Na de hacking van het computersysteem van het AZ Monica-ziekenhuis hebben cyberveiligheidsexperts via een lek toegang gekregen tot meer dan 70.000 patiëntengegevens in 3 andere ziekenhuizen. Het lijkt erop dat die gegevens niet gestolen zijn door criminelen, maar het toont wel aan hoe kwetsbaar de beveiliging is.
Ook bij 3 andere Vlaamse ziekenhuizen lag toegang tot patiëntengegevens open voor hackers, zegt beveiligingsexpert
Na de cyberaanval bij AZ Monica ging specialist internetveiligheid Geert Baudewijns verder op zoek. Hij en zijn medewerkers kwamen erachter dat een dienstenleverancier die AZ Monica gebruikt om patiënten te registreren, nog door 3 andere ziekenhuizen in Vlaanderen gebruikt wordt.
Veel kleinere ziekenhuizen hebben immers geen eigen IT-afdeling. Zij doen een beroep op leveranciers die platformen ontwikkelen voor alle medische informatie van patiënten en zorgverleners. Die externe partners moeten toegang krijgen tot het ziekenhuisnetwerk met alle gevoelige informatie en dat is niet zonder risico.
Een bedrijf kan zich moeilijk wapenen tegen een leverancier die nonchalant is geweest
Expert internetveiligheid Geert Baudewijns
"Daar loopt het heel vaak fout. Een bedrijf kan zich moeilijk wapenen tegen een leverancier die nonchalant is geweest", zegt Baudewijns, die ook CEO is van het cybersecuritybedrijf Secutec.
"Via deze weg hebben we de wachtwoorden kunnen bemachtigen van de platformen van die andere ziekenhuizen. We hebben testen gedaan en daaruit bleek dat hackers daar effectief gebruik van konden maken om aan de gegevens te komen van 71.000 patiënten."
"Volgens mij is dat nog niet gebeurd. Al heb ik daar geen zekerheid over. We hebben de data niet gevonden op het darknet of andere platformen."
"Zoals AZ Monica zijn er honderden bedrijven elke dag", legt Geert Baudewijns uit
Identiteitskaart
Het gaat om adresgegevens, rijksregisternummers en namen. "De gegevens die op je identiteitskaart staan. Daar geef je toegang toe als je naar het ziekenhuis gaat", zegt Baudewijns.
De lekken zijn intussen gedicht, maar het maakt wel duidelijk dat kleinere organisaties zoals regionale ziekenhuizen kwetsbaar zijn.
"Nieuwe wetgeving bepaalt dat organisaties in essentiële en belangrijke sectoren moeten controleren of hun leveranciers voldoen aan vergelijkbare veiligheidsnormen. Zodat ze geïnformeerd zijn als er mankementen zijn of als er een lek is geweest. Maar dat is een moeilijke zaak."
Wachtwoordendief
Een techniek die hackers vaak gebruiken is om een zogenoemde 'password stealer' binnen te smokkelen, een stukje software dat op de achtergrond op zoek gaat naar wachtwoorden en andere gevoelige informatie. De gestolen gegevens worden versleuteld en naar een externe server gestuurd.
Op die manier krijgen hackers toegang, waardoor ze gegevens kunnen stelen of zelfs het hele netwerk plat kunnen leggen om losgeld te vragen. "In de helft van de ransomware-zaken zien wij dat gebruikgemaakt wordt van password stealers", zegt Baudewijns.
"De patiëntengegevens die ze buitmaken, hebben een commerciële waarde om te verhandelen online. Bedrijven - niet de meest legitieme - kunnen die gebruiken om gerichte spammails te sturen. Als ze weten dat je patiënt bent van een bepaalde dienst, zou je interesse kunnen hebben in bepaalde producten."
