Podcast RSI – Storia di un’estorsione sanitaria online da non dimenticare: il caso Vastaamo
Questo è il testo della puntata del 9 novembre 2026 del podcast Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto. Il testo include anche i link alle fonti di questa puntata, che è la novecentesima della serie, a vent’anni quasi esatti dalla prima.
Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, YouTube Music, Spotify e feed RSS. Il mio archivio delle puntate è presso Attivissimo.me/disi.
Lo streaming verrà pubblicato qui non appena verrà messo online.
[CLIP: audio di Mikko: “It’s the single biggest crime in the history of Finland…”]
“È il più grande reato singolo nella storia della Finlandia”: così lo ha appena definito Mikko Hypponen, uno dei massimi esperti mondiali di sicurezza informatica. E si tratta infatti di un reato informatico. I suoi effetti sono stati talmente vasti che per consentire alle vittime di partecipare alle udienze del processo che lo ha esaminato è stato necessario trasmetterle in diretta nei cinema del Paese.
Le persone colpite, infatti, sono state circa trentamila. I loro dati sanitari più delicati, quelli che riguardano le loro sedute di psicoterapia, sono stati saccheggiati. Relazioni adultere, tentativi di suicidio, ideazioni pedofile: in quei dati c’è di tutto, associato a nomi e cognomi. E qualcuno ha pensato di ricattare sia l’azienda che li custodiva, sia i singoli pazienti, minacciando di pubblicarli; e lo ha fatto, con conseguenze devastanti.
Questa è la storia di Vastaamo, un servizio privato di psicoterapia che è considerato oggi un caso da manuale nella sicurezza informatica, perché mostra con rara chiarezza l’importanza di proteggere i dati sanitari. Se vi siete mai lamentati che le leggi sulla privacy sono una scocciatura inutile, o conoscete qualcuno che lo fa spesso, questa storia vi potrebbe essere utile da conoscere.
Benvenuti alla puntata del 9 novembre 2026 del Disinformatico, il podcast mensile della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo, e se ho fatto bene i conti questa è la novecentesima puntata di questo podcast, nato vent’anni fa, il 3 ottobre 2006.
[SIGLA di apertura]
Questa storia inizia nel 2018, in Finlandia, dove Vastaamo, un servizio privato di psicoterapia con 25 centri in tutto il Paese che lavora per il servizio sanitario nazionale, ha circa trentaseimila utenti e alcune centinaia di dipendenti. In un paese che conta in tutto cinque milioni e mezzo di abitanti, questi sono numeri di successo.
[Vastaamo è una piattaforma online fondata nel 2008 da un imprenditore, Ville Tapio, e da sua madre Nina, psicoterapeuta; facilita l’incontro fra terapisti e pazienti, gestendo il marketing e la fatturazione, con un’interfaccia che consente ai terapisti di registrare i loro appunti. La sua crescita rapida, il suo approccio innovativo e la sua popolarità lo hanno fatto soprannominare “il McDonald’s della terapia” (The Guardian)]
Intorno a novembre di quell’anno, intrusi informatici ottengono accesso al database che custodisce i dati più sensibili dei pazienti: i resoconti delle loro sedute di psicoterapia, dove vengono messi a nudo i dettagli intimi delle loro vite. Cose che normalmente non si raccontano a nessuno vengono annotate, registrate, associate a nomi e cognomi da parte degli psicoterapeuti di Vastaamo.
In realtà espressioni come “ottenere accesso” o “custodire” sono quasi fuorvianti, perché l’impegno necessario per raggiungere questi dati dall’esterno è davvero minimo. Le informazioni sanitarie, infatti, non sono per nulla protette, e l’accesso si può ottenere semplicemente consultando il motore di ricerca specializzato in falle di sicurezza Shodan. Mancano completamente tutte le misure di sicurezza informatica tipiche e ovvie che si usano in situazioni come questa e che sono previste da norme europee come il GDPR.
Anche senza essere esperti informatici, l’elenco delle omissioni da parte di Vastaamo è impressionante. I dati dei pazienti non sono protetti da cifratura ma sono direttamente leggibili; sono collegati altrettanto direttamente a nomi, cognomi, domicilii, indirizzi di mail e numeri di previdenza sociale dei singoli pazienti, e includono le note personali di sessione dei medici e dei terapeuti, che sono appunto dettagliate, a volte involontariamente crudeli nella loro concisione perché sono pensate come promemoria personali del terapeuta che non vengono letti da nessun altro.
