Um hacker sem rosto roubou minhas anotações de terapia – agora meus segredos mais profundos estão on-line para sempre

Assim que Meri-Tuuli Auer viu o assunto em sua pasta de lixo eletrônico, ela soube que não se tratava de um e-mail de spam comum. Continha o seu nome completo e o seu número de segurança social – o código único que os finlandeses usam para aceder a serviços públicos e bancários.

O e-mail estava cheio de detalhes sobre Auer que ninguém mais deveria saber.

O remetente sabia que ela estava fazendo psicoterapia por meio de uma empresa chamada Vastaamo. Eles disseram que invadiram o banco de dados de pacientes de Vastaamo e que queriam que Auer pagasse 200 euros (175 libras) em bitcoin em 24 horas, ou o preço subiria para 500 euros em 48 horas.

Se ela não pagasse, escreveram eles, “suas informações serão publicadas para que todos possam ver, incluindo seu nome, endereço, número de telefone, número de seguro social e registros detalhados de pacientes contendo transcrições de suas conversas com os terapeutas de Vastaamo”.

“Foi aí que o medo se instalou”, disse-me Auer, 30 anos. “Tirei licença médica do trabalho, me fechei em casa. Não queria sair. Não queria que as pessoas me vissem.”

Ela foi um dos 33.000 pacientes de Vastaamo mantidos sob resgate em outubro de 2020 por um hacker anônimo e sem rosto.

Eles compartilharam seus pensamentos mais íntimos com seus terapeutas, incluindo detalhes sobre tentativas de suicídio, casos amorosos e abuso sexual infantil.

Na Finlândia, um país de 5,6 milhões de habitantes, todos pareciam conhecer alguém que teve os seus registos de terapia roubados. Tornou-se um escândalo nacional, o maior crime de sempre da Finlândia, e a então Primeira-Ministra Sanna Marin convocou uma reunião de emergência de ministros para discutir uma resposta.

Mas já period tarde demais para deter o hacker.

Antes de enviar os e-mails aos pacientes de Vastaamo, o hacker publicou todo o banco de dados de registros roubados da empresa na darkish internet e um número desconhecido de pessoas leu ou baixou uma cópia. Essas notas têm circulado desde então.

Auer contou ao terapeuta coisas que ela nem queria que seus familiares mais próximos soubessem – sobre seu consumo excessivo de álcool e um relacionamento secreto que ela estava tendo com um homem muito mais velho.

Agora, seus piores medos se tornaram realidade.

Mas em vez de destruí-la, o hack a fez perceber que period muito mais resistente do que jamais poderia ter imaginado.

O apartamento de Auer, nos arredores de Helsinque, parece alegre. As recordações da Barbie enchem suas prateleiras e há um poste de pole dance no centro de sua sala de estar. Mas não se deixe enganar pela aparência das coisas, diz Auer. Ela lutou contra a depressão e a ansiedade durante a maior parte de sua vida.

“Sou extrovertido e muito confiante e adoro estar perto de pessoas”, diz Auer, “mas tenho a impressão de que todos pensam que sou estúpido e feio e que minha vida é um continuum de erros”.

Auer procurou ajuda pela primeira vez em 2015. Ela contou ao terapeuta Vastaamo sobre seus problemas de saúde psychological, seu alcoolismo e um relacionamento que teve aos 18 anos com um homem mais velho que manteve em segredo de sua família. Ela diz que confiava totalmente no terapeuta e com a ajuda dele fez um progresso actual. Ela não tinha ideia do que ele havia escrito nas anotações das conversas.

No momento em que ela recebeu o e-mail de resgate, já haviam surgido notícias sobre o hack do Vastaamo. Três dias antes, o extorsionário começou a distribuir notas de terapia na darkish internet em lotes de 100 por dia, na esperança de pressionar a empresa a pagar o resgate muito maior – o equivalente em bitcoin de cerca de £ 400.000 – que ele vinha exigindo deles há semanas.

Auer diz que se sentiu compelida a examiná-los.

“Eu nunca tinha usado a darkish internet antes. Mas estava pensando comigo mesmo: só preciso ver se meus registros estão lá.”

Quando ela descobriu que não, ela fechou o arquivo e não leu os registros de mais ninguém, diz ela. Mas ela viu como outras pessoas na darkish internet zombavam do sofrimento dos pacientes. “Uma criança de 10 anos fez terapia e as pessoas acharam isso engraçado.”

