Hack In Franse bloedbanken werden koelsystemen gehackt. Een cybersecurity-expert waarschuwt dat machines vaak niet goed worden beveiligd. Hoe veilig is de Nederlandse bloedbank? En daarbij de gehele gezondheidszorg?
Zakken met bloed in een Franse kliniek.
En wéér werden koelsystemen gehackt. Waar het eerder ging om koelkasten in supermarkten, waren het deze week koelingen in Franse bloedbanken. Op drie locaties werd de temperatuur in de koelingsapparatuur opgeschroefd tot „zeer hoge” temperaturen, volgens de Franse Nationale bloedbank (EFS). Franse media schrijven dat het zou gaan om temperaturen tot 110 graden.
Eerder gingen miljoenen euro’s aan eten verloren. Nu valt de schade mee. Van kokend bloed was geen sprake, verklaart EFS, dat valt onder het Franse ministerie van Volksgezondheid. De hack werd bijtijds gedetecteerd door „bewakings- en alarmsystemen”, waardoor het bloed kon worden overgebracht naar niet-gehackte apparatuur, voordat de koelingen tot op schadelijk niveau opgewarmd werden. „Er zijn geen gezondheidsrisico’s vastgesteld; er is geen verlies van bloedproducten gemeld.”
Waarom worden dit soort installaties op de korrel genomen? En hoe is de cyberveiligheid van medische instellingen in Nederland geregeld?
Weinig. Onduidelijk is wie (of wat) de aanvallen ondernam. Het EFS schrijft dat de hack „niet direct” op hen was gericht, maar op de leverancier van de koelapparatuur. Dat is Coolworld, waarvan het hoofdkantoor in Nederland staat.
Het bedrijf schrijft in een reactie dat „de kwetsbaarheid” zat in „een component van een externe leverancier” en dat de hack „buiten de directe controle van Coolworld” valt. Volgens het bedrijf is slechts „een beperkt aantal” apparaten geraakt en is ”tijdig gereageerd”. Verder wil het tegen NRC niets kwijt over de hack.
Patrick Jordens, cybersecurity-expert en adviseur op het gebied van digitale veiligheid, merkt dat binnen bedrijven en instellingen vaak weinig aandacht is voor de digitale veiligheid van machines. Denk aan koelkasten, sorteermachines of verpakkingsapparaten. „Mensen denken bij hacks vaak aan informatietechnologie. Machines zijn een ondergeschoven kindje. Terwijl ze ook kwetsbaar zijn.”
Beveiligingsupdates doorvoeren voor machines betekent vaak dat je tijdelijk geen diensten kan leveren als organisatie. Daarom worden ze soms uitgesteld, ziet Jordens. „Gevolg is dat kwetsbaarheden blijven bestaan, wat voor risico’s zorgt, zeker nu kunstmatige intelligentie hacken makkelijker en accurater maakt.”
In oktober werden koelsystemen van Franse supermarkten ook al gehackt, met voedselbederf tot gevolg. Drie weken later waren in Frankrijk, België, Ierland, Zweden, Estland én Nederland koelsystemen opnieuw doelwit. Volgens Danfoss, de Deense fabrikant van de getroffen systemen, negeerden gehackte organisaties het beveiligingsadvies dat Danfoss na de aanvallen van begin oktober verstrekte.
Het is volgens Jordens mogelijk dat statelijke actoren achter deze hacks zitten. „Het is speculeren, maar het is opvallend dat er geen losgeld is gevraagd. Dat wijst erop dat het doel ontwrichting was, wat je eerder ziet bij statelijke actoren.” Het is ook mogelijk dat criminelen eerst wilden kijken hoever ze konden gaan, om vervolgens een grotere aanval uit te voeren. „Stel dat je een groot deel van de zorg kan stilleggen, dan heb je een enorm pressiemiddel.”
In theorie wel. De koelkasten van Sanquin, de organisatie die de gezondheidszorg voorziet van bloed, zijn aangesloten op het internet, zegt woordvoerder Merlijn van Hasselt. „Maar niet direct”, verzekert hij. „Anders dan in Frankrijk zijn onze koelkasten via