У стерильному середовищі високого тиску сучасної медицини дані такі ж важливі, як кисень. Для лікарів у лікарні Королівського коледжу та лікарні Гая та Сент-Томаса в Лондоні потік цифрового кисню був раптово перерваний на початку червня, що змусило одну з найдосконаліших систем охорони здоров’я повернутися до швидкості ручки та паперу. Винуватцем був не біологічний патоген, а цифровий: катастрофічна атака програм-вимагачів, націлена на Synnovis, патологічне партнерство, важливе для Національної служби охорони здоров’я (NHS). Інцидент не просто порушив адміністративний графік; вона призупинила операції, що рятують життя, поставила під загрозу конфіденційність майже мільйона пацієнтів і оголила тендітне дно аутсорсингу охорони здоров’я.
Атака, яку приписують російськомовній кіберзлочинній групі Qilin, призвела до крадіжки та подальшого шифрування критично важливих систем, які використовувалися для обробки аналізів крові та зразків тканин. Як повідомляє TechRepublic, порушення змусило оголосити про критичний інцидент, що призвело до скасування понад 1000 запланованих операцій і процедур лише протягом першого тижня. Хаос виник миттєво: без доступу до цифрових записів патології хірурги не могли перевірити групи крові для переливання, що змусило небезпечно покладатися на універсальну O-негативну кров і поставило під загрозу національне постачання. Ця подія служить похмурим тематичним дослідженням для інсайдерів галузі, ілюструючи, як злом у сторонньому постачальнику послуг може перерости в надзвичайну ситуацію в галузі охорони здоров’я історичного масштабу.
Системна крихкість взаємопов’язаних мереж охорони здоров’я створює радіус вибуху, який виходить далеко за межі початкової точки цифрового впливу.
Компанія Synnovis, що опинилася в центрі цієї бурі, є спільним підприємством NHS і Synlab, німецького діагностичного гіганта. Ця структура підкреслює критичну вразливість сучасної інфраструктури охорони здоров’я: залежність від зовнішніх постачальників для основних клінічних функцій. Хоча аутсорсинг пропонує ефективність, він також розширює поверхню атаки. Аналітики безпеки відзначають, що Qilin, ймовірно, використовував уразливість у протоколах віддаленого доступу Synnovis або невиправлених застарілих системах, щоб закріпитися. Опинившись усередині, вони рухалися вбік, вилучаючи дані перед розгортанням свого корисного навантаження шифрування. Ця тактика подвійного вимагання є характерною рисою сучасних операцій Ransomware-as-a-Service (RaaS), гарантуючи, що навіть якщо жертва може відновити дані з резервних копій, загроза витоку даних залишається потужним важелем для вимагання.
Операційний параліч був абсолютний. Джерела, на які посилається the BBC описав сцену плутанини, коли молодші лікарі, повністю навчені в епоху цифрових технологій, були змушені фізично бігати паперовими листками між палатами та лабораторіями. Залежність від Synnovis була повною; лабораторія обробляє 70% усіх запитів на патологію для постраждалих трастів. Коли сервери померкли, можливості діагностувати інфекції, контролювати роботу органів і підбирати кров для трансплантації зникли. Цей сценарій підкреслює збій у плануванні безперервності бізнесу. Хоча аварійне відновлення часто зосереджується на відновленні даних, небагато організацій ретельно перевірили свою здатність підтримувати клінічну пропускну здатність під час тривалого повного збою діагностичних служб.
Агресивна стратегія монетизації Qilin являє собою перехід до критичної інфраструктури, де час простою вимірюється людськими життями, а не втраченим доходом.
Після відмови Synnovis і Національної служби охорони здоров’я заплатити вимаганий викуп — за чутками, цифра обчислюється десятками мільйонів доларів — Цилінь посилив конфлікт. Наприкінці червня група опублікувала майже 400 ГБ вкрадених даних на своєму сайті витоку темної мережі. Розбір смітника за Реєстр та інші спостерігачі за кібербезпекою підтвердили найгірші побоювання: кеш містив імена пацієнтів, дати народження, номери NHS та описи аналізів крові. Хоча повний масштаб порушення конфіденційності все ще зводиться до таблиці, психологічні наслідки для пацієнтів є незмірними. Витік перетворює тимчасову операційну кризу на довічну відповідальність за конфіденційність для жертв, наражаючи їх на потенційну крадіжку особистих даних і цілеспрямовані фішингові кампанії.
Не можна ігнорувати геополітичний вимір атаки. Qilin, як і багато провідних банд програм-вимагачів, діє мовчазно безкарно в Росії, за умови, що їхні цілі залишаються за межами Співдружності Незалежних Держав. В інтерв’ю з візуально спотвореним представником групи Цілінь стверджував, що атака була формою відплати уряду Великобританії за його участь у невизначених міжнародних конфліктах, хоча експерти з кібербезпеки відкидають це як пост-гоц виправдання чистої жадібності. Тим не менш, напад на інфраструктуру охорони здоров’я столиці G7 стирає межу між злочинними підприємствами та гібридною війною, змушуючи західні уряди переглянути те, як вони класифікують і захищають мережі медичних даних.
