Na cyberaanval in AZ Monica: hoe verloopt zo'n aanval en wat zegt dat over de beveiliging van onze ziekenhuizen?

"Om 6.30 uur zag onze IT-dienst dat er een probleem was op een aantal servers", zo herinnert algemeen directeur van het AZ Monica Geert Smits zich de ochtend. Snel schakelen, zowel voor de campus in Deurne als die in Antwerpen, was de boodschap.

Dat heeft de IT-dienst ook gedaan, vertelt Smits in De Wereld Vandaag. "De crisiscel werd samengeroepen, maar er werden ook preventieve maatregelen genomen. Alle servers werden uit voorzorg uitgeschakeld om de impact van de aanval hopelijk te beperken."

Het ziekenhuis heeft meteen het Cyber Emergency Response Team (CERT) verwittigd. Intussen heeft het Antwerps parket bevestigd dat het wel degelijk om een cyberaanval gaat.

Door de cyberaanval moest de werking van het ziekenhuis anders georganiseerd worden. Alle 180 ingrepen werden uitgesteld en consultaties gebeurden met pen en papier. Ook de MUG en PIT (paramedisch interventieteam) werden afgezegd. Er werden 7 patiënten verhuisd naar een ander ziekenhuis. 

Of de hackers iets te pakken hebben gekregen, is nog onduidelijk. "We weten het eigenlijk nog niet", geeft Smits toe. "We hopen dat de preventieve maatregelen de schade konden beperken. Bovendien staat het elektronische patiëntendossier – dat de meeste medische gegevens bevat – op een cloud die niet geaffecteerd is."

"We hebben wel wat kritische gegevens en systemen op externe servers staan. We hopen dat er daardoor niet veel werd buitgemaakt. Maar dat weten we op dit moment nog niet zeker." 

Het is ook nog gissen naar welke hackersgroepering achter de aanval zit. Zeker is dat het om een cyberaanval gaat. "De hackersgroepering gaat anders te werk dan wat doorgaans het geval is", zegt VRT-journalist Tim Verheyden. 

"In andere gevallen eisen hackersgroeperingen de aanval op via hun eigen website op het darkweb", gaat hij verder. "Ze tonen dan een sample (voorbeeld) van de data die is buitgemaakt, samen met een aftelklokje. Ze dreigen dan de data te lossen als er niet betaald wordt tegen de tijd dat de klok op 0 staat."

Dat lijkt op dit moment niet het geval. "We zien op de bekende darkweb-websites van ransomware-groeperingen geen informatie die leidt naar het AZ Monica." 

Het vermoeden is dat het gaat om een aanval met ransomware. Ransomware is de samentrekking van 'ransom', wat losgeld betekent, en 'malware', wat staat voor schadelijke software. Daarbij eisen de hackers vaak losgeld, maar het parket laat weten dat dat niet het geval is. "Toch gaat het in 99 procent van de gevallen om een ransomwareaanval", zegt Eddy Willems, expert cybersecurity. 

Instellingen in de zorgsector, waaronder ziekenhuizen, zijn volgens Willems zo'n 2.000 tot 3.000 keer per dag het slachtoffer van een cyberaanval. "Ziekenhuizen hebben gegevens die heilig zijn voor ons, die we liefst met zo weinig mogelijk mensen delen." 

Voor die gegevens kan dus ook veel meer geld gevraagd worden. Dat is nog steeds niet gebeurd. "Het efficiënt handelen en direct afkoppelen van de servers kan wel een goede reflex geweest zijn. Het ziekenhuis was de cybercriminelen misschien voor", duidt Willems. 

Daar is nog geen zekerheid over. "Bovendien is er nog een 2e mogelijkheid: er kan ook een virus zijn binnengeslopen. Dat kan nog wel even de nodige kopzorgen geven, aangezien er daardoor een deel van het netwerk besmet kan zijn en niet goed werkt."

Of het nu echt gaat om ransomware of er een virus is binnengeslopen, is nog onduidelijk. Het parket van Antwerpen is alleszins al een onderzoek gestart en de computer crime unit kwam ter plaatse.

"En de mogelijke onderhandelingen kunnen nog altijd worden opgestart. Misschien werken de hackers niet volgens de klassieke manier", zegt Verheyden. Ook Willems is ervan overtuigd dat er nog een vraag om losgeld komt. 

Afwachten dus, maar de consultaties zullen zo goed en zo kwaad als mogelijk doorgaan. "In België werken we met een systeem van hubs waar alle patiënteninformatie in te vinden is. Zo kunnen we – op een gebrekkige manier – de consultaties de volgende dagen laten doorgaan", verduidelijkt Smits. 

"De huidige inschatting is dat ongeveer 30 procent van de geplande zorgverlening morgen veilig kan plaatsvinden", klinkt het bij het ziekenhuis. De consultaties gaan door en het revalidatie- en pijncentrum zal operationeel zijn op de campus in Antwerpen. Chirurgische ingrepen gaan er morgen niet door.

Op de campus in Deurne zullen de consultaties, het dagziekenhuis en het oncologisch ziekenhuis operationeel zijn. Een beperkt aantal van de onderzoeken en chirurgische ingrepen - afhankelijk van wat de behandelende arts beslist - zullen wel doorgaan. 

Vandaag lagen de servers al de hele dag plat en ook morgen zullen de servers niet opnieuw opgestart kunnen worden. Ook de website van AZ Monica is niet toegankelijk door het incident. "Er wordt intensief gewerkt aan het opzetten van een noodwebsite waarop de meest recente updates zullen worden gedeeld." 

Patiënten moeten volgens Willems ook niet onmiddellijk vrezen dat hun gegevens gelekt zullen worden. "Alles hangt af van hoe ver de hackers geraakt zijn. Zelfs als er losgeld gevraagd wordt, kan dat gebluf zijn en is het niet zeker dat ze ook echt over de gegevens beschikken." 

Wat als er wel data gestolen zijn? "Dan komen je gegevens mogelijk op het internet terecht, waardoor ze ook gebruikt kunnen worden in phishingaanvallen. Ook dat is nog te vroeg om al te weten." 

"Ziekenhuizen zijn vrij goed beveiligd", zegt Willems. "Er bestaan ook strenge regels rond. Toch zijn er altijd gaten te vinden in die beveiliging." Vaak gaat het om updates die niet zijn uitgevoerd of om een werknemer die op een phishinglink klikt. 

Daarom is het volgens de federale overheid tijd dat ziekenhuizen bijkomende stappen zetten om het vereiste maturiteitsniveau te bereiken als het gaat over cyberveiligheid. Bij 3 op de 4 Belgische ziekenhuizen is daar dringend nood aan, zo toont het rapport 'Status of cybersecurity in Belgian hospitals'.

"Het rapport toont aan dat de verschillen in cybermaturiteit tussen ziekenhuizen nog groot zijn", klinkt het in een persbericht. "1 op de 4 ziekenhuizen behaalt het vereiste niveau of zit daar dicht bij, terwijl vooral kleinere en psychiatrische ziekenhuizen achterblijven door beperkte middelen en een tekort aan gespecialiseerde profielen. Ook regionaal zijn er verschillen: Vlaamse ziekenhuizen scoren gemiddeld beter dan Waalse en Brusselse." 

Om hun niveau bij te schroeven, biedt de overheid instrumenten aan. Zo zal er voor elk ziekenhuis een individuele roadmap uitgewerkt worden in de komende 36 maanden. De prioriteiten, geplande oplossingen en benodigde inzet van mensen en budgetten kan zo in kaart gebracht worden.