Datalekken ontstaan vaak door gecompromitteerde inloggegevens, kwetsbare medische applicaties, verkeerd geconfigureerde cloudservices of onbevoegde toegang. In dergelijke gevallen worden medische gegevens en patiëntinformatie blootgesteld of geëxfiltreerd, met juridische gevolgen, verlies van vertrouwen en reputatieschade als gevolg.

Social engineering houdt in dat medisch personeel, administratief personeel of partners worden gemanipuleerd via phishing, vishing, smishing of gecompromitteerde institutionele e-mailaccounts om toegangsgegevens te bemachtigen, malware te introduceren of betalingen om te leiden.

Aanvallers kunnen zich voordoen als zorginstanties, aanbieders van medische diensten, nationale ziektekostenverzekeraars of leidinggevenden en maken daarbij misbruik van interne goedkeuringsprocessen en de omstandigheden van werken op afstand.

Ransomware en malware worden gebruikt om systemen te versleutelen, gegevens te onttrekken en de bedrijfsvoering te verstoren. Aanvallen maken steeds vaker gebruik van 'dubbele afpersing', waarbij gegevensdiefstal wordt gecombineerd met systeemverstoring en in sommige gevallen DDoS-aanvallen.

In veel gevallen blijven aanvallers enige tijd in de infrastructuur aanwezig voordat ze de aanval uitvoeren, waarbij ze kritieke systemen en back-ups in kaart brengen. De tijd tot uitrol is aanzienlijk afgenomen en bedraagt gemiddeld ongeveer 24 uur.

Ransomware-aanvallen hebben direct impact op klinische systemen (HIS, EHR, EMR), waar onbeschikbaarheid van systemen meteen gevolgen heeft voor de medische werkzaamheden en de toegang tot essentiële patiëntgegevens. Ongeveer 92% van de Europese gevallen omvat zowel bestandsversleuteling als data-exfiltratie.

Bij aanvallen op de toeleveringsketen worden medische applicaties van derden, IT-dienstverleners of uitbestede processen gecompromitteerd om indirect toegang te krijgen tot ziekenhuizen en klinieken.

Aanvallers misbruiken hulpmiddelen voor beheer op afstand, software-updates, cloudservices of kanalen voor de uitwisseling van medische gegevens om beveiligingsmaatregelen te omzeilen en legitieme toegang tot het netwerk te verkrijgen.

Diefstal van inloggegevens gebeurt vaak via valse meldingen die communicatie van ziekenhuizen of nationale gezondheidsinstanties nabootsen, met als doel inloggegevens te onderscheppen.

Aanvallen omvatten ook doorverwijzingen via QR-codes naar kwaadaardige pagina's en het gebruik van informatiestelers (bijv. RedLine, Vidar) om automatisch inloggegevens te verzamelen. Ook neemt het aantal gecompromitteerde zorginloggegevens dat online wordt verkocht toe, waaronder VPN- of RDP-toegang tot ziekenhuisnetwerken.

Een cyberaanval op AZ Monica Hospital leidde tot uitval van IT-systemen en beperkte medische activiteit.

Meer dan 70 operaties werden geannuleerd en patiënten werden overgebracht naar andere instellingen. Toegang tot elektronische medische dossiers was niet beschikbaar en het herstel duurde ongeveer een maand. Deze casus laat de directe impact van systeemuitval op medische processen zien.

Een ransomware-aanval op Synnovis, een laboratoriumdienstverlener voor NHS-ziekenhuizen in Londen, had directe impact op de diagnostische capaciteit van meerdere medische eenheden.

Meer dan 1.100 ingrepen werden geannuleerd en de verwerkingscapaciteit van de laboratoria daalde aanzienlijk. Tegelijkertijd werd ongeveer 400 GB aan medische gegevens geëxfiltreerd en gepubliceerd, en het volledige herstel van de systemen werd geraamd op meer dan 17 maanden.

Een ransomware-aanval gericht op het HIS Hipocrate-platform trof meerdere medische instellingen in Roemenië en verspreidde zich snel door het ontbreken van segmentatie.

In 26 ziekenhuizen werden gegevens versleuteld, terwijl meer dan 100 instellingen uit voorzorg werden losgekoppeld. In sommige gevallen ging de medische activiteit tijdelijk terug naar handmatige processen. Het losgeld (~3,5 BTC) werd niet betaald. Het incident laat zien hoe het ontbreken van segmentatie een snelle verspreiding over meerdere organisaties mogelijk maakt.

Een cyberaanval op Change Healthcare trof meer dan 100 miljoen personen en verstoorde kritieke processen zoals facturering en farmaceutische toeleveringsketens. De eerste toegang werd verkregen via gecompromitteerde inloggegevens, waarmee het het grootste datalek in de geschiedenis van de zorg werd.

Tussen 2023 en 2024 waren verschillende ziekenhuizen in Europa, waaronder in Denemarken, Duitsland en Nederland, het doelwit van gecoördineerde DDoS-aanvallen die werden gelinkt aan prorussische groepen zoals Killnet.

Bij deze aanvallen was geen sprake van compromittering van systemen of exfiltratie van gegevens, maar ze troffen de beschikbaarheid van digitale diensten, waaronder onlineplatforms die door patiënten en personeel worden gebruikt.

Uiteindelijk is cyberbeveiliging alleen effectief wanneer technologie, processen en de menselijke factor geïntegreerd samenwerken. Regelmatige training, simulaties van phishingaanvallen en risicobewustzijn spelen een beslissende rol bij het verkleinen van het aanvalsoppervlak.

Expertware organiseert in samenwerking met de Nationale Directie voor Cyberbeveiliging (DNSC) regelmatig webinars gericht op risicobewustzijn in uiteenlopende sectoren, waarvan de meest recente de gezondheidszorg betrof. De presentatie vindt u hier.