あなたにとって、誰にも見せるつもりのなかった記録が、誰かの手に渡っていた。
サイバー犯罪: 日常に侵入する悪意 第 5 回
狙われるのは、特別な誰かではない。
いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。
忘れていた場所から
そのメールを受け取ったのは、ある土曜日の夜だった。
差出人には見覚えがない。迷惑メールかと思い、削除しようとした。
しかし、件名に自分の名前が書かれていた。
本文を読み進めると、そこには以前利用していた心理療法センターの名前があった。
数年前、仕事や家族のことで悩んでいたときに通っていた場所だ。
さらに、メールには、自分の個人的な情報が記載されていた。
どうして、見知らぬ相手がそんなことを知っているのだろう。
メールの送り主は、センターの患者情報を盗み出したと主張していた。
そして、指定した期限までに金銭を支払わなければ、相談記録をインターネット上に公開すると告げていた。
最初は、悪質な脅しだと思った。
だが、書かれている内容は、誰にでも送れるような無差別の迷惑メールとは違っていた。
送り主は、自分が実際にそのセンターを利用していたことを知っている。
もしかすると、相談した内容まで知っているのかもしれない。
メールを閉じても、もう眠れそうになかった。
自分だけの秘密ではなかった
彼女が利用していたのは、フィンランドの心理療法センター Vastaamo だった。
2020 年 10 月、このセンターの患者情報データベースへの不正アクセスと、大量の個人情報の流出が公になった。後の技術調査では、少なくとも 2018 年 12 月と 2019 年 3 月に、データベースへの不正アクセスがあったことが確認されている。
盗まれたのは、氏名や連絡先だけではない。
患者の相談記録など、極めてセンシティブな情報も含まれていた。
センターには、患者情報を公開すると脅して金銭を要求する連絡が届いた。
また、患者一人ひとりにも直接メールが送られ、要求に応じなければ個人情報や相談記録を公開すると脅迫された。
脅迫の対象は、センターという組織だけではなかった。
そこを利用していた、ごく普通の人々だった。
患者の情報は、実際にインターネット上へ公開された。
それまで、誰にも話していなかったこと。家族にも、友人にも、職場の人にも知られることを想定していなかったこと。
それらが、自分の意思とは無関係に、見知らぬ人々の目に触れる場所へ持ち出されてしまった。
情報を盗まれた人たちにとって、それは単なるデータ漏えいではなかった。
自分の人生の一部を、他人に勝手に開かれてしまったような出来事だった。
何も悪いことをしていなくても
彼女は、誰かを騙したわけでも、犯罪に関わったわけでもない。
苦しいときに専門家へ相談し、助けを求めただけだった。
それなのに、そのときに話したことが、恐喝の材料に使われている。
仮にその情報が事実であっても、他人に公開してよい理由にはならない。
人には、他人に知られずに相談できる場所が必要だ。
誰にも知られたくないことがあるのは、必ずしも何か後ろめたいことをしているからではない。
家族との関係、仕事への不安、自分自身への戸惑い。
そうしたことを安心して話せる場所があるからこそ、人は助けを求められる。
ところが、その信頼が破られた。
センターを利用したこと自体を知られたくない人もいただろう。記録の内容を知られることで、周囲との関係が変わってしまうのではないかと恐れた人もいただろう。
ここで起きたのは、単なる情報窃取ではなかった。
人が他人に知られたくないと思っている気持ちそのものが、金銭を得るための道具にされた。
誰が責任を負うのか
この事件では、フィンランドの警察が大規模な捜査を行った。
2021 年 6 月、フィンランド警察は、この事件の被害者に対する恐喝に関連して、25,000 件を超える犯罪被害の届出があったと公表した。警察は、実際の被害者数はさらに多いとみていた。
この 25,000 件は被害者の正確な人数ではなく、警察への届出件数だ。それでも、被害が一部の限られた人にとどまらなかったことが分かる。
また、問題は攻撃者だけにあったわけではない。
フィンランドのデータ保護当局は、Vastaamo の患者情報の安全な取り扱いや、情報漏えい発生時の報告義務に重大な不備があったと判断した。
2021 年 12 月、同センターに対して 608,000 ユーロの行政制裁金が科された。
さらに、刑事事件では、実行犯に対する裁判が進められた。
2024 年 4 月、第一審は被告人に対して 6 年 3 カ月の実刑判決を言い渡した。その後、2026 年 2 月に控訴審が刑を 6 年 11 カ月に引き上げた。同年 7 月、フィンランド最高裁判所が上告許可を認めなかったため、控訴審の判決が確定した。
しかし、被害に遭った人々のプライバシーが元に戻ったわけではない。
公開された情報を誰が保存し、誰が読んだのか。どこまで広がってしまったのか。
すべてを把握することはできない。
「大した情報ではない」という思い込み
私たちは、自分の情報が漏れたと聞いても、つい影響を小さく考えてしまうことがある。
氏名とメールアドレスくらいなら問題ない。
電話番号を知られても、変更すれば済む。
自分には、大企業が守っているような重要な機密情報もない。
しかし、情報の価値は、それ単体で決まるわけではない。
例えば、氏名と住所だけなら、それほど重大な問題に感じないかもしれない。
けれど、利用しているサービス、購入履歴、相談記録、日々の行動や人間関係に関する情報が結びつくと、そこには本人の生活が浮かび上がってくる。
