Datainnbrudd i Lørenskog: skaden har skjedd, hva nå?

Publisert: 2026-10-12 NO
Emner: lørenskog vastaamo datainnbrudd personvern informasjonssikkerhet utpressing psykisk-helse barnevern kommune

Det fine med historien er at vi kan lære av den. Det betyr ikke at historien er vakker, ei heller at den ender godt. Her er en historie relatert til datainnbruddet i Lørenskog kommune.

Det som kommer etterpå

Her er hva du kan risikere å møte dersom du er blant dem som ligger i de «tapte» 1,8 terabytene med data – eller omtrent 1,3 millioner filer.

Historien vi skal lære av, begynner i Finland. Psykoterapiselskapet Vastaamo ble utsatt for et datainnbrudd i 2018, og høsten 2020 begynte utpressingen. Pasientopplysninger om rundt 33 000 personer var stjålet.

Lørenskog har rundt 50 000 innbyggere. Vi vet ennå ikke hvor mange av dem som er berørt, men kommunen og mediene snakker om flere tusen, og materialet inneholder blant annet pasientjournaler fra psykisk helse og barnevernssaker. Det er samme type opplysninger som i Vastaamo.

Innholdet i filene har også en ubehagelig likhet. Det dreier seg ikke bare om navn og kontaktinformasjon, men om svært sensitive personopplysninger – opplysninger om psykisk helse, familierelasjoner og private forhold som mennesker med god grunn forventer at skal forbli mellom dem og behandleren.

Det er et viktig poeng i denne sammenhengen.

Vastaamo-saken (utpressing) er nå seks år gammel. I 2020 ble det kjent at opplysninger om mer enn 30 000 pasienter var stjålet. Senere retts- og medieomtale har lagt tallet rundt 33 000. I 2020 var kunstig intelligens fortsatt noe de fleste av oss først og fremst forbandt med forskning, selvkjørende biler og science fiction.

Angrepsverktøyene var allerede effektive. Men verktøyene vi har i dag er ikke de samme som i 2020. Jeg tror derfor vi bør være forsiktige med å bruke Vastaamo som et tak på hva som kan skje med Lørenskog-dataene.
Vastaamo viser hva som kunne skje i 2020. Det er ikke nødvendigvis en beskrivelse av hva som kan skje i 2026.
Og når store mengder svært sensitive personopplysninger først er på avveie, er det derfor ikke sikkert at den største risikoen ligger i det som kan gjøres med informasjonen nå. Risikoen ligger også i hva som skjer når informasjonen berikes med data fra sosiale nettverk og åpne kilder, og hva som blir mulig å gjøre med det samlede bildet i morgen, eller om fem eller ti år.

Hva Omtrent Kilde
Pasienter med stjålne journaler 33 000 Yle
Ofre i straffesaken over 21 000 Yle, februar 2024
Tiltalepunkter for forsøk på grov utpressing over 21 000 Yle, mars 2024
Dømt for utpressing der offeret betalte 20 tilfeller Yle, lagmannsretten
Ofre som har søkt statlig erstatning rundt 6 000 Yle, juni 2026
Ofre som inngikk forlik med gjerningsmannen 1 200 Yle, mars 2024
Selvmord etter lekkasjen ukjent; en advokat for ofrene kjenner til tilfeller Yle, mars 2024
Andre konsekvenser (frykt, sykmelding, isolasjon) ikke registrert se under

NB Tallene bør leses som størrelsesordener, ikke som et komplett skadeomfang. Fravær av dokumentasjon er ikke det samme som fravær av hendelser.

Om betalingene

Vi vet at det gikk betalinger til hackerens bitcoin-lommebok. Det er imidlertid uklart hvor mange det var, og om alle kom fra ofrene.

Det er derfor viktig å skille mellom observerte betalinger og antall ofre som betalte. Det første kan vi telle; det andre vet vi ikke.

Vi vet også at utpressingen var omfattende. I den senere straffesaken ble det reist over 21 000 tiltalepunkter for forsøk på grov utpressing. Gjerningsmannen ble i tillegg dømt for 20 tilfeller der utpressingen faktisk førte til betaling.

Om selvmord og selvmordsforsøk

Her er tallene om mulig enda vagere.

Under rettssaken opplyste advokat Jenni Raiskio, som representerte ofre, at hun hadde blitt kontaktet av personer hvis pårørende hadde tatt livet sitt etter at pasientopplysningene ble stjålet og publisert. Hun fortalte også at andre ofre hadde vurdert selvmord etter lekkasjen.

Det betyr ikke at vi kan slå fast at lekkasjen var årsaken i de enkelte tilfellene. Det betyr heller ikke at dette er et komplett tall. Det er rapporterte tilfeller fra en advokat som representerte rundt 1 500 ofre.

Jeg har heller ikke funnet en samlet offentlig undersøkelse av langtidsvirkningene for denne gruppen. Det er mulig at forskning på traumeoppfølging etter andre store katastrofer kan gi et bedre grunnlag for å forstå slike langtidsvirkninger. Men det vil være en sammenligning, ikke dokumentasjon av hva som faktisk skjedde med Vastaamo-ofrene.