Inoltre l’account di amministratore del database che contiene questi dati non ha una password. Chiunque si colleghi via Internet a questo database di Vastaamo può spacciarsi per l’amministratore.
E fra l’altro collegarsi è facile, perché manca anche un’altra difesa informatica fondamentale: l’account di amministratore consente accesso da qualunque luogo nel mondo.
Normalmente gli accessi cruciali di questo genere sono impostati in modo da accettare tentativi di collegamento solo se provengono da dispositivi o da luoghi specifici, per esempio dagli uffici amministrativi o dai dispositivi dei responsabili informatici, che vengono identificati tramite il loro indirizzo IP. Questa misura tiene fuori tutti gli aggressori e lascia passare soltanto gli utenti legittimi. Ma Vastaamo non ha nessun filtro di questo genere. E così chiunque sia su Internet può collegarsi ed entrare nel server dell’azienda.
Non è finita: quel server non è protetto da un firewall, che è il dispositivo e software che si installa normalmente a sorveglianza del traffico di dati e dei tentativi di connessione in qualunque servizio online degno di questo nome. E questa situazione disastrosa, un vero colabrodo informatico, va avanti almeno da un anno.
A marzo 2019 avviene una seconda intrusione e il database dei pazienti stavolta viene distrutto, lasciando sul server un messaggio di estorsione che avvisa che l’aggressore si è copiato tutti i dati prima di distruggerli. Il database viene ripristinato in giornata da Vastaamo usando una copia di sicurezza, ma le autorità nazionali non vengono avvisate di questa violazione, contrariamente agli obblighi di legge.
In altre parole: qualcuno a Vastaamo sa del disastro, sa che i dati intimi dei pazienti sono in mani ostili, ma fa finta di niente.
Alla fine di settembre 2020 il CEO di Vastaamo, Ville Tapio, viene contattato da un aggressore con una richiesta di riscatto: se non verranno pagati 450.000 euro in bitcoin [pari all’epoca a 40 bitcoin], i dati di circa 36.000 pazienti e 400 dipendenti verranno pubblicati online, la massiccia violazione della riservatezza dei pazienti verrà resa nota al pubblico e la reputazione dell’azienda sarà rovinata.
È solo a questo punto che Vastaamo avvisa le autorità e la polizia.
L’attacco informatico viene comunicato ai pazienti soltanto un mese dopo, a fine ottobre 2020, e scoppia uno scandalo nazionale, di cui si occupa anche l’allora capo del governo finlandese Sanna Marin. L’azienda decide di non pagare il riscatto, e così l’aggressore, che si fa chiamare “ransom_man” [“uomo del riscatto”] inizia a pubblicare i dati di almeno 300 pazienti, compresi politici e agenti di polizia, in un forum pubblico online tramite la rete Tor.
Questo genere di comportamento è tipico degli attacchi informatici basati sul furto di dati riservati e sulla minaccia di pubblicarli. Quello che non è tipico è che l’aggressore, oltre a chiedere soldi all’azienda colpita, contatta direttamente anche circa 30.000 pazienti via mail, informandoli che le loro confidenze di psicoterapia sono nelle sue mani e che pubblicherà quelle di chi non gli paga 200 euro in bitcoin entro 24 ore. Trascorse quelle 24 ore, il suo silenzio costerà 500 euro a testa.
Molte vittime sono prese dal panico. Oltre allo shock di sapere che informazioni così intime sono in mano a ignoti, che minacciano di farle conoscere a tutti pubblicandole su Internet, c’è l’angoscia legata al fatto che molte di queste vittime non hanno la minima idea di come si faccia un pagamento in bitcoin. Se anche volessero pagare sperando di proteggersi, non saprebbero come fare.
