2020. gada oktobrī aptuveni 30 000 cilvēku Somijā saņēma vienu un to pašu e-pastu. Tajā bija teikts: mums ir jūsu psihoterapijas piezīmes. Samaksājiet 200 eiro Bitcoin 24 stundu laikā, vai summa pieaugs līdz 500 eiro, un pēc tam mēs tās publicēsim. Pielikumā kā pierādījums bija viņu pašu vārdi - lietas, ko cilvēki saka terapeitam un nevienam citam.
Avots bija Vastaamo - viens no Somijas lielākajiem privātajiem psihoterapijas pakalpojumu sniedzējiem. Uzbrucēji tā sistēmās atradās jau kopš 2018. gada. Pacientu datubāze nebija šifrēta; sistēmas saknes kontam nebija paroles. Tika atklāti 36 000 pacientu dati. Vismaz 300 cilvēku sesiju piezīmes tika publicētas Tor tīklā - pašnāvības mēģinājumi, neuzticība, vardarbība, piesaistīti reāliem vārdiem. Uzņēmums bankrotēja. Hakeris saņēma gandrīz septiņu gadu cietumsodu - lielākais kriminālprocess Somijas vēsturē pēc cietušo skaita.
Un izpilddirektors, kura vadībā darbojās nešifrētā datubāze? 2023. gadā viņam tika piemērots nosacīts sods, bet 2025. gada decembrī apelācijas instancē viņš tika pilnībā attaisnots, jo likums tajā laikā skaidri nepieprasīja šifrēšanu. Smagākā garīgās veselības datu katastrofa Eiropas vēsturē radīja vienu ieslodzītu hakeri un nevienu krimināli atbildīgu operatoru. Likums hroniski atpaliek no nodarītā kaitējuma. Atcerieties to - vēlāk tas būs svarīgi.
Mācība, ko nozare guva: garīgās veselības datu noplūde nav krāpšanas gadījums. Tā ir masveida, mērķēta izspiešana pret sabiedrības visneaizsargātākajiem cilvēkiem, un kaitējumu rada viena lieta - reālas identitātes sasaistīšana ar intīmu saturu. Nozagta bankas karte ir aizvietojama. Frāze “mani septiņu gadu vecumā ļaunprātīgi izmantoja”, kas pievienota tavam vārdam, nav.
Puse no mācības, kuru neviens nepaturēja prātā
Pēc Vastaamo visi nostiprināja datu glabāšanu. Šifrēšana glabāšanas laikā. Pseidonimizācija. Pilnīga gala–gala šifrēšana, lai nozagta datubāze būtu tikai nesalasāmu datu juceklis. Viss pareizi. Viss nepieciešams. Taču tas atbild tikai uz vienu jautājumu: kā mēs novēršam, ka kāds ielaužas SISTĒMĀ un nozog piezīmes?
Tiešsaistes terapijas uzplaukums klusi radīja otru jautājumu, kuru gandrīz neviens neuzdod: kā klients zina, ka persona, kurai viņš izstāsta savu dziļāko būtību, patiešām ir tas, par ko uzdodas - vai vispār ir kvalificēta? Var uzbūvēt perfekti noslēgtu seifu un vienlaikus atdot atslēgu svešiniekam pie durvīm.
“Kā vispār ir likumīgi, ka jebkurš cilvēks sevi sauc par terapeitu?”
Uz papīra - tā nav. Latvijā “psihologs” ir juridiski aizsargāts profesijas nosaukums - nepieciešams akreditēts maģistra grāds, ieraksts valsts Psihologu reģistrā un profesionālās darbības sertifikāts. “Psihoterapeits” ir medicīnas specialitāte, kas paredzēta tikai ārstiem. Reģistrs ir publisks un bez maksas pieejams vietnē viis.gov.lv. Ikviens dažu sekunžu laikā var pārbaudīt jebkuru speciālistu.
Praksē šī aizsardzība izzūd trīs nepilnību dēļ: juridiskais pienākums attiecas uz individuālo speciālistu, nevis platformu - neviens likums neliek platformai pārbaudīt savus sludinājumus; psihologu likumā nav soda nodaļas, tādēļ uzraudzība notiek pēc sūdzībām un tikai pēc pārkāpuma; un, ja operators atrodas ārvalstīs, neviens regulators nepārrauga “ieejas durvis”. Vienīgais pierādījums, kas apliecina likumību - reģistra numurs - ir publisks, bezmaksas un vienkārši netiek parādīts. Pārbaude nav dārga. Tā tiek ignorēta.
