AnMed, het non-profit gezondheidssysteem dat het noorden van South Carolina en het noordoosten van Georgia bedient, racet tegen een ransomware-deadline van 72 uur nadat aanvallers belangrijke klinische diensten, telefoonlijnen en interne netwerken platlegden. De verstoring, door AnMed omschreven als een cybersecurity-incident met malware, heeft bijna 80 faciliteiten gedwongen te sluiten of hun activiteiten terug te schroeven, hoewel de spoedeisende hulp tijdens de uitval patiënten is blijven zien.
Volgens berichtgeving over het incident zei een anonieme patiënt dat AnMed 72 uur had om losgeld te betalen of het risico te lopen dat patiëntinformatie openbaar wordt gelekt. Die bewering is niet onafhankelijk bevestigd door AnMed zelf, maar onderstreept de kernzorg die dit verhaal drijft: het gaat niet alleen om het herstellen van telefoonlijnen en planningssystemen. Het gaat erom of gevoelige medische dossiers, factureringsinformatie en persoonlijke gegevens van mogelijk duizenden patiënten online worden blootgesteld.
Wat er bij AnMed is gebeurd
AnMed erkende de verstoring voor het eerst als een externe cyberaanval die interne netwerken en de telefooninfrastructuur van het ziekenhuissysteem platlegde. In de dagen daarna heeft het gezondheidssysteem samengewerkt met federale en staatsinstanties en externe cybersecurity-experts om het incident te onderzoeken en in te dammen. AnMed heeft inmiddels artsenpraktijken heropend, spoedposten beschikbaar gehouden voor inloop en een speciale telefoonlijn voor patiënten gelanceerd zodat mensen medewerkers kunnen bereiken voor afspraken terwijl het bredere systeemonderzoek voortduurt.
Het patroon is bekend voor iedereen die ransomware-incidenten in de zorg heeft gevolgd: aanvallers richten zich specifiek op ziekenhuissystemen omdat de operationele inzet zo hoog is. In tegenstelling tot een retailer of een mediabedrijf kan een ziekenhuis niet simpelweg een uitval uitzitten. Patiënten hebben zorg nodig, dossiers moeten toegankelijk zijn en elk uur downtime creëert druk om de situatie snel op te lossen – precies de hefboom waar ransomwaregroepen op rekenen.
Waarom de 72-uurs deadline ertoe doet
Ransomwaregroepen vertrouwen steeds vaker op een model van dubbele afpersing: ze versleutelen niet alleen gegevens, maar dreigen deze ook openbaar te maken als er geen losgeld wordt betaald. Een korte deadline, in dit geval naar verluidt 72 uur, is bedoeld om maximale druk te leggen op een organisatie die al moet jongleren met patiëntveiligheid, wettelijke verplichtingen en publieke controle tegelijk.
Voor een gezondheidssysteem als AnMed wordt die druk verergerd door het soort gegevens dat op het spel staat. Medische dossiers bevatten meestal socialezekerheidsnummers, verzekeringsgegevens, diagnoses, medicatiegeschiedenis en andere informatie die niet zomaar kan worden gereset zoals een wachtwoord. Als de beweringen van de aanvallers over een lekdeadline kloppen, kan de blootstelling veel verder reiken dan de systemen van AnMed en terechtkomen bij patiënten die niets te zeggen hadden over hoe hun zorgverlener die gegevens beveiligde.
Dit maakt deel uit van een breder patroon waarbij gevoelige persoonlijke gegevens een drukmiddel worden, niet alleen voor criminele ransomwaregroepen maar ook in andere contexten. Debatten over hoeveel toegang autoriteiten of platforms zouden moeten hebben tot persoonlijke informatie, zoals de afwegingen die worden onderzocht in discussies rond KOSA's veiligheidsbelofte en de bijbehorende privacy-afruil, weerspiegelen dezelfde onderliggende spanning: mensen beschermen vereist vaak het verzamelen en bewaren van precies het soort gegevens dat gevaarlijk wordt zodra het in verkeerde handen valt.
Wat dit voor u betekent
Als u een huidige of voormalige patiënt van AnMed bent, is de eerste prioriteit om te letten op officiële communicatie van het gezondheidssysteem over welke gegevens – als die er al zijn – zijn ingezien of blootgesteld. Ziekenhuizen zijn verplicht patiënten te informeren wanneer beschermde gezondheidsinformatie is gecompromitteerd, dus een bevestigd datalek zou uiteindelijk moeten leiden tot een formele melding, samen met advies over kredietbewaking of identiteitsbeschermingsdiensten indien nodig.
Behandel ondertussen alle ongevraagde telefoontjes, sms'jes of e-mails die beweren van AnMed te zijn met voorzichtigheid, vooral als ze u vragen om persoonlijke gegevens te bevestigen, op een link te klikken of een betaling te doen. Oplichters handelen vaak snel na een openbaar gemaakt datalek, in de hoop mensen te pakken die ongerust zijn en op zoek naar updates.
In bredere zin is dit incident een herinnering dat datalekken in de gezondheidszorg gevolgen hebben die de eerste uitval overleven. Zelfs nadat telefoonlijnen zijn hersteld en afspraken worden hervat, kunnen blootgestelde medische en financiële gegevens jarenlang circuleren, wat identiteitsdiefstal, verzekeringsfraude en gerichte phishing voedt lang nadat de krantenkoppen zijn vervaagd.
Actiepunten
Als u zorg ontvangt via AnMed of een ander gezondheidssysteem dat een soortgelijk incident meemaakt, overweeg dan deze stappen:
- Houd officiële communicatie van AnMed en betrouwbare lokale nieuwsberichten in de gaten in plaats van af te gaan op geruchten of ongeverifieerde beweringen op sociale media
- Controleer uw bank- en verzekeringsoverzichten nauwlettend op onbekende afschrijvingen of declaraties in de weken na een datalekmelding
- Overweeg een fraudewaarschuwing of kredietbevriezing als u bevestiging krijgt dat uw socialezekerheidsnummer of financiële gegevens zijn blootgesteld
- Wees sceptisch over ongevraagde berichten die naar het datalek verwijzen en controleer elk verzoek om persoonlijke informatie door rechtstreeks contact op te nemen met AnMed via een bekend telefoonnummer
Ransomware-aanvallen op ziekenhuizen zullen voorlopig niet vertragen, en het AnMed-incident is een duidelijk voorbeeld van waarom patiënten, niet alleen IT-afdelingen, betrokken moeten blijven bij de manier waarop hun zorgverleners gevoelige informatie beschermen en openbaar maken.
