Hakerzy prawie codziennie atakują jakiś europejski szpital. Dlaczego służba zdrowia pozostaje bezradna?

Gorączka ataków rośnie…

Cyberataki na szpitale w Europie to problem o rosnącej skali. Dane z 2023 roku wskazują na alarmujący wzrost liczby incydentów, z 309 zgłoszonymi przypadkami w sektorze opieki zdrowotnej w UE. Tym samym, placówki medyczne stały się głównym celem cyberprzestępców, wyprzedzając inne sektory krytyczne. Co więcej, 54% tych ataków to ataki ransomware, polegające na szyfrowaniu danych, a następnie żądaniu okupu za ich odblokowanie. Nie trzeba chyba zaznaczać, że w przypadku szpitali, takie ataki mogą sparaliżować całą infrastrukturę IT, uniemożliwiając dostęp do kart pacjentów, wyników badań czy systemów zarządzania. Przykładem może być atak na University Hospital Frankfurt, który zmusił placówkę do odcięcia się od internetu i powrotu do papierowej dokumentacji, co znacząco utrudniło świadczenie opieki.

Poza ransomware, szpitale są również celem innych rodzajów ataków. Wśród nich należy wymienić kradzież i wyciek danych, które stanowią 46% incydentów. Dane medyczne są niezwykle cenne na czarnym rynku, gdzie mogą być wykorzystywane do kradzieży tożsamości, oszustw ubezpieczeniowych czy szantażu. Inne powszechne metody to phishing, czyli wyłudzanie danych poprzez podszywanie się pod zaufane instytucje, oraz ataki DDoS (Distributed Denial of Service), które polegają na przeciążaniu serwerów, uniemożliwiając dostęp do usług. Co niepokojące, rośnie również liczba ataków sponsorowanych przez państwa, często o charakterze politycznym, mających na celu zakłócenie operacji, a nie zysk finansowy.

… i ich koszty także

Skala problemu jest również widoczna w kosztach. Średni koszt poważnego incydentu cyberbezpieczeństwa w sektorze zdrowia w UE to około 300 000 euro. Jednak w skali globalnej, średni koszt naruszenia danych w opiece zdrowotnej w 2024 roku wyniósł aż 9,77 miliona dolarów. Branża opieki zdrowotnej ponosi najwyższe koszty naruszeń danych spośród wszystkich branż od 12 lat. Wzrost liczby ataków w Europie o 56% oraz fakt, że ponad 100 milionów ludzi zostało dotkniętych cyberatakami w sektorze opieki zdrowotnej w 2023 roku, podkreślają pilną potrzebę wzmocnienia cyberbezpieczeństwa w tym sektorze.

Czy ktoś zdążył już postawić diagnozę?

Dlaczego szpitale stały się tak atrakcyjnym celem dla cyberprzestępców? Istnieje kilka kluczowych przyczyn, które sprawiają, że sektor opieki zdrowotnej jest szczególnie podatny na cyberataki:

niskie inwestycje w cyberbezpieczeństwo: paradoksalnie, mimo że sektor opieki zdrowotnej jest jednym z najbardziej atakowanych, inwestuje mniej w cyberbezpieczeństwo niż inne branże. Często cyberbezpieczeństwo jest postrzegane jako „luksus”, a nie jako niezbędny element infrastruktury;