Trīs neveiksmes scenāriji
Nekvalificētais speciālists. Pašpasludināts koučs bez klīniskas izglītības uzņemas klientu ar pašnāvnieciskām domām. Nav uzraudzības, nav profesionālās civiltiesiskās apdrošināšanas, pret ko vērsties. Ja platformas krīzes norādes novirza uz nepareizas valsts neatliekamās palīdzības numuru, cilvēks akūtā brīdī zvana uz līniju, kas neatbild.
Uzdevējs par citu personu. Kāds izveido profilu ar īsta psihologa vārdu un nejauši iegūtu fotogrāfiju. Nav redzams reģistrācijas numurs, nav veikta identitātes pārbaude - klientam nav nekā, ar ko salīdzināt.
Plēsējs. Vastaamo gadījumā uzbrucējam bija jāuzlauž datubāze, lai iegūtu intīmu informāciju. Viltus terapeitam tā tiek uzticēta brīvprātīgi, reālajā laikā, iesaiņota upura pilnīgā uzticībā - bez ielaušanās, bez šifrēšanas apiešanas, bez trauksmes signāla. No šādas pozīcijas iespējama manipulācija, emocionāla piesaiste, izspiešana, finanšu krāpšana vai klusa tāda paša identitātes–satura profila veidošana, kas padarīja Vastaamo katastrofu tik postošu.
Tas ir Vastaamo bez uzlaušanas - un platformas dizains pats ieliek uzbrucēju terapeita krēslā. Vastaamo bija sienu problēma. Šī ir durvju problēma. Atvērtām durvīm nav vajadzīgs zaglis. Pietiek ar kādu, kurš vienkārši ieiet.
Tas nav hipotētiski
2026. gada jūlijā mēs veicām auditu aktīvai Baltijas tiešsaistes terapijas platformai: Pasaki.lv - Latvijas zīmolam, ko pārvalda Lietuvas uzņēmums, izmantojot programmatūru, kas licencēta no Kanādas uzņēmuma. Audita laikā tika konstatēts:
- Speciālistu datu modelī nav lauka licencei, reģistrācijas numuram vai diplomam - tas ne tikai neparāda kvalifikācijas datus, bet tos vispār neuzglabā.
- Visi 61 speciālista profili ir izveidoti tikai ar vārdu, un katrs pats sev piešķir aizsargāto profesionālo nosaukumu “psihologs”, nepiedāvājot neko, ar ko šo apgalvojumu pārbaudīt.
- Netiek izmantots bezmaksas publiskais valsts reģistrs, kas ļautu apstiprināt katra speciālista statusu.
- Norādītais datu pārzinis ir uzņēmums citā kontinentā; krīzes atruna norāda uz ārvalstu neatliekamās palīdzības numuru, nevis 112.
- Lietotāja kontā pieejamās, ar veselības stāvokli saistītu informāciju atklājošās lapās darbojas reklāmas izsekošanas rīki bez jebkāda piekrišanas mehānisma.
Visas iepriekš aprakstīto neveiksmju pazīmes ir iebūvētas jau pēc konstrukcijas produktā, kas šodien pieņem reālus maksājumus no reāliem cilvēkiem krīzes situācijās. Tas nav teorētisks scenārijs. Tā ir dizaina izvēle, kas jau ir ieviesta praksē.
Pilns audits ar avotiem ir pieejams tīmekļa versijā.
Ko patiesībā maksā pārbaude
Neko būtisku. Reģistra pārbaude ir bezmaksas meklējums. eID identitātes pārbaude ir jau atrisināta tehnoloģiska integrācija. Reģistrācijas numura parādīšana ir datubāzes lauks un viena lietotāja saskarnes rindiņa.
Uber pārbauda savus autovadītājus. Airbnb pārbauda identitātes. Banka veic KYC (klienta izpētes) procedūras pirms tā glabā jūsu naudu.
Platforma, kas glabā visneaizsargātāko cilvēku tumšākos personiskos atklājumus un nostāda svešinieku viņiem pretī, pārbauda tikai vārdu.
Jo sensitīvākas ir attiecības, jo mazāk pārbaudes notiek. Tieši šī pretruna ir visa stāsta būtība.
Mūsu pašu standarts, kas ir publiski pieejams
Mēs veidojam Stoaa - garīgās veselības regulācijas lietotni, kas pašlaik atrodas TestFlight posmā, lai vienlaikus īstenotu abas Vastaamo mācības: aizsargātu piezīmes un pārbaudītu svešinieku.
