Een bekend draaiboek: eerst stelen, later lekken

Zorgorganisaties worden opnieuw geconfronteerd met de harde realiteit van moderne ransomware-afpersing. Volgens Healthcare IT News is de dataroofgroep ShinyHunters begonnen met het lekken van delen van de 8,8 TB aan data die het beweert te hebben gestolen van One Medical na een aanval op kwetsbare verouderde systemen. Het rapport verwijst ook naar een aparte zaak rond AnMed, waar het gezondheidssysteem naar verluidt 72 uur de tijd kreeg om op de eisen van de aanvallers te reageren – een illustratie van hoe krap de tijdlijnen kunnen zijn zodra een ransomwaregroep contact opneemt.

Wat dit patroon extra zorgwekkend maakt, is de tactiek zelf. In plaats van een beslissing over losgeld af te wachten, beginnen groepen als ShinyHunters vaak al in fases gestolen data te publiceren. Het is een drukmiddel dat slachtoffers moet dwingen snel te betalen, voordat er nog gevoeligere informatie op straat komt te liggen. Voor zorgaanbieders komt daar nog eens de druk bij van wettelijke verplichtingen, zorgen over het vertrouwen van patiënten en de operationele chaos die volgt op een groot datalek.

Waarom oude systemen steeds het toegangspunt worden

De aanval op One Medical maakte naar verluidt misbruik van verouderde systemen – een detail dat iedereen die trends in de cybersecurity van de zorg volgt zorgen zou moeten baren. Oudere infrastructuur beschikt vaak niet over de beveiligingsmaatregelen, patchroutines en monitoring die moderne systemen vereisen, waardoor het een aantrekkelijk doelwit is voor groepen die een weg naar binnen zoeken. Dit is geen nieuw probleem, maar het blijft hardnekkig aanwezig in de hele zorgsector, waar verouderde software soms blijft hangen omdat vervanging duur of operationeel ontwrichtend is.

Dit maakt deel uit van een breder patroon waarin verouderde of ongepatchte systemen de zwakke schakel vormen die aanvallers misbruiken. Ook buiten de zorg kan de hoeveelheid kwetsbaarheden die organisaties moeten beheren overweldigend zijn. Ter illustratie: Microsoft's Patch Tuesday van juli 2026 verhielp in één update 622 fouten, waaronder twee actief misbruikte zero-daylekken – een herinnering aan hoeveel aanvalsoppervlak er bestaat in breed gebruikte software, zelfs wanneer leveranciers actief patchen.

Het afpersingsmodel: gegevensdiefstal zonder versleuteling

Traditionele ransomware-aanvallen gingen vaak gepaard met het versleutelen van bestanden van slachtoffers en het eisen van betaling voor een decryptiesleutel. Groepen als ShinyHunters zijn overgestapt op een ander model: steel de data, dreig deze te lekken en gebruik het lek zelf als hefboom. Deze aanpak kan net zo schadelijk zijn, zo niet schadelijker, omdat het direct overgaat tot het blootstellingsrisico dat slachtoffers het meest vrezen. Zodra patiëntendossiers, factuurgegevens of persoonlijke gezondheidsinformatie openbaar zijn gemaakt, is die blootstelling niet meer terug te draaien.

Voor patiënten is deze verschuiving van belang omdat het betekent dat een inbreuk niet per se een systeemstoring hoeft te veroorzaken om ernstig te zijn. Data kan stilletjes worden weggesluisd uit verouderde systemen lang voordat iemand het merkt, en tegen de tijd dat een lek begint, hebben organisaties de controle over die informatie al verloren.

Wat dit voor u betekent

Als u patiënt bent bij een zorgaanbieder die door een dergelijk incident is getroffen, zijn er een paar feiten die de moeite van het begrijpen waard zijn. Ten eerste is zorgdata juist zo'n gewild doelwit omdat het veelomvattend is: namen, verzekeringsgegevens, medische voorgeschiedenis en soms betalingsinformatie allemaal op één plek. Ten tweede ligt de tijdlijn van een lek vaak buiten uw controle en ook buiten de controle van de zorgaanbieder zodra aanvallers beweren data te hebben gestolen.

Dat betekent niet dat u machteloos bent. Patiënten die te maken krijgen met lekken zoals het One Medical-incident moeten alert zijn op officiële meldingen van datalekken, hun verzekeringsoverzichten en medische nota's controleren op onbekende activiteit en, indien aangeboden, kredietmonitoring overwegen. Wees ook voorzichtig met phishingpogingen die op een lek kunnen volgen, aangezien aanvallers gestolen data soms gebruiken om overtuigende vervolgoplichting op te zetten.

Op privacygebied voeden incidenten als dit ook de bredere discussie over hoeveel persoonsgegevens organisaties – of het nu om zorg gaat of niet – worden geacht te beschermen. Communicatietools die encryptie vooropstellen, zoals Tuta, weerspiegelen een groeiende interesse in het verminderen van de afhankelijkheid van gecentraliseerde systemen die single points of failure kunnen worden. Op dezelfde manier zoeken alledaagse gebruikers naar manieren om hun eigen blootstelling te verkleinen, waarbij sommigen kiezen voor gebundelde beveiligingstools; de stap van NordVPN om ingebouwde antivirusbescherming toe te voegen illustreert bijvoorbeeld een bredere trend waarbij consumenten gelaagde beveiliging verkiezen boven één enkele waarborg.

Actiepunten

Als u denkt mogelijk getroffen te zijn door een datalek in de zorg, zoals het One Medical-incident:

  • Let op officiële kennisgevingsbrieven of e-mails van de aanbieder en controleer de echtheid voordat u op links klikt.
  • Controleer de toelichtingen bij uw zorgverzekering en medische rekeningen op onbekende kosten.
  • Overweeg een fraudemelding of kredietbevriezing als er financiële of identiteitsgegevens bij betrokken zijn.
  • Wees sceptisch over ongevraagde telefoontjes of e-mails die naar uw medische geschiedenis verwijzen; dit kunnen phishingpogingen zijn.
  • Vraag uw zorgverlener rechtstreeks welke gegevens erbij betrokken waren en welke herstelmaatregelen zij nemen.

Ransomware- en afpersingsaanvallen op zorginstellingen nemen niet af, en de verschuiving naar datalekken als pressiemiddel betekent dat patiënten alert moeten blijven, ook nadat de eerste krantenkoppen zijn verdwenen. Op de hoogte blijven, communicatie verifiëren en uw accounts controleren blijven op dit moment de meest praktische verdediging die voorhanden is.