Em outubro de 2022, pedimos que você imagine estar preso na seguinte situação terrível:
Imagine que você tenha falado com total confiança para um psicoterapeuta, mas o conteúdo de suas sessões foi salvo para a posteridade, juntamente com detalhes precisos de identificação pessoal, como seu número de identificação nacional exclusivo e talvez incluindo informações adicionais, como notas sobre seu relacionamento com sua família...
… e então, como se isso não fosse ruim o suficiente, imagine que as palavras que você nunca esperou serem digitadas e salvas, muito menos indefinidamente, foram disponibilizadas pela internet, supostamente “protegidas” por pouco mais de uma senha padrão que dá a qualquer pessoa acesso a tudo.
Infelizmente, para dezenas de milhares de pacientes confiantes do agora falido Centro de Psicoterapia Vastaamo, isso realmente aconteceu.
Fica pior
Pior ainda, um cibercriminoso entrou no sistema mal protegido e roubou todos os dados ultrapessoais.
Pior ainda, a empresa responsável por manter esses dados seguros decidiu manter silêncio sobre a intrusão, com o CEO da empresa aparentemente decidindo que poderia esconder a violação das autoridades, desde que não resultasse nenhum dano publicamente visível.
Mas a violação não pôde mais ser negada depois que a empresa foi alvo de um pedido de chantagem de 450,000 mil euros (cerca de US$ 0.5 milhão na época).
Em última análise, como relatado no Helsinki Times no final de 2022 em um artigo intitulado Promotores: a segurança da informação de Vastaamo estava um caos absoluto, o agora ex-CEO foi acusado pessoalmente de crimes de proteção de dados, apesar de a própria empresa ter sido vítima de um crime cibernético.
O pior de tudo foi que quando a própria empresa se recusou a pagar o dinheiro da chantagem (o que, como apontamos no ano passado, não teria adiantado muito, visto que os dados já haviam sido roubados), os extorsionistas voltaram sua atenção diretamente para o pacientes da empresa.
Os pacientes foram chantageados no valor de 200 euros cada, com o jornalista de segurança cibernética Brian Krebs relatando em 2022, a procura saltou para 500 euros caso a “taxa” inicial não fosse paga no prazo de 24 horas, seguida da publicação dos dados pessoais 48 horas depois.
O hacker ameaçou divulgar não apenas o tipo de informação que ajudaria outros criminosos a realizar roubo de identidade, incluindo detalhes de contato e dados de identificação, mas também as transcrições salvas das conversas dos pacientes que mencionamos no início deste artigo.
As autoridades finlandesas emitido um mandado de prisão para o suposto hacker em outubro de 2022, observando que:
A polícia apurou que o suspeito atualmente reside no exterior. Por este motivo, foi detido à revelia. Foi emitido um mandado de detenção europeu contra o suspeito. Ele pode ser preso no exterior sob este mandado. Depois disso, a polícia solicitará sua entrega à Finlândia. Um aviso da Interpol também será emitido contra o suspeito, que é cidadão finlandês e tem cerca de 25 anos de idade.
Ele apareceu em Os fugitivos mais procurados da Europol lista em 2022-11-03, acusado de oito crimes: arrombamento agravado de computador, tentativa de extorsão agravada, disseminação agravada de informações que violam a privacidade pessoal, extorsão, tentativa de extorsão, arrombamento de computador, interceptação de mensagens e falsificação de provas:
Suspeito detido
Bem, os finlandeses acabaram de anunciar que o suspeito foi preso na França, onde esteve preso enquanto a sua extradição para a Finlândia estava a ser processada.
Brian Krebs, conhecido por investigar as histórias de hackers notórios e suspeitos de hackers, publicou um relatório listando uma série de crimes cibernéticos anteriores pelos quais Kivimäki foi condenado, aparentemente incluindo ataques de negação de serviço sob a bandeira de Esquadrão de Lagartos, roubo de código-fonte da Adobe, uso de cartões de crédito roubados e muito mais.
Segundo Krebs, o suspeito foi condenado por “orquestrar mais de 50,000 mil crimes cibernéticos”, mas escapou com pena suspensa e uma pequena multa, tendo sido menor de 18 anos à data daquela atividade criminosa.
Depois de escapar de uma sentença de prisão, diz Krebs, o grupo de hackers Lizard Squad se gabou abertamente no Twitter de que “todas as pessoas que disseram que apodreceríamos na prisão não querem compreender o que temos dito desde o início, nós têm passes gratuitos.
Se a sua extradição de França for aprovada neste caso, e ele for condenado, não podemos imaginar que as consequências sejam tanto um “passe livre” desta vez, agora que ele tem 25 anos.
O que fazer?
- Ensaie o que você fará se sofrer uma violação. Você não está se preparando para falhar se fizer isso, mas está falhando em se preparar se não o fizer. Saiba quais são suas obrigações de comunicação e pratique o que você diria às pessoas afetadas pela violação. Como este caso sugere, a divulgação imediata pelo menos teria evitado que dezenas de milhares de pessoas vulneráveis descobrissem a violação de demandas de extorsão feitas diretamente a elas e suas famílias.
- Considere apresentar um relatório pessoal se você for pego em uma violação. Isso ajuda os reguladores e a aplicação da lei a coletar evidências; ajuda a determinar um nível adequado de resposta (se ninguém disser nada, é difícil convencer um tribunal de que houve um dano real); e ajuda as autoridades a exigir padrões mais altos de segurança cibernética no futuro.
- Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
- Platoblockchain. Inteligência Metaverso Web3. Conhecimento Ampliado. Acesse aqui.
- Fonte: https://nakedsecurity.sophos.com/2023/02/06/finnish-psychotherapy-extortion-suspect-arrested-in-france/