そして、その情報を何に使うかは、持ち主ではなく、手に入れた相手が決めてしまう。
氏名・住所・連絡先 | + サービスの利用履歴 | + 相談・問い合わせ内容 | v 個人の生活や背景が 見えてくる | v なりすまし・恐喝・脅迫 人間関係への介入・悪用 ひとつひとつは些細な情報に見えても、組み合わせることで、本人にとって重大な意味を持つことがある。
小さな事業者であっても同じだ。
顧客の住所、購入履歴、問い合わせ内容、取引先との連絡記録。
それらは単なる業務データではない。誰かの生活の一部でもある。
閉めたはずの引き出し
この事件を受けて、フィンランドの警察は、恐喝メールを受け取った人たちに対して、要求に応じて支払わず、警察に届け出て、メールなどの証拠を保存するよう呼びかけた。
しかし、そうした対応をしたからといって、すでに漏えいした情報を完全に取り戻せるわけではない。
私たちは、日々さまざまなサービスに自分の情報を預けている。
買い物をする。病院を受診する。相談窓口を利用する。仕事を依頼する。
そのたびに、氏名や連絡先だけでなく、さまざまな事情を相手に伝えている。
その情報が適切に守られていることを、利用者自身が常に確認するのは難しい。
だからこそ、情報を預かる側には、それを安全に管理する責任がある。
「自分には盗まれて困る情報などない」
そう思っていた引き出しの中に、本当に何も入っていなかっただろうか。
そして、その引き出しの鍵を預けた相手は、最後まで責任を持って守ってくれるのだろうか。
参考資料
フィンランド警察・国家捜査局 (National Bureau of Investigation), “NBI to continue criminal investigation into exceptionally large-scale hacking of psychotherapy customer files” (2020 年 10 月 27 日公表 / 英語版 11 月 24 日公開).
https://poliisi.fi/en/-/nbi-to-continue-criminal-investigation-into-exceptionally-large-scale-hacking-of-psychotherapy-customer-filesフィンランド警察, “Victims of Vastaamo hacking incident: In order to become a party in the criminal proceedings, report the crime” (2021 年 6 月 23 日).
https://poliisi.fi/en/-/victims-of-vastaamo-hacking-incident-in-order-to-become-a-party-in-the-criminal-proceedings-report-the-crimeフィンランド政府・データ保護監察官事務所 (Office of the Data Protection Ombudsman), “Administrative fine imposed on psychotherapy centre Vastaamo for data protection violations” (2021 年 12 月 16 日公表 / 英語版 12 月 27 日公開).
https://valtioneuvosto.fi/en/-/6927448/administrative-fine-imposed-on-psychotherapy-centre-vastaamo-for-data-protection-violationsフィンランド最高裁判所 (Korkein oikeus), “Korkein oikeus hylkäsi valituslupahakemuksen Vastaamon tietomurtoa ja sitä seuranneita kiristysrikoksia koskeneessa asiassa” (2026 年 7 月 13 日).
https://www.korkeinoikeus.fi/ajankohtaista/tiedote-ja-uutisarkisto/korkein-oikeus-hylkasi-valituslupahakemuksen-vastaamon-tietomurtoa-ja-sita-seuranneita-kiristysrikoksia-koskeneessa-asiassa/フィンランド政府, “Advice for the victims of the data leak” (2020 年 10 月 25 日公表 / 英語版 10 月 26 日公開).
https://valtioneuvosto.fi/en/-/6927448/advice-for-the-victims-of-the-data-leak
本記事冒頭の個人の体験を描いた場面は、実際の被害者 1 人の証言を再現したものではありません。Vastaamo の情報漏えい、患者個人への恐喝、情報公開、当局の対応および刑事裁判に関する公表情報をもとに、複数の情報を組み合わせて構成した架空の再構成です。人物やメールの文面、時系列などには創作が含まれます。なお、フィンランド警察は、センターに対する恐喝と患者個人宛ての恐喝メールの送信者が同一人物かどうかは不明としていました。
