Fuite de données et extorsion des patients de Vastaamo (Finlande, 2020)

L'affaire Vastaamo est la plus grande affaire criminelle de l'histoire finlandaise et l'exemple le plus grave à ce jour d'extorsion de masse de patients individuels à la suite d'une fuite de données de santé. Les dossiers d'environ 33 000 patients — y compris les notes prises lors des séances de thérapie — ont été dérobés en 2018 dans une base de données sans chiffrement, dont le compte root n'avait pas de mot de passe. Après l'échec de l'extorsion de l'entreprise en octobre 2020, l'attaquant a envoyé par courriel des demandes de rançon directement aux patients.

Ce qui s'est passé

Vastaamo était un prestataire privé de psychothérapie exploitant des cliniques à travers la Finlande. En novembre 2018, un attaquant a accédé à la base de données patients. Les données étaient non chiffrées, le compte root du système n'avait aucun mot de passe. Les dossiers comprenaient des notes de thérapie détaillées — le type d'informations intimes et identifiantes que le traitement en santé mentale exige.

La fuite est passée inaperçue pendant deux ans. En septembre 2020, l'attaquant a contacté Vastaamo en exigeant 40 BTC (~450 000 €) et en menaçant de publier les données. Vastaamo n'a pas payé. Le 21 octobre 2020, l'entreprise a divulgué publiquement la fuite.

L'attaquant a alors fait une escalade inhabituelle. Plutôt que de divulguer les données, il a envoyé par courriel des demandes de rançon directement aux patients eux-mêmes — environ 30 000 tentatives d'extorsion individuelles — menaçant de publier les notes de thérapie de chaque personne. C'était une escalade d'un ordre de grandeur des tactiques d'extorsion de données de santé et a causé une détresse généralisée en Finlande.

Vastaamo s'est déclarée en faillite en février 2021. L'Autorité finlandaise de protection des données a infligé à l'entreprise une amende de 608 000 € pour violations du RGPD en décembre 2021. En octobre 2022, le Bureau national d'enquête finlandais a désigné Aleksanteri Kivimäki, 25 ans, comme suspect. En avril 2024, il a été reconnu coupable de la violation aggravée de données et de plus de 21 000 chefs d'extorsion, et condamné à 6 ans et 3 mois de prison.

L'affaire contre l'ancien PDG Ville Tapio pour la négligence sous-jacente liée au RGPD s'est terminée différemment : trois mois de prison avec sursis en première instance, puis un acquittement unanime en appel en décembre 2025.

Impact

• Environ 33 000 patients ont eu leurs notes de thérapie et leurs données identifiantes dérobées.
• Environ 30 000 courriels d'extorsion individuels envoyés directement aux patients.
• Vastaamo en faillite ; amende RGPD de 608 000 €.
• Aleksanteri Kivimäki condamné (plus de 21 000 chefs d'accusation) à 6 ans et 3 mois de prison.
• Ancien PDG acquitté en appel.

Pourquoi cela compte

Vastaamo est l'affaire qui a changé la manière dont les régulateurs et les cliniciens conçoivent la protection des données de santé mentale. Le choix de l'attaquant d'extorquer des patients individuels — en menaçant de révéler ce qu'ils avaient confié à leur thérapeute — était une escalade délibérée des tactiques d'extorsion de données de santé. L'affaire pénale contre l'ancien PDG, même après acquittement, a été étudiée dans toute l'Europe comme un test de résistance des dispositions de responsabilité pénale individuelle du RGPD.