Zašto hakeri toliko vole napadati bolnice?

Što kada haker uđe u sustav?

Kirurg Simon Meier bio je izvan dužnosti kada ga je jedne večeri nazvao kolega – Sveučilišna bolnica u Frankfurtu bila je meta velikog kibernetičkog napada.

Već iduće jutro, kao bolnički koordinator za hitna stanja, sjeo je na krizni sastanak uprave. IT timovi nisu uspjeli suzbiti napad preko noći, pa je donesena ključna odluka: "Isključili smo cijelu bolničku mrežu s interneta – nismo htjeli više riskirati", piše POLITICO.

Internet je ugašen, baze podataka zamrznute, a osoblje se vratilo na papir i telefon. Pristup laboratorijskim nalazima i dijagnostičkoj opremi bio je ozbiljno otežan.

Planirane operacije su odgođene, a sistem se ni nakon godinu i pol nije potpuno oporavio. Pristup mreži je i dalje ograničen, a u tijeku je skupa rekonstrukcija IT sustava.

Ovaj napad je bio samo jedan od 309 zabilježenih kibernetičkih incidenata u zdravstvenom sektoru EU-a u 2023., više nego u bilo kojem drugom sektoru. Prosječna šteta iznosi oko 300.000 eura po incidentu, ali najveća opasnost su ljudski životi.

Pitanje života i smrti

U Ujedinjenom Kraljevstvu jedan smrtni slučaj nedavno je povezan s kašnjenjem nalaza krvne pretrage uslijed napada na laboratorije. Šef WHO-a Tedros Adhanom Ghebreyesus istaknuo je da su napadi na zdravstvo doslovno “pitanje života i smrti.”

Unatoč tome, zdravstvo ulaže najmanje u kibernetičku sigurnost – iako se u zadnje vrijeme našlo na vrhu popisa meta. Osobni zdravstveni podaci imaju visoku vrijednost na crnom tržištu i često su meta ransomware napada, gdje hakeri zaključaju sustave i traže otkup.

Napad na bolnicu u Barceloni 2023. rezultirao je traženjem 4,5 milijuna dolara otkupnine – bolnica je odbila platiti. Osim financijski motiviranih napada, u porastu su i oni politički, posebno od strane proruskih hakera čiji je cilj poremetiti zdravstveni sustav.

27 posto bolnica ima obrambeni plan za ransomware

Prema podacima ENISA-e, samo 27 % zdravstvenih ustanova ima obrambeni plan za ransomware, dok 40 % ne provodi nikakvu edukaciju osoblja o sigurnosti. Profesor Christos Xenakis smatra da bolnice i dalje gledaju na sigurnost kao luksuz, ne kao nužnost. On upozorava da se osoblje često nesvjesno izlaže riziku – primjerice, ostavljanjem otključanih računala.

EU projekt PANACEA

Bivša profesorica kirurgije Sabina Magalini, koja je koordinirala EU projekt PANACEA, kaže da postojeće zakone treba prilagoditi bolničkoj stvarnosti: visokom fluktuacijom kadra, nedostatku obuka i općem preopterećenju. “Bolnica nije nuklearka, više sliči na luku – otvorena sa svih strana,” rekla je.

Grešku ne treba tražiti u ljudima, kaže Xenakis. Uz tisuće zaposlenih, gotovo je sigurno da će netko kliknuti na zlonamjerni link. Zato je važno ugraditi pametne sustave za detekciju i zaštitu. Magalini dodaje kako konzultantske firme koje pomažu bolnicama često dolaze izvan Europe – i ističe da je potrebna "europska vizija kibernetičke sigurnosti".

15 posto sredstava odlazi na sigurnost

Njemačka je uvela obvezu da bolnice 15 % sredstava iz digitalizacijskih fondova usmjere na sigurnost. No dr. Meier kaže da bi se napad u Frankfurtu možda mogao ranije detektirati da su imali bolji sustav – umjesto toga, "imali smo sreće."

Napad na irski zdravstveni sustav 2021. doveo je do potpunog gašenja bolničkih IT sustava, uz izravne troškove od najmanje 101 milijun eura, te dodatnih 657 milijuna za prevenciju budućih napada, piše POLITICO.

Ray Walley, liječnik opće prakse iz Irske, ističe da su kibernetičke prijetnje danas "samo još jedan oblik zdravstvene skrbi."

EU plan: korak naprijed, ali nedostaje jasnoće

Europska komisija je početkom 2025. predstavila akcijski plan za jačanje kibernetičke sigurnosti u zdravstvu. Plan uključuje uspostavu centra za podršku unutar ENISA-e, brze interventne timove i vaučere za manja zdravstvena tijela kako bi poboljšala otpornost.

No, autor analize iz finskog Sitra instituta, Markus Kalliola, kaže da planu nedostaje jasna struktura, ciljevi i budžet. Poziva EU da sigurnost zdravstva tretira kao pitanje nacionalne sigurnosti i da uvede obvezne mjere za sve zdravstvene ustanove.

S obzirom na sve češće i sve sofisticiranije prijetnje, zaključuje:

"Nema više vremena – regulaciju treba provesti u praksi."