In pieno lockdown da pandemia Covid, si sentono in trappola; non sanno chi li stia ricattando; non sanno chi ha già letto i loro dossier, della cui disponibilità online ormai parlano tutti; e non sanno nemmeno come assecondare le richieste del ricattatore. Almeno due di loro si tolgono la vita, secondo quanto racconta Meri-Tuuli Auer, una delle vittime di questo ricatto informatico, che ha deciso di parlare sui social network di quello che le è successo, scrivendo inoltre un libro [Timantista tappajaksi], disponibile anche in versione audio, letto da lei.
[CLIP: spezzone di Auer che legge in finlandese]
Meri-Tuuli spiega in un’intervista alla BBC che aveva raccontato al suo terapista cose che non voleva che sapessero nemmeno i suoi parenti più stretti: il suo abuso di alcool, una relazione segreta con un uomo molto più vecchio di lei quando era diciottenne, la sua lotta quotidiana contro ansia e depressione.
La terapia l’ha aiutata, ma il messaggio di estorsione e soprattutto la pubblicazione delle sue informazioni confidenziali hanno un effetto dilaniante. La donna va nel dark web, dove non era mai stata prima, e trova l’archivio dei dati sottratti a Vastaamo.
I suoi non ci sono, ma pochi giorni dopo Meri-Tuuli viene a sapere che sono stati messi online tutti i dati di tutti i pazienti, e la sua salute mentale inizia a deteriorarsi. Ha paura di uscire di casa, di prendere i mezzi pubblici, di aprire al postino. Praticamente tutti in Finlandia conoscono qualcuno che era in terapia presso Vastaamo, e lei teme di incontrare qualcuno che ha letto i suoi pensieri più intimi.
L’azienda non paga il riscatto e le vittime che riescono a pagare i bitcoin richiesti sono solo una ventina, anche perché molti fornitori di servizi bitcoin bloccano le transazioni legate a questa estorsione.
Alla fine, insomma questo delitto non paga, ma lascia dietro di sé una scia di persone rovinate per sempre, perché quei dati così personali restano online e sono impossibili da rimuovere completamente. Esiste tuttora addirittura un motore di ricerca creato apposta da qualcuno per consentire di trovare i dati delle vittime scrivendone semplicemente il nome. Meri-Tuuli ha reagito raccontando la propria vicenda, riprendendone in un certo senso il controllo, ma molti altri non hanno questa occasione. La fiducia dell’opinione pubblica nella riservatezza delle informazioni fornite agli psicoterapeuti crolla nel Paese. Molti smettono di rivolgersi a questi servizi.
Le indagini degli esperti informatici e della polizia finlandese sono difficili, ostacolate dalla vastità del volume di dati che devono analizzare, ma dopo due anni di lavoro arrivano a identificare il presunto colpevole di questa colossale violazione di dati medici. Si chiama Aleksanteri Julius Kivimäki, un finlandese già noto nell’ambiente del crimine informatico per aver paralizzato il PlayStation Network e Xbox Live a Natale del 2014. Viene trovato in Francia, a Parigi, sotto falso nome. Ha venticinque anni.
Kivimäki viene estradato in Finlandia e processato. Le udienze vengono trasmesse in diretta nei cinema finlandesi e in altri luoghi pubblici per consentire a tutte le vittime di assistere: quelle che si sono costituite parte civile sono circa 21.000. Fra loro c’è Meri-Tuuli Auer.
Per lei, la condanna di Kivimäki al termine del complicatissimo processo non compensa quello che è successo a lei e alle altre vittime, ma le testimonianze di fronte alla corte e al pubblico hanno permesso a tutti di capire l’enormità delle sofferenze inflitte dall’incredibile negligenza dell’azienda e dalla crudeltà dell’aggressore informatico.
Ad aprile 2024, Kivimäki viene riconosciuto colpevole di oltre 30.000 reati, uno per ciascuna vittima, e condannato a sei anni e tre mesi di carcere. Ma questa storia ha un epilogo che lascia facilmente l’amaro in bocca.
Kivimäki è stato scarcerato a settembre del 2025.
