Elina Tossavainen
En cuanto Meri-Tuuli Auer vio el asunto en su carpeta de correo no deseado, supo que no era un spam normal. Contenía su nombre completo y su número de seguridad social —el código único que usan los finlandeses para acceder a servicios públicos y bancarios.
El correo electrónico estaba lleno de detalles sobre Auer que nadie más debería conocer.
El remitente sabía que ella había estado recibiendo psicoterapia a través de una empresa llamada Vastaamo. Decían haberse hackeado la base de datos de pacientes de Vastaamo y exigían que Auer pagara 200 euros en bitcoin en 24 horas, o la cifra subiría a 500 en 48 horas.
Si no pagaba, escribieron, "su información será publicada para que todos la vean, incluyendo su nombre, dirección, número de teléfono, seguridad social y sus historiales clínicos detallados con transcripciones de sus conversaciones con los terapeutas de Vastaamo".
Meri-Tuuli Auer
Auer le contó a su terapeuta cosas de su vida que no quería que su familia supiera.
"Ahí fue cuando entró el miedo", me cuenta Auer, de 30 años. "Pedí una baja laboral, me encerré en casa. No quería salir. No quería que la gente me viera".
Ella fue una de las 33,000 pacientes de Vastaamo chantajeadas en octubre de 2020 por un hacker sin nombre ni rostro.
Ellos habían compartido sus pensamientos más íntimos con sus terapeutas, incluyendo detalles sobre intentos de suicidio, aventuras amorosas y abuso sexual infantil.
En Finlandia, un país de 5.6 millones de habitantes, todo el mundo parecía conocer a alguien a quien le habían robado sus historiales de terapia. Se convirtió en un escándalo nacional, el crimen más grande de la historia de Finlandia, y la entonces primera ministra Sanna Marin convocó una reunión de emergencia de ministros para discutir una respuesta.
Pero ya era demasiado tarde para parar al hacker.
Antes de enviar los emails a los pacientes de Vastaamo, el hacker ya había publicado toda la base de datos robada de la empresa en la dark web y un número desconocido de personas había leído o descargado una copia. Esas notas han estado circulando desde entonces.
Auer le había contado a su terapeuta cosas que ni siquiera quería que sus familiares más cercanos supieran —sobre su consumo excesivo de alcohol y una relación secreta que había tenido con un hombre mucho mayor—.
Ahora, sus peores temores se habían hecho realidad.
Pero en lugar de destruirla, el hackeo la hizo darse cuenta de que era mucho más fuerte de lo que jamás había imaginado.
Meri-Tuuli Auer
Auer ha luchado contra la depresión la mayor parte de su vida.
El apartamento de Auer, en las afueras de Helsinki, parece alegre. Sus estanterías están llenas de objetos de Barbie y hay una barra de pole dance en el centro de su salón. Pero no te dejes engañar por las apariencias, dice Auer. Ella ha luchado contra la depresión y la ansiedad gran parte de su vida.
"Soy extrovertida y muy segura de mí misma, y me encanta estar con gente", dice Auer, "pero tengo esa sensación de que todos piensan que soy estúpida y fea, y que mi vida es una sucesión de errores".
Auer buscó ayuda por primera vez en 2015. Le contó a su terapeuta de Vastaamo sobre sus problemas de salud mental, su relación con el alcohol y una relación que tuvo a los 18 años con un hombre mayor que había mantenido en secreto de su familia. Dice que confiaba plenamente en su terapeuta y, con su ayuda, progresó mucho. No tenía idea de lo que él había escrito en las notas de sus conversaciones.
Cuando recibió el correo de chantaje, ya había salido la noticia sobre el hackeo de Vastaamo. Tres días antes, el extorsionador había empezado a filtrar notas de terapia en la dark web en lotes de 100 al día, con la esperanza de presionar a la empresa para que pagara un rescate mucho mayor —el equivalente a unos 400,000 euros en bitcoin— que llevaba semanas exigiéndoles.
Auer dice que se sintió obligada a revisarlas.
"Nunca había usado la dark web antes. Pero pensaba, tengo que ver si mis registros están ahí".
Cuando descubrió que no lo estaban, cerró el archivo y no leyó los registros de nadie más, dice. Pero vio cómo otra gente en la dark web se burlaba del sufrimiento de los pacientes. "Un niño de 10 años había ido a terapia, y a la gente le parecía gracioso".
