Patiënt overlijdt na ransomware aanval

Vermoedelijk is een patiënt van het Duitse Universiteitsziekenhuis in Düsseldorf (UKD) overleden als gevolg van een ransomware aanval op de infrastructuur van de instelling. Het zou de eerste keer zijn dat iemand overlijd als direct gevolg van het handelen van cybercriminelen.

 

Complex

De systemen waar we inmiddels allemaal van afhankelijk zijn, zijn de afgelopen jaren enorm complex geworden. Artsen en verpleegkundigen maken heel veel gebruik van geautomatiseerde systemen om de juiste verslaglegging, medicijngebruik, voorschriften, overdrachten en verder alles op orde te houden. De directe hulpverlening bij bijvoorbeeld spoedeisende hulp, kan heus nog wel met pen en papier als alles wegvalt, maar een ziekenhuis zal snel besluiten om mensen door te sturen wanneer uitval langer dan een paar uur duurt.
Doorgaans zijn de direct gekoppelde patiëntsystemen, zoals infuuspompen en beademing, los van het netwerk te gebruiken. Hartbewaking wordt al lastiger, zonder netwerk. Ja, de monitoren werken nog wel, maar je kunt niet meer alles in de gaten houden, zonder naar de patiënten te lopen. Operaties worden enorm lastig als verslaglegging ineens met de hand moet.

De aanval

Het UKD meldde op 10 september dat er een omvangrijke storing in de IT diensten was. Het ziekenhuis schrapte alle afspraken en staakte de spoedeisende hulp. Nadat de politie aan de cyberaanvallers gemeld had dat het om een ziekenhuis ging, hebben zij de sleutels overhandigd en konden systemen langzaamaan weer bruikbaar gemaakt worden. Er is geen losgeld gevraagd, noch betaald.

Onderzoek

In eerste instantie meldt het ziekenhuis dat de aanval kon plaatsvinden door een clouddienst die het ziekenhuis gebruikt. Volgens het bericht was de beveiliging van die dienst niet goed op orde.
Op 17 september meldt het Bundesambt fur Sicherheit in der Informatietechnik (BSI), dat het kwetsbare systeem een Citrix systeem betreft. En dat systeem was gepatched.

Nu denken de onderzoekers, dat de infrastructuur al aangevallen was, vrijwel direct na het bekend worden van het lek in 2019. En de aanvaller(s) hebben waarschijnlijk tot nu gewacht om de ransomware te activeren. De patch is namelijk geen oplossing voor reeds gecompromitteerde software. De ransomware stond dus al op de servers, net voordat de patches geïnstalleerd waren.

Het ziekenhuis zelf meldt dat alle systemen in het afgelopen jaar, verschillende tests en audits hebben ondergaan. Er is zelfs een complete security scan uitgevoerd en er was helemaal niets naar boven gekomen dat argwaan wekte.

Gevolg

Het blijkt dus, dat bedrijven die veiligheid en borging hoog in het vaandel hebben, toch slachtoffer kunnen worden van dit soort aanvallen. De dood van een patiënt lijkt het gevolg van deze aanval. De Duitse justitie gaat alles op alles zetten om de dader(s) te vinden.

Door Roland Verhaar; ITWorks4All

Tags: cybercriminelen, patch management, patient systemen, ransomware