu vankilasta istuttuaan puolet lain sallimasta maksimituomiosta. Tidy ihmettelee syystäkin Suomen oikeuslaitosta, joka kohtelee moneen kertaan tuomittua Kivimäkeä jälleen ensikertalaisena, koska edellisestä vankeustuomiosta on ehtinyt kulua yli viisi vuotta. Sama ongelma on tosin ollut muissakin maissa: nuoret hakkerit pääsevät lievillä tuomioilla, vaikka vahingot ovat mittavia. Myös tekojen tutkinta on hidasta, sillä väkivalta- ja talousrikokset ovat etusijalla.

Tidyn kirjassa on paljon mielenkiintoisia yksityiskohtia. FBI järjesti Kivimäelle ansan Las Vegasin loistohotelliin tämä matkustettua hakkerikonferenssiin vähän ennen kuin täytti 16 vuotta. Vähän myöhemmin Kivimäellä oli pelkässä matkakassassa 205 bitcoinia (arvo nykyisin noin 20 miljoonaa euroa). Kaksi hakkeripiireissä pyörinyttä aktiivia meni yhteen toisen vaihdettua sukupuoltaan. Toiset kaksi joutuivat Filippiineillä vankilaan murhattuaan nuoren naisen. Ja vaikka hakkerit pitivät swattausta (soitetaan hätäpuhelu poliisille) pelkkänä pilana, eräässä tapauksessa se johti syyttömän perheenisän kuolemaan, kun poliisit avasivat tulen.

Viimeistään kirjan luettuaan ymmärtää, miksi oikeus antoi syyksilukevan tuomion, vaikka mikään yksittäinen todiste ei osoittanut syyllisyyttä vedenpitävästi. Onkin kiinnostavaa, tuleeko tämän vuoden elokuussa alkavassa hovioikeuden käsittelyssä esiin uutta aineistoa tai rikostovereita.

Kivimäen tarinassa riittää aineksia elokuvaan. Dokumenttielokuva onkin jo tulossa. Hänen tapauksessaan rikokset ovat epäilemättä kannattaneet. Hän on joutunut vastaamaan vain murto-osasta kaikista tekemistään konnuuksista ja muutama vuosi vankeutta on pieni takaisku miljoonien rikoshyödystä.

Julkisuus on tosin viimeinen asia, mitä nettirikollinen itselleen ja toimilleen kaipaa.

Ransom_man kertoo Kivimäen hakkerihistorian, ja se on karmea

Tor-verkon syvissä vesissä uinut ja niistä raportoinut toimittaja Aarno Malin on tehnyt kirjan Aleksanteri Kivimäestä ja tämän hakkeriurasta. Kirja päättyy Vastaamon oikeudenkäyntiin käräjäoikeudessa ja epäilyihin vielä uusista kansainvälisistä rikoksista. Vastaamon tapaus menee hovioikeuteen ja todennäköisesti Kivimäki jatkaa nettirikoksilla rahoitettua luksuselämäänsä heti, kun vapautuu vankilasta.

Ransom_man: Vastaamon tapaus ja Aleksanteri Kivimäen hakkerihistoria.

Malin on tehnyt ison työn selvitellessään Kivimäen poikkeuksellista hakkeriuraa, joka alkoi jo nuorena. Ensimmäinen tuomio tuli 15-vuotiaana tuhansista tietomurroista. Tai no, eihän se mikään oikea tuomio ollut. Ehdollisena nuorelle henkilölle määrätty vankeustuomio ei tuntunut miltään, eikä ilmeisesti vaikuttanut mihinkään, koska Kivimäki jatkoi puuhiaan entiseen malliin.

Malinin kirja kuvaa havainnollisesti, miten Kivimäen nuorena tekemät verkkorötökset olivat raakaa kiusantekoa ja häiriköintiä, joiden uhrit olivat usein Yhdysvalloissa. Tällaisena kuvaus on puistattava kertomus digiajan vaaroista. Tekijä voi olla tuhansien kilometrien päässä, ja ainakin Suomesta tehtynä lain kouran ulottumattomissa. 

Toistuvista törkeistä tempuista huolimatta Kivimäen saamat rangaistukset olivat mitättömän pieniä, mitä Yhdysvalloissa sijainneet uhrit syystäkin ihmettelivät. Osa jutuista kuivui eri syistä kasaan. Kivimäki pääsi niistä kuin koira veräjästä. Vastaamon runsaan kuuden vuoden tuomio on ensimmäinen, joka oikeasti tuntuu - ja siitäkin Kivimäki istuu vain puolet, koska on lain edessä "ensikertalainen". 

Malinin kirja kuvaa kiinnostavasti tekoja ja niiden selvittelyä. Todennäköisesti mukana eivät ole läheskään kaikki Kivimäen tempaukset, sillä kirjoittaja on pitäytynyt vain tapauksissa, joista on riittävän vahvaa näyttöä. Huvittavana yksityiskohtana mainitaan Antti Kurittu, joka kuulusteli nuorta Kivimäkeä poliisina, ja oli Vastaamon tietomurron jälkeen selvittämässä digitaalisia jälkiä siirryttyään Nixun palvelukseen. Piirit ovat pienet.

Itselle jää vaikutelma, että KRP arvasi heti Vastaamon tietomurtajan henkilöllisyyden, mutta esitti tutkinnallisista syistä tietämätöntä. Näytön kerääminen vei oman aikansa, samoin väärillä passeilla liikkuneen Kivimäen pidättäminen.

Kirja auttaa ymmärtämään ristiriitaa, joka itseäni on aina kummastuttanut: miksi Kivimäki alkoi kiristää Vastaamoa ja tökerösti myös sen asiakkaita, vaikka hänellä oli varaa luksuselämään, ykkösluokan hotelleihin, bisnesluokan lentoihin ja kalliisiin autoihin. Kivimäen tapaiselle tekijälle kaikki on vain loputonta pilaa, eikä uhrien tuntemuksilla ole mitään merkitystä.

Vastaamon oikeudenkäynti käsittelevä luku ei sisällä juurikaan uutta sellaiselle, joka on seurannut tapahtumia mediasta. Kirjan loppupuoli herättää vahvan epäilyn Kivimäen kytkeytymisestä pimeän verkon huumekauppojen huijaukseen, josta hän mahdollisesti ansaitsi miljoonien eurojen arvosta kryptovaluuttaa.

Ransom_man on pelottava muistutus siitä, millaisen voiman digiaika vapauttaa nuorille, joilla ei ole normaaleja sosiaalisia pidäkkeitä. Toivottavasti myös lainsäätäjät ottavat kirjasta opikseen. Verkkorikollisuus ei ole nuorten puuhastelua vaan tekoja, jotka voivat pilata ihmisen elämän, eivätkä rangaistukset kiinni saaduille tekijöille ole missään suhteessa aiheutettuun vahinkoon.

Aarno Malin: Ransom_man, Vastaamon tapaus ja Aleksanteri Kivimäen hakkerihistoria, Atena-kustannus, 176 sivua, 31,90 euroa. Kustantajan sivu.

Vastaamo-oikeudenkäynti päättyi puolustuksen loppulausuntoon

Espoon käräjäoikeudessa (virallisesti Länsi-Uudenmaan käräjäoikeudessa) istuttiin tänään viimeistä kertaa oikeudenkäyntiä, jossa Aleksanteri Kivimäkeä syytetään Vastaamon tietomurrosta ja sekä yrityksen että asiakkaiden kiristyksestä. Prosessi on ollut pitkä, sillä pääkäsittely alkoi jo 13.11.2023. Tänään kuultiin puolustuksen loppulausunto. 

Vastaamo-oikeudenkäynnin viimeinen istuntopäivä alkamassa.