Важкий шлях до відновлення підкреслює технічну заборгованість і складність архітектури, які перешкоджають спробам модернізації успадкованого державного сектора.
Відновлення було агонічно повільним. Станом на липень, через кілька тижнів після початкового порушення, Synnovis вдалося відновити лише частину своїх можливостей. Процес відновлення передбачає не просто розшифровку даних, а й очищення всієї мережі, щоб переконатися, що не залишилося бекдорів — процес, відомий як «дезінфекція». Згідно з оновленнями від NHS Англіїтрастам доводилося перенаправляти випадки травм і трансплантувати пацієнтів до інших лікарень по всьому Лондону, що напружувало ширшу систему охорони здоров’я міста. Інцидент змусив нормувати патологоанатомічні послуги, а лікарям загальної практики (GP) було наказано призупинити нетермінові аналізи крові, створюючи приховану кількість недіагностованих захворювань, які можуть не проявлятися місяцями.
Очікується, що фінансові наслідки будуть приголомшливими. Крім безпосередніх витрат на реагування на інциденти та судово-медичний аналіз, NHS стикається з потенційними колективними позовами та штрафами. Офіс уповноваженого з інформації (ICO) розпочав розслідування порушення. Відповідно до GDPR Великобританії штрафи можуть досягати 17,5 мільйонів фунтів стерлінгів або 4% світового обороту. Однак більша ціна полягає в ерозії суспільної довіри. Як детально описано в матеріалі The Guardianзараз пацієнти ставлять під сумнів безпеку своїх найінтимніших біологічних даних. Для такої установи, як Національна служба охорони здоров’я, яка покладається на співпрацю з громадськістю в ініціативах у сфері охорони здоров’я, ця втрата довіри є такою ж шкодою, як і простої роботи.
Цей інцидент слугує остаточним тривожним дзвіночком для впровадження архітектур нульової довіри в клінічних ланцюжках поставок.
Оглядачі галузі стверджують, що злом Synnovis був передбачуваним. Synlab, материнська компанія, зазнала подібної атаки програм-вимагачів на її підрозділи в Італії на початку року, а раніше – у Франції. Ця модель вказує на системні недоліки глобальної безпеки компанії. Це викликає неприємні запитання щодо належної обачності, яку виконують трасти NHS під час закупівлі критично важливих послуг. Модель «оборони периметра», коли організації довіряють усьому, що знаходиться всередині брандмауера, застаріла. Ця катастрофа підтверджує необхідність архітектури Zero Trust, де кожен запит на доступ перевіряється, а сегментація мережі запобігає переходу зловмисника з корпоративного сервера електронної пошти до бази даних критичних патологій.
Крім того, інцидент підкреслює необхідність створення «незмінних резервних копій» — копій даних, які неможливо змінити чи видалити за допомогою програми-вимагача. Хоча Synnovis, ймовірно, мав резервні копії, швидкість відновлення свідчить про те, що вони були скомпрометовані, або процес відновлення не перевірявся в масштабі. Рухаючись вперед, сектор охорони здоров’я повинен розглядати кібербезпеку не як питання ІТ, а як питання безпеки пацієнтів. Подібно до того, як лікарні мають резервні генератори на випадок збою електроенергії, їм потрібні «аналогові зупинки зворотного зв’язку» та ізольовані цифрові середовища для підтримки основних функцій під час кібероблоги. Сучасне середовище векторів загроз вимагає не менше, ніж повного перегляду цифрової стійкості.
Довгостроковий прогноз щодо кібербезпеки охорони здоров’я вимагає єдиної нормативної бази, яка вимагає від сторонніх постачальників тих самих суворих стандартів, що й для постачальників клінік.
Коли пил вляжеться, лондонські ради та трести Національної служби охорони здоров’я залишаються збирати шматки. Щоб розчистити відставання планових операцій, знадобляться місяці, а темна мережа буде зберігати приватні історії хвороби лондонців на невизначений термін. Ця подія відображає спустошливу атаку WannaCry у 2017 році, але відрізняється її цілеспрямованим характером. WannaCry був хаотичним, ненаціленим хробаком; Напад Ціліня був точним ударом по одній точці відмови. Це продемонструвало, що калічення одного постачальника може поставити на коліна кілька великих лікарень.
Зрештою, атака Synnovis є яскравим нагадуванням про те, що в оцифрованому світі лікарня настільки сильна, наскільки сильна її найслабша ланка програмного забезпечення. Галузь має вийти за межі контрольних списків відповідності та прийняти позицію постійної пильності. Доки економічна модель програм-вимагачів не буде зламана або захист критичної інфраструктури не буде зміцнено до військового стандарту, пацієнти й надалі залишатимуться пішаками у грі з високими ставками цифрового вимагання. Попереджувальні лампи блимають червоним; залишається питання, чи має глобальний сектор охорони здоров’я ресурси та бажання прислухатися до них.
