Kasa käteistä rahaa ja asuntoja eri puolilla Eurooppaa – Näin KRP pääsi Aleksanteri Kivimäen jäljille

Keskusrikospoliisi (KRP) pääsi Psykoterapiakeskus Vastaamon tietomurrosta epäillyn miehen jäljille monipolvisen tietoteknisen tutkimustyön avulla, selviää KRP:n esitutkinnasta. Noin 2  200-sivuinen esitutkinta tuli julkiseksi perjantaina.

KRP:n tutkinnan keskiössä on OPSVM-niminen virtuaalipalvelin, jolla poliisin mukaan annettiin komennot tietomurron tehneelle toiselle palvelimelle sekä ylläpidettiin osoitetta, josta Vastaamon potilaiden tietoja jaettiin.

Poliisi löysi OPSVM:n kopioituna Saksassa sijainneelta palvelimelta, jonka käyttäjä oli yritys, jonka toimitusjohtaja tietomurrosta epäilty Aleksanteri Kivimäki sanoo olleensa. Yrityksen palvelintilaus oli myös maksettu Kivimäen kortilla.

KRP:n mukaan OPSVM-palvelimelle kirjauduttiin käyttäjätunnuksen ja salasanan sijaan SSH-avaimella, joka oli tutkinnan perusteella kirjautuneena palvelimelle neljä kertaa. Samoina aikoina palvelimelle oltiin yhteydessä ip-osoitteesta, joka poliisin mukaan oli Kivimäen käytössä.

Ip-osoite yhdistyi Kivimäkeen esitutkinnassa monin tavoin. Siitä oli muun muassa tehty Kivimäen nimissä varaus luksushotelli Kämpiin Helsingissä toukokuun 2020 lopulla.

Esitutkinnan mukaan Kivimäki oli yöpynyt Kämpissä muutamankin kerran. KRP:n mukaan Kivimäki oli ilmoittanut hotellille myös puhelinnumeron, sähköpostin sekä postiosoitteen, jotka kytkeytyvät tietotekniseen näyttöön jutussa.

Ip-osoite yhdistyi myös Kivimäen nimimerkkiin keskustelufoorumi Ylilaudalla. Kivimäki kertoi kuulusteluissa itse käyttäneensä kyseistä nimimerkkiä, minkä lisäksi nimimerkki oli julkaissut foorumilla valokuvan, josta KRP tunnisti Kivimäen sormenjäljen.

^{Kuulusteluissa} Kivimäki kiistää liittyvänsä mitenkään Vastaamon tietomurtoon tai potilaiden kiristämiseen. Hän sanoo tietävänsä asiasta vain sen, mitä mediassa ja sosiaalisessa mediassa on kirjoitettu.

–  Mielestäni se on aika kelju temppu, hän sanoi, kun poliisi kysyi mielipidettä potilastietokannan julkaisemisesta.

Kuulusteluissa Kivimäki sanoo uskovansa, että rikosten takana ovat kahden netissä esiintyvän nimimerkin takana olevat tekijät. Nimimerkit on esitutkinnassa salattu.

Poliisi alkoi tutkia Vastaamon tapausta syksyllä 2020. Kivimäki otettiin kiinni tämän vuoden helmikuussa Ranskassa Pariisin lähellä sijaitsevassa Courbevoien kunnassa.

Ranskalaismedian mukaan paikallinen poliisi meni asuntoon kotihälytystehtävälle. Asunnossa ollut mies näytti poliisille romanialaisia henkilöllisyyspapereita. Poliisin tarkastaessa miehen tietoja kävikin ilmi, että hän oli Vastaamo-tietomurrosta epäilty suomalaismies.

Kuulustelussa Kivimäki kertoi dubailaisen asianajofirman järjestäneen henkilöllisyyspaperit hänelle.

^{Kivimäki kertoi} poliisille oleskelleensa epäiltyjen rikosten aikaan, vuosina 2018–2020 Espanjassa, Britanniassa, Arabiemiraateissa, Ukrainassa ja Ranskassa. Hän sanoi, ettei hänestä ole kyseisissä maissa juuri jälkiä, koska hän ei ole rekisteröinyt asumistaan.

–  Näissä paikoissa asuessani minusta jää aika pieni jälki, kun en käytä julkisia palveluja vaan yksityistä terveydenhuoltoa ja muuta. Enkä ole käynyt missään rekisteröitymässä. En sen takia, että yrittäisin piiloutua, vaan esimerkiksi Espanjassa asukkaaksi pitää rekisteröityä, mutta se on hankalaa.

Hän kertoi työstään yrityksen toimitusjohtajana. Hänen tehtävänään oli etsiä erilaisia vaihtoehtoja tietokantaohjelmalle ja neuvotella sijoittajien kanssa. Yrityksessä oli hänen mukaansa useita työntekijöitä.

–  Maksoin heille kryptovaluutalla, koska eihän kukaan veroja halua maksaa.

Perusmenoihin hän sanoi käyttävänsä itse lähinnä käteistä, joka on peräisin kryptovaluuttavaihdoista. Poliisi kysyi, miten hän säilyttää rahojaan.

