לראשונה: נקבע מוות של מטופל כתוצאה ממתקפת סייבר

תמונה: Unsplash

מתקפת הכופרה של קבוצת ההאקרים הרוסית Qilin נגד ספקית שירותי הדם הבריטית Synnovis ביוני 2024 הובילה להשבתת מערכות קריטיות, לעיכובים בטיפול הרפואי וליותר מ־10,000 תורים שבוטלו. אבל רק כעת, שנה אחרי, מתברר שהנזק היה עמוק בהרבה: חולה בבית החולים King’s College בלונדון מת והסיבה, כך לפי קביעה רפואית רשמית, הייתה העיכוב בבדיקות הדם בעקבות מתקפת הסייבר.

זהו ככל הנראה המקרה הראשון בעולם שבו מוסד רפואי מודה רשמית שמוות של מטופל נגרם, לפחות בחלקו, כתוצאה ממתקפת סייבר, ולא מדובר רק בהשערה או תחקיר עיתונאי. "המתנה ארוכה לתוצאות בדיקת דם עקב מתקפת הסייבר", כך תואר אחד הגורמים התורמים למותו של המטופל, שהתרחש ב־3 ביוני 2024, היום שבו הותקפו מערכות Synnovis. העובדה שמעבדות הושבתו ותורים קריטיים בוטלו לא הותירה מקום רב להפתעות ומוות של מטופל היה עניין של זמן.

קריאת השכמה לארגוני הבריאות

עומר בכר, מנכ"ל חברת Vetric (וטריק) המספקת תשתיות טכנולוגית לניתוח מידע ציבורי מרחבי הרשת, ומסייעת לגופי אבטחת מידע ותאגידים לזהות פעילויות חשודות, ניסיונות התחזות ופייק ניוז, רואה במקרה כקריאת השכמה: "האירוע הזה ממחיש כיצד תקיפות סייבר על תשתיות רגישות אינן מסתיימות בפגיעה דיגיטלית בלבד, אלא עלולות לגלוש במהירות להשפעה ממשית על חיי אדם".

"במציאות הנוכחית, היכולת לזהות מראש איומים באמצעות ניתוח בזמן אמת של שיח בסושיאל מדיה, כמו הודעות, קבוצות, וקהילות שבהן מתואמות מתקפות, הופכת לכלי חיוני במניעת אירועים דומים", מזהיר בכר שמוסיף כי "במקרים רבים, סימנים מוקדמים לכוונות תקיפה נחשפים ברשתות החברתיות זמן רב לפני שמבוצעת הפעולה עצמה, ואיתורם עשוי להיות ההבדל בין אירוע שמסתיים בנזק חומרי בלבד לאירוע שעלול לגבות חיי אדם".

הנתונים שפורסמו על המקרה מציירים תמונה מדאיגה. לפי דיווח של ה-Health Service Journal, המתקפה יצרה כמעט 600 תקריות שונות שפגעו בטיפול בחולים. מקרה אחד סווג  כ"פגיעה חמורה", 14 מקרים סווגו כ"פגיעה בינונית", והשאר סווגו כ"פגיעה קלה". במקרה הקיצוני ביותר אדם אחד שילם במחיר חייו. הפושעים עצמם ניסו להצדיק את מעשיהם וטענו שמדובר במחאה פוליטית נגד פעולות הממשלה הבריטית, והביעו צער על הנזק שנגרם תוך הכחשת האחריות.

היערכות מראש יכולה להציל חיים

עו"ד (רו"ח) גלעד פינקלשטיין, המתמחה בייצוג תאגידים בסוגיות מסחריות ופיננסיות, הסביר כי מתקפות הסייבר המכוונות נגד גורמי רפואה מחייבים היערכות מראש מצד אותם גופים: "ביטוחי סייבר הפכו לחיוניים עבור ארגונים רפואיים, אך חשוב להבין שהם מכסים נזקים כספיים ולא את החיים האנושיים. העיקר הוא מניעה. השקעה במערכות אבטחה מתקדמות, הכשרת עובדים וכינון פרוטוקולים ברורים למקרי חירום יצמצמו את האפשרות למקרה כמו בבריטניה".

"קבוצות הכופר כמו קילין מתמחות בתקיפת ארגונים גדולים ורגישים שיעדיפו לשלם מאשר לסבול מהשבתה ממושכת", הוסיף רון מירן, סמנכ"ל מודיעין סייבר בחברת רדוור (Radware). "מוסדות רפואיים חייבים לבנות אסטרטגיית גיבוי ונהלי התאוששות מתקלות או תקיפות סייבר. על המוסדות למפות יישומים קריטיים ולאבטח אותם כך שגם במתקפות סייבר, לרבות מתקפות כופרה, יוכלו לעבור למערכות הגיבוי בהקדם, להצפין מידע רגיש כגון נתוני פציינטים, ולהגביל גישת משתמשים למידע על בסיס מערכת הרשאות קפדנית. כמו כן על המוסדות להריץ תרחישי התאוששות באופן סדיר על מנת לבחון את מוכנות מערכות המידע ולתרגל את הצוותים לקראת אירוע סייבר משמעותי".

המקרה בלונדון חושף פער מטריד בין קצב התפתחות האיומים לבין יכולות ההגנה של מוסדות ציבוריים. בעוד שהאקרים משכללים את השיטות שלהם ומחפשים דרכים חדשות לחדור למערכות, בתי חולים ומעבדות רפואיות נאלצים להתמודד עם תקציבים מוגבלים, מערכות מורשת ישנות וצוותי IT קטנים שמתקשים לעמוד בקצב. התוצאה היא מציאות בה מתקפת סייבר יכולה להתפתח מבעיה טכנית למשבר רפואי תוך שעות. כשמעבדות מושבתות, רופאים לא יכולים לקבל תוצאות בדיקות דם קריטיות. כשמערכות תורים קורסות, חולים נאלצים לחכות שבועות לטיפול דחוף. וכשהכל מתרחש בו זמנית, חיי אדם נמצאים בסכנה ממשית.

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

"המקרה בבריטניה לצערי אינו יוצא דופן", ציין אביב הוקר שותף מייסד בחברת Faddom (פאדום) המתמחה במיפוי מערכות IT ובהגנה על סביבות מורכבות בזמן אמת. "מתקפות דומות תוקפות מערכות בריאות ותשתיות קריטיות אחרות ברחבי העולם בתדירות הולכת וגוברת. בארצות הברית, בגרמניה, באוסטרליה ובמקומות נוספים, בתי חולים נאלצו לפעול במצב חירום לא פעם בעקבות מתקפת סייבר, כשאת המחיר הגבוה ביותר משלמים החולים. השאלה שנותרת היא האם מקרי המוות מסוג זה יובילו לשינוי מהותי בגישה לאבטחת סייבר בתשתיות קריטיות בכלל ובמערכות בריאות בפרט, כולי תקווה שכן".

המקרה בלונדון הוכיח שאין מדובר עוד באיום עתידי אלא במציאות של היום. עכשיו צריך להחליט מה לעשות עם המידע הזה, לפני שהמתקפה הבאה תגבה חיי אדם נוספים.