Finlândia procura hacker condenado por vazamento de dados de 33 mil pacientes de psicoterapia

A polícia da Finlândia emitiu uma ordem de busca contra o hacker condenado Aleksanteri Kivimäki após a Suprema Corte do país se recusar a analisar seu recurso. A decisão torna definitiva a condenação pelo ataque contra a clínica de psicoterapia Vastaamo, um dos casos de cibercrime mais graves e de maior repercussão da história finlandesa.

Com a negativa da Suprema Corte, permanece válida a sentença aplicada em fevereiro pelo Tribunal de Apelação, que condenou Kivimäki a quase sete anos de prisão por invadir os sistemas da Vastaamo e, posteriormente, extorquir tanto a empresa quanto milhares de pacientes.

Após a decisão judicial, a Polícia de Uusimaa Oriental informou ter emitido o aviso de procurado a pedido da Agência de Sanções Criminais da Finlândia. Os agentes foram orientados a prender Kivimäki caso ele seja localizado e transferi-lo para a Prisão de Vantaa, onde deverá cumprir o restante da pena.

Peter Jaari, advogado do condenado, declarou à imprensa finlandesa que não sabe onde seu cliente está. Ele afirmou, no entanto, acreditar que Kivimäki esteja fora do território finlandês.

O Tribunal de Apelação considerou o hacker culpado pelos crimes de violação agravada de dados, tentativa de extorsão e distribuição ilegal de informações privadas. Segundo os juízes, os delitos foram cuidadosamente planejados, tinham como motivação a obtenção de vantagem financeira e provocaram danos excepcionais a um grande número de pessoas especialmente vulneráveis.

A corte afirmou que a gravidade dos crimes normalmente justificaria a aplicação da pena máxima disponível. A condenação, entretanto, foi reduzida em um mês porque Kivimäki firmou acordos de indenização com algumas das vítimas.

Durante todo o processo, Kivimäki negou ser o responsável pelo ataque. A defesa sustentou que a acusação se apoiava principalmente em evidências circunstanciais, contestou as provas digitais usadas para ligá-lo à invasão e questionou alegações relacionadas a transações com criptomoedas associadas ao esquema de extorsão.

O Tribunal de Apelação havia libertado Kivimäki da prisão preventiva em setembro de 2025, após concluir que ele já havia passado tempo suficiente sob custódia e que uma detenção mais prolongada poderia violar seus direitos.

Como grande parte da pena havia sido efetivamente cumprida enquanto ele aguardava o julgamento e o andamento do processo, o condenado permaneceu em liberdade durante a fase de recursos. Agora, com a recusa da Suprema Corte em reexaminar o caso, a condenação se tornou definitiva, e as autoridades tentam localizá-lo para que cumpra o período restante da sentença.

Ataque expôs prontuários de psicoterapia

A violação de dados da Vastaamo ocorreu em 2018, mas somente se tornou pública em 2020. Inicialmente, o invasor tentou extorquir a própria empresa, exigindo pagamento para não divulgar as informações roubadas.

Posteriormente, os responsáveis pela campanha passaram a entrar em contato diretamente com os pacientes, enviando cobranças individuais e ameaçando publicar seus registros privados caso os valores exigidos não fossem pagos.

Quando muitas vítimas se recusaram a ceder à extorsão, anotações confidenciais de sessões de terapia e outros documentos extremamente sensíveis começaram a ser divulgados na internet. O banco de dados comprometido continha informações de aproximadamente 33 mil pacientes.

Mais de 24 mil pessoas afirmaram ter recebido exigências de pagamento. Entre as vítimas estavam crianças e pacientes que realizavam tratamento para traumas psicológicos graves, o que ampliou o impacto humano e social do incidente.

O ataque se transformou no maior processo criminal da história da Finlândia em número de vítimas. Além dos prejuízos financeiros e dos riscos à privacidade, a exposição dos prontuários criou consequências potencialmente duradouras para pessoas que haviam confiado informações íntimas a profissionais de saúde mental.

O caso também se tornou uma referência internacional sobre os impactos de ataques contra o setor de saúde. Diferentemente de incidentes voltados apenas ao roubo de informações corporativas ou financeiras, a invasão da Vastaamo envolveu dados médicos altamente pessoais, posteriormente utilizados para pressionar individualmente milhares de pacientes.

A estratégia adotada combinou violação de sistemas, roubo de uma base de dados sensível, extorsão contra a organização afetada e chantagem direta contra as pessoas cujas informações haviam sido expostas. Esse modelo amplia a capacidade de pressão dos invasores e pode causar danos psicológicos, reputacionais, financeiros e legais muito além da empresa inicialmente comprometida.