U subotu, 23. kolovoza, na hakerskom forumu na dark webu pojavila se objava skupine koja se naziva INF Grupa, a za koju se smatra da djeluje iz Srbije: tvrde da su provalili u sustav jedne hrvatske zdravstvene ustanove, opisane kao ordinacija koja liječi slijepe pacijente, i besplatno objavili 9.400 zapisa s njihovim podacima. Prva datoteka, s oko 9.200 zapisa, sadrži imena i prezimena, telefonske brojeve, OIB, JMBG, adrese, e-mail adrese, medicinske dijagnoze, propisane lijekove i interne bilješke liječnika. Druga datoteka broji 240 PDF dokumenata sa službenom medicinskom dokumentacijom, poviješću bolesti i terapijama. Naziv ustanove hakeri nisu objavili, ali su najavili da ovo nije zadnji napad.

Ovo nije prvi put da netko čuje za INF Grupu. Riječ je o istoj skupini koja je krajem svibnja hakirala stranicu Ministarstva rada, mirovinskog sustava, obitelji i socijalne politike i na njoj ostavila političku poruku, zatim u lipnju upala u dio aplikacija Ministarstva zdravstva, pa 10. kolovoza objavila bazu od 86.000 zapisa za koju tvrde da potječe iz hrvatskog pravosudnog sustava, i konačno 19. kolovoza probila aplikaciju HZMO Live te tvrdila da je preuzela podatke 105.000 građana. Zdravstvena ustanova je peta poznata meta u tri mjeseca, i prva kod koje su procurili stvarni medicinski podaci pacijenata, a ne samo osnovni identifikacijski podaci.

Ovo nije jedan napad, nego kampanja

Ono što ovaj slučaj razlikuje od klasičnog kibernetičkog kriminala jest motiv. Hakeri iza svake objave dosad nisu tražili otkupninu, nego su podatke dijelili besplatno i uz poruku da je riječ o odmazdi zbog nedavnih uhićenja osoba povezanih s njihovim ranijim napadima, uz izravne prijetnje da će napadi nastaviti. Drugim riječima, ovo nije jednokratni incident koji institucija može riješiti i zaboraviti, nego aktivna, politički motivirana kampanja koja bira nove mete otprilike svaki tjedan.

Za bolnice, domove zdravlja i privatne ordinacije u Hrvatskoj to mijenja izračun rizika. Pitanje više nije hoće li netko pokušati upasti, nego kada će red doći na vas i jeste li do tada uspjeli zatvoriti najočitije rupe. Skupina koja javno objavljuje mete i najavljuje nastavak aktivnosti daje institucijama nešto što se rijetko dobiva besplatno, unaprijed upozorenje da su na meti cijeli sektor i cijela državna uprava, ne pojedinačna organizacija.

Zašto su ovi podaci druga liga

Telefonski broj ili adresa mogu se, uz određenu nelagodu, promijeniti. Dijagnoza, terapija ili liječnička bilješka ne mogu. Zdravstveni podaci spadaju u posebnu kategoriju osobnih podataka prema GDPR-u upravo zato što otkrivaju nešto što osoba ne može jednostavno poništiti, i zato što njihova zlouporaba ide dalje od krađe identiteta, u ucjenu, diskriminaciju na poslu, kod osiguranja ili u osobnom životu.

U ovom slučaju posebno zabrinjava kombinacija OIB-a, JMBG-a i konkretnih medicinskih dijagnoza u istoj datoteci. To znači da netko tko podatke preuzme ne dobiva samo priliku za financijsku prijevaru, nego i materijal za ciljano uznemiravanje ili iznudu prema konkretnim pacijentima, posebno osjetljivo kod ustanove koja liječi ranjivu skupinu poput slijepih osoba.

Dosadašnji obrazac reakcija nadležnih tijela nije osobito ohrabrujući. Kod ranijih napada iste skupine, poput onog na Ministarstvo rada, AZOP nije bio obaviješten jer pogođena stranica navodno nije sadržavala bazu osobnih podataka. Kod HZMO-a, AZOP je pokrenuo nadzor tek nakon što su detalji već bili javni. Novinari koji su pokušali dobiti potvrdu ili demanti od nadležnih institucija u više navrata nisu dobili odgovor prije objave teksta. Za ustanovu čiji su pacijenti sada izloženi, to znači da se na brzu i jasnu službenu komunikaciju trenutačno ne može posve računati, što dodatno naglašava potrebu da svaka ustanova ima vlastiti plan.

Tri stvari koje provjerite ovaj tjedan

Ako vodite zdravstvenu ustanovu u Hrvatskoj, ne čekajte mjesec dana. Evo što provjeriti već sada, dok je kampanja aktivna.

Prvo, provjerite tko izvana ima pristup vašem sustavu za medicinsku dokumentaciju i je li pristup ograničen na ono što je stvarno potrebno. Napadi na HZMO i Ministarstvo zdravstva pokazuju da nije nužno probijen glavni informacijski sustav, nego često rubna aplikacija ili korisnički portal s manje nadzora.

Drugo, provjerite imate li plan za slučaj da vas netko kontaktira i kaže da su vam podaci procurili prije nego što to sami primijetite. Kod ove skupine to je uobičajen scenarij: institucija prvi put sazna iz medija ili s hakerskog foruma, a ne iz vlastitog sustava za nadzor.

Treće, provjerite je li vaša ustanova prema ZKS-u kategorizirana kao ključni ili važni subjekt, i ako jest, jeste li ispunili obveze prijave incidenta prema NCSC-HR i AZOP-u unutar propisanih rokova. U trenutnoj kampanji brzina reakcije institucije počinje biti jednako vidljiva javnosti kao i sam upad.

Riskoria pomaže zdravstvenim ustanovama u Hrvatskoj s procjenom usklađenosti sa ZKS-om, pripremom za reviziju kibernetičke sigurnosti i planovima odgovora na incident. Za razgovor o stanju vaše ustanove, javite se na info@riskoria.eu.