Na początku listopada lekarze jednego z większych polskich szpitali nie mogli wystawiać skierowań na badania, recept, nie widzieli też wyników badań pacjentów. Placówka została zhakowana. Dyrekcja podjęła decyzję o zawieszeniu całego systemu, tak aby chronić dane pacjentów. - W efekcie wszyscy musieli przejść na system papierowy, co blokowało część pracy szpitala - mówi Adam Czerwiński, rzecznik Instytutu Centrum Matki Polki. Wysłać kogoś z listą zleconych badań było możliwe, trudniej odczytać wyniki. Zwykle są wpisywane do systemu, a lekarz po chwili widzi je w swoim komputerze. W przypadku diagnostyki obrazowej analogowo trzeba było sięgnąć po płyty CD, jednak nie wszystkie komputery mają odpowiednie wejście. Szpital - po ataku - zdecydował się na zbudowanie nowej sieci, co potrwało kilka tygodni. W tym czasie planowe hospitalizacje były przesuwane. - Porodów i innych nagłych sytuacji oczywiście nie mogliśmy odłożyć - dodaje Czerwiński.
Zagrożone dane pacjentów
Czy dane pacjentów mogły być wykradzione? Szpital mówi otwarcie, że taka możliwość istnieje. Czy do tego doszło - nie wiadomo. Sprawą zajmują się służby specjalne.
Dyrekcja nie chce też mówić, czy autorzy ataku zażądali okupu. Według ekspertów, jeżeli doszło do zhakowania przy pomocy oprogramowania ransomware, które polega na szyfrowaniu danych lub systemów, często dzieje się to z myślą o okupie.
Tak było podczas ataku na Lotnicze Pogotowie Ratunkowe, kiedy hakerzy zażądali 1,5 mln zł. Jak informuje nas Justyna Sochacka, rzeczniczka LPR, okupu nie zapłacono, wybudowano nowy system. Na razie reperkusji w postaci pacjentów skarżących się na skradzione dane nie ma - ale taka możliwość istnieje. Zaraz po ataku LPR ostrzegało, że zachodzi uzasadnione podejrzenie, że mogło dojść do naruszenia ochrony danych osobowych (utraty, nieuprawnionego ujawnienia, nieuprawnionego dostępu) przetwarzanych przez LPR. Wśród skopiowanych zasobów mogły znajdować się dane osobowe pochodzące z różnych źródeł (dane z systemu finansowo-księgowego oraz karty medyczne), w tym imiona i nazwiska osób, adresy miejsc zamieszkania, poczty elektronicznej, numery PESEL, telefonów, dowodów osobistych, informacje o udzielonej pomocy medycznej, okolicznościach wypadków.
Podszywanie się
Ile dokładnie było ataków, trudno policzyć - Ministerstwo Cyfryzacji informuje nas, że w 2022 r. zespół reagowania w NASK (Naukowa i Akademicka Sieć Komputerowa, instytut badawczy nadzorowany przez kancelarię premiera) zarejestrował 43 incydenty bezpieczeństwa w sektorze ochrony zdrowia. Z czym były związane? Głównie z wysyłaniem e-maili z plikiem zainfekowanym szkodliwym oprogramowaniem oraz otrzymaniem wiadomości e-mail podszywającej się pod osoby decyzyjne w szpitalach i nakłanianie do przelania pieniędzy. - Ten rodzaj incydentów stanowił ponad 50 proc. wszystkich zarejestrowanych. Podane incydenty nie wpłynęły w sposób istotny na ciągłość działania placówek. Wiązały się jednak z wydatkami na pilny zakup urządzeń i systemów bezpieczeństwa oraz z opóźnieniami w rozliczaniu świadczeń z NFZ - mówi Monika Dębkowska z kancelarii premiera z pionu odpowiedzialnego za cyfryzację.
