Cum au oprit autoritățile române unul dintre cele mai grave atacuri cibernetice asupra spitalelor. Peste 100 de unități medicale au revenit la pix și hârtie

Copiile de siguranță, coordonarea rapidă și refuzul de a negocia cu hackerii au contribuit la reluarea activității în majoritatea unităților medicale în mai puțin de o săptămână.

Măsura a oprit propagarea atacului, însă a lăsat spitalele fără e-mailuri, browsere web și alte sisteme conectate la rețea. Medicii și asistentele au fost nevoiți să revină la pix și hârtie pentru a putea continua activitatea și pentru a evita afectarea pacienților.

Potrivit experților, modul în care România a gestionat criza a devenit ulterior un exemplu analizat la nivel internațional de specialiștii în situații de urgență și securitate cibernetică.

Sistemul medical, tot mai des în vizorul hackerilor

Atacul asupra spitalelor românești a avut loc într-un context în care sectorul medical este considerat una dintre principalele ținte ale infractorilor cibernetici.

Recent, FBI a avertizat că domeniul sănătății este în prezent cel mai atacat segment al infrastructurii critice. Specialiștii spun că spitalele sunt vizate deoarece întreruperea activității poate pune presiune pe autorități și poate crește șansele ca răscumpărările cerute de hackeri să fie plătite.

Atacul a început printr-un software folosit în numeroase spitale

Potrivit unei analize publicate de BBC, atacatorii au compromis compania bucureșteană RSC, dezvoltatoarea sistemului informatic Hippocrates.

Platforma este folosită de medici, asistente și personal administrativ pentru gestionarea activităților zilnice din spitale. Prin intermediul acesteia sunt administrate internările, rezultatele analizelor, investigațiile imagistice, farmaciile, stocurile de materiale medicale și chiar procesele de salarizare.

După compromiterea sistemului, hackerii au început să infecteze spitalele care utilizau aplicația cu ransomware-ul BackMyData. Fișierele au fost criptate, iar accesul la date a devenit imposibil fără o cheie de deblocare.

Primele semnale au apărut într-un spital de copii

Atacul a început sâmbătă, 10 februarie 2024. Primele probleme au fost observate duminică dimineață la Spitalul de Pediatrie din Pitești, unde personalul a remarcat erori în funcționarea sistemului.

Până în zorii zilei de luni, numeroase alte spitale raportaseră că platforma Hippocrates nu mai funcționează.

La Directoratul Național de Securitate Cibernetică (DNSC), specialiștii urmăreau în timp real extinderea atacului de la un spital la altul. În acel moment, directorul instituției, Dan Cîmpean, a luat decizia de a deconecta de la internet peste 100 de spitale.

Măsura a blocat răspândirea malware-ului și a oferit timp echipelor tehnice să evalueze amploarea incidentului.

Medicii au revenit la metodele clasice de lucru

Pentru personalul medical, deconectarea sistemelor a însemnat dispariția temporară a tuturor instrumentelor digitale utilizate zilnic.

La Spitalul Județean Buzău, chirurgul Oana Goidescu își amintește că impactul a fost imediat.

„A fost o experiență foarte neplăcută, deoarece dosarul electronic nu înseamnă doar o listă cu pacienți. Pentru fiecare pacient solicităm analize, investigații radiologice, medicamente și materiale. Toate aceste informații dispăruseră”, a explicat medicul.

În multe unități medicale, doctorii și asistentele au fost nevoiți să noteze manual datele pacienților și să gestioneze activitatea prin metode clasice.

La Spitalul Carol Davila din București au fost dezvoltate rapid proceduri alternative.

„Când am realizat că sistemul nu va fi reparat rapid, am creat o metodă offline pentru înregistrarea tuturor pacienților. Am cerut laboratorului să transmită rezultatele pe hârtie și am folosit Excel și alte instrumente offline pentru a ne asigura că îngrijirea pacienților nu este afectată”, a declarat medicul Vlad Paic.

Unii medici au afirmat că adaptarea a fost mai ușoară deoarece digitalizarea sistemului medical românesc este relativ recentă, iar personalul era încă familiarizat cu procedurile pe suport de hârtie.

26 de spitale au fost infectate cu ransomware

În timp ce activitatea medicală continua în regim de avarie, experții în securitate cibernetică și reprezentanții companiei care dezvoltă Hippocrates au lucrat continuu pentru a identifica amploarea atacului.

Investigațiile au arătat că 26 de spitale au fost infectate direct cu ransomware-ul BackMyData.

În ziua următoare, spitalele care nu fuseseră compromise au fost reconectate la internet și au primit măsuri suplimentare de protecție.

Comunicarea publică a fost esențială

DNSC consideră că succesul operațiunii s-a datorat și modului în care autoritățile au comunicat cu spitalele și cu populația.

Pacienții au fost sfătuiți să evite prezentarea la unitățile medicale dacă situația nu era urgentă.

Cu toate acestea, sălile de așteptare au continuat să fie aglomerate. O parte dintre pacienți și-au exprimat nemulțumirea față de întârzierile provocate de atac.

„Ni se spunea: «Dar dacă ar fi mama dumneavoastră?». Aveau dreptul să fie supărați, însă încercam să le explicăm că nu era vina noastră”, a povestit Oana Goidescu.

Autoritățile au transmis și un alt mesaj important: spitalele nu trebuiau să contacteze atacatorii și nu trebuiau să plătească răscumpărarea.

România a refuzat să plătească răscumpărarea

Hackerii au cerut aproximativ 160.000 de euro în bitcoin pentru deblocarea sistemelor afectate.

În urma unei decizii luate la nivel național, autoritățile au refuzat plata sumei solicitate.

În schimb, echipele IT au început restaurarea sistemelor folosind copiile de siguranță existente. Specialiștii spun că existența unor backup-uri actualizate a fost unul dintre motivele pentru care spitalele și-au putut relua activitatea atât de repede.

Majoritatea spitalelor au revenit la normal în cinci zile

La aproximativ cinci zile după declanșarea atacului, cele mai multe spitale funcționau din nou aproape normal.

Autoritățile nu au raportat decese sau cazuri de vătămare gravă asociate incidentului.

Totuși, procesul de introducere în sistem a informațiilor notate pe hârtie a durat săptămâni întregi. O parte dintre date au fost pierdute definitiv.

Reacția autorităților, a personalului medical și a specialiștilor IT a fost apreciată atât în România, cât și în străinătate, iar modul de gestionare a crizei este analizat astăzi ca studiu de caz pentru situații similare.

Cine s-a aflat în spatele atacului

Ancheta privind autorii atacului este în desfășurare, iar poliția nu a oferit detalii despre identitatea persoanelor implicate.

Totuși, anul trecut, infrastructura online asociată grupării de ransomware legate de BackMyData a fost desființată într-o operațiune internațională.

Patru cetățeni ruși au fost arestați în afara Rusiei. Autoritățile ruse nu cooperează însă cu instituțiile occidentale de aplicare a legii, ceea ce îngreunează investigațiile.

Amenințarea este una globală

Dan Cîmpean avertizează că un atac similar se poate produce în orice țară.

„Cu cât există mai multă tehnologie și digitalizare, cu atât crește și riscul”, a declarat acesta.

Exemplele recente confirmă această tendință. În 2024, serviciul britanic de sănătate NHS a anunțat că un atac informatic asupra unei companii de analize medicale a contribuit la decesul unui pacient. A fost primul caz în care o moarte a fost asociată oficial cu un atac cibernetic.

În Statele Unite, compania Change Healthcare a fost afectată de un atac major și a plătit o răscumpărare de 22 de milioane de dolari pentru a limita consecințele. Tot anul trecut, un alt furnizor medical important, Ascension, a fost ținta unui atac care a provocat perturbări semnificative.

Alina Bîzgă, specialist în securitate cibernetică la Bitdefender, spune că spitalele rămân ținte atractive pentru infractorii cibernetici.

„Infractorii cred că, cu cât provoacă mai mult haos, cu atât cresc șansele ca răscumpărarea să fie plătită”, a explicat aceasta.

O ofertă de nerefuzat

Îți mulțumim că ai citit materialul până la capăt! Avem o propunere win‑win: tu câștigi informații, noi câștigăm prieteni. Înscrie‑te pe canalul nostru de WhatsApp. Aici găsești reportaje și analize care explică ce se întâmplă cu lumea din jurul nostru. Și dacă vrei să fii la curent cu știrile și în social media, urmărește-ne pe Facebook. Enjoy!