Olen käynyt seuraamassa useimpia istuntopäiviä ja päivittänyt niistä tietoja sosiaaliseen mediaan. Aihe kiinnostaa ammatillisesti - onhan kyse Suomen rikoshistoriaan jäävästä tapauksesta, joka kaiken lisäksi perustuu tietotekniikan käyttöön. Lisäksi viime vuonna käyttöön otettu uusi oikeustalo sijaitsee Otaniemessä aivan lähellä omaa konttoriani. Kävelymatka on ollut lyhyt.

Vastaamo-tapaus on ollut monin tavoin poikkeuksellinen, sillä uhreja on valtavasti ja jokaisen tiedot on pitänyt käsitellä luottamuksellisesti asian arkaluonteisuuden vuoksi. Oikeudenkäynnin valmistelu on työllistänyt 5 prosenttia koko syyttäjälaitoksesta. Lisätutkintoja on tehty vielä oikeudenkäynnin aikana, eikä kaikkia lankoja ole silti pystytty seuraamaan loppuun asti.

Kaikesta päätellen Vastaamo on vain jäävuoren huippu. Hulppeaa luksuselämää viettänyt Kivimäki on ollut mukana ryhmässä, joka on harjoittanut konnuuksia verkossa. Heillä on ollut käytössään Hetznerin palvelinkeskuksesta vuokrattuja järeitä palvelimia ja niille luotuja virtuaalipalvelimia. Ainakin kaksi amerikkalaista on samaan aikaan ollut kunniallisissa it-töissä tunnetuissa yrityksissä. 

Yli 500 miljoonan osoitteen listaa on käytetty haavoittuvien nettiosoitteiden löytämiseen, tarkoituksena rakentaa kilpailija Shodan-hakukoneelle. Syyttäjän väite on, että tässä projektissa on sattumalta löydetty myös Vastaamon suojaamaton potilastietokanta. Palvelimilta on löydetty merkkejä muistakin tietomurroista ja kopioita tor-verkon huumekaupoista, joissa ostoja tehneiden asiakkaiden bitcoinit on kaapattu.

Kivimäki jäi kiinni Pariisissa, kun kotikäynnin tehneet poliisit alkoivat epäillä hänen esittämänsä romanialaisen Asan Ametin (tunnettu, v. 2020 kuollut rikollispomo) passia väärennetyksi. Poliisin tutkintamateriaalissa on kuvia muistakin Kivimäen väärennetyistä passeista, kaikki romanialaisilla nimillä. Kiinnostava kysymys onkin, kuinka monta tapaukseen liittyvistä henkilöistä on aitoja ja kuinka monen takana on Kivimäki itse.

Kivimäen BMW 740 L oli rekisteröity nimelle Daniel Fulgescu. Hetznerin palvelimet oli vuokrannut nainen nimeltä Leena Patel. Luulisi, että nykyaikana kuka tahansa it-asioiden kanssa tekemisissä oleva löytyisi sosiaalisesta mediasta tai ainakin henkilötiedot saisi paikallisen maan poliisilta, mutta tässä tapauksessa henkilöiden todellisuus jäi epävarmaksi. Jutun kannalta sillä ei ollut oleellista merkitystä, jäipä vain kummastuttamaan itseäni. 

Vaikka Kivimäkeen viittaavia ip-osoitteita, ssh-avaimia, lokeja ja muita digijälkiä on runsaasti, varsinainen savuava ase puuttuu. Tietomurron ja kiristyksen välinen kahden vuoden aika herättää kysymyksiä, samoin se, miksi Kivimäki ryhtyi näin erikoiseen kiristykseen vaikka elämäntyylin perusteella hänellä ei ollut pulaa rahasta. Toisaalta tutkinnassa Kivimäki on sanonut olevansa varaton.

On mahdollista, että ssh-avaimilla on ollut muitakin käyttäjiä. Syyttäjä totesi, että vuodettujen potilastietojen muodostamiseen käytetty ohjelma ei luultavasti ollut Kivimäen kirjoittama. Oikeus joutuu nyt arvioimaan, riittääkö näyttö ankaraan seitsemän vuoden vankeustuomioon.

Kivimäellä on nuoruuden tietomurroista kaksi ehdollista tuomiota. Jos tästä tuomitaan ehdotonta, hän istuu ensikertalaisena vain puolet, ehkä siis 3,5 vuotta - ja siitäkin ensimmäinen vuosi on jo kulunut tutkintavankeudessa.

Kun hovioikeus oli 16.2. kumonnut käräjäoikeuden 6.2. antaman päätöksen ja määrännyt Kivimäen takaisin selliin, Kivimäki katosi useaksi päiväksi. Poliisi löysi hänet Kruununhaasta Airbnb-asunnosta, jonka Kivimäen sisko oli maksanut. Sisko oli siirtänyt veljelleen myös rahaa. 

Poliisin mukaan asunnon jäljille päästiin Kivimäen julkaistua Ylilaudalla kuvan 250 euron Krug-shampanjapullosta, jossa näkyi pala lattian kuviointia. Kuulostaa eksoottiselta, mutta USA:n sotilastietoja vuotaneen Jack Teixeiran jäljille päästiin keittiön pöydän kuvioinnin perusteella. Ei siis kannata julkaista kuvia, jos haluaa pakoilla!

Tänään puheenjohtaja ilmoitti, että tuomio annetaan 30.4.2024. Jonkun vappu menee pilalle ja hyvin todennäköisesti joku valittaa päätöksestä hovioikeuteen. Lopullista lainvoimaista tuomiota saadaan odottaa ehkä vuoteen 2026.

Käräjäoikeuden tuomio tulee odotettua nopeammin. Yleensä se kertoo vapauttavasta päätöksestä, sillä selkeät jutut on helppo tuomita ja perustelut ovat lyhyitä. Langettavissa tuomioissa perusteluja tarvitaan enemmän. Toisaalta oikeudella on ollut tavallista enemmän vapaata istuntopäivien välissä, joten sillä on ollut aikaa pohtia tuomion perusteluita jo valmiiksi.

Joka tapauksessa vappuaatosta tulee tänä vuonna erityisen kiinnostava.

Tietoturva: isketään takaisin

Vuoden 2023 ensimmäisellä puoliskolla suomalaiset menettivät verkkorikollisille 20 miljoonaa euroa. Summa on suuri, mutta ei näytä johtavan sen kummempiin toimenpiteisiin. Viranomaiset tyytyvät vain toistamaan tuttuja varoituksia tietoturvan tärkeydestä.

Verkko on ainoa paikka, jossa rikollisuutta pidetään melkeinpä luonnollisena. Siellä nyt vain sattuu olemaan huijareita, joten jokaisen täytyy itse huolehtia itsestään. 

Takavuosina raiskaajat pääsivät pienillä tuomioilla, ellei uhri vastustellut riittävästi. Uhrin katsottiin jopa provosoineen tekijää pukeutumalla tai käyttäytymällä kevytmielisesti.

Noista ajoista asenteet ovat onneksi muuttuneet, mutta verkkorikoksissa uhrien syyllistäminen jatkuu edelleen. Mitäs olit niin tyhmä ja hyväuskoinen? Mikset katsonut osoitetta tarkemmin? Mikset päivittänyt ohjelmaasi ajoissa?

Tietoturvassa on tapana kääntää kiltisti toinenkin poski. It-ala noudattaa Raamatun oppia paremmin kuin kirkko itse.

Posken kääntämisen taustalla on näkemys siitä, että taistelu kansainvälistä verkkorikollisuutta vastaan on toivotonta resurssien haaskausta. Sitä se voi ollakin, mutta kyse on myös asenteista.

Joitakin verkkohuijauksia voisi selvittää käyttämällä tavanomaiseen poliisityöhön kuuluvaa peitetoimintaa. Poliisi esittäisi helppoa uhria ja lähtisi mukaan huijaukseen.