–  Yleensä pinossa, välillä se on sellainen epätasainen kasa. En sillain, että kantaisin jotain kassakaappia mukana, se olisi haastavaa.

^{Poliisi kuulusteli} myös Aleksanteri Kivimäen kaveria, joka matkusteli ja asui tämän kanssa. Kaveri kertoo lähteneensä Kivimäen kanssa Barcelonaan. Hänen mukaansa he lensivät yhdessä Helsinki-Vantaalta. Ensin mies muisteli, että Barcelonaan lähtö oli vuonna 2020, mutta korjasi myöhemmin, että se olikin vuotta aiemmin.

Mies sanoi asuneensa Kivimäen asunnossa ensin Barcelonassa viitisen kuukautta. Kivimäki lähti hänen mukaansa jossain vaiheessa reissuun ja hän seurasi tätä Lontooseen. Hän sanoo ajaneensa Lontooseen Kivimäen Bemarilla.

Lontoossa mies asui Kivimäen kahdessa eri asunnossa vuonna 2020. Vastaamoon ja sen asiakkaisiin kohdistuneen kiristyksen epäillään tapahtuneen tuona vuonna, ja poliisi kyseli mieheltä asunnon internetistä ja siitä, kuka sitä käytti. Mies kertoi käyttäneensä ruokalähettipalvelua Kivimäen maksutiedoilla.

Lontoosta Kivimäki lähti miehen mukaan Dubaihin koronarajoituksia pakoon.

–  Tiedän, että Lontoossa oli ihan perseestä, kun oli kaikki lockdownit ja hän ei halunnut olla siellä. Dubaissa ei sitten ollut mitään rajoituksia. Muistelisin, että se puhui jostain rahoituksesta, ja että hän olisi saamassa rahoituksen johonkin yritysprojektiin.

Mies sanoo nähneensä Kivimäen viimeksi ennen tämän lähtöä. Tämän jälkeen viimeisin yhteydenpito oli joidenkin kuukausien jälkeen.

–  Se on saattanut laittaa viestiä siinä muutama kuukausi tämän viimeisen tapaamisen jälkeen. Hänellä on tapana kadota välillä aina viestien tavoittamattomiin.

Mies sanoi poliisille, ettei usko Kivimäen tehneen rikoksia, joista tätä epäillään. Hänen mukaansa tällä ei ole motiivia teolle.

–  Kuulostaa niin kuin vain siltä, että poliisi on valinnut tällaisen tunnetun hakkerin kohteeksi ja mennyt sokeaksi sitä kohti. Tämä on minun oma näkemykseni.

^{Syyttäjien mukaan} Kivimäki murtautui marraskuussa 2018 yksin tai tuntemattomaksi jääneiden ihmisten kanssa Vastaamon tietojärjestelmään ja latasi 33  000 ihmisen tiedot sisältäneen potilastietokannan itselleen.

Potilastietojen levittämisen ja niillä kiristämisen epäillään alkaneen syksyllä 2020. Syyttäjien mukaan Kivimäki lähetti tuolloin Vastaamolle sähköpostitse kiristysviestin, jossa hän vaati yritystä maksamaan hänelle 40 bitcoinia, mikä vastasi 366  000:ta euroa. Rahasummaa vaadittiin vastineeksi siitä, ettei potilaiden tietoja julkaista.

Kun vaatimuksiin ei suostuttu, Kivimäki alkoi syyttäjien mukaan julkaista potilastietoja lokakuun lopulla 2020. Syyttäjien mukaan Kivimäen oli tarkoitus julkaista sata potilastietoa päivässä, mutta hän tulikin julkaisseeksi kaikki loput potilastiedot kerralla. Tietoja julkaistiin pääosin Tor-verkossa.

Tämän jälkeen Kivimäki lähetti syyttäjien mukaan kiristysviestin Vastaamon potilastietokannassa olleille ihmisille. Viestissä ihmisiltä vaadittiin 200 tai 500 euron maksua kryptovaluuttana. Osa uhreista maksoi vaaditun summan.

^{Syyttäjät vaativat} Kivimäelle seitsemän vuoden vankeusrangaistusta törkeästä tietomurrosta, liki 9  600 törkeästä yksityiselämää loukkaavasta tiedon levittämisestä, yli 21  300:sta törkeän kiristyksen yrityksestä sekä 20 törkeästä kiristyksestä. Hän kiistää kaikki syytteet.

Pääkäsittely Länsi-Uudenmaan käräjäoikeudessa alkaa maanantaina 13. marraskuuta. Oikeudenkäynnille on varattu käsittelypäiviä helmikuun lopulle asti.

Kivimäkeä epäillään Vastaamoon liittyvän tapauksen lisäksi yli 14  000 törkeästä tietomurrosta. Uudet rikosepäilyt tulivat ilmi Vastaamo-tutkinnassa. Lisäksi Kivimäkeä epäillään tietomurrosta ja muista rikoksista myös Turussa.