Huvudmisstänkt i Vastaamo-fallet gripen av polis i Frankrike

Den 25-åriga man som är misstänkt för grovt dataintrång hos psykoterapicentret Vastaamo greps av fransk polis på fredagen. Nu inleds arbetet med att få honom till Finland.

Mannen som misstänks ligga bakom Vastaamoläckan har gripits av fransk polis.
Sara Björklundsara.bjorklund@hbl.fi
Anna Svartströmanna.svartstrom@hbl.fi
03.02.2023 13:31 UPPDATERAD 03.02.2023 18:53
Den 25-åriga mannen, som misstänks stå bakom läckan av patientjournaler i Vastaamo-fallet greps av polis i Frankrike på fredagen.
Mannen häktades i sin frånvaro i Helsingfors tingsrätt i oktober, på sannolika skäl misstänkt för grovt dataintrång, försök till grov utpressning samt grov spridning av information som kränker privatlivet.
Då utfärdades det en europeisk arresteringsorder mot honom och han har varit efterlyst. Drygt tre månader senare greps han.
Förundersökningsledaren, kriminalkommissarie Marko Leponen säger att gripandet gick till ”på normalt sätt” enligt de uppgifter han fått från polisen i Frankrike.
Var i Frankrike 25-åringen greps, vill han inte i det här skedet går in på. Leponen säger att han vill trygga sina franska kollegers arbete som ännu pågår.
Den misstänkta har tidigare i tidningsintervjuer uppgett att han varit i kontakt med polisen i Finland för att reda ut det hela, och att han skulle ha meddelat sin adress till befolkningsregistret.
Leponen säger till HBL att polisen inte haft information om att mannen befunnit sig där han nu greps.
– Vi har en längre tid haft en misstanke om att han vistas i Frankrike. Det har varit ett omfattande arbete att lokalisera honom. Hur det har gått till får vi återkomma till senare.

Tiotusentals offer

Polisen har inlett förberedelser för att mannen ska kunnas överlåtas till Finland. Det är en byråkratisk process och Marko Leponen räknar med att den kan ta veckor, om inte månader.
När personen kommer till Finland måste en ny häktningsförhandling hållas.
Leponen betecknar gripandet som ett viktigt steg.
– För att få klart förundersökningen och fallet till åtalsprövning så måste vi höra den misstänkta. På det sättet är det viktigt och betydande att processen nu går vidare.
Förundersökningen har enligt honom varit krävande, inte minst tekniskt med en stor mängd material.

Psykoterapicentret Vastaamo – detta har hänt

Den 29 september 2020 gjorde Vastaamo en polisanmälan om dataintrång i psykoterapicentrets databas. Då hade tre anställda fått utpressningsbrev där bolaget krävdes på motsvarande 450 000 euro, betalt i kryptovalutan bitcoin som är svår att spåra.
Den 21 oktober 2020 meddelade Vastaamo för första gången offentligt att konfidentiella patientuppgifter hade stulits. Utpressaren, som kallat sig ”ransom_man”, publicerade då en del uppgifter, och fortsatte med det.
Några dagar efter det började personer som anlitat psykoterapicentret få utpressningsmejl. I det krävdes klienterna på lösen med hot om att namn, adress, personbeteckning och journaler från terapisessioner annars publiceras på krypterade Tor-nätet.
Vastaamos vd och grundare Ville Tapio sades upp från sin post, efter att det blivit känt att han vetat om dataintrång åtminstone sedan mars 2019, då ett intrång skedde.
Externa utredningar visade att ett dataintrång skett redan 2018, och att merparten av uppgifterna sannolikt stulits då. I patientdatabasen fanns vid det tillfället drygt 33 000 klienter. Fram till mitten av mars 2019 fanns det brister i databasen.
I januari 2021 publicerade utpressaren en mycket stor mängd patientuppgifter på Tor-nätet, i augusti lades en del också ut på det öppna nätet.
I februari 2021 söktes Vastaamo i konkurs och verksamheten upphörde i mars. Familjen Tapios egendom försattes i kvarstad för nästan 10 miljoner euro.
Vastaamo hade som mest 300 anställda, de flesta psykoterapeuter, vilket gjorde bolaget till en av de största aktörerna i Finland.
I maj 2021 meddelade tillstånds- och tillsynsverket för social- och hälsovården Valvira att det funnits brister i hur Vastaamo fört journalanteckningar och hur anställda instruerats att behandla dem.
I september 2022 väcktes åtal mot den tidigare vd:n. Rättegången är planerad att inledas i början av mars. Han står åtalad för dataskyddsbrott. Polisen misstänkte även två andra personer men åklagaren beslutade att inte väcka åtal.
Den tidigare vd:n och hans föräldrar sålde Vastaamo våren 2019. Centralkriminalpolisen utreder om de hemlighöll information i samband med företagsaffären.
I slutet av oktober 2022 häktades en 25-årig finsk man på sannolika skäl misstänkt för grovt dataintrång, försök till grov utpressning samt grov spridning av information som kränker privatlivet. I februari 2023 greps han av polis i Frankrike.

Elektroniskt förhör, få har svarat

Dataintrånget i Vastaamo blev känt hösten 2020. Polisen misstänker att största delen av patientuppgifterna stulits redan 2018. Då fanns 30 000 patienters uppgifter i företagets databas. Polisen räknar alltså med att så många är målsägande, offer, i fallet.
Omkring 7 600 personer har gjort en polisanmälan men bara 2 300 personer har hittills fyllt i den elektroniska förhörsblankett som polisen har öppnat. Enbart genom att göra det är man med i brottsprocessen och visar att att man har krav gentemot gärningspersonen så att man kan kräva ersättning.
Enligt Marko Leponen är det ännu inte för sent att delta i det elektroniska förhöret.
Artikeln har uppdaterats.

ANDRA LÄSER