Κυβερνοεπιθέσεις σε νοσοκομεία: Είναι θωρακισμένο το ΕΣΥ;

Οι κυβερνοεπιθέσεις στον χώρο της Υγείας έχουν εξελιχθεί σε σοβαρή απειλή για τα ευρωπαϊκά νοσοκομεία, με περιστατικά που έχουν οδηγήσει σε ακυρώσεις χειρουργείων και χιλιάδων ραντεβού, αλλά και σε αδυναμία πρόσβασης στους φακέλους ασθενών.

Μόλις, χθες, Τετάρτη, στόχος κυβερνοεπίθεσης έγιναν συστήματα ψύξης που χρησιμοποιεί ο γαλλικός οργανισμός αιμοδοσίας Établissement Français du Sang (EFS), με τους δράστες να φέρονται να άλλαξαν εξ αποστάσεως τις ρυθμίσεις θερμοκρασίας από περίπου -30°C στους 110°C, θέτοντας δυνητικά σε κίνδυνο αποθέματα κατεψυγμένου πλάσματος που προορίζονταν για μεταγγίσεις.

Και όπως γίνεται σαφές, δεν είναι πλέον μόνο ζήτημα προστασίας προσωπικών δεδομένων. Μια σοβαρή κυβερνοεπίθεση σε ένα νοσοκομείο μπορεί να θέσει εκτός λειτουργίας κρίσιμα πληροφοριακά συστήματα, να στερήσει από τους γιατρούς την πρόσβαση στους φακέλους των ασθενών, να προκαλέσει προβλήματα στα εργαστήρια και στις διαγνωστικές εξετάσεις και, τελικά, να επηρεάσει άμεσα την παροχή περίθαλψης.

Μέσα σε αυτό το περιβάλλον, η Εθνική Αρχή Κυβερνοασφάλειας εξέδωσε έναν πρακτικό οδηγό με 12 μέτρα για τη διασφάλιση των συστημάτων Υγείας, με ιδιαίτερη έμφαση στην πρόληψη και την αντιμετώπιση επιθέσεων ransomware.

Το ransomware (λυτρισμικό) είναι μια μορφή κακόβουλου λογισμικού που έχει σχεδιαστεί για να κρυπτογραφεί αρχεία από μια συσκευή, καθιστώντας τα αρχεία, καθώς και τα συστήματα που βασίζονται σε αυτά, μη προσβάσιμα. Οι κακόβουλοι δράστες στη συνέχεια απαιτούν λύτρα (συνήθως σε κρυπτονομίσματα) προκειμένου να δοθεί το κλειδί αποκρυπτογράφησης και να αποκατασταθεί η πρόσβαση στα δεδομένα.

Η ανησυχία κάθε άλλο παρά θεωρητική είναι. Τα τελευταία χρόνια νοσοκομεία και υπηρεσίες Υγείας σε ολόκληρη την Ευρώπη έχουν βρεθεί αντιμέτωπα με επιθέσεις που προκάλεσαν από πολύωρες διακοπές στη λειτουργία τους μέχρι ακυρώσεις επεμβάσεων και χιλιάδων ιατρικών ραντεβού.

Γιατί τα νοσοκομεία είναι σημαντικός στόχος κακόβουλων

Η ψηφιοποίηση έχει αλλάξει ριζικά τη λειτουργία των σύγχρονων νοσοκομείων. Ηλεκτρονικοί φάκελοι ασθενών, εργαστηριακά πληροφοριακά συστήματα, ιατρικές απεικονίσεις και διασυνδεδεμένες συσκευές αποτελούν πλέον μέρος του ίδιου ευρύτερου ψηφιακού οικοσυστήματος.

Η Εθνική Αρχή Κυβερνοασφάλειας επισημαίνει ότι οι μονάδες Υγείας δεν διαθέτουν μόνο συμβατικούς ηλεκτρονικούς υπολογιστές και servers, αλλά και μεγάλο αριθμό εξειδικευμένων, διασυνδεδεμένων ιατρικών συσκευών: από συστήματα απομακρυσμένης παρακολούθησης ασθενών και ιατρικής απεικόνισης μέχρι αντλίες έγχυσης φαρμάκων, βιοαισθητήρες και άλλες συσκευές του λεγόμενου Internet of Medical Things (IoMT).