Y unos días después, cuando quedó claro que los historiales de todos los pacientes de Vastaamo habían sido publicados, la salud mental de Auer empezó a deteriorase.
Sin saber quién era el responsable, o quién podría haber leído sus pensamientos más privados, le daba miedo tomar transporte público, salir de casa, o incluso abrir la puerta al cartero. Dudaba que el hacker fuera a ser encontrado.
Meri-Tuuli Auer
Auer fue una de las 21,000 antiguas pacientes de Vastaamo que se registraron como demandantes en el caso.
Los detectives finlandeses también temían no encontrar al sospechoso dada la enorme cantidad de datos que tenían que analizar.
"Ni siquiera podía imaginar la magnitud. Este no es un caso normal", dice Marko Lepponen, el detective que lideró la investigación para la policía finlandesa.
Pero después de dos años de investigación, en octubre de 2022, nombraron a su sospechoso: Julius Kivimäki, un cibercriminal conocido.
En febrero de 2023, Kivimäki fue arrestado en Francia y trasladado de vuelta a Finlandia para enfrentar cargos.
Ninguna sala de tribunal es lo suficientemente grande para las 21,000 antiguas pacientes de Vastaamo que se habían registrado como demandantes en el caso penal, así que se organizaron transmisiones en espacios públicos, incluyendo cines, para darles la oportunidad de ver el juicio.
Decidida a ver a Kivimäki enfrentar la justicia, Auer asistió a una de las proyecciones y le impactó lo normal que parecía.
"Parece un joven finlandés común y corriente", me cuenta. "Me hizo sentir que podría haber sido cualquiera".
Cuando fue declarado culpable y sentenciado a seis años y siete meses de prisión, dice que se sintió como una reivindicación.
"Cualquier sentencia que le dieran nunca podría compensar todo. El sufrimiento de las víctimas fue visto por el tribunal —estoy agradecida por eso".
Kivimäki sigue negando ser responsable del hackeo.
Europol
Kivimäki fue sentenciado a más de seis años de prisión por el hackeo de Vastaamo.
En los meses posteriores a enterarse del hackeo, Auer solicitó una copia impresa de sus registros a Vastaamo.
Sus notas forman una pila gruesa sobre la mesa mientras me cuenta lo que pasó.
A pesar de que sus historiales se filtraron hace más de cinco años, las pacientes de Vastaamo siguen siendo victimizadas. Alguien incluso construyó un buscador que permite encontrar registros en la dark web solo escribiendo el nombre de una persona.
Auer acepta compartir conmigo algunas de sus notas de terapia filtradas.
"La paciente está principalmente enfadada, impulsiva, amargada", dice, leyendo algunas de las primeras notas que su terapeuta escribió sobre sus sesiones. "La paciente relata su pasado de manera desorganizada. Hay cierta dificultad interpersonal que proviene de su carácter débil, típico de su edad".
Cuando las leyó por primera vez quedó destrozada, dice Auer. "Me dolió cómo me había descrito. Me hizo sentir pena por la persona que había sido".
Dice que la filtración de datos ha erosionado la confianza de los pacientes. "Hay mucha gente que era cliente de Vastaamo, que había ido a terapia durante años, pero que ahora nunca volverá a reservar otra sesión".
La abogada que representa a las víctimas de Vastaamo en un caso civil contra el hacker me ha dicho que sabe de al menos dos casos de personas que se quitaron la vida después de saber que sus notas de terapia habían sido robadas.
Auer decidió enfrentar sus miedos de frente. Publicó en redes sociales sobre el hackeo, dejando que todos supieran que ella había sido una de las víctimas.
"Fue mucho más fácil para mí saber que todos los que me conocían ya lo sabían", dice. Habló con su familia sobre lo que había en sus registros filtrados, incluida la relación secreta que nunca les había contado. "La gente fue muy comprensiva".
Finalmente, eligió recuperar el control de su historia publicando un libro sobre sus experiencias. El título, traducido libremente, es Todo el Mundo Se Entera.
"Lo transformé en una narrativa. Al menos puedo contar mi versión de la historia —la que no es visible en los historiales médicos".
Auer ha llegado a aceptar que sus secretos siempre estarán ahí fuera.
"Para mi propio bienestar, es mejor nó pensar en ello".