Il CEO di Vastaamo, Ville Tapio, era stato licenziato a ottobre 2020 e 10 milioni di euro di beni personali e della sua famiglia erano stati messi sotto sequestro preventivo. Tapio era stato condannato nel 2023 a tre mesi di carcere, ma nel 2025 il processo in appello ha annullato la condanna. I giudici hanno determinato che secondo il loro parere all’epoca dei fatti né il GDPR né le norme sanitarie finlandesi richiedevano la crittografia o l’anonimizzazione dei dati dei pazienti e non c’era alcun obbligo legale del CEO di occuparsi delle misure tecniche di protezione dei dati.
In quanto a Vastaamo, l’azienda era fallita a febbraio 2021 e aveva subìto una sanzione di 608.000 euro da parte dell’autorità finlandese per la protezione dei dati. È stata acquisita da un’altra azienda del settore.
In termini di numero di vittime, l’attacco informatico a Vastaamo rimane tuttora il più grande reato mai commesso nel Paese.
L’unica nota positiva, in questa sequenza di errori madornali, irresponsabilità, crudeltà disumana e pene forse sorprendentemente lievi, è che le normative tecniche e le leggi sulla protezione dei dati personali sono state irrobustite non solo in Finlandia ma in tutta Europa in conseguenza di questo incidente.
La speranza è che chi maneggia i nostri dati sanitari diventi più consapevole del fatto che sta trattando informazioni che fanno gola a criminali senza scrupoli e possono facilmente rovinare delle vite. E questa è una responsabilità diffusa: non spetta soltanto ai tecnici che si occupano direttamente dei database o della sicurezza informatica, ma riguarda chiunque tratti dati di questo tipo, dai medici agli infermieri agli operatori che archiviano, classificano, trascrivono queste informazioni.
Pensateci, la prossima volta che sentite un collega condividere una cartella medica su WhatsApp “perché tanto c’è la crittografia e cosa vuoi che succeda”, o magare dettare a Google Docs una valutazione psichiatrica o peggio ancora chiedere a ChatGPT di riassumere gli appunti di una seduta di terapia. E se siete pazienti, pensate a Vastaamo la prossima volta che chiedete a un medico di non essere così pedante sulle normative di protezione dei dati e di mandarvi subito i vostri referti sanitari in chiaro via mail.
Se invece siete informatici, assillati da medici e pazienti perché considerano paranoiche le vostre misure di sicurezza, tenete a mente questa storia, e raccontategliela. Forse capiranno che in informatica la paranoia di oggi è la realtà di domani [CERN].
Fonti
Psychotherapy centre’s database hacked, patient info held ransom, Yle.fi (2020)
Finland shocked by therapy center hacking, client blackmail, AP (2020)
Finnish police extend search for Vastaamo hacker Aleksanteri Kivimäki across Europe, Yle.fi (data non chiara)
They Told Their Therapists Everything. Hackers Leaked It All, Wired.com (2021)
Cyber Security Sauna: Breaking Views – The Vastaamo case, WithSecure su YouTube (2022)
Administrative fine imposed on psychotherapy centre Vastaamo for data protection violations, Office of the Data Protection Ombudsman (2021)
Victims of Vastaamo hacking incident: In order to become a party in the criminal proceedings, report the crime, Ministry of Finance Finland (2021)
From teenage cyber-thug to Europe’s most wanted, BBC (2024)
Ransom Man (podcast), BBC (2026)
Vastaamo: Toimitusjohtajalle potkut – toinenkin murto vuonna 2019, epäillään pimittäneen tietoja, Ilta Sanomat (2020)
IS: Vastaamo fires CEO, saying he knew about hacking for 18 months, Helsinki Times (2020)
Vastaamo’s ex-CEO and his parents have almost €10m in assets seized, Helsinki Times (2020)
Court clears former Vastaamo CEO Ville Tapio of data protection charges, Helsinki Times (2025)
When data breach hits a psychotherapy clinic: The Vastaamo case, Journal of Information Technology Teaching Cases, 16(1), 20-28. https://doi.org/10.1177/20438869241258235 (2026)
He called himself an ‘untouchable hacker god’. But who was behind the biggest crime Finland has ever known?, The Guardian (2026)
A faceless hacker stole my therapy notes – now my deepest secrets are online forever, BBC (2026)
Vastaamo data breach, Wikipedia in inglese
Aleksanteri Kivimäki, Wikipedia in inglese












Devi effettuare l'accesso per postare un commento.