Ransomwarový útok zasáhl samotné srdce nizozemských zdravotních záznamů

Závažný ransomwarový útok na ChipSoft, jednoho z nejrozšířenějších poskytovatelů softwaru pro elektronické zdravotní záznamy v Nizozemsku, otřásl nizozemským zdravotnickým sektorem. Nejméně tucet nemocnic již podalo oznámení nizozemskému Úřadu pro ochranu osobních údajů (AP) a vyšetřovatelé stále pracují na zjištění plného rozsahu úniku dat.

Rozsah potenciálního ohrožení je značný. Platforma HiX společnosti ChipSoft je využívána přibližně 70 % nizozemských nemocnic ke správě elektronických zdravotních záznamů. To znamená, že jediný útok na jednoho softwarového dodavatele může mít vlnový efekt napříč většinou nemocniční sítě v zemi a potenciálně ohrozit osobní a zdravotní data milionů pacientů.

Která data mohou být ohrožena

Elektronické zdravotní záznamy obsahují jedny z nejcitlivějších osobních informací, jaké existují: diagnózy, záznamy o léčbě, podrobnosti o medikaci, identifikační čísla a kontaktní údaje. Když ransomware pronikne do systému, který nakládá s tímto druhem dat, rizika přesahují pouhé dočasné narušení provozu.

Vyšetřování se v současné době zaměřuje na to, zda byl během útoku zachycen datový provoz. To je klíčová otázka. Ransomware nejen zamyká systémy a požaduje výkupné; útočníci stále častěji exfiltrují data před šifrováním nebo během něj, čímž získávají páku pro schémata dvojího vydírání. Pokud byla data zachycena při přenosu, mohlo to znamenat, že záznamy byly zkopírovány a zcela odstraněny ze zabezpečených prostředí.

Nemocnice, které spoléhají na software ChipSoft, se nyní ocitají v obtížné situaci, kdy musí informovat regulační orgány a zároveň se pokoušejí zjistit, co případně bylo odcizeno. Podle evropského nařízení GDPR musí organizace nahlásit úniky dat dozorčím orgánům do 72 hodin od jejich zjištění a v závislosti na závažnosti rizika mohou být povinny informovat i dotčené osoby.

Proč je zdravotnictví hlavním cílem ransomwarových útoků

Zdravotnický sektor se celosvětově stal jedním z nejčastěji napadaných odvětví ransomwarovými útoky. Existuje pro to několik důvodů. Zdravotní záznamy mají na podzemních trzích vysokou hodnotu, protože obsahují bohatou kombinaci osobních a finančních informací. Nemocnice také fungují pod intenzivním tlakem udržet systémy v provozu, což je může činit ochotnějšími rychle zaplatit výkupné a obnovit přístup.

Útoky na dodavatelský řetězec softwaru, při nichž zločinci cílí na dodavatele využívaného mnoha organizacemi místo toho, aby útočili na každou organizaci zvlášť, výrazně násobí potenciální škody. Prolomením jedné společnosti, jako je ChipSoft, získají útočníci oporu, která se rozšiřuje napříč celou sítí zákazníků závislých na daném softwaru. Tento přístup je pro útočníky efektivní a pro zasažené organizace a jednotlivce devastující.

Nizozemsko není ojedinělým případem. Poskytovatelé zdravotní péče napříč Evropou i Severní Amerikou čelili v posledních letech podobným incidentům a tento trend nevykazuje žádné známky obratu.

Co to znamená pro vás

Pokud jste pacientem nizozemské nemocnice, která používá platformu HiX společnosti ChipSoft, mohla být vaše zdravotní a osobní data ohrožena. Zvažte následující kroky:

  • Sledujte oznámení. Nemocnice postižené únikem dat jsou povinny informovat pacienty, pokud se jich incident týkal. Sledujte oficiální sdělení od svého poskytovatele zdravotní péče.
  • Buďte ostražití vůči phishingovým pokusům. Po úniku dat útočníci často využívají odcizené informace k vytvoření přesvědčivých phishingových e-mailů nebo telefonátů. Buďte skeptičtí vůči nevyžádanému kontaktu, který se vydává za vaši nemocnici nebo pojišťovnu.
  • Zjistěte svá práva u AP. Podle GDPR máte právo požadovat od organizací informace o tom, jaká data o vás uchovávají a jak jsou zpracovávána. Pokud máte obavy ohledně nakládání s vašimi daty, příslušným orgánem je nizozemský Úřad pro ochranu osobních údajů.
  • Pochopte hranice toho, co můžete ovlivnit. Pokud vaše data uchovává třetí strana, jako je nemocnice nebo její softwarový dodavatel, máte nad jejich zabezpečením omezený přímý vliv. To je o důvod více, proč je zásadní, aby instituce braly své povinnosti v oblasti ochrany dat vážně.

Pro zdravotnické organizace a správce IT je tento únik připomínkou, že řízení rizik dodavatelů má zásadní význam. Spoléhání na jedinou platformu napříč velkou částí národního zdravotního systému vytváří riziko koncentrace. Pravidelné bezpečnostní audity, plánování reakce na incidenty a zajištění šifrování dat při přenosu jsou základními požadavky, nikoli volitelnými doplňky.

Případ ChipSoft je stále vyšetřován a úplný obraz toho, která data byla postižena, může trvat týdny. Pacienti si zaslouží včasnou a transparentní komunikaci od institucí, jimž svěřili své nejcitlivější informace. Regulátoři, nemocnice i poskytovatelé softwaru mají všichni svou roli při zajišťování dodržování tohoto standardu.