Phishing w szpitalu a dyrektywa NIS 2. Dlaczego technologia to za mało?

Phishing w szpitalu

W dyskusjach na temat cyberbezpieczeństwa w placówkach medycznych często dominują zagadnienia technologiczne. Statystyki dowodzą jednak, że częstą przyczyną paraliżu operacyjnego oraz poważnych naruszeń ochrony danych jest phishing w szpitalu. Dyrektywa NIS 2 (wraz z nowelizacją ustawy o KSC) kończy z podejściem, w którym cyberbezpieczeństwo ogranicza się do zakupu firewalli. Ustawodawca unijny wskazuje na „czynnik ludzki” jako krytyczny wektor ataku, wymuszając zmianę priorytetów. W efekcie nowe regulacje nakładają na zarządy szpitali bezwzględny obowiązek wdrożenia i prowadzenia regularnych, cyklicznych szkoleń z bezpieczeństwa informacji dla całego personelu pod rygorem kar administracyjnych. Zatem jak wygląda wyłudzenie danych osobowych i jak szpitale mogą się dnim nimi bronić?

Spis treści

Phishing w szpitalu - cyberzagrożenie

Dlaczego oszuści internetowi biorą na cel szpitale?

Działania cyberprzestępców są ściśle skalkulowane i motywowane finansowo. Szpital jest traktowany jak korporacja posiadająca cenne aktywa, a phishing w szpitalu to jedna z metod wyłudzenia danych osobowych. Atakujący dążą zazwyczaj do realizacji jednego z trzech precyzyjnych scenariuszy:

  • Kradzież tożsamości i handel danymi (data theft): rekord medyczny pacjenta jest na czarnym rynku wart wielokrotnie więcej niż numer karty kredytowej. Kartę można zablokować w kilka minut, natomiast historii chorób i numeru PESEL zmienić się nie da. Przejęcie dostępu do EDM pozwala przestępcom na kradzież tysięcy tożsamości, służących później do wyłudzeń finansowych. Dlatego też bezpieczeństwo informacji gromadzonych przez placówki medyczne stanowi tak duży priorytet dla dyrektywy NIS 2.
  • Ransomware z podwójnym wymuszeniem (double extortion): klasyczne szyfrowanie danych to dziś za mało. Nowoczesne grupy przestępcze stosują taktykę „podwójnego haraczu”. Najpierw wykradają wrażliwe dane, a dopiero potem szyfrują systemy. Jeśli szpital odtworzy dane z backupu i odmówi zapłaty, przestępcy grożą publicznym ujawnieniem dokumentacji medycznej. Sektor ochrony zdrowia jest dziś bardziej atrakcyjnym miejscem ataku niż sektor finansowy.
  • Sprzedaż dostępu (Initial Access Brokers): Często osoba wysyłająca phishing nie przeprowadza ataku właściwy. To tzw. „brokerzy dostępu”. Ich celem jest jedynie zainfekowanie komputera (np. w rejestracji), aby następnie sprzedać te „otwarte drzwi” wyspecjalizowanym gangom ransomware na aukcjach w podziemiu internetowym.

Dlaczego oszuści internetowi atakują personel szpitala?

Skoro wiemy „po co” hakerzy atakują, należy zapytać „dlaczego są tak skuteczni”. Problem nie leży w braku kompetencji personelu, ale w specyficznym środowisku pracy, które socjotechnicy bezwzględnie wykorzystują. Obrona jest wyjątkowo trudna, ponieważ:

  • Presja czasu: techniki manipulacji opierają się na wywołaniu poczucia pilności („zrób to teraz, albo system zostanie zablokowany”). Personel medyczny i administracyjny, działający w ciągłym pośpiechu, nie ma czasu na dokładną analizę każdej wiadomości.
  • Obowiązek opieki: lekarz widzący e-mail o „krytycznych wynikach badań” jest psychologicznie zmuszony go otworzyć. Zignorowanie takiej wiadomości mogłoby narazić pacjenta na niebezpieczeństwo. Oszuści cynicznie grają na etyce lekarskiej.
  • Wiarygodność: czasy wiadomości z błędami językowymi minęły. Obecne fałszywe strony i e-maile idealnie kopiują logotypy instytucji państwowych. Adresy stron mogą różnić się tylko jedną literą, co w pośpiechu jest niemal niezauważalne.

Próby wyłudzenia danych osobowych są zjawiskiem powszechnym, a sektor ochrony zdrowia jest obszarem, w którym takie ataki mogą okazać się bardzo korzystne dla hakerów. System cyberbezpieczeństwa oparty wyłącznie na oprogramowaniu IT jest niewystarczającym zabezpieczeniem wobec psychologicznych technik manipulacji, które zawierają fałszywe wiadomości rozsyłane do personelu medycznego i administracyjnego placówek ochrony zdrowia.

ZOBACZ RÓWNIEŻ:

Jak w praktyce wygląda phishing w szpitalu? Jak oszuści próbują wyłudzić dane osobowe?

Metody hakerów są coraz bardziej wyrafinowane (tzw. spear-phishing). Rzadko jest to generyczny spam. Najczęściej atakujący podszywają się pod zaufane autorytety:

  1. Phishing na NFZ lub ZUS: personel administracyjny otrzymuje fałszywe e-maile, lub SMS-y (smishing) informujące o rzekomych błędach w kontraktach czy konieczności „aktualizacji danych placówki”. Linki phishingowe prowadzą do fałszywych stron, które w skali 1:1 imitują portale takie jak SZOI, serwis PUE ZUS czy aplikacje do złudzenia przypominające NFZ.
  2. Podszywanie się pod dział IT: pracownik otrzymuje komunikat od rzekomego „wsparcia technicznego” o konieczności zmiany hasła pod rygorem blokady konta. Taka wiadomość e-mail najczęściej zawiera link przekierowujący do fałszywej strony internetowej, gdzie pracownik widzi prośbę o weryfikację danych i podanie hasła.
  3. Scenariusz medyczny (najgroźniejszy): atak celowany w personel medyczny, którego celem jest pozyskanie danych użytkownika lub uzyskanie dostępu do danych osobowych. Lekarz otrzymuje e-mail z załącznikiem np. „Pilne_Wyniki_TK.zip” lub „Grafik_Dyzurow.xlsm”. Otwarcie pliku (często zawierającego złośliwe makra) inicjuje instalację oprogramowania malware, co prowadzi do natychmiastowego paraliżu systemów. Tego rodzaju incydenty bezpieczeństwa są nie tylko groźne w kontekście naruszenia ochrony danych, ale prowadzą do sytuacji, w której placówki medyczne mogą przestać funkcjonować.

 

Phishing jako incydent cyberbezpieczeństwa NIS 2

Wprowadzenie Dyrektywy NIS 2 fundamentalnie zmienia kwalifikację prawną skutków ataku socjotechnicznego. W świetle nowych regulacji phishing w szpitalu, a konkretnie moment kliknięcia w link lub wyciek danych logowania przestaje być błędem pracowniczym, a staje się formalnym incydentem cyberbezpieczeństwa.
Dla placówki medycznej oznacza to wejście w rygorystyczny tryb raportowania. W takiej sytuacji szpital ma obowiązek zgłoszenia tzw. „wczesnego ostrzeżenia” do CSIRT w nieprzekraczalnym terminie 24 godzin od wykrycia. Co więcej, jeśli atak doprowadzi do paraliżu, organy nadzorcze będą badać przyczyny.
W tym kontekście brak udokumentowanych szkoleń personelu będzie traktowany jako rażące naruszenie obowiązku należytej staranności, narażając zarząd na dotkliwe sankcje finansowe. Psychologiczne techniki manipulacji zakładające podszywanie się pod NFZ (tzw. oszustwo na NFZ) poprzez fałszywe strony internetowe do złudzenia przypinające serwisy Funduszu Ochrony Zdrowia lub Centrum e-Zdrowia są powszechnie znane. Dlatego też dyrektywa NIS 2 wskazuje na konieczność przeprowadzania szkoleń, które będą niwelować zagrożenia ze strony fałszywych wiadomości w celu wyłudzenia danych, a ich brak będzie surowo karany.

Obowiązkowe szkolenia i cyberhigiena jako broń przed wyłudzeniem danych osobowych

Dyrektywa NIS 2 nakłada na zarządy sektora ochrony zdrowia obowiązek zapewnienia regularnych szkoleń, które będą budować świadomość oraz dobre nawyki wobec prób wyłudzenia danych. Aby spełnić ten wymóg, edukacja nie może być jednorazowym wykładem. Skuteczny system czuwający nad bezpieczeństwem informacji wymaga ciągłego doskonalenia. Jego celem powinno być wdrożenie trwałej kultury cyberhigieny, zbioru codziennych nawyków, takich jak:

  • Krytyczna weryfikacja nadawcy (szczególnie przy presji czasu).
  • Sprawdzanie adresów URL przed podaniem hasła.
  • Nawyk blokowania stacji roboczej przy odejściu od biurka (ochrona przed dostępem fizycznym).
  • Proaktywne zgłaszanie incydentów do działu IT.

Odporność na phishing w szpitalu

Analiza korelacji między dyrektywą NIS 2 a zagrożeniem, jakim jest phishing w szpitalu, prowadzi do jednoznacznej konkluzji, technologia to za mało. Bezpieczeństwo informacji gromadzonych przez placówki ochrony zdrowia jest kluczowe dla stabilności społecznej. Dlatego ochrona przed psychologicznymi technikami manipulacji, które wykorzystuje się w fałszywych wiadomościach, musi zostać podniesiona do rangi priorytetu zarządczego szpitalem. Jedyną skuteczną barierą pozostaje budowa odporności personelu, który dzięki wiedzy przestaje być celem, a staje się pierwszą linią obrony ciągłości działania placówki.
Fałszywa infolinia NFZ, która jest obsługiwana przez oszustów, wiadomości sms wysłane przez hakerów i strony internetowe, które do złudzenia przypominają domeny instytucji publicznego zaufania to tylko najbardziej znane metody oszustów dążących do zdobycia chronionych danych. Oszuści internetowi zmieniają i rozwijają swoje metody, próbując wyłudzić dane na wiele sposobów. Dlatego też placówki ochrony zdrowia powinny być tego świadome, a jednocześnie dążyć na wiele sposobów do zabezpieczenia się przed tego typu incydentami bezpieczeństwa.

Audyt zero – Twój punkt odniesienia

W gąszczu nowych przepisów łatwo stracić z oczu cel i przepalić budżet na nietrafione inwestycje. Zamiast podejmować decyzje w oparciu o domysły, sprawdź, w którym miejscu rzeczywiście znajduje się Twoja organizacja. Usługa „Audyt zero” to pragmatyczny pierwszy krok.

Zamiast zgadywać, pozwól nam przeprowadzić wstępną ocenę, która:

  1. Wskaże krytyczne luki w ciągłości działania, o których możesz nie wiedzieć.
  2. Ustawi właściwe priorytety inwestycyjne, chroniąc budżet przed zbędnymi wydatkami.
  3. Dostarczy jasny plan działania (mapę drogową) dojścia do pełnej zgodności z dyrektywą NIS 2.

Sprawdź gotowość swojej placówki, zanim zrobi to rzeczywistość. Zapraszamy do kontaktu w sprawie Audytu zero.

Sprawdź Audyt zero
Sprawdź Audyt zero