Una usuaria sufrió un robo de datos íntimos compartidos con su terapeuta, recibiendo un correo de extorsión que exigía hasta 500 euros para evitar su publicación en internet, alertando sobre los riesgos de ciberseguridad en sesiones psicológicas.

Los datos personales digitalizados pueden convertirse en mercancía peligrosa si caen en manos de los ciberdelincuentes y así lo ha podido comprobar Meri-Tuuli Auer, una mujer a la que han chantajeado para obtener su propia información personal.

Esta usuaria aparecía registrada como paciente de Vastaamo, un proveedor de servicios de psicoterapia privado finlandés cuya base de datos fue pirateada en octubre de 2020; un hackeo que afectó a cientos de personas, incluida Auer.

Tal y como señala BBC, esta mujer recibió un correo electrónico en su carpeta de correo no deseado o spam en el que aparecían datos de localización esenciales, como su nombre completo, su número de seguridad social y su número personal de identificación (también conocido como Henkilötunnus, que es el que utilizan los finlandeeses para acceder a los servicios públicos y la banca.

En este correo, en el que aparecía información que los ciberdelincuentes habían obtenido al explotar la base de datos de la comentada plataforma, éstos también presionaban a la víctima para pagar 200 euros en bitcoin en un plazo de 24 horas. De no hacerlo, la cantidad a deber alcanzaría los 500 euros pasadas las 48 horas.

Si no pagas, se desvelarán todas tus conversaciones

Además de exigir una determinada cantidad monetaria por retomar el control de su propia información, los ciberdelincuentes explicaban qué es lo que podía suceder si Auer no daba su brazo a torcer.

"Su información será publicada para que todos la vean, incluyendo su nombre, dirección, número de teléfono, número de seguro social y registros detallados de pacientes que contienen transcripciones de sus conversaciones", añadieron, según explica el comentado medio.

Esto significa que, además de información sensible que cualquiera podía utilizar para localizar a esta mujer, los extorsionadores también tenían en su poder todos los pensamientos más íntimos compartidos con sus terapeutas, incluidos intentos de suicidio, situaciones de abuso sexual infantil y aventuras amorosas.

En la entrevista que acompaña este reportaje, la víctima ha reconocido que, cuando se percató de todo lo que estaba en juego, "le entró el miedo". "Me pedí una baja por enfermedad y me encerré en casa. No quería irme. No quería que me vieran", ha dicho.

Todo estaba en la dark web

Auer fue una de los 33.000 usuarios de Vastaamo cuyos datos fueron secuestrados en octubre de 2020 por un hacker anónimo que hizo de su hazaña un escándalo nacional, hasta el punto de ser calificado como el mayor de la historia del país.

Cuando las autoridades quisieron actuar después de que esta mujer y otras personas recibieran el comentado email, en realidad, ya era tarde, debido a que  había publicado en la dark web la base de datos completa.

De hecho, tal y como ha avanzado el comentado medio, antes de implicar a las propias víctimas, el extorsionador había comenzado a enviar las conversaciones sobre estas sesiones terapéuticas a la web oscura, en tandas de 100 al día, con el objetivo de presionar a Vastaamo.

Lo hizo para que la empresa pagara un rescate mucho mayor del que las víctimas serían capaces de asumir, esto es, el equivalente en bitcoins a unas 400.000 libras, que les había estado exigiendo durante unas semanas.

Lo cierto es que, tras dos años de investigación, se determinó que el principal sospechoso de este ataque era Julius Kivimäki, un conocido ciberdelincuente que fue arrestado en Francia y fue declarado culpable. Su sentencia fue de seis años y siete meses de prisión.

A pesar de haber sentido cierto alivio por ello, Auer ha reconocido que cree que la filtración de datos ha erosionado la confianza de los pacientes. "Muchas personas que eran clientes Vastaamo y que habían ido a terapia durante años, ahora nunca volverán a reservar una sesión", ha explicado.