Τα στοιχεία σε επίπεδο Ευρωπαϊκής Ένωσης αποτυπώνουν το μέγεθος του προβλήματος. Σύμφωνα με την Ευρωπαϊκή Επιτροπή, μόνο το 2023 οι χώρες της ΕΕ ανέφεραν 309 σημαντικά περιστατικά κυβερνοασφάλειας που έπληξαν τον τομέα της Υγείας, περισσότερα από οποιονδήποτε άλλο κρίσιμο τομέα.

Αντίστοιχα, ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA), αναλύοντας περιστατικά που είχαν δημοσιοποιηθεί από τον Ιανουάριο του 2021 έως τον Μάρτιο του 2023, διαπίστωσε ότι το 54% των επιθέσεων στον χώρο της Υγείας αφορούσε ransomware. Στο 53% των περιστατικών που αναλύθηκαν, οι οργανισμοί που επλήγησαν ήταν πάροχοι υπηρεσιών Υγείας και ιδιαίτερα νοσοκομεία.

Σε νεότερα στοιχεία της ENISA, το ransomware εξακολουθούσε να αντιστοιχεί στο 45% των περιστατικών που αφορούσαν την Υγεία, ενώ το 28% αφορούσε παραβιάσεις δεδομένων. Παράλληλα, με βάση τα σημαντικά περιστατικά που γνωστοποίησαν τα κράτη-μέλη, ο τομέας της Υγείας ήταν ο περισσότερο πληττόμενος για τέσσερα συνεχόμενα χρόνια, από το 2020 έως το 2023.

Η κατάσταση οδήγησε και την Ευρωπαϊκή Επιτροπή να παρουσιάσει, στις 15 Ιανουαρίου 2025, ειδικό σχέδιο δράσης για την ενίσχυση της κυβερνοασφάλειας των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης, το οποίο επικεντρώνεται στην πρόληψη, στην καλύτερη ανίχνευση των απειλών, στην αντιμετώπιση και ανάκαμψη έπειτα από μια επίθεση, αλλά και στην αποτροπή των δραστών.

Λονδίνο: Περισσότερα από 11.000 ραντεβού και ιατρικές πράξεις επηρεάστηκαν

Ένα από τα πλέον χαρακτηριστικά παραδείγματα των συνεπειών μιας τέτοιας επίθεσης καταγράφηκε στη Βρετανία.

Στις 3 Ιουνίου 2024, η Synnovis, η οποία παρέχει εργαστηριακές και παθολογοανατομικές υπηρεσίες σε οργανισμούς του βρετανικού NHS, δέχθηκε επίθεση ransomware. Η επίθεση περιόρισε σημαντικά τη δυνατότητα επεξεργασίας αιματολογικών και άλλων εξετάσεων, με τις μεγαλύτερες επιπτώσεις να καταγράφονται στο νοτιοανατολικό Λονδίνο.

Σύμφωνα με τα επίσημα στοιχεία του NHS England, η επίθεση προκάλεσε καθυστερήσεις σε περισσότερα από 11.000 εξωτερικά ραντεβού και προγραμματισμένες ιατρικές πράξεις. Οι δράστες απέκτησαν επίσης δεδομένα από τα συστήματα της εταιρείας, μέρος των οποίων δημοσιοποιήθηκε.

Η περίπτωση της Synnovis κατέδειξε παράλληλα έναν ακόμη κίνδυνο: μια κυβερνοεπίθεση δεν χρειάζεται να έχει ως άμεσο στόχο ένα συγκεκριμένο νοσοκομείο για να επηρεάσει τη λειτουργία του. Αρκεί να πληγεί ένας κρίσιμος εξωτερικός πάροχος από τον οποίο εξαρτώνται πολλές μονάδες Υγείας.