Det er nettopp dette som gjør tallene vanskelige å bruke: Vi har ganske gode tall på hvor mange filer som ble stjålet. Vi har langt dårligere tall på hva tyveriet gjorde med menneskene filene handlet om.

Andre dokumenterte konsekvenser

Det finnes likevel en rekke beskrivelser av konkrete konsekvenser for ofrene:

  • sykmelding og sosial isolasjon; enkelte ofre har fortalt at de sluttet å gå ut eller tok fri fra arbeid
  • frykt for at arbeidsgivere, familie og bekjente skulle få tilgang til journalopplysningene
  • frykt for identitetstyveri og behov for å beskytte personnummer og andre identifikasjonsopplysninger
  • angst, skam og mistillit til helsevesenet
  • personer som ikke lenger ønsket å oppsøke psykoterapi
  • videre spredning av journalopplysninger på nettet, også etter at det opprinnelige innbruddet var kjent
  • over 21 000 ofre i straffesaken; rundt 6 000 har søkt statlig erstatning, og 1 200 inngikk forlik med gjerningsmannen.

Erstatningssystemet gir også et bilde av hvor vanskelig det er å sette en verdi på skaden. Statens erstatningsordning vurderte i utgangspunktet erstatningene til rundt 500–1 500 euro, avhengig av hvilken type opplysninger som var eksponert. I juni 2026 økte finsk forsikringsdomstol erstatningene i 11 saker, til 1 000–2 000 euro.

Det er verdt å merke seg hva disse summene faktisk forsøker å prise: ikke verdien av de stjålne filene, men lidelsen og belastningen som følger av at svært private opplysninger er gjort tilgjengelige for andre.

Vær beredt

Med blikket bakover håper jeg helsevesenet og krisestabene allerede har klare veiledere og kapasitet for det som kan møte ofrene nå. Ikke selve datainnbruddet, men for det som kommer etterpå.

Utpressingskrav:

Vastaamo viser at titusenvis av enkeltpersoner kan bli direkte mål for utpressing. I dag finnes det langt bedre verktøy for å søke i, sammenstille og korrelere store datamengder enn i 2020. Det gjør det mulig å automatisere en type målretting som tidligere krevde betydelig manuelt arbeid.

Betalinger:

Vi vet at det i Vastaamo-saken ble gjort betalinger til bitcoin-adresser knyttet til utpressingen. Gjerningsmannen er dømt for 20 tilfeller der offeret betalte, men hvor mange som faktisk betalte, er fortsatt uklart.

Personlig målretting:

Det mest alvorlige er kanskje ikke at noen kan finne en fil. Det er at informasjon fra mange filer kan sammenstilles. Familieforhold, navn, adresser, økonomi, helseopplysninger og andre identifikatorer kan i prinsippet settes sammen til et langt mer presist bilde av et menneske enn den enkelte journalen alene gir.

Selvmord og alvorlige psykiske reaksjoner:

Vastaamo-saken dokumenterer at ofre og deres pårørende rapporterte svært alvorlige reaksjoner, inkludert selvmord og selvmordstanker. Vi vet ikke hvor stort dette omfanget faktisk var. Nettopp derfor bør det ikke komme som en overraskelse dersom også Lørenskog-saken får konsekvenser som ikke lar seg fange i statistikken.

Arbeidstap og andre sosiale konsekvenser:

Vi har dokumenterte enkelthistorier om sykmelding, isolasjon og frykt for at opplysningene skal bli kjent. Vi har derimot ikke et samlet tall på hvor mange som fikk problemer i arbeidsliv, familie eller sosialt liv.

Det er kanskje den viktigste lærdommen fra Vastaamo.

Vi vet hvordan vi teller filer. Vi vet hvordan vi teller berørte personer. Vi er langt dårligere til å telle hva som skjer med menneskene etterpå.

En liten betraktning på tampen

Utpressing er også en økonomisk øvelse.

I Vastaamo-saken fikk over 20 000 personer krav om å betale 200 euro innen 24 timer, eller 500 euro innen 48 timer. Det tilsvarer en potensiell kravmasse på mellom fire og ti millioner euro. Gjerningsmannen ble dømt for 20 tilfeller der offeret betalte.

Det interessante er derfor ikke bare hvor mye hver enkelt kan bli presset for. Det er hvor liten andel av ofrene som trenger å betale før masseutpressing blir lønnsomt.

Med for eksempel 30 000 berørte personer ville et tilsvarende krav på 200–500 euro representere en teoretisk kravmasse på 6–15 millioner euro. Det er ikke en prognose for Lørenskog, men det illustrerer hvorfor store datamengder kan ha en annen verdi for en angriper enn den har for virksomheten som mistet dem.

Om arbeidsprosessen

Artikkelen bygger på egne observasjoner, erfaringer og undersøkelser. Jeg har selv valgt problemstilling, kilder og sammenlikningsgrunnlag, og utarbeidet analysen og tabellene. KI er brukt som redaksjonelt hjelpemiddel til blant annet språkvask, rettskriving, oversettelse og sammenstilling av kildemateriale.