Lekken van ziekenhuisdata toch niet uitgesloten bij Chipsoft-hack

In dit artikel:

Bij de ransomware-aanval op Chipsoft is niet meer uit te sluiten dat aanvallers gegevens van ziekenhuispatiënten hebben weggehaald, melden bronnen aan de NOS. Chipsoft levert onder meer het HIX365-platform waarmee patiënten via servers van het bedrijf toegang krijgen tot hun medische dossiers; dat verkeer had mogelijk door kwaadwillenden kunnen worden afgeluisterd.

Het gaat om meerdere ziekenhuizen die HIX365 gebruiken, waaronder het Franciscus Gasthuis (Rotterdam), het Albert Schweitzer Ziekenhuis (Dordrecht) en het Meander Medisch Centrum (Amersfoort), plus ongeveer twaalf andere instellingen. Ook een beperkt aantal huisartsenpraktijken dat Chipsoft-software gebruikt blijkt mogelijk getroffen. Ziekenhuizen die risico liepen zijn volgens bronnen geadviseerd een melding te doen bij de Autoriteit Persoonsgegevens; die bevestigt meerdere meldingen maar noemt geen namen of aantallen.

In eerste instantie stelde Chipsoft dat ziekenhuisdata veilig waren, maar eind vorige week werden strengere maatregelen genomen: de patiëntensites gingen offline, ondersteunende accounts en wachtwoorden werden ingetrokken of gewijzigd en de digitale sleutels voor het verkeer tussen Chipsoft en ziekenhuizen zijn allemaal vervangen. Externe beveiligingsexperts voeren nu een “diepgaand forensisch onderzoek” uit omdat niet uitgesloten kon worden dat aanvallers meer hebben bemachtigd dan eerst gedacht. Chipsoft ontkent dat deze experts te laat zijn ingeschakeld; Z-Cert geeft geen inhoudelijke reactie.

De patiëntportalen zijn nog steeds offline, waardoor patiënten niet bij hun uitslagen of dossiers kunnen en inchecken in sommige ziekenhuizen lastiger is, met langere wachtrijen als gevolg. Voor zover bekend heeft dat niet geleid tot aantoonbare schade aan de medische zorgverlening. Wel is er een privacyrisico voor getroffen patiënten als gegevens inderdaad zijn gelekt, iets waarvoor meldingsplicht en verder onderzoek volgen.