Esimerkiksi sakkomaksua vaativat kiristäjät ilmoittavat jo ensimmäisessä vastauksessaan tilinumeron, johon rahat tulee maksaa. Tiedän, koska olen itse kokeillut. Tilinumeron perusteella pääsisi kiinni rahavirtoihin ja voisi ehkä jäljittää tekijät.

Kaikki tämä vaatisi tietenkin kansainvälistä yhteistyötä, mutta EU näyttää olevan kiinnostuneempi kansalaistensa henkilötietojen kuin heidän rahojensa suojaamisesta.

Entä jos me käyttäjät ryhtyisimme itse vastarintaan? Ehkä huijarien keskuudessa alkaisi kiertää sana, ettei fi-osoitteisiin kannata lähettää huijauksia, koska sieltä annetaan samalla mitalla takaisin.

Asia on juridisesti hankala, joten en rohkaise ketään rikkomaan lakia. Voin vain teoretisoida, miten se tapahtuisi.

Vastaanottaja voisi teeskennellä tyhmää ja työllistää huijaria väärillä vastauksilla ja hölmöillä kysymyksillä. Suureen massaan perustuvat huijaukset romahtavat, jos turhat yritykset vievät liikaa aikaa.

Erityisen tehokkaasti vastarinta puree Facebookissa. Olen vastannut moneen ”Voitko antaa matkapuhelinnumerosi?”-kyselyyn ja vedättänyt huijaria, kunnes tämä on tajunnut menneensä ansaan ja kiroten sulkenut yhteyden.

Oikeaa puhelinnumeroa ei kannata antaa huijarille, mutta sitä varten voi hankkia prepaid-liittymän. 

Lähes kaikki Facebook-huijarit ovat olleet Turkista. Eräs kertoi jopa onnistuneiden huijaustensa määrän ja taloudellisen tuoton, ennen kuin pisti linjan poikki. Güle güle – hyvästi!

Onneksi on positiivistakin kehitystä. Ulkomailta tulevat huijauspuhelut kiusasivat meitä vuosien ajan. Huijarit saivat asennettua etäkäyttöohjelman ja tyhjensivät uhrin tilit.

Operaattorit valittivat, etteivät voi ongelmalle mitään, sillä soitot tulevat nettipuheluina. Esto olisi vaatinut kansainvälistä yhteistyötä niin, että ketjun jokainen operaattori tarkistaisi välittämiensä tilaajatietojen aitouden.

Toukokuussa 2022 Traficom kuitenkin antoi määräyksen numero 28, joka velvoitti operaattorit estämään soittajan numeron väärentäminen. Lokakuun alusta 2023 esto alkoi koskea myös matkapuhelimia – ja kas, huijaussoitot loppuivat kuin veitsellä leikaten.

Traficomin uusin määräys kohdistuu tekstiviesteihin. Suurten toimijoiden on rekisteröitävä numeronsa ja tekstitunnuksensa, jotta huijausviestit eivät enää mene aitojen POSTI- ja VERO-viestien joukkoon.

Luulisi, että tämä yksinkertainen määräys on helppo toteuttaa, koska suuria toimijoita on vähän ja sms-viestien lähetys puheluita paremmin kotimaisten operaattorien kontrollissa.

Ainoa kysymys on, miksei näitä kahta asiaa tehty jo vuosia sitten. Miksi tyydyimme vain kääntämään poskea?

Julkaistu alun perin Tivi-lehden kolumnina marraskuussa 2023.

---

Muutama lisäys kolumnin alkuperäiseen tekstiin. Huijareita voi kiusata klikkaamalla tahallaan kalastelusivuja ja syöttämällä niihin aidon näköisiä verkkopankkitunnuksia. Itse pyrin myös vastaamaan kaikkiin Whatsapp-huijauksiin.

"Moi isä, mun puhelin meni rikki" - ihan varmaan...

Harmi kyllä tämäkään huijari ei enää reagoinut pari tuntia lähettämänsä viestin jälkeen. Olisi pitänyt ehtiä vastaamaan nopeammin, mutta olin videopalaverissa.

---

Kommentoin Iltalehdessä, että Vastaamon toimitusjohtajan olisi kannattanut suostua kiristäjän vaatimuksiin ja maksaa 360 000 euron lunnaat. Kantani herätti runsaasti pahaa verta it-ammattilaisissa, eikä ihme, sillä se on kaikkien turvaoppien vastaista.

Lähtökohtaisesti kiristäjän vaatimuksiin ei koskaan pidä suostua. Kiristäjä on rikollinen, jonka lupauksiin ei ole luottamista. Hän saattaa jatkossa vaatia lisää rahaa tai julkaista tiedot maksamisesta huolimatta. Jos kukaan ei maksaisi, kiristykset muuttuisivat kannattamattomiksi ja loppuisivat.

Suomessa vakuutusyhtiöt eivät sentään korvaa lunnasrahoja, koska vakuutusehdot kieltävät niiden käytön rikolliseen toimintaan. Ulkomailta tällaisiakin vakuutuksia voi hankkia, mutta niissä vakuutusmaksut ovat ihan toista luokkaa kuin kotimaisissa kybervakuutuksissa.

Kirjoituspöydän takana suhtautuminen kiristykseen on yksinkertaista ja helppoa. Elämä useinkaan ei ole. Tässä nimenomaisessa tapauksessa yli 30 000 uhrin näkökulma on helppo unohtaa vetoamalla yleiseen periaatteeseen. 

Vastaamon tapaus aiheutti tuhansille ihmisille valtavan henkisen vahingon. Seurauksena oli tiettävästi itsemurhia, ahdistusta ja vuosia jatkuvia identiteettivarkauksia. Lisäksi se rapautti laajemminkin uskoa mielenterveyspalveluihin. 

Voi ainakin pohtia mitä olisi tapahtunut, jos kiristäjlle olisi maksettu. Ehkä kiristäjä olisikin tyytynyt saamiinsa rahoihin? Mikä tahansa muu lopputulos olisi ollut uhrien kannalta parempi kuin se, mikä nyt tapahtui.

Kaikki tämä on tietenkin spekulointia. Kiristäjä olisi voinut rahat saatuaan vaatia Vastaamon uudelta omistajalta lisää rahaa tai ryhtyä kiristämään suoraan myös uhreja. Heidän kiristämisensä oli epätoivoinen temppu, sillä tuhansien uhrien kanssa asiointi on työlästä ja hankalaa, eikä tyypillisellä uhrilla edes ole varaa maksaa.

On selvää, ettei poliisi voi (juuri) koskaan neuvoa suostumaan kiristykseen. Sen on viran puolesta pakko vetää tiukkaa linjaa. Luultavasti tässä tapauksessa kaikki laskivat sen varaan, ettei kiristäjä toteuta uhkaustaan, mutta joutuivat yllättymään kiristäjän julmuudesta.

Mieleen tulee muutamia tapauksia, joissa suomalaisia on maailmalla kidnapattu ja sitten vapautettu lunnaita vastaan. Virallisesti Suomen valtio ei ole suostunut kiristykseen, mutta on luultavasti vaikuttanut kulisseissa.

Seppo Fränti ja Risto Vahanen kidnapattiin Sipadanin lomasaarella Malesiassa pääsiäisenä 2000. He viettivät vankeudessa 140 päivää. Sissit kuljettivat heidät Jolon saarelle Filippiineille, mistä he pääsivät vapaaksi syyskuussa. Ilmeisesti rahat tulivat Libyan Gaddafilta.

