Wyciekły dane 20 mln pacjentów z 80 szpitali. Gdzie tym razem?

Hakerzy włamali się do starych serwerów systemu Cerner – przejętego w 2022 roku przez Oracle dostawcy oprogramowania dla placówek ochrony zdrowia w USA. W wyniku cyberataku mogły wyciec dane nawet 20 mln osób. FBI i Interpol prowadzą śledztwo, ale już teraz sąd uznał, że placówki zdrowia nie mogą przerzucić odpowiedzialności na dostawcę IT.

Rok po wycieku wychodzą fakty na światło dzienne

Do włamania doszło na początku 2025 r., kiedy to nieuprawniona osoba uzyskała dostęp do starszych serwerów Cerner, wykorzystując skradzione dane uwierzytelniające. Według informacji przekazanych przez Oracle Health, incydent miał miejsce 22 stycznia 2025 r., a wykryto go 7 marca. Haker miał zażądać milionów dolarów w zamian za niepublikowanie skradzionych informacji.

Wstępne szacunki wskazywały, że skala wycieku jest niewielka. Ale w toku dochodzenia ujawniono, że może chodzić nawet o 20 mln e-kartotek pacjentów z ok. 80 szpitali.

Wśród przejętych danych są nazwiska, numery ubezpieczenia społecznego, informacje o diagnozach, leczeniu i przyjmowanych lekach, wyniki badań, obrazy diagnostyki medycznej, numery dokumentacji pacjentów oraz nazwiska lekarzy.

Według informacji opublikowanych przez HIPAA Journal, urząd generalnego stanu Teksas przekazał, że incydent mógł dotyczyć danych niemal 20 mln osób z 80 szpitali. Oracle Health nie podał oficjalnie całkowitej liczby poszkodowanych pacjentów ani wszystkich placówek objętych atakiem. Ale same potwierdzone zgłoszenia z poszczególnych stanów wskazują na miliony poszkodowanych. W Teksasie naruszenie dotyczyło prawie 3 mln osób, w Oregonie około 1,98 mln, w Karolinie Południowej ponad 283 tys., a w stanie Waszyngton ponad 69 tys. osób.

Sąd mówi jasno: ochrony danych nie można w całości przerzucać na dostawcę IT

Oracle twierdzi, że atak dotyczył starszych serwerów Cerner, które nie zostały jeszcze przeniesione do Oracle Cloud. W 2022 roku Oracle przejął za kwotę 28,3 mld USD dostawcę oprogramowania dla ochrony zdrowia Cerner. Do dziś trwa migracja oprogramowania, a niektóre szpitale nawet po 4 latach od przejęcia korzystają ze starszej wersji EDM stworzonej jeszcze przez Cerner.

Eksperci zwracają uwagę, że w procesie przejęć przedsiębiorstw technologicznych konieczna jest szczegółowa ocena cyberbezpieczeństwa, obejmująca również starsze systemy, które nie zostały jeszcze zmodernizowane ani przeniesione do nowego środowiska.

Dodatkowym problemem jest podział obowiązków między dostawcą technologii a placówkami medycznymi. Oracle Health wskazał, że to poszczególne podmioty lecznicze muszą ustalić, czy doszło do naruszenia wymagającego zgłoszenia, oraz powiadomić poszkodowanych zgodnie z amerykańskimi przepisami HIPAA (odpowiednik RODO w Polsce).

W czerwcu br. sąd uznał, że szpitale nie mogą całkowicie przerzucić odpowiedzialności za ochronę danych na zewnętrznego dostawcę IT. Oznacza to, że zarówno Oracle Health jak i poszczególne sieci szpitali ponoszą współodpowiedzialność prawną.

Śledztwo w tej sprawie prowadzą Federalne Biuro Śledcze (FBI) oraz Interpol. Służby ustaliły m.in., że za atak odpowiada pojedynczy haker posługujący się pseudonimem „Andrew”. Nie powiązano go bezpośrednio z żadną ze znanych, zorganizowanych grup ransomware.

Czytaj także: Adam Haertle z Zaufanej Trzeciej Strony o kulisach cyberatatów na ochronę zdrowia