כשהסחיטה עברה ממרכז הטיפול אל המטופלים
גניבת תיעוד פסיכותרפי, סחיטה אישית, פשיטת רגל והליך פלילי שהסתיים בפסק דין סופי ב-2026.
אנשים שהפרשה נגעה למידע עליהם
הנתון מופיע בדוח אוצר המדינה על היקף אירוע Vastaamo; אין פירושו שכולם שילמו כופר.[9]
קנס מנהלי שהוטל על החברה
החלטת רשות הגנת המידע מדצמבר 2021, בנפרד מכופר ומפיצויים למטופלים.[1]
עונש המאסר הסופי
בית המשפט העליון דחה בקשת רשות ערעור ביולי 2026, לאחר החמרת העונש בערעור.[7]
האירוע בקצרה
Vastaamo הייתה רשת מרכזים לפסיכותרפיה בפינלנד. לאחר גניבת מאגר מידע רגיש, הסחיטה לא הסתיימה בדרישה מהחברה: גם מטופלים קיבלו איומים לפרסם את פרטי הטיפול שלהם. החשיפה הציבורית ב-2020 הייתה תחילתו של משבר ארוך, שכלל פשיטת רגל, חקירה רחבת היקף והליכים פליליים נגד התוקף.
מידע שאי אפשר להחליף
המידע שנגנב כלל תיעוד אישי רגיש של עשרות אלפי אנשים. בניגוד לסיסמה, תיאור של טיפול נפשי או אירוע אישי אינו ניתן לביטול ולהנפקה מחדש.[5]
גניבת מידע לפני הפרסום
כתב האישום תיאר חדירה ב-25–26 בנובמבר 2018 ועבירות סחיטה והפצה בספטמבר–אוקטובר 2020. יש להבחין בין מועד החדירה לבין המועד שבו התברר היקף המשבר לציבור.[2]
ציר זמן
- 25–26 בנובמבר 2018
מועד החדירה לפי האישום
התביעה ייחסה לתוקף חדירה למערכת Vastaamo בתאריכים אלה. עבירות הסחיטה וההפצה הגיעו מאוחר יותר.[2]
- מרץ 2019
מחיקה, שחזור וסימני סחיטה
לפי ממצאי הרגולטור, המאגר ככל הנראה נמחק ושוחזר באותו יום, ונמצאה הודעת סחיטה. החברה הייתה צריכה לדווח על הסיכון כבר אז.[1]
- ספטמבר–אוקטובר 2020
הסחיטה מתרחבת למטופלים
החברה פנתה למשטרה לאחר איומים בפרסום המידע. בהמשך הסתיו פורסם מידע ונשלחו הודעות סחיטה ללקוחותיה.[3]
- פברואר 2021
החברה מוכרזת כפושטת רגל
החברה הוכרזה כפושטת רגל; חובות השמירה על מידע המטופלים נמשכו גם לאחר מכן.[1]
- 16 בדצמבר 2021
קנס בשל ליקויי אבטחה ודיווח
הוטל קנס מנהלי של 608 אלף אירו בשל ליקויי אבטחה ודיווח.[1]
- פברואר–אוגוסט 2023
- 30 באפריל 2024
הרשעה וגזר דין ראשון
הערכאה הראשונה גזרה שש שנים ושלושה חודשי מאסר על עבירות החדירה, הסחיטה והפצת המידע.[7]
- 26 בפברואר–13 ביולי 2026
מה קרה טכנית
מאגר נגיש עם הגנות בסיסיות חסרות
הרגולטור תיאר יציאת MySQL חשופה וחשבון root ללא סיסמה, הנגיש מכל כתובת IP, כסיבה הסבירה לדלף.[1]
חדירה אינה דורשת תמיד סיסמה
בהחלטת הערעור נקבע כי נעשה שימוש בשם משתמש שלא היה שייך לתוקף, גם כאשר לא נדרשה סיסמה. העדר אימות אינו הרשאה להשתמש במערכת.[6]
מחסור בלוגים מגביל את התחקיר
תיעוד חסר מנע קביעה ודאית של מועד הדלף ומלוא פרטי הגישה. הממצאים המשפטיים נוספו בהמשך.[1][6]
היקף חקירה יוצא דופן
משטרת פינלנד דיווחה שבחנה פטה-בייט אחד של מידע, והכינה תיק חקירה בן כ-2,200 עמודים. הטיפול בנפגעים נוהל במקביל בתחנות ברחבי המדינה.[4]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
הסיכון עבר מהחברה לאנשים שהמידע הטיפולי שלהם נגנב. זהו אירוע גניבת מידע וסחיטה; אין בתיק קביעה שמערכות הטיפול הוצפנו בכופרה.[3][5]
סנקציה מנהלית, שהרגולטור תיאר כנמוכה בסדר הנשייה ביחס לתביעות אחרות בפשיטת הרגל.[1]
פשיטת הרגל מתועדת; לא מוצג כאן סכום מאומת של כלל הפסדי החברה.[1]
התוקפים וטענות האחריות
Aleksanteri Kivimäki הורשע בפרשת Vastaamo. עונשו הסופי נקבע לשש שנים ו-11 חודשים לאחר דחיית בקשת רשות ערעור ביולי 2026. מדובר בתוקף יחיד שהורשע, ולא בייחוס לקבוצת כופר.[7][5]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
מידע טיפולי דורש צמצום חשיפה
להגביל גישה, לשמור רק מידע נחוץ ולהתייחס להערות טיפוליות כנכס בעל סיכון אישי גבוה במיוחד.
לא להסתפק בשחזור של מאגר שנמחק
מחיקה בלתי מוסברת והודעת סחיטה דורשות חקירה, שימור ראיות ובחינת חובות דיווח, גם אם המערכת חזרה לעבוד.
להכין מענה לנפגעים עצמם
התגובה צריכה לכלול מידע ברור ותמיכה מתמשכת באנשים, ולא להסתיים בהחזרת השירות העסקי.
לשמור ראיות מעבר לחלון התפעולי
תיעוד גישה, שינויים והתרעות עשוי להיות חיוני לחקירה שתימשך שנים.
מה עדיין אינו ידוע
- אין במקורות שנכללו סכום מאומת של כלל התשלומים ששילמו מטופלים לתוקף.
- פסק הדין הפלילי אינו סוגר מעצמו את כלל הליכי הפיצויים או את ההשלכות האישיות של החשיפה.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 116 בדצמבר 2021; אנגלית: 27 בדצמברAdministrative fine imposed on psychotherapy centre Vastaamo
רשות הגנת המידע של פינלנד
- 2
- 3
- 4
- 54 בינואר 2021, עם עדכונים מאוחריםVastaamo Case from the Victim Perspective
Victim Support Finland / RIKU
- 626 בפברואר 2026Helsinki Court of Appeal: Vastaamo ruling R 24/1302
בית המשפט לערעורים, עותק הודעה רשמית
- 7
- 8עמוד מתעדכן; נבדק בנובמבר 2026Victims of the Vastaamo data breach: compensation
State Treasury of Finland
- 9