Atte ja Leila Kaleva kaapattiin joulukuussa 2012 Jemenissä. Atte Kaleva oli ääri-islamista väitöskirjaa tehnyt puolustusvoimien upseeri, mitä kaappaajat eivät onneksi tienneet. Puolustusvoimat oli yrittänyt estää Kalevan matkan, koska seutu tiedettiin vaaralliseksi. Puolen vuoden kuluttua Kalevan pariskunta vapautettiin ilmeisesti Omanin sultaanin maksettua kolmesta henkilöstä 15 miljoonan dollarin lunnaat. Yhden vapauden hinnaksi tuli siis viisi miljoonaa dollaria.

Fräntin, Vahasen ja Kalevan tapaukset erosivat Vastaamosta siinä, ettei psykiatripalveluita käyttäneillä uhreilla ollut aavistustakaan vaarasta eikä mitään osuutta tapahtumainkulkuun. Jälkikäteisessä arvioinnissa heidät on ohitettu kokonaan, koska potilaskertomukset ja henkilötiedot ovat niin arkaluonteisia.

Lunnassumma olisi ollut noin 10 euroa uhria kohti. Jos se olisi estänyt yhdenkin itsemurhan, olisiko kannattanut? Silti tätä vaihtoehtoa ei saisi edes ääneen mainita. It-rikoksissa uhrin asema on todellakin huono.

Vastaamon tietosuojarikoksesta tuomio - ex-toimitusjohtajalle 3 kk ehdollista vankeutta

Vuoden 2020 Vastaamon kiristystapauksen taustalla ollut tietosuojarikos on johtanut tuomioon. Yhtiön perustaja ja silloinen toimitusjohtaja sai kolmen kuukauden ehdollisen vankeustuomion. Rangaistus voi tuntua pieneltä verrattuna yli 30 000 ihmisen kärsimään häpeään ja ahdistukseen, joita tietojen hakkerointi ja kiristysyritys aiheuttivat, mutta siihen on juridisia syitä.

Vastaamo Kampissa kesäkuussa 2017, kun tarina oli vasta alussa.

Ehdollinenkin vankeusrangaistus on iso juttu, se mm. tarkoittaa että vastaaja joutuu maksamaan oikeudenkäyntikulunsa ja tuomio säilyy rekistereissä. Perimmäinen syy lievään tuomioon on kuitenkin siinä, ettei teko ollut lain tarkoittamalla tavalla tahallinen. Itse olen insinööri enkä juristi, joten johtopäätökseni voivat mennä metsään, paremmin tietävät korjatkoon.

Se, että laiminlyö tietoturvan kehittämisen ja asettaa yrityksen nopean kasvattamisen myyntikuntoon kaiken edelle, on jo melkein tahallista, tai ainakin törkeän huolimatonta. Molemmat täyttävät tietosuojarikoksen tunnusmerkistön. 

Oikeus voi tuomita vain siitä, mistä syytetään, ja vain niistä teoista, jotka voidaan näyttää toteen ja jotka eivät ole vanhentuneita. GDPR:ään liittyvä tietosuojarikos voi tuoda enintään yhden vuoden vankeustuomion. Syyttäjä vaati yhdeksää kuukautta, oikeus päätyi kolmeen. Kun maksimirangaistus on näin pieni, teot myös vanhenevat nopeasti. Oikeus katsoi, että ilmoitus tietoturvaloukkauksesta oli jätetty tekemättä, mutta siitä ei ole säädetty rangaistusta. Kyseeseen olisi voinut tulla väärän todistuksen antaminen viranomaiselle, mutta sekin oli tekona vanhentunut.

Lopulta tuomion perusteeksi jäi vain tietosuoja-asetuksen 32. artiklan ("käsittelyn turvallisuus") vaatimien toimenpiteiden laiminlyönti - käytännössä se, ettei tietokantaa oltu salattu eikä pseudonymisoitu tietomurtojen varalta.

Juristit löytävät tuomiosta paljon pureksittavaa, niin myös me insinöörit. Oikeus mm. totesi ettei ”parhaat käytännöt” ole sellainen konkreettinen ja tarkka käsite, jota laiminlyömällä henkilö voisi olla rikosoikeudellisessa vastuussa. Yksin sen perusteella, ettei jokin toteutettu toimenpide ole ollut tietoturva-alan parhaan käytänteen mukainen, ei voida katsoa, että toteutettu tapa ei olisi artiklassa tarkoitettu 42 (49) asianmukainen tekninen ja organisatorinen toimenpide. Tältä osin syyte on hylättävä. 

Olin kuuntelemassa oikeudessa sekä toimitusjohtajan että it-henkilön kuulemiset. Hiukset olivat nousta pystyyn it-henkilön kuvatessa, miten leväperäisesti toimitusjohtaja oli suhtautunut tietoturvaan ja tietosuojakoulutukseen. Kaikesta haluttiin päästä mahdollisimman halvalla ja helposti. Salasana oli seitsemän tavallista merkkiä eikä sitä oltu vaihdettu kahdeksaan vuoteen, varmuuskopiointi oli mitä sattui, dokumentaatiota ei ollut, root-tunnuksella ei ollut lainkaan salasanaa ja väärin konfiguroitu palomuuri päästi kaiken liikenteen läpi. 

Tietotekniikasta vastasi kaksi henkilöä nollatuntisopimuksilla. Heidän osaamisensa oli riittämätöntä ja työmäärä aivan liian suuri. Palomuuri jäi täysin auki eikä kukaan edes huomannut ratkaisevaa tietomurtoa. Jälkimmäinen 15.3.2019 tapahtunut murto oli erikoinen ja tulkinnanvarainen. Tietokanta oli tuhottu ja siihen oli lisätty 200 euron lunnasvaatimus. Sitä ei otettu vakavasti, eikä murrolla näyttänyt olevan seurauksia. Poliisitutkinnassa molemmat it-kaverit vapautettiin syytteistä, koska he olivat todistettavasti tuoneet puutteet toimitusjohtajan tietoon.

Toimitusjohtaja vastaa yrityksen toiminnasta. Tässä hän oli myös yrityksen suurin omistaja, vaikka sijoittaja olikin juuri ostanut yhtiön. Jos omistuspohja olisi ollut toinen, ehkä omistajat olisivat syyttäneet toimitusjohtajaa yhtiön tuhoamisesta. Nyt suurin kärsijä oli toimitusjohtaja itse. Yritys meni konkurssiin ja toisessa oikeudenkäynnissä ratkaistaan kiistaa myyjän ja ostajan välillä. 9 667 000 euron menettäminen jo sovitun kaupan jälkeen on kovempi rangaistus kuin lyhyt ehdollinen vankeus.

Oikeus piti rikosta vakavana, mutta alensi tuomiota tapauksen julkisuuden vuoksi. Toimitusjohtaja oli saanut tappouhkauksia ja luultavasti joutunut vilkuilemaan olkansa yli jo parin vuoden ajan, vaikka teknisesti oli syytön lopulliseen tuomioon asti. 

Käräjäoikeuden tuomio ei vielä ole lainvoimainen. Katsotaan, valittaako jompikumpi osapuoli päätöksestä. Joka tapauksessa tuomio antaa pohtimisen aihetta kaikille it-ammattilaisille, mutta myös toimitusjohtajille ja hallituksille. Mikä on todellinen tietoturvan taso yrityksessä ja kenellä on vastuu? Pelkkä nimi kalvolla ei vielä merkitse mitään. Vastaamossa tietosuojavastaavaksi oli merkitty it-kehittäjä. Joihinkin papereihin nimet oli merkitty vain, koska ne piti olla, eikä niitä ollut tarkoituskaan toteuttaa.

Miten johto voi varmistua siitä, että työntekijät osaavat asiansa? Mitkä ovat oikeasti välttämättömiä tietoturvahankintoja ja mitkä vain "nice to have" -osastoa? Jos jotain sattuu, kertovatko työntekijät siitä komentoketjussa ylöspäin eivätkä yritä peitellä omia mokiaan? Vastaamo osoitti, että työntekijä voi vapautua vastuusta raportoimalla havaitsemistaan ongelmista.