Tā kā mēs esam gatavi publicēt šo rakstu, mēs publicējam arī savu standartu - tostarp godīgu robežu starp to, kas jau darbojas šodien, un to, ko mēs vēl tikai izstrādājam.
Jau ieviests šodien:
- lokāla datu apstrāde pēc noklusējuma (domu pieraksti un krīzes kontakti nekad netiek sinhronizēti);
- nulles trešo pušu izsekošana;
- pseidonīma identitāte pēc dizaina;
- GDPR 9. panta piekrišanas mehānisms;
- datu glabāšana Eiropas Savienībā.
Apņemts un izstrādes procesā:
- gala–gala aizsardzība, lai nozagta datubāze atklātu tikai šifrētu tekstu;
- identitātes nošķiršana ierīcē, kas pārrauj saikni starp personu un saturu;
- datu noplūdes ierobežošana katra speciālista līmenī;
- profesionāļa pārbaude ar reģistra un eID palīdzību, kamēr pacients paliek anonīms.
Un noteikums, kas padara pārējo ticamu: mēs nekad nesakām “anonimizēts” vai “neuzlaužams”. Mēs skaidri norādam, ko sliktākajā gadījumā joprojām varētu atklāt kompromitēta sistēma - jo platformas, kas pārspīlē savas drošības īpašības, bieži vien nonāk ziņu virsrakstos tieši šo apgalvojumu dēļ.
Asimetrija problēmas centrā
Terapija ir vienīgās attiecības, kurās klientam ir vismazāk iespēju pārbaudīt pakalpojuma sniedzēju. Cilvēks ierodas emocionāli atklāts, bieži krīzes situācijā, bez zināšanām, lai novērtētu, vai persona otrā pusē ir kompetenta - vai vispār īsta.
Visos citos tirgos pircējs var pārbaudīt preci. Šajā tirgū sistēma pēc būtības to neļauj.
Tieši tāpēc sistēmai pašai ir jāveic pārbaude. Kad platforma šo pienākumu uzliek lietotājam - “reģistrs ir publisks, pārbaudiet pats” - tā visneaizsargātākajai darījuma pusei uztic vienīgo uzdevumu, kuru tā vismazāk spēj droši izpildīt, un nosauc to par piekrišanu.
Vastaamo pierādīja, ka mēs vairs nevaram atstāt terapijas pierakstus nešifrētus. Nākamais gadījums pierādīs, ka mēs nevaram atstāt durvis neaizslēgtas.
Šifrējiet sarunu un pārbaudiet svešinieku - jo terapeits, kuru jūs nevarat pārbaudīt, nav pakalpojums. Tā ir datu noplūde, kas vēl nav sevi pieteikusi.
Atruna
Šo gadījuma pētījumu sagatavoja SerpCtrl komanda, izmantojot publiski pieejamu informāciju - tostarp publiskus tiesu dokumentus un publikācijas par Vastaamo datu noplūdi, Somijas un Latvijas tiesību aktiem, kā arī publisko Psihologu reģistru (viis.gov.lv) - kopā ar pasīvu, tikai lasīšanas režīmā veiktu Pasaki.lv platformas pārbaudi, kas atspoguļo tās tehnisko un satura stāvokli 2026. gada 10. jūlijā.
Šī pārbaude izmantoja tikai publiski pieejamas lapas un standarta autorizētu lietotāja sesiju; tā neietvēra nekādu aktīvu izmantošanu, mēģinājumus piekļūt citu lietotāju datiem vai drošības testēšanu ārpus pasīvas novērošanas.
Atbalstošie ekrānuzņēmumi un ieraksti, kas pamato šajā rakstā izteiktos apgalvojumus, tiek saglabāti.
SerpCtrl nav saistības ar Vastaamo, Pasaki.lv, MB “Pasikalbek” vai IheerU Digital Solutions Inc.
SerpCtrl izstrādā arī Stoaa - garīgās veselības lietotni, kas minēta šajā rakstā, un tādēļ tai ir komerciāla interese šajā jomā; mēs to atklāti norādām, nevis cenšamies to slēpt.
Ja šajā publikācijā pamanāt nepilnības vai neprecīzu informāciju, lūdzam par to rakstiski ziņot uz info@serpctrl.lv, un mēs veiksim izmaiņas, ja tās būs pamatotas.