Un extorqueur présumé de Patients en Psychothérapie fait face à un procès

Les procureurs finlandais ont entamé cette semaine leur procès pénal contre Julien Kivimäki, un Finlandais de 26 ans accusé d'avoir extorqué une pratique de psychothérapie en ligne autrefois populaire et maintenant en faillite et des milliers de ses patients. Dans un rapport de 2 200 pages, les autorités finlandaises ont expliqué comment elles avaient lié la frénésie d'extorsion à Kivimäki, un pirate informatique notoire qui était condamné en 2015 de perpétrer des dizaines de milliers de cybercrimes, y compris des violations de données, des fraudes de paiement, l'exploitation d'un botnet et des menaces à la bombe.

En novembre 2022, Kivimäki a été accusé d'avoir tenté d'extorquer de l'argent au Centre de Psychothérapie Vastaamo. Dans cette violation, survenue en octobre 2020, un pirate informatique utilisant le pseudonyme "Ransom Man" a menacé de publier les notes de psychothérapie des patients si Vastaamo ne payait pas une demande de rançon à six chiffres.

Vastaamo a refusé, alors Ransom Man a commencé à extorquer des patients individuels — en leur envoyant des courriels ciblés menaçant de publier leurs notes de thérapie à moins de payer une rançon de 500 euros. Lorsque Ransom Man a constaté peu de succès en extorquant directement des patients, ils ont téléchargé sur le Dark Web un gros fichier compressé contenant tous les dossiers des patients volés de Vastaamo.

Les experts en sécurité ont rapidement découvert que Ransom Man avait inclus par erreur une copie entière de leur dossier personnel, où les enquêteurs ont trouvé de nombreux indices indiquant l'implication de Kivimäki. À ce moment-là, Kivimäki n'était plus en Finlande, mais le gouvernement finlandais néanmoins chargé Kivimäki par contumace avec le piratage Vastaamo. Le document de preuve de 2 200 pages contre Kivimäki suggère qu'il menait une vie somptueuse pendant ses déplacements, fréquentant des complexes hôteliers de luxe et louant des voitures et des logements fabuleusement chers.

Mais en février 2023, Kivimäki était arrêté en France après que les autorités aient répondu à un appel de perturbation domestique et aient trouvé l'accusé endormi d'une gueule de bois sur le canapé d'une femme qu'il avait rencontrée la nuit précédente. La police française est devenue méfiante lorsque l'homme blond aux yeux verts de 6 pi 3 po a présenté une pièce d'identité indiquant qu'il était de nationalité roumaine.

Une copie expurgée d'une pièce d'identité remise par Kivimaki aux autorités françaises affirmant qu'il était roumain.

Les procureurs finlandais ont montré que la carte de crédit de Kivimäki avait été utilisée pour payer le serveur virtuel qui hébergeait les notes volées des patients de Vastaamo. De plus, le dossier personnel inclus dans les archives des données des patients de Vastaamo a également permis aux enquêteurs de consulter d'autres projets de cybercriminalité de l'accusé, y compris des domaines auxquels Ransom Man avait accès ainsi qu'un long historique des commandes qu'il avait exécutées sur le serveur virtuel loué.

Certains de ces domaines prétendument administrés par Kivimäki ont été créés pour salir la réputation de différentes entreprises et individus. L'un d'eux était un site Web qui prétendait avoir été écrit par une personne qui dirigeait l'infrastructure informatique d'une grande banque norvégienne et qui discutait de l'idée de légaliser les abus sexuels sur enfants.

Un autre domaine hébergeait un faux blog qui ternissait la réputation d'un Tulsa, Okla. homme dont le nom était attaché à des articles de blog sur le soutien au mouvement de la "fierté blanche" et appelant à une grâce de la L'auteur de l'attentat d'Oklahoma City Timothy McVeigh.

Kivimäki semble avoir également cherché à salir le nom de ce journaliste. Le document de 2 200 pages montre que Kivimäki possédait et exploitait le domaine krebsonsécurité[.] organisation, qui hébergeait divers outils de piratage que Kivimäki aurait utilisés, y compris des programmes pour analyser en masse Internet à la recherche de systèmes vulnérables aux failles de sécurité connues, ainsi que des scripts pour déchiffrer les noms d'utilisateur et les mots de passe des serveurs de bases de données et télécharger des bases de données.

Ransom Man a inclus par inadvertance une copie de son répertoire personnel dans les données du patient Vastaamo divulguées. Un long historique des commandes exécutées par cet utilisateur montre qu'il a utilisé krebsonsecurity-dot-org pour héberger des outils de piratage et d'analyse.

Mikko Hippönen a écrit:, directeur de la recherche chez WithSecure (anciennement F-Secure), a déclaré que les autorités finlandaises avaient fait un “travail incroyable “et qu '" il est rare d'avoir autant de preuves pour une affaire de cybercriminalité.”

Petteri Järvinen est un expert et auteur respecté en informatique qui a suivi le procès, et il a déclaré que les arguments de l'accusation jusqu'à présent étaient solides.

“Le Bureau national d'enquête a fait du bon travail et M. Kivimäki pour sa part quelques erreurs élémentaires", a déclaré Järvinen a écrit sur LinkedIn. "Cela envoie un message important: le crime en ligne ne paie pas. Des traces sont également laissées dans le monde numérique, même s'il est très fastidieux pour la police de les récupérer sur des serveurs du monde entier.”

Antti Kurittu a écrit: est un spécialiste de la sécurité de l'information et un ancien enquêteur criminel. En 2013, Kurittu a travaillé sur une enquête impliquant l'utilisation par Kivimäki du Réseau de zombies Zbot, entre autres activités dans lesquelles Kivimäki s'est engagé en tant que membre du groupe de hackers Pirater la Planète (PHT). Kurittu a déclaré qu'il restait à voir si l'accusation pouvait plaider sa cause et si la défense avait des réponses à toutes les preuves présentées.

“Sur la base du rapport d'enquête préliminaire public, il semble que l'affaire comporte de nombreux détails qui semblent très improbables pour être une coïncidence”, a déclaré Kurittu à KrebsOnSecurity. “Par exemple, une copie complète de la base de données des patients de Vastaamo a été trouvée sur un serveur appartenant à Scanifi, une entreprise sans activité raisonnable à laquelle Kivimäki était affiliée. Le contenu du dossier personnel divulgué était également connecté à Kivimäki et a été retrouvé sur des serveurs sous son contrôle.”

Le quotidien finlandais yle.fi rapports que les avocats de Kivimäki ont demandé la libération de leur client pour le reste de son procès, notant que l'accusé est déjà détenu depuis huit mois.

Le tribunal a rejeté cette demande, affirmant que l'accusé courait toujours un risque de fuite. Le procès de Kivimäki devrait se poursuivre jusqu'en février 2024, en partie pour accueillir les témoignages d'un grand nombre de victimes. Les procureurs demandent une peine de sept ans pour Kivimäki.