Vastaamo-kiristäjän jäljillä - se oli sittenkin hovimestari?

Vastaamon tietomurto järkytti suomalaisia 21.10.2020, kun vyyhdin uutisointi alkoi. Tasan vuotta myöhemmin poliisi kertoi seuraavansa jälkeä ulkomaille. Tänään, lähes tarkalleen kaksi vuotta tapahtuman jälkeen, poliisi kertoi antaneensa kansainvälisen pidätysmääräyksen 25-vuotiaasta suomalaisesta.

Tekijäksi epäilty Kivimäki tuomittiin Espoossa 2015 yli 50 000 automatisoidusta hakkeroinnista mm. Yhdysvaltojen tietojärjestelmiin. Hänen profiilinsa sopii hyvin Ransom_man-nimimerkin toimintaan. Kaksivaiheinen kiristys nousevalla vaatimuksella oli harrastajamainen viritys, johon ammattilainen ei koskaan lähtisi. Epäilty on siten "poliisin vanha tuttu" ja tietoturvapiireissä tuttu, mikä on melkeinpä pettymys. 

Näinkö yksinkertainen tapaus olikin? Melkein kuin se, että murhaajaksi osoittautuu hovimestari (vanha sanonta, en muista yhtään dekkaria missä hovimestari olisi oikeasti osoittautunut murhaajaksi). Todennäköisesti poliisilla on ollut vahva epäily tekijästä alusta lähtien. Ongelmana on vain ollut saada hänet yhdistettyä hakkerointeihin, jotka tapahtuivat kenenkään huomaamatta paljon aiemmin, ja joiden digitaaliset jäljet olivat jo ehtineet kylmentyä.

Olisi kiinnostavaa tietää, miten poliisi on kaksi vuotta käyttänyt. Virallisen selityksen mukaan tutkijat ovat käyneet läpi aineistoa teratavukaupalla, miljoonia sivuja. Eri lähteistä poliisille on kertynyt valtava määrä lokitietoa, mutta sen seulonta koneellisesti on melko tehokasta. Etsitään vain ip-osoitteita ja aikaleimoja sopivilla ehdoilla.

Uskoisin, että paljon aikaa on kulunut tietopyyntöihin eri maiden operaattoreille ja kryptopörsseihin. Onneksi muutama uhri maksoi kiristäjän pyytämän summan, sillä edes Bitcoin-siirrot eivät ole niin anonyymejä kuin kuvitellaan. 

Kivimäki on osoittanut rikolliset taitonsa hakkeroimalla ulkomaisia järjestelmiä. Poliisilla täytyy olla vahvat todisteet epäilyjensä tueksi, sillä Kivimäestä annettu pidätysmääräys on vahva toimenpide. Vaikka tekijä olisikin hovimestari, tapauksen mahdollinen selvittäminen on iso sulka Suomen poliisin ja KRP:n hattuun. Tähän asti kyberrikollisia on saatu kiinni lähinnä vain tapauksissa, joissa he ovat itse rehennelleet teoistaan. Veikkaanpa, että KRP:llä otetaan tänään perjantain kunniaksi porukalla hyvin ansaitut oluet.

Tapaus osoittaa, että lain koura on pitkä ja toimii myös verkkomaailmassa. Hakkerointi ei totisesti ole helppoa. Taitavakin tekijä tekee inhimillisiä erehdyksiä. Yhdysvaltojen demokraattipuolueen hakkeroinnissa venäläisen tiedustelupalvelun Guccifer 2.0 -hakkeri unohti kerran kytkeä VPN-yhteyden päälle, mikä mahdollisti ip-osoitteen jäljittämisen GRU:n pääkonttoriin Moskovaan.

Aamun uutinen on mainio, mutta homma ei ole vielä maalissa. Syytteen nostaminen ja tuomioon riittävän näytön kokoaminen vaatii vielä paljon työtä. Rikosnimikkeet ovat kuitenkin sen verran vakavia, että teot eivät vanhene ainakaan kahdeksaan vuoteen. Rangaistus on myös oleva paljon kovempi kuin se kahden vuoden ehdollinen tuomio, johon Kivimäki tuomittiin alaikäisenä tehdyistä hakkeroinneista.

Vastaamon uhreja tuleva tuomio voi hieman lohduttaa, mutta vahinkoja se ei poista. Uhrit kärsivät seurauksista vielä pitkään. 

"London based investor" Aleksanteri Kivimäki

Lisäys: "En ole osallistunut rikolliseen toimintaan sitten teinivuosieni, ja kadun niitä toimia syvästi”, epäilty kirjoittaa Twitter-tilillään nimellä Aleksanteri Kivimäki. 

Profiilissaan hän mainitsee olevansa Lontoossa, jo pidemmän aikaa. Jos tieto pitää paikkansa (tässä jutussa mikään ei ole varmaa), poliisin oli varmasti helppo jäljittää hänet.

Vastaamon tietoturva-asiat olivat täydessä kaaoksessa

Vastaamon toimitusjohtajaa vastaan nostetut syytteet antavat järkyttävän kuvan tavasta, jolla yhtiössä suhtauduttiin tietoturvaan. Hiukset nousevat pystyyn lukiessa sekä Helsingin Sanomien että Iltalehden juttuja tapahtuneesta. 

Muutama esimerkki: virtualisointiohjelma oli piraattiversio, potilasrekisterin root-käyttäjällä ei ollut salasanaa (tämä uutisoitiin jo 2020, mutta sitä ei voinut uskoa todeksi), it-osastolla ei ollut budjettia, tietosuojavastaavalla ei ollut koulutusta asiaan ja niin edelleen. Tietoturvaongelmista ja kiristysviesteistä vaiettiin. Toimitusjohtaja panosti kaiken vain yhtiön laajentamiseen ja sen arvon kasvattamiseen. 

It-asioita hoiti kaksi kaveria, jotka oli palkattu lähinnä koodareiksi kehittämään järjestelmää. Kyberturvallisuuskeskuksen arvion mukaan tietoturvasta huolehtiminen olisi vaatinut 5-6 it-ammattilaisen työpanoksen.

Syyttäjä katsoi, ettei koodareita ole syytä epäillä rikoksesta, sillä he olivat kertoneet ongelmista ja puutteista toimitusjohtajalle. Ilmeisesti myöskään yhtiön hallitusta ei syytetä valvonnan laiminlyömisestä, koska vain perustaja/toimitusjohtaja Ville Tapio on syytteessä.

Tiedot herättävät eräitä ajatuksia.

GDPR on maineestaan huolimatta paperitiikeri. Jättisakot toimivat ulkomaisia nettijättejä vastaan, koska niillä on varaa maksaa, mutta Vastaamon tapauksessa sakoilla ei ollut merkitystä, koska yhtiö oli jo maksukyvytön. Tietosuojalain rikosoikeudellinen vastuu on mitätöntä yli 30 000 uhrille aiheutuneeseen vahinkoon verrattuna. 

Yhtiö voi ilmeisesti nimetä tietosuojavastaavaksi vaikka siivoojan, koska tietosuojavastaava ei nimestään huolimatta vastaa mistään. Tietosuojasta vastaavat toimitusjohtaja ja hallitus. Vastaavan tehtävänä on toimia vain yhteyshenkilönä ja vaikka hänen pitäisi raportoida havaitsemistaan puutteista johdolle tai viranomaisille, tämän laiminlyönnistä ei seuraa mitään.

Yhtiön pitäisi varmistaa, että tietosuojavastaavaksi nimitettävällä on edellytykset tehtävän hoitamiseen. Vastaamossa näin ei selvästikään ollut. Nähtäväksi jää, syytetäänkö tästä Tapiota oikeudessa. Yhtä hyvin hän olisi voinut nimittää vaikka siivoojan. 

Herää myös kysymys, miksi it-henkilö itse hyväksyi nimityksen ja esiintyi Vastaamon sivulla nimen ja valokuvan kera tietosuojavastaavana, jos hän itsekin katsoi, ettei pysty hoitamaan tehtävää. Kuva ja nimi sivulla loivat asiakkaille valheellisen kuvan siitä, että joku oli vastuussa. 

Vastaamon julkinen seloste tietosuojavastaavan tehtävistä.

Rivin katkeamisesta kesken lauseen voi päätellä, ettei koko asiaa otettu vakavasti. 

Näyttää vakuuttavalta, mutta on vain tekstiä bittiavaruudessa.

Oli asema organisaatiossa mikä tahansa, vakavista terveyteen kohdistuvista ongelmista pitäisi olla sekä juridinen että moraalinen ilmoitusvelvollisuus. Lojaliteettivelvoite ei voi estää tekemästä ilmoitus viranomaisille - vaikka sitten nimettömänä - jos johto ei reagoi vaarallisiin käytäntöihin. Se on kansalaisvelvollisuus, vaikka olisi pelkkä asiakas.

Myös viranomaiset voivat katsoa peiliin. Valvirassa järjestelmiä valvoo yksi henkilö, mutta omatekoisia tietojärjestelmiä käyttävän Vastaamon olisi pitänyt olla listan kärjessä. Yksikin auditointi tai tarkastuskäynti olisi viestinyt toimitusjohtajalle, että tietoturvaan on panostettava. Ennen GDPR:n voimaantuloa peloteltiin, että tietosuojavaltuutetun toimisto tulee tekemään tarkastuksia yrityksiin. Vastaamon olisi pitänyt tietojen laajuuden ja arkaluonteisuuden vuoksi olla myös heidän listansa kärjessä.

Viranomaiset kiertävät kyllä valvomassa anniskelulupia, työoloja ja verojen maksua, mutta tietoturvaa ei edelleenkään oteta vakavasti.

It-ammattilainen: tunne vastuusi! Jos näet, että organisaation järjestelmät ovat niin pahasti retuperällä, että ne aiheuttavat vaaraa ihmisten terveydelle, tee nimetön ilmoitus viranomaiselle tai vihjaa vaikka medialle. Vastaamo ei saa toistua.

Vuosi Vastaamo-tapauksesta

Tänään 21.10. tulee kuluneeksi vuosi Vastaamon tietomurron paljastumisesta mediassa. Ensimmäinen juttu tapahtuneesta oli Henrik Kärkkäisen uutinen  Psykoterapiakeskus joutui tietomurron kohteeksi - potilastiedot varastettiin. Seuraavan vuoden keväällä Kärkkäinen palkittiin suurella journalistipalkinnolla Vastaamo-uutisoinnistaan.

Ja uutisoitavaa totisesti riitti! Kärkkäinen oli yhteydessä kiristäjään, joka alkoi julkaista tietoja pimeässä verkossa sadan henkilön erissä. Verkkoon lipsahti suurikokoinen tiedosto, jota kukaan ei ehtinyt ladata kokonaisena. Koska Vastaamo oli kieltäytynyt maksamasta, kiristäjä alkoi vaatia rahaa uhreilta. Lauantai-iltana heidän sähköposteihinsa ilmestyi lunnasvaatimus Bitcoineina.

Vastaamo on säilynyt otsikoissa näihin päiviin asti. Tammikuussa tietoja levitettiin tavallisen verkon puolella, helmikuussa yhtiö ajautui konkurssiin ja elokuussa netissä toimi hetken vastaamohaku.com, jolla kuka tahansa pystyi hakemaan tietoja. Se saatiin kuitenkin suljettua nopeasti. 

Vielä viikko sitten Vastaamo oli uutisissa, kun Asiakastieto lähetti epäselvän tiedotteen luottotietovahdin muutoksista. 

Miten Vastaamon tietomurto todella tapahtui ja kuka siitä tiesi, on vieläkin epäselvää. Ehkä asioihin saadaan valaistusta sitten, kun poliisitutkinta valmistuu ja asiaa aletaan käsitellä oikeudenkäynnissä. Rikosnimikkeet tulevat olemaan yksi mielenkiinnon kohde.

Uhreille kulunut vuosi on ollut yhtä kärsimystä. Potilaskertomusten vuotamisen lisäksi nettiin on päätynyt myös henkilötietoja, joita on saatettu käyttää identiteettivarkauksiin. Uhrit ovat joutuneet ottamaan maksullisia luottokieltoja, jotta heidän tietojaan ei käytettäisi väärin. Tiettävästi mitään laajaa väärinkäytösaaltoa ei ole tapahtunut. Suhtautuminen verkkotilauksiin on kiristynyt aiemmasta, eikä identiteettivarkaus enää onnistu yhtä helposti kuin aiemmin.

Ylen arvion mukaan uhrit voisivat saada Vastaamon konkurssipesältä enintään 2500 euron korvaukset. Se tuskin kattaa henkisiä kärsimyksiä. Yli 25 000 uhria on tehnyt rikosilmoituksen. Tuntuu kohtuuttomalta, että tällaisessa jutussa jokainen joutuu hoitamaan asiansa itsenäisesti, vaikka kaikkien rikostapaus on samanlainen. Korvausten hakeminen ei sekään ole yksinkertaista.

Saadaanko tekijää koskaan selville ja vastuuseen? Mikko Hyppönen uskoo, että tekijä jää kiinni. Itse en usko. Poliisi on viran puolesta optimistinen. Kesäkuussa tutkinnanjohtaja Marko Leponen KRP:stä kertoi tutkinnan etenevän hyvin. 

Digitaaliset jäljet ehtivät kuitenkin kylmetä jo ennen kuin poliisitutkinta alkoi. Tekijän selvittäminen, tuomiosta puhumattakaan, voisi toteutua vain, mikäli kiristäjä tulee katumapäälle ja tunnustaa tekonsa. Se ei ole todennäköistä.

Vastaamosta on opittu paljon, kantapään kautta. Suomen pahin it-rikos havahdutti huomaamaan, miten heikkoa kriittisten henkilötietojen valvonta on, ja miten nettisivulla annetut hurskaat vakuuttelut turvallisesta käsittelystä ovat pelkkää sanahelinää, jos niin ei todellisuudessa toimita.

Vastaamon tietomurto elää myyjien, konsulttien ja it-ammattilaisten puheissa ja Powerpointeissa vielä vuosia. Tapaus osoitti, miten tietoturvamokat voivat kaataa koko yrityksen. Kukaan ei halua uudeksi vastaamoksi.

Myös rangaistuksia pitäisi miettiä uudelleen. Vakavakin tietomurto voi jäädä ilmoittamatta, koska työntekijää ei voi rangaista siitä. Julkishallinnossa tilanne on virkavastuun vuoksi toinen. Maksimirangaistus tietosuojarikoksesta (tahallaan tai törkeästä huolimattomuudesta rikkoo henkilötietojen käsittelyn turvallisuutta) on mitätön yksi vuosi, joten syyteoikeus vanhenee kahdessa vuodessa. Saa nähdä, ehditäänkö Vastaamossa syytteitä edes nostaa siinä ajassa.

Toivottavasti Vastaamo jää alan suurimmaksi rikokseksi, eikä suurempaa ruumista Suomen oloissa enää tule. Silloin tapahtuneesta olisi edes jotain hyötyä.

Tietomurron uhrin asema on huono

Vastaamon tietomurron uhrit kärvistelevät helvetissä, jota he eivät ole itse aiheuttaneet eivätkä todellakaan ansainneet. Viranomaiset julkaisevat ohjesivuja ja avaavat tukipuhelimia, mutta niiden apu on rajallista. Tukipuhelimet kuuntelevat ja jakavat soittajan tuskaa, ohjesivuilla on aina samat neuvot: suojaa tietosi, tee luottokielto, tarkkaile postiasi ja laskujasi. Luottokiellolta ei kuitenkaan kannata odottaa liikoja. Klarna on sentään luvannut nyt parantaa toimintaansa. Tilauspetosten selvittäminen, jos niitä tulee, työllistää uhria joka tapauksessa.

Todellista helpotusta on luvassa vasta, jos poliisi saa tekijän kiinni. Miten todennäköistä se on? Suuressa tietovuotojen sarjassa marraskuussa 2011 levitettiin mm. 16 000 ihmisen henkilötiedot nettiin. Poliisi pääsi lopulta tekijän jäljille, mutta todisteet eivät riittäneet syytteen nostoon saati tuomioon. 

Palvelunestohyökkäyksessä valtion palvelimille elokuussa 2018 tekijä saatiin melkein kiinni, mutta hän ei enää ollut maallisen oikeuden tavoitettavissa.

Huhtikuussa 2018 tietomurrossa Liiketoimintasuunnitelma.com -palveluun varastettiin 130 000 käyttäjätunnusta ja salasanaa. Siitä ei ole kuulunut mitään. Ilmeisesti tutkinta on kaikessa hiljaisuudessa lopetettu, eikä poliisi tiedota mitään.

Myöskään Lahden kesäkuun 2019 "kyberhyökkäyksestä" ei ole kuulunut mitään. Ilmeisesti tekijät tulivat ulkomailta eikä heitä ole mahdollista tavoittaa. Poliisi ei ole kertonut tästäkään mitään julkisuuteen.

OP:n pankkipalveluun hyökkäyksen 2015 tehneet kaksi nuorta miestä saatiin kiinni ja tuomittiin, koska he alkoivat itse leveillä netissä teoillaan. 

Vastaamon hyökkääjä on luultavasti yksin toimiva suomalainen nuori mies. Jos hän pystyy hiljaa eikä tee virheitä, häntä on erittäin vaikea tavoittaa. Tässä suhteessa lunnasrahojen osittainen maksu jopa helpottaisi poliisin työtä, sillä "follow the money" -periaate toimii myös nettirikollisten suhteen. Rahaa on vaikea piilottaa ja etenkin käyttää, vaikka se olisi Bitcoineina. Ehkä poliisi on kaikessa hiljaisuudessa tehnytkin pari maksua uhrien puolesta, jotta niitä voidaan seurata? Virallinen viesti julkisuuteen on tietenkin jyrkkä ei maksamiselle.

Vielä senkään jälkeen, kun tekijä on kiinni ja tuomittu, uhrit eivät voi olla täysin levollisin mielin. Jonkin verran tietoja on jo ehtinyt levitä nettiin ja ne voivat kummitella vuosien ajan. Vaikka niin mediat kuin käyttäjätkin lupaavat #enlue ja #enjaa, uteliaita ja epärehellisiä löytyy aina. Tor-verkon sivuilla tiedostoja on jo kyselty.

Rikoksen uhrien asema on aina heikko. Siksi tuntuu julmalta, että viranomaiset velvoittavat kaikkia jättämään samansisältöisen rikosilmoituksen teosta, jota poliisi jo tutkii kaikin mahdollisin keinoin. Ilmoituksella on merkitystä lähinnä vasta sitten, jos tekijä saadaan kiinni ja häneltä voidaan vaatia korvauksia. Ilmoitus on edellytys korvausten hakemiselle. Todennäköisesti henkilöltä ei pystytä perimään kuin murusia, joten tämäkään ei paljon lohduta.

Se vähän lohduttaisi, jos Vastaamon vakuutusyhtiö maksaisi korvauksia yrityksen laiminlyönneistä kärsineille. Niin ikään tulisi avata ryhmäkannemahdollisuus myös muissa kuin kuluttajariita-asioissa. Sen jälkeen uhrit voisivat ajaa asiaansa yhteisellä kanteella, jopa yhteisellä rikosilmoituksella.

Lisäksi pitäisi vaatia, että luotollisessa myynnissä myyjä tarkistaa ostajan tai tilaajan henkilöllisyyden, jos se ei perustu vahvaan tunnistamiseen. Nyt tilaamisesta on haluttu tehdä mahdollisimman helppoa, mikä houkuttelee väärinkäytöksiin ja rankaisee syyttömiä.

Edelleen pitäisi vaatia, että myyjä todella tarkistaa mahdollisen luottokiellon ennen myyntiä, tai muuten laskua ei voida lähteä perimään.

Tässäkin mielessä Vastaamon tapaus antaa paljon mietittävää ja parannettavaa viranomaisille.

Vastaamon tapaus ei ole kunniaksi Suomelle, mutta useimmat yritykset tekevät parhaansa

Case Vastaamo antaisi loputtomasti aiheita blogikirjoituksiin. Valitsen tänään yhden: Suomen maine ja yritysten vastuu.

Suomea on pidetty tietosuojan mallimaana. Meillä on parhaat viranomaisrekisterit ja otimme GDPR-sääntelyn pilkuntarkasti, liki saksalaiseen tapaan (toisin kuin esim. Ruotsi). Ennen GDPR-siirtymäkauden loppua järjestettiin varmaan tuhansia tilaisuuksia, joissa it-ammattilaisia muistutettiin tietosuojan olemuksesta ja lain ankarista sanktioista. Oli ilmaisia ja maksullisia seminaareja, monen päivän koulutusohjelmia, nettisivuja... Lopulta GDPR tuntui pursuavan jo korvista ulos ja kun odotettu 25.5. viimein koitti, kaikki olivat varmaan helpottuneita siitä, että asia siirtyi jos ei nyt hoidettujen pinoon niin ainakin taustalle. 

Jo monta vuotta olemme olleet huolissamme Googlen ja Facebookin tiedonurkinnasta. Ne loukkaavat yksityisyyttä ja urkkivat tietojamme. Samaan aikaan yritykset ovat käyttäneet miljoonia euroja erilaisiin GDPR-tietosuojalausekkeisiin ja evästekyselyihin, jotka lähinnä häiritsevät käyttäjiä ja pikemmin vähentävät kuin lisäävät kiinnostusta omaan tietosuojaan.

Riitelimme lillukanvarsista, kuten mikä on GDRP:n ja tulevan ePrivacyn mukainen riittävä suostumus evästeiden käyttämisestä -- pitääkö olla nimenomainen suostumus joka kerta, vai riittävätkö selaimen evästeasetukset.

Vastaamon järkyttävän tietovuodon jälkeen kaikki tämä tuntuu akateemiselta puuhastelulta. Miljoonat eurot olisi kannattanut käyttää todellisen tietosuojan parantamiseen. Olemme pelänneet nettijättejä, vaikka todellinen mörkö on ollut ihan lähellä. Liian lähellä.

Niin lähellä, että emme osanneet edes pelätä sitä. Pidimme itsestäänselvänä, ettei henkilö- ja mielenterveystietoja voi vuotaa nettiin. Ei yksinkertaisesti voi, koska GDPR. Korkeintaan pelkäsimme vihamielisen tahon hyökkäystä, jossa salaa muutettaisiin sairaalan veriryhmätietoja tai jotain vastaavaa.

Keskustelu evästeistä ja nettiyhtiöiden urkinnasta on saattanut johtaa huomiota harhaan. Surffaus- tai ostotietojemme vakoilu on pientä terveyteemme verrattuna. Kriittistä ei ole se, mitä Google tai Facebook tekevät vaan se, miten minun koodaamani softa toimii tai miten minun koneellani oleva data on suojattu.

Kauhistuimme, kun Saksassa kiristysohjelma johti epäsuorasti potilaan kuolemaan. Nyt saatamme kokea saman Suomessa.

En silti halua uskoa, että Vastaamon kaltaisia pommeja olisi useita. Uskon, että viimeistään parin vuoden takainen GDPR-show sai yritysten hallitukset ja toimivan johdon ymmärtämään, miten tärkeästä asiasta on kyse ja miten suuri taloudellinen riski siihen liittyy. Aihe on otettu vakavasti ennen Vastaamoakin.

Minulta on usein kysytty, voiko yritys mennä konkurssiin tietoturvan pettämisen vuoksi. Tähän asti esimerkkinä on ollut hollantilainen varmenteiden myöntäjä, jonka varmennebisneksen onnistunut hakkeri-isku tuhosi. Nyt meillä on toinenkin kauhuesimerkki tietoturvan ja -suojan vakavista seurauksista.

Näin tietoturvaviikon alkaessa on ilo todeta, että valtaosa yrityksistä suhtautuu tietoturvaan vakavasti. Silti yksikin softakehittäjä, it-vastaava tai ylläpitäjä voi omalla piittaamattomuudellaan romuttaa kaiken.

Vastuu tietoturvasta kuuluu yritykselle itselleen. Koska kyse on myös asiakkaiden/potilaiden elämästä ja hyvinvoinnista, pelkkään vastuunkantoon ja omavalvontaan ei voi luottaa. Tarvitaan muutakin valvontaa, josta hoivakoteihin tehdyt tarkastukset ovat hyvä esimerkki.

Oli yleisesti tiedossa, että Vastaamo on itse kehittänyt tietojärjestelmänsä. Sen olisi pitänyt herättää viranomaisten huomio ja priorisoida tarkastuksia. Niin ikään yhtiö oli nimennyt tietosuojavastaavaksi softakehittäjän. Senkin olisi pitänyt herättää huomiota Tietosuojavaltuutetun toimistossa, jonne vastaavat rekisteröidään. Web-sivulla kehuttu omavalvonta on pettänyt täysin, sillä yhtiö ei huomannut murto(j)a ja sai tiedon tapahtuneesta vasta, kun kiristäjä otti yhteyttä. Yhtiöllä ei siis ollut valvontaa, joka olisi hälyttänyt vaikka palvelimelta imetään 10 gigatavua dataa ulkopuolelle. Tietoturvakriittisessä terveyspalvelussa tällainen valvontaohjelma olisi pitänyt ehdottomasti olla. Nyt ei voida tietää, ovatko mahdollisesti muutkin varastaneet tietokannan, mutta pysyneet teostaan hiljaa.

Viranomaisilla ei ole hoitakotien kaltaista tietoturvavalvontaa. Kriittisiä nettisovelluksia saa kehittää alaikäinen nörttipoika, mutta kylpyhuoneremontti vaatii tekijältä työnäytteen ja märkätilasertifikaatin. Yrityksen on ostettava palotarkastus, jossa tutkitaan onko käytävän tarrat oikeanlaisia ja oikeissa paikoissa. Ja toki tarkastetaan vaahtosammuttimet.

Palo- ja remonttiturvallisuus on opittu kantapään kautta, tehtyjen kalliiden virheiden seurauksena. Samanlainen kehitys on tapahtumassa tietoturva-alalla, joka on vielä kovin nuorta. 

Luonnollista kehitystä voi kuitenkin nopeuttaa päättäväisillä toimilla. Vastaamon tapaus osoittaa, että niille on tarvetta.

Vastaamo on tietosuojan painajainen - kyberturvallisuus on osa potilasturvallisuutta

Vastaamosta vuotaneet 40 000 potilastapausta tietoineen ovat likipitäen pahin tietosuojakatastrofi, jota voimme kuvitella. Seuraukset ovat sen mukaiset. Niistä olemme nähneet vasta jäävuoren huipun.

Oli odotettavissa, että vakava tietovuoto tapahtuu ennen pitkää. Niin paljon potilas- ym. tietoja käsitellään eri järjestelmissä, että inhimilliset mokat ovat väistämättömiä, eikä mikään GDPR-lainsäädäntö pysty täysin niitä estämään.

Vuoto olisi saanut olla pieni herätys koko alalle -- sellainen, jossa olisi vuotanut muutamia luottamuksellisia tietoja. Kokonaisen tietokannan vuotaminen kiristäjälle ja tietojen osittainen julkistus on kuin suoraan painajaisesta. Tällaista ei kukaan kaivannut.

Tapaus on niin merkittävä, että siitä irtoaa loputtomasti näkökulmia ja ajatuksia. Tässä muutamia.

Kuukausi sitten uutisoitiin saksalaiseen sairaalaan iskeneestä kiristysohjelmasta, joka johti epäsuorasti potilaan kuolemaan kun hänet jouduttiin siirtämään toiseen sairaalaan. Tapahtumaa pidettiin merkittävänä, koska ensi kertaa kyberturvallisuuden pettäminen oli johtanut ihmisen kuolemaan. On luultavaa, että psykiatrisen hoidon potilaiden tietojen vuotaminen tai uutisesta seuraava ahdistus, vaikka tiedot eivät koskaan tulisi julkisuuteen, voi tuottaa saman johtopäätöksen. 

Ahdistusta ei voi vähätellä. Kun AIDS tuli Suomeen, uutisissa kerrottiin suomalaisten tehneen itsemurhia, koska he pelkäsivät saaneensa kohtalokkaan taudin. Ruumiinavauksissa keneltäkään ei löydetty virusta.

Valvira valvoo terveydenhuoltoa ja alan ammattilaisten pätevyyttä. Tietojärjestelmät ovat asiakastietolain nojalla mukana tarkastuksissa, mutta työ on yksittäisen henkilön vastuulla. Nyt pitäisi olla selvää, että kyberturvallisuus on osa potilasturvallisuutta, joka pitää tarkistaa siinä missä työntekijöiden määrän riittävyys tai todistusten aitous.

Ennen GDPR:n voimaantuloa peloteltiin tietosuojaviranomaisilla, jotka tulevat tekemään yllätystarkastuksia yrityksiin. Onko näin tapahtunut? En ole kuullut yhdestäkään isosta tarkastuksesta. Resurssit ovat pienet, mutta turha pelottelu tarkastuksilla ei myöskään toimi. Oliko kukaan koskaan tarkastanut Vastaamon tietojärjestelmiä? Kenelle tarkastus olisi kuulunut?

Julkisten tietojen perusteella kyseessä on alkeellinen moka. Ei mitään ovelaa hakkeria, ei aiemmin tuntematonta tietoturva-aukkoa -- ei mitään muuta kuin alkeellinen, mahdollisesti nettiin avoimeksi jäänyt tietokanta, jollaisia lapsikin pystyy hakemaan vaikka Shodan-hakukoneella. Koska tiedot ovat vanhoja, kyse saattaa olla edellisestä tietojärjestelmästä tai testi/kehityskannasta, joka oli vain "unohtunut" linjalle. Salasana root ja käyttäjätunnus root kertovat täydellisestä huolimattomuudesta.

Jos kanta löytyy näin helposti, kuka muu sen on mahdollisesti löytänyt? Muut hakkerit tai valtiolliset tiedustelupalvelut, jotka etsivät tällaista aineistoa työkseen?

Kuinka arvokasta heille olisikaan päättäjien tai avainhenkilöiden sairaskertomukset, niin kiristyksen kuin mielenterveyden manipuloinnin kannalta. Onko tällaista mahdollisesti jo tapahtunut?

Kaikille muille tapaus jättää syvän epäluulon: uskallanko kertoa ongelmistani lääkäreille tai terapeuteille, jos on vaara, että tiedot päätyvät julkisuuteen?

Nyt vaakalaudalla on koko terveydenhuollon uskottavuus ja terapian tulevaisuus.

Ja kaikki tämä vain auki jääneen tietokannan vuoksi.