• brak programów obrony przed ransomware i szkoleń: tylko 27% organizacji opieki zdrowotnej posiada dedykowane programy obrony przed ransomware, a 40% nie oferuje żadnych szkoleń z zakresu świadomości bezpieczeństwa dla personelu niezwiązanego z IT. To prowadzi do niskiej świadomości zagrożeń i słabej „higieny cybernetycznej” wśród pracowników;
• wysoka rotacja personelu i luki w szkoleniach: sektor opieki zdrowotnej charakteryzuje się wysoką rotacją personelu, co utrudnia utrzymanie ciągłości szkoleń i egzekwowanie polityk cyberbezpieczeństwa;
• brak zrozumienia cyberbezpieczeństwa: wielu decydentów w szpitalach nie rozumie w pełni ryzyka związanego z cyberbezpieczeństwem, traktując je inaczej niż ryzyko związane np. z niewłaściwym przechowywaniem leków;
• przestarzałe systemy IT i brak inteligentnych narzędzi wykrywania: Wiele szpitali nadal korzysta z przestarzałych systemów IT, które są łatwiejsze do zhakowania. Brak inteligentnych narzędzi wykrywania sprawia, że ataki są często wykrywane zbyt późno;
• trudności w zatrudnianiu personelu ds. cyberbezpieczeństwa: 81% firm uważa trudności w zatrudnianiu wykwalifikowanego personelu ds. cyberbezpieczeństwa za ryzyko cyberataków;
• złożoność środowiska szpitalnego: Szpital to środowisko otwarte, z dużą liczbą osób wchodzących i wychodzących, co utrudnia kontrolę dostępu i zwiększa ryzyko.

Wielosymptomowe, ciężkie powikłania

Konsekwencje cyberataków na szpitale są dalekosiężne i wykraczają poza straty finansowe. Najpoważniejszym skutkiem jest bezpośrednie zagrożenie dla życia i zdrowia pacjentów. Ataki mogą prowadzić do:

• opóźnień w procedurach medycznych: zablokowanie systemów IT uniemożliwia dostęp do historii chorób, wyników badań czy harmonogramów operacji, co prowadzi do opóźnień w diagnostyce i leczeniu;
• zatorów na oddziałach ratunkowych: w przypadku ataku, szpitale mogą być zmuszone do przekierowywania karetek do innych placówek, co prowadzi do przeciążenia innych szpitali i wydłużenia czasu oczekiwania na pomoc;
• zakłóceń w świadczeniu usług: całe oddziały mogą zostać sparaliżowane, a kluczowe usługi medyczne niedostępne, co ma bezpośredni wpływ na jakość i dostępność opieki;
• utraty dostępu do danych pacjentów: szyfrowanie danych przez ransomware lub ich kradzież może oznaczać utratę dostępu do kluczowych informacji medycznych, co zmusza personel do powrotu do dokumentacji papierowej i znacząco spowalnia pracę;
• przekładania wizyt i operacji: wiele planowanych zabiegów i wizyt musi zostać odwołanych lub przełożonych, co ma negatywny wpływ na zdrowie pacjentów i generuje dodatkowe koszty;
• długotrwałych zakłóceń w działaniu systemów: jak pokazuje przykład szpitala we Frankfurcie, powrót do pełnej sprawności po cyberataku może trwać miesiącami, a nawet latami, wymagając kosztownej odbudowy infrastruktury;
• kradzieży tożsamości, oszustw ubezpieczeniowych i szantażu: skradzione dane pacjentów mogą być wykorzystywane do celów przestępczych, co naraża pacjentów na dodatkowe problemy;
• utraty zaufania pacjentów: incydenty cyberbezpieczeństwa podważają zaufanie pacjentów do placówek medycznych i ich zdolności do ochrony wrażliwych danych.

Komisja Europejska szuka e-szczepionki

Świadomość rosnącego zagrożenia cybernetycznego w sektorze opieki zdrowotnej skłania do podjęcia zdecydowanych działań. Zarówno na poziomie unijnym, jak i krajowym, wdrażane są strategie mające na celu wzmocnienie odporności szpitali na cyberataki. Komisja Europejska przedstawiła plan działania, który koncentruje się na czterech kluczowych priorytetach:

• wzmocniona prewencja: obejmuje budowanie zdolności sektora opieki zdrowotnej do zapobiegania incydentom poprzez lepsze przygotowanie, wytyczne dotyczące wdrażania kluczowych praktyk cyberbezpieczeństwa, a także wprowadzenie voucherów cyberbezpieczeństwa dla mikro, małych i średnich szpitali oraz dostawców usług medycznych. Dodatkowo, plan przewiduje rozwój zasobów edukacyjnych dla pracowników służby zdrowia, aby podnieść ich świadomość i umiejętności w zakresie cyberhigieny;
• lepsze wykrywanie i identyfikacja zagrożeń: do 2026 roku ma zostać uruchomiony unijny system wczesnego ostrzegania, który będzie dostarczał alerty o potencjalnych cyberzagrożeniach w czasie zbliżonym do rzeczywistego;
• reagowanie na cyberataki w celu minimalizacji wpływu: plan zakłada stworzenie usługi szybkiego reagowania dla sektora zdrowia w ramach unijnej rezerwy cyberbezpieczeństwa. Będą organizowane ćwiczenia cyberbezpieczeństwa oraz opracowywane podręczniki, które pomogą organizacjom opieki zdrowotnej reagować na konkretne zagrożenia, w tym ransomware. Państwa członkowskie są również zachęcane do zgłaszania płatności okupu, co ma pomóc w śledzeniu i wspieraniu ofiar ataków;
• odstraszanie: wykorzystanie narzędzi dyplomacji cybernetycznej ma na celu zniechęcanie podmiotów cyberzagrożeń do atakowania europejskich systemów opieki zdrowotnej.

Poza działaniami na poziomie UE, kluczowe jest również wdrożenie następujących rekomendacji na poziomie krajowym i instytucjonalnym:

• tworzenie kultury cyberbezpieczeństwa: niezbędne jest podniesienie świadomości i edukacja personelu medycznego na wszystkich szczeblach. Cyberbezpieczeństwo powinno być traktowane jako integralna część codziennych operacji, a nie jako dodatkowy obowiązek;
• inwestycje w inteligentne narzędzia wykrywania: szpitale powinny inwestować w nowoczesne systemy wykrywania intruzów i inne technologie, które pozwolą na szybkie identyfikowanie i neutralizowanie zagrożeń;
• rozwój europejskich firm konsultingowych w zakresie cyberbezpieczeństwa: zwiększenie liczby i kompetencji europejskich firm specjalizujących się w cyberbezpieczeństwie w sektorze zdrowia może zapewnić bardziej spersonalizowane i skuteczne wsparcie;
• wdrożenie sektorowych standardów cyberbezpieczeństwa: przykład Niemiec, które wspierają sektorowe standardy cyberbezpieczeństwa i wymagają od szpitali inwestowania co najmniej 15% środków z programów odbudowy w cyberbezpieczeństwo, powinien być inspiracją dla innych krajów;
• ciągłe ćwiczenia cyberbezpieczeństwa i usprawnienie systemów: regularne symulacje ataków i testy penetracyjne pomogą identyfikować słabe punkty i poprawiać procedury reagowania. Systemy IT powinny być projektowane w sposób, który nie spowalnia pracy personelu, ale jednocześnie zapewnia wysoki poziom bezpieczeństwa.

Nasilające się ataki hakerów na europejskie szpitale stanowią poważne wyzwanie dla bezpieczeństwa publicznego i zdrowia. Problem ten wynika z połączenia rosnącej atrakcyjności sektora opieki zdrowotnej dla cyberprzestępców, niskich inwestycji w cyberbezpieczeństwo oraz braku świadomości i odpowiednich szkoleń. Konsekwencje tych ataków są dramatyczne, prowadząc do zakłóceń w świadczeniu usług medycznych, zagrożenia życia pacjentów i ogromnych strat finansowych. Jednakże, dzięki skoordynowanym działaniom na poziomie unijnym i krajowym, a także zwiększeniu świadomości i inwestycji w cyberbezpieczeństwo, możliwe jest zbudowanie odpornego sektora opieki zdrowotnej, który będzie w stanie skutecznie chronić pacjentów i ich dane.