E alguns dias depois, quando ficou claro que os registros de todos os pacientes do Vastaamo haviam sido publicados, a saúde psychological de Auer começou a deteriorar-se.

Sem saber quem foi o responsável, ou quem poderia ter lido seus pensamentos mais íntimos, ela ficou com medo de pegar o transporte público, sair de casa ou até mesmo abrir a porta para o carteiro. Ela duvidava que o hacker fosse encontrado.

Os detetives finlandeses também temiam não encontrar o suspeito, dado o quantity de dados que tiveram de analisar.

“Eu não conseguia nem imaginar a escala disso. Este não é um caso regular”, diz Marko Lepponen, o detetive que liderou a investigação para a polícia finlandesa.

Mas depois de dois anos de investigação, em outubro de 2022, eles nomearam o suspeito: Julius Kivimäki, um conhecido cibercriminoso.

Em fevereiro de 2023, Kivimäki foi preso em França e transportado de volta para a Finlândia para enfrentar acusações.

Nenhuma sala de tribunal é suficientemente grande para acomodar os 21 mil antigos pacientes de Vastaamo que se registaram como demandantes no processo prison, pelo que as exibições foram realizadas em espaços públicos, incluindo cinemas, para lhes dar a oportunidade de assistir ao julgamento.

Determinado a ver Kivimäki enfrentar a justiça, Auer compareceu a uma das exibições e ficou impressionado ao ver como ele parecia regular.

“Ele parece um jovem finlandês regular”, ela me diz. “Isso me fez sentir como se pudesse ter sido qualquer um.”

Quando ele foi considerado culpado, e condenado a seis anos e sete meses de prisão, ela diz que pareceu uma validação.

“Qualquer que seja a sentença que lhe foi dada, nunca poderia compensar tudo. O sofrimento das vítimas foi visto pelo tribunal – fiquei grato por isso.”

Kivimäki continua a negar ser responsável pelo hack.

Meses depois de saber do hack, Auer solicitou uma cópia impressa de seus registros a Vastaamo.

Suas anotações ficam em uma pilha grossa sobre a mesa entre nós enquanto ela me conta o que aconteceu.

Embora os seus registos tenham sido divulgados há mais de cinco anos, os pacientes de Vastaamo continuam a ser vítimas. Alguém até construiu um mecanismo de busca que permite aos usuários encontrar registros na darkish internet apenas digitando o nome de uma pessoa.

Auer concorda em compartilhar comigo alguns de seus registros de terapia vazados.

“O paciente está principalmente irritado, impulsivo e amargo”, diz ela, lendo algumas das primeiras notas que seu terapeuta escreveu sobre as sessões. “O paciente relata seu passado de maneira desconexa. Há alguma dificuldade interpessoal decorrente do temperamento fraco do paciente, típico de sua idade.”

Quando ela os leu pela primeira vez, ficou com o coração partido, diz Auer. “Fiquei magoado com a forma como ele me descreveu. Isso me fez sentir pena da pessoa que eu period.”

Ela diz que a violação de dados minou a confiança dos pacientes. “Há muitas pessoas que eram clientes do Vastaamo e que faziam terapia há anos, mas agora nunca mais marcarão outra sessão de terapia.”

A advogada que representa as vítimas de Vastaamo num processo civil contra o hacker disse-me que conhece pelo menos dois casos em que pessoas tiraram a própria vida depois de saberem que as suas notas de terapia foram roubadas.

Auer decidiu enfrentar seus medos de frente. Ela postou nas redes sociais sobre o hack, informando a todos que ela havia sido uma das vítimas.

“Foi muito mais fácil para mim saber que todos que me conheciam já sabiam”, diz ela. Ela conversou com sua família sobre o que havia em seus registros vazados, incluindo o relacionamento secreto sobre o qual ela nunca havia contado antes. “As pessoas apoiaram muito.”

Finalmente, ela optou por retomar o controle de sua história publicando um livro sobre suas experiências. Traduzido livremente, o título é Todo mundo fica sabendo.

“Eu transformei isso em uma narrativa. Pelo menos posso contar o meu lado da história – aquele que não é visível nos registros dos pacientes.”

Auer passou a aceitar que seus segredos sempre estarão por aí.

“Para o meu próprio bem-estar, é melhor não pensar nisso.”