Sam moment naruszenia bezpieczeństwa jest dopiero początkiem. Jego konsekwencje dla pacjentów i organizacji mogą ujawniać się przez kolejne miesiące, a nawet lata.
Wielu pacjentów wciąż utożsamia wyciek danych wyłącznie z ryzykiem zaciągnięcia pożyczki na numer PESEL. Przy wycieku dokumentacji medycznej, historii wizyt i przepisywanych leków, zakres możliwych nadużyć jest jednak znacznie szerszy.
Przestępcy uzyskują dostęp do bardzo szczegółowych informacji o stanie zdrowia – wiedzą, u jakiego lekarza leczy się dana osoba, jakie preparaty przyjmuje i z jakimi dolegliwościami się zmaga. W kolejnych miesiącach należy spodziewać się coraz lepiej przygotowanych prób socjotechnicznych: fałszywych telefonów z „przychodni” z prośbą o pilną dopłatę do badań, sfingowanych recept, wiadomości o rzekomych wynikach czy ofert „innowacyjnych terapii” wyłudzających oszczędności.
Szantaż i próby bezpośredniego wymuszenia
Danych medycznych dotyczących np. diagnoz psychiatrycznych, onkologicznych, chorób przewlekłych czy procedur intymnych, nie da się zresetować jak hasła ani unieważnić jak dowodu osobistego. Grupy cyberprzestępcze coraz częściej stosują model tzw. triple extortion – gdy okup od placówki/dostawcy nie wpłynie, uderzają bezpośrednio do pacjentów, szantażując ich upublicznieniem wrażliwych informacji przed rodziną czy pracodawcą.
Budowanie pełnych profili tożsamości
Informacje medyczne mogą być przez lata łączone z danymi pochodzącymi z innych wycieków – np. telekomunikacyjnych, bankowych czy e-commerce. Im więcej informacji o konkretnej osobie trafia w ręce przestępców, tym łatwiej przygotować wiarygodną próbę oszustwa lub podszyć się pod nią. Takie dane mogą być wykorzystywane m.in. do kradzieży tożsamości, fałszowania wniosków ubezpieczeniowych czy zaawansowanego phishingu celowanego (spear-phishing), szczególnie wymierzonego wobec osób pełniących funkcje publiczne lub kluczowe role biznesowe.
Konsekwencje wycieku wymagają długofalowej reakcji
W publikacji Deloitte „Cyberbezpieczeństwo szpitali: jak chronić się przed ransomware i wyciekiem danych” zwraca się uwagę na to, że odporność placówki zależy również od bezpieczeństwa całego jej łańcucha dostaw. Podmiot medyczny jest tak bezpieczny, jak jego najsłabszy dostawca zewnętrzny. Zgodnie z założeniami NIS2 i KSC, audyt bezpieczeństwa procesorów danych, weryfikacja architektury chmurowej i uprawnień dostępowych firm trzecich to prawny i operacyjny obowiązek kadry zarządzającej. Równie istotne są rozwiązania, które ograniczają skalę incydentu już po uzyskaniu dostępu do infrastruktury: odporne na phishing uwierzytelnianie wieloskładnikowe, np. FIDO2, segmentacja sieci medycznej, stałe monitorowanie oraz możliwość szybkiej izolacji zagrożenia z wykorzystaniem rozwiązań EDR/XDR, zanim dojdzie do masowej eksfiltracji danych. Technologia musi być przy tym uzupełniona regularnymi ćwiczeniami symulacyjnymi dla kierownictwa placówek, bo moment wystąpienia incydentu nie jest dobrym czasem na sprawdzanie, czy procedury kryzysowe działają.
Po wycieku potrzebna jest także czujność pacjentów
Przed placówkami ochrony zdrowia, ich dostawcami i samymi pacjentami trudny czas weryfikacji procedur i większej czujności. Zastrzeżenie numeru PESEL w aplikacji mObywatel to dzisiaj krok absolutnie elementarny, ale równie ważna jest wzmożona czujność na wszelkie próby kontaktu powołujące się na historię naszego leczenia. Bezpieczeństwo zdrowotne obywateli stało się nierozerwalnie związane z cyberbezpieczeństwem państwa.
