Cyberprzestępcy wykradli dane medyczne Brytyjczyków. Pomylili szpitale?

Za atak odpowiedzialna jest grupa INC Ransom, która m.in. niedawno wykradła i zaszyfrowała dane pochodzące z ratusza jednego z czeskich miast. Cyberprzestępcy twierdzą, że wykradzione dokumenty pochodzą z lat 2018-2024. Nie dodano adnotacji o tym, że pliki zostały zaszyfrowane, co zazwyczaj jest podkreślane przez tę grupę ransomware.

Próbka danych została opublikowana 28 listopada br. na blogu INC Ransom. Składa się na nią 11 zrzutów ekranu różnych dokumentów.

Dane medyczne

Cyberprzestępcy upublicznili pięć notatek z przeprowadzonych operacji. Wśród nich znajdują się m.in. zapisy z przeprowadzonej echokardiografii czy zabiegu związanego z przepukliną przeponową. W dokumentach znajdują się imiona i nazwiska lekarzy oraz daty urodzenia pacjentów.

Dane osobowe

Cyberprzestępcy opublikowali również 121 rekordów zawierających dane darczyńców finansowych. Wśród nich znajdują się:

• imiona i nazwiska;
• numer darczyńcy;
• adres zamieszkania;
• data urodzenia (kilka przypadków);
• kwota transakcji.

Informacje były zawarte w trzech różnych dokumentach i pochodziły z lat 2016-2024.

Inne dokumenty i pochodzenie danych

Wśród pozostałych zrzutów ekranu znajdują się przede wszystkim wyliczenia finansowe związane z prowadzeniem działalności medycznej. Obecnie nie wiadomo, czy pliki faktycznie pochodzą ze szpitala NHS Alder Hey – dokumenty nie pozwalają tego jednoznacznie stwierdzić.

Twierdzenia cyberprzestępców o ataku na dziecięcy szpital może poddawać w wątpliwość to, że wśród pacjentów znajdowały się przede wszystkim osoby dorosłe, zaś placówka jest przeznaczona dla osób poniżej 16 roku życia.

Pomyłka w atrybucji ataku?

Szpital NHS Alder Hey dotychczas nie odniósł się do sprawy oraz nie poinformował publicznie o jakimkolwiek cyberataku.

Nasza analiza wykazała, że ofiarą ataku najprawdopodobniej był „Liverpool Heart and Chest Hospital”, na co wskazują m.in. nazwiska chirurgów i anestezjologów z dokumentów medycznych. Placówka jest oddalona o ok. 800 metrów od szpitala, który został zaatakowany według INC Ransom. Klinika kardiologiczna również nie poinformowała o jakimkolwiek incydencie.

Incydent zgłosiliśmy NCSC (National Cyber Security Centre), brytyjskiemu odpowiednikowi CERT Polska.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].