ChipSoft potwierdza kradzież danych pacjentów w ataku ransomware z 7 kwietnia

Kradzież danych potwierdzona po wcześniejszym zaprzeczeniu

DutchNews podał, że ChipSoft potwierdził kradzież danych pacjentów w ataku, choć najpierw informował klientów, że dane osobowe są „prawdopodobnie” bezpieczne. Wcześniej firma mówiła NOS, że nie może wykluczyć, iż ktoś widział lub wykradł dokumentację medyczną. Hakerzy atakowali informacje o leczeniu, a skradzione dane nie pojawiły się dotąd w dark webie, podała Volkskrant. Holenderski organ ochrony danych otrzymał 66 zgłoszeń o naruszeniu danych związanych z atakiem, w tym jedno od samego ChipSoftu.

Atak zaczął się 7 kwietnia 2026 r. Z-CERT, zespół reagowania na incydenty komputerowe w holenderskim sektorze ochrony zdrowia, następnego ranka potwierdził w komunikacie, że doszło do ataku ransomware, i zalecił szpitalom odcięcie połączeń VPN. ChipSoft poinformował NOS, że doszło do „incydentu z danymi” z „możliwym nieuprawnionym dostępem”. Rzecznik firmy przekazał, że po wykryciu włamania firma natychmiast zablokowała atakujących.

Jeden dostawca, siedem na dziesięć szpitali

Z platformy HiX firmy ChipSoft korzysta około 70% holenderskich szpitali, wynika z ustaleń The Record, Cybernews i DutchNews. Safestate podał udział na poziomie około 80%, czyli cztery na pięć szpitali. NOS poinformował, że jedenaście szpitali tymczasowo odłączyło oprogramowanie ChipSoftu od swoich sieci, a systemy były niedostępne w Sint Jans Gasthuis w Weert, Laurentius Hospital w Roermond, VieCuri Medical Center w Venlo i Flevo Hospital w Almere. Wśród jedenastu placówek, które wyłączyły portale pacjentów, były też Slingeland, Rijnstate, Franciscus, Diakonessenhuis, Frisius MC i Tergooi MC. ChipSoft na wszelki wypadek zablokował połączenia z Zorgportaal, HiX Mobile i Zorgplatform, podał The Record. Większość szpitali pozostała podłączona, wynika z ankiety NOS, którą przytoczył Cybernews.

Zasięg szerszy niż klienci chmury

DutchNews podał, że atak dotknął lekarzy rodzinnych, kliniki rehabilitacyjne i Rotterdam Eye Hospital, które korzystają z hostowanej w chmurze platformy HiX 365, a szpitale trzymające technologię na własnych serwerach nie ucierpiały. Cybernews, powołując się na komunikat Z-CERT, wymienił wśród dotkniętego oprogramowania HiX on-premise, HiX SaaS oraz SaaS Patient Portal, czyli szerszy zakres. Rijnstate i Franciscus podały, że dane pacjentów pozostały bezpieczne, bo przechowywano je w odizolowanych środowiskach, a nie w centralnej infrastrukturze ChipSoftu.

Zagrożone dane zawierają nazwiska, adresy, krajowe numery identyfikacyjne, diagnozy, historię leczenia i dane ubezpieczeniowe, podał Safestate. Z systemu korzystają dziesiątki gabinetów lekarzy rodzinnych, podało stowarzyszenie LHV, a największa grupa działa w północnej Limburgii.

Prezes Hans Mulder powiedział, że firma nie może odwrócić skutków kradzieży. „Robimy wszystko, co w naszej mocy, by jak najlepiej wesprzeć dotkniętych klientów”, napisał w mediach społecznościowych. Holenderska Federacja Pacjentów stwierdziła, że brak informacji dla pacjentów trwa zbyt długo. „Pacjenci muszą wiedzieć, na czym stoją, zwłaszcza gdy chodzi o wrażliwe dane medyczne”, podała organizacja.

Co dalej

Centrum Medyczne Uniwersytetu w Leiden tymczasowo wstrzymało wdrożenie nowego systemu elektronicznej dokumentacji medycznej dostarczanego przez ChipSoft. Szpital podał, że nie ma sygnałów, by dane jego pacjentów wyciekły. Żadna grupa ransomware nie przyznała się do ataku, a tożsamość sprawców pozostaje nieznana. ChipSoft nie powiedział, czy negocjuje z atakującymi, podała Volkskrant.

Z-CERT podał, że zakłócenia powodowały głównie problemy logistyczne, a nie krytyczne kwestie medyczne. „Żaden krytyczny proces leczenia nie stanął w miejscu”, podała organizacja. Szpitale zwiększyły obsadę punktów obsługi i infolinii, a komunikację między placówkami przeniosły na systemy telefoniczne.