Ρουμανία: Μαζική επίθεση σε νοσοκομεία

Λίγους μήνες νωρίτερα, τον Φεβρουάριο του 2024, η Ρουμανία είχε βρεθεί αντιμέτωπη με μία μεγάλης κλίμακας επίθεση ransomware.

Τη νύχτα της 11ης προς τη 12η Φεβρουαρίου 2024, κυβερνοεπίθεση έπληξε τους servers στους οποίους λειτουργούσε νοσοκομειακό πληροφοριακό σύστημα HIS. Το υπουργείο Υγείας της Ρουμανίας ανακοίνωσε ότι, ως αποτέλεσμα της επίθεσης, το σύστημα τέθηκε εκτός λειτουργίας και ότι αρχεία και βάσεις δεδομένων είχαν κρυπτογραφηθεί.

Στην πρώτη επίσημη ανακοίνωση περιλαμβανόταν ένας μακρύς κατάλογος νοσοκομείων που είχαν επηρεαστεί, ενώ εφαρμόστηκαν προληπτικά μέτρα και σε άλλες μονάδες που χρησιμοποιούσαν το ίδιο πληροφοριακό σύστημα, όπως περιορισμός της σύνδεσης στο διαδίκτυο και αποθήκευση δεδομένων σε εξωτερικά μέσα.

Υγείας: όταν πολλά νοσοκομεία εξαρτώνται από κοινές ψηφιακές υποδομές ή εφαρμογές, μια επιτυχημένη επίθεση μπορεί πολύ γρήγορα να αποκτήσει πολύ ευρύτερες διαστάσεις.

Βαρκελώνη: 150 επεμβάσεις και έως 3.000 ραντεβού ανεστάλησαν

Τον Μάρτιο του 2023 στο στόχαστρο βρέθηκε το Hospital Clínic της Βαρκελώνης, ένα από τα μεγαλύτερα νοσοκομεία της Ισπανίας.

Η επίθεση ransomware μπλόκαρε την πρόσβαση σε βάσεις δεδομένων με πληροφορίες ασθενών. Σύμφωνα με την επίσημη ενημέρωση του ισπανικού Departamento de Seguridad Nacional, το αποτέλεσμα ήταν να ανασταλούν περίπου 150 χειρουργικές επεμβάσεις και 2.000 έως 3.000 επισκέψεις σε εξωτερικά ιατρεία.

Στην αντιμετώπιση του περιστατικού συμμετείχαν η Υπηρεσία Κυβερνοασφάλειας της Καταλονίας, η καταλανική αστυνομία, η Interpol και οι τεχνικές υπηρεσίες του νοσοκομείου.

Το περιστατικό είναι ενδεικτικό του πόσο γρήγορα μια ψηφιακή επίθεση μπορεί να περάσει από τον χώρο της πληροφορικής στον ίδιο τον πυρήνα της ιατρικής λειτουργίας ενός νοσοκομείου.

Βερσαλλίες: Από τα ψηφιακά συστήματα πίσω στο χαρτί και το μολύβι

Ανάλογη ήταν η εμπειρία του Centre Hospitalier de Versailles στη Γαλλία, το οποίο δέχθηκε μεγάλη κυβερνοεπίθεση στις 3 Δεκεμβρίου 2022.

Σύμφωνα με το ίδιο το νοσοκομείο, η επίθεση έπληξε το σύνολο του πληροφοριακού του συστήματος, καθιστώντας μη διαθέσιμα τα προσωπικά δεδομένα που βρίσκονταν σε αυτό, μεταξύ των οποίων δεδομένα των φακέλων των ασθενών και στοιχεία για προγραμματισμένα ραντεβού. Η κατάσταση είχε ως αποτέλεσμα καθυστερήσεις στην περίθαλψη των ασθενών και σοβαρή οργανωτική αναστάτωση, μέχρι να τεθούν σε εφαρμογή εναλλακτικές διαδικασίες.

Σε μεταγενέστερο απολογισμό του, το νοσοκομείο περιέγραψε ακόμη πιο γλαφυρά την κατάσταση που αντιμετώπισε. Οι εργαζόμενοι βρέθηκαν ξαφνικά χωρίς ένα βασικό εργαλείο της δουλειάς τους και αναγκάστηκαν επί τόπου να επιστρέψουν στο «χαρτί και το μολύβι», την ώρα που οι τεχνικές ομάδες επιχειρούσαν την ασφαλή και σταδιακή ανοικοδόμηση του πληροφοριακού συστήματος.

Τα 12 μέτρα της Εθνικής Αρχής Κυβερνοασφάλειας

Προς το παρόν, δεν υπάρχουν πληροφορίες για κυβερνοεπίθεση στο Εθνικό Σύστημα Υγείας (ΕΣΥ), ενώ πηγές των υπουργείων Υγείας και Ψηφιακής Διακυβέρνησης, αναφέρουν ότι τα πρωτόκολλα ασφαλείας στον τομέα της Υγείας είναι απολύτως σύγχρονα και αξιόπιστα και συμμορφώνονται με τις αρχές ασφαλείας, τόσο της Εθνικής Αρχής Κυβερνοασφάλειας, όσο και των διεθνών φορέων. 

Ο οδηγός ξεκινά από κάτι φαινομενικά απλό αλλά κρίσιμο: κάθε μονάδα Υγείας πρέπει να γνωρίζει ποιες συσκευές και ποιο λογισμικό διαθέτει, ποια δεδομένα είναι κρίσιμα και ποια συστήματα τα επεξεργάζονται.

Μεταξύ των μέτρων που προτείνονται περιλαμβάνονται τα τακτικά offline αντίγραφα ασφαλείας, ο πολυπαραγοντικός έλεγχος ταυτότητας (MFA), η διαχείριση των προνομιακών λογαριασμών, οι συστηματικές ενημερώσεις του λογισμικού και η αντιμετώπιση ευπαθειών, καθώς και ο κατακερματισμός του δικτύου, ώστε μια παραβίαση σε ένα τμήμα του να μην μπορεί εύκολα να εξαπλωθεί στο σύνολο των συστημάτων.

Η Αρχή συστήνει ακόμη τη χρήση εργαλείων ανίχνευσης και απόκρισης στα τερματικά συστήματα, τη συστηματική καταγραφή και παρακολούθηση των συμβάντων ασφαλείας και τη δημιουργία ενός ολοκληρωμένου σχεδίου απόκρισης σε περιστατικά, ώστε το προσωπικό να γνωρίζει εκ των προτέρων ποιος αναλαμβάνει κάθε ρόλο σε περίπτωση επίθεσης.

Ιδιαίτερη σημασία έχει και η ύπαρξη ενός ολοκληρωμένου σχεδίου επιχειρησιακής συνέχειας, καθώς ο στόχος δεν είναι μόνο να εμποδιστεί μια επίθεση, αλλά, εφόσον αυτή συμβεί, το νοσοκομείο να μπορέσει να διατηρήσει κρίσιμες υπηρεσίες σε λειτουργία και να επαναφέρει με ασφάλεια τα συστήματά του.

Η εμπειρία των ευρωπαϊκών νοσοκομείων δείχνει, τελικά, γιατί η κυβερνοασφάλεια έχει πάψει να αποτελεί ένα αμιγώς τεχνικό ζήτημα των τμημάτων πληροφορικής και συνδέεται πλέον άμεσα με την ασφάλεια των ασθενών και την επιχειρησιακή συνέχεια των νοσοκομείων. Όταν τα ψηφιακά συστήματα βρίσκονται πίσω από σχεδόν κάθε στάδιο της νοσοκομειακής περίθαλψης, μια κυβερνοεπίθεση μπορεί μέσα σε λίγες ώρες να μετατραπεί από πρόβλημα σε έναν server σε πραγματική κρίση μέσα στους διαδρόμους ενός νοσοκομείου.