Cyberveiligheid 

Gegevenslek treft meerdere Belgische ziekenhuizen

De cyberaanval op AZ Monica is geen geïsoleerd geval. Volgens cyberbeveiliger Secutec zijn minstens vier andere Belgische ziekenhuizen getroffen door een gelijkaardig gegevenslek. Onderzoek van Secutec wijst met een beschuldigende vinger naar kwetsbaarheden bij externe IT-leveranciers. De bevindingen zetten het belang van strengere controles in het kader van de NIS2-wetgeving op de agenda.

De cyberaanval op het Antwerpse ziekenhuis AZ Monica blijkt geen geïsoleerd incident. Cyberbeveiliger Secutec ontdekte op het darknet dat minstens vier andere Belgische ziekenhuizen slachtoffer zijn geworden van hetzelfde gegevenslek, dat bij een leverancier van online patiëntregistratiesoftware plaatsvond. In totaal circuleerden er meer dan 71.000 gelekte persoons- en aanmeldgegevens van zowel patiënten als zorgverleners van vijf ziekenhuizen.

Grote IT-leverancier

Het lek kwam aan het licht tijdens een breder onderzoek van Secutec naar datalekken en cyberaanvallen in België. Daarbij stootte het bedrijf ook op een tweede, losstaand incident bij een grote IT-leverancier. In dat geval werden ongeveer duizend aanmeldgegevens van Belgische commerciële organisaties en overheidsinstellingen aangetroffen. Volgens Secutec onderstreept dit dat de problematiek sectoroverschrijdend is en niet beperkt blijft tot de zorg.

De bevindingen sluiten aan bij eerdere signalen over de kwetsbaarheid van ziekenhuizen. Onderzoek in opdracht van de FOD Volksgezondheid stelde recent dat drie op de vier ziekenhuizen bijkomende stappen moeten zetten om te voldoen aan de maturiteitsvereisten rond cyberbeveiliging zoals opgelegd door de Europese NIS2-richtlijn. Toch nuanceert Geert Baudewijns, CEO van Secutec, die conclusie. “De zorgsector wordt nogal snel met de vinger gewezen”, stelt hij. “In de praktijk beschikken Belgische ziekenhuizen over een hoog niveau van cyberbeveiliging en geavanceerde beschermingssystemen.”

Volgens Baudewijns ligt het probleem vaak niet bij de ziekenhuizen zelf, maar bij hun afhankelijkheid van externe digitale toepassingen. “Zorginstellingen, net als organisaties in andere sectoren, maken intensief gebruik van online software van toeleveranciers. Als die leveranciers gehackt worden of nalatig zijn, vormt dat een ernstig risico. Net daarom legt de NIS2-richtlijn sterk de nadruk op controle- en auditverplichtingen van derde partijen. Daar is bij sommige organisaties nog winst te boeken.”

Gegevensdiefstal

Secutec analyseerde ook hoe dergelijke lekken tot stand komen. Gegevensdiefstal gebeurt volgens het bedrijf vooral via twee mechanismen: het misbruiken van ongepatchte kwetsbaarheden en de installatie van zogenaamde password stealers, malware die wachtwoorden buitmaakt. Beide methodes komen even frequent voor. Vooral bij grote organisaties is het stelen van wachtwoorden populair bij cybercriminelen, omdat daar vaak brede toegangsrechten bestaan.

“Technici krijgen vaak administratorrechten om hun werk te doen”, legt Baudewijns uit. “Maar soms installeren ze ongewild kwaadaardige software mee. Als dat gebeurt bij een IT-leverancier, kunnen de gevolgen zeer groot zijn.” Hij benadrukt daarom het belang van tweefactorauthenticatie. “Zelfs als een wachtwoord wordt gestolen, verhindert een tweede verificatiestap vaak verdere toegang.”

Secutec bracht intussen het Cybersecurity Centrum België op de hoogte van zijn bevindingen. Ook de betrokken ziekenhuizen en de IT-leverancier werden ingelicht. Zij kregen het advies om onmiddellijk wachtwoorden te resetten, back-upsystemen te testen en netwerken grondig te scannen op sporen van indringers.

Voor de zorgsector is het incident een duidelijke waarschuwing. Cyberveiligheid stopt niet aan de muren van het ziekenhuis: ook leveranciers en partners maken integraal deel uit van het risicoprofiel. In het licht van NIS2 zal die ketenbenadering de komende jaren alleen maar belangrijker worden.