Psykoterapiakeskus Vastaamon hallitus on vapauttanut yhtiön toimitusjohtajan tehtävästään.
Psykoterapiakeskus Vastaamo kertoi keskiviikkona 21.10.2020 joutuneensa tietomurron ja kiristyksen uhriksi.
Tieto kiristyksestä tuli Vastaamolle syyskuun lopussa, kun kiristäjä lähestyi kiristysviestillä kolmea Vastaamon työntekijää. Asiasta ilmoitettiin välittömästi Keskusrikospoliisille, joka aloitti asiasta rikostutkinnan. Tapahtumasta tehtiin välittömästi ilmoitukset myös Suomen kyberturvallisuuskeskukselle, Valviralle sekä tietosuojavaltuutetulle. Lisäksi tapauksen selvittämiseksi ryhdyttiin tekemään yhteistyötä kyberturvayhtiö Nixun kanssa, jonka asiantuntijat alkoivat selvittämään tietomurron teknistä toteutustapaa.
Kyberturvayhtiö Nixun asiantuntijoiden tekemä selvitystyö on edennyt. Nixu on jakanut ajantasaista tietoa tutkinnasta Keskusrikospoliisille sekä Liikenne- ja viestintävirasto Traficomille. Selvitysten perusteella vaikuttaa todennäköiseltä, että asiakastietokannan varastamiseen johtanut tietomurto on tapahtunut marraskuussa 2018. Vastaamon asiakastietojärjestelmän suojauksessa on ollut puute, jota hyödyntämällä rikolliset ovat päässeet käsiksi silloiseen asiakastietokantaan.
Nykytiedon mukaan järjestelmään on voitu tunkeutua myös maaliskuun 2019 puoliväliin asti. Tiedossamme ei ole, että tietokanta olisi varastettu marraskuun 2018 jälkeen, mutta on mahdollista, että yksittäisiä tietoja on tarkasteltu tai kopioitu.
Vastaamon sisäisessä selvityksessä on myös ilmennyt, että maaliskuun puolivälissä 2019 yhtiöön kohdistui toinen tietomurto. Vaikuttaa ilmeiseltä, että tässä kohtaa yhtiön toimitusjohtaja on ollut tietoinen tietomurrosta ja saanut tietoonsa Vastaamon tietoturvapuutteet. Maaliskuussa 2019 toteutettu hyökkäys sai Vastaamon korjaamaan asiakastietojärjestelmän suojauksessa olleen puutteen ja tekemään muita tietojärjestelmiä suojaavia toimenpiteitä.
Yhtiön nykyiselle hallitukselle ja pääomistajalle ei ole kerrottu maaliskuun 2019 tietomurrosta eikä yhtiön järjestelmissä olleista tietoturvapuutteista.
Selvitystyössä ei ole ollut mahdollista saada täyttä varmuutta asioiden kulusta. Sen perusteella on kuitenkin ilmeistä, että Vastaamon tietoturvassa on ollut puutteita, joiden myötä rikolliset ovat päässeet tunkeutumaan tietokantaan maaliskuun puoliväliä 2019 edeltävänä ajankohtana.
Olemme syvästi pahoillamme tapahtuneesta ja tietomurron kohteeksi joutuneiden asiakkaidemme puolesta. Pyydämme anteeksi niitä puutteita tietoturvassa, joiden seuraukset ja inhimillinen hinta on muodostunut äärimmäisen raskaaksi.
Selvitystyö jatkuu – tietoturvapuutteita ei havaittu maaliskuun 2019 jälkeiseltä ajalta
Viranomaiset ja Vastaamo tekevät kaikkensa selvittääkseen tapahtuneen, estääkseen tietojen leviämistä ja saattaakseen syylliset vastuuseen.
Vastaamon IT-järjestelmistä on teetetty huhti-toukokuussa 2019 toisella ulkopuolisella palveluntarjoajalla tarkastus, jossa on käyty läpi tietoturvaa. Tarkastus teetettiin yrityskauppaprosessin yhteydessä. Selvityksessä ilmeni useita kehityskohteita, mutta ei kriittisiä tietoturvapuutteita. Vastaamon tietojärjestelmien kehitystyö on sen jälkeen ollut jatkuvaa.
Kiristyksen tultua ilmi syyskuun lopussa 2020 Nixu on myös tarkistanut Vastaamon tietojärjestelmiä ja vahvistanut niiden suojausta. Nixun selvityksessä ei ole ilmennyt viitteitä siitä, että tietojärjestelmiin olisi tunkeuduttu maaliskuun 2019 jälkeen.
Vastaamon toimitusjohtaja on vapautettu tehtävästään
Psykoterapiakeskus Vastaamon hallitus on vapauttanut toimitusjohtaja Ville Tapion tehtävästään välittömästi.
Vastaamon hallituksen tiedossa on, että yhtiön pääomistaja PTK Midco Oy on maanantaina 26.10.2020 käynnistänyt oikeudellisia toimenpiteitä, jotka liittyvät toukokuussa 2019 allekirjoitettuun yrityskauppaan Vastaamosta.
Hallituksen puheenjohtaja Tuomas Kahri vastaa toistaiseksi yhtiön operatiivisen toiminnan johtamisesta yhdessä yhtiön johtoryhmän kanssa.
Yhtiön johdon tärkein tehtävä on asiakkaiden tukeminen poikkeuksellisen vakavan ja raskaan tilanteen keskellä. Vastaamo on käynnistänyt lukuisia toimenpiteitä asiakkaidensa tukemiseksi. Ajantasainen tieto asiakkaille tarjottavasta tuesta löytyy yhtiön verkkosivuilta.
Lisätietoja tietosuojasta ja asiakastiedon käsittelystä www.vastaamo.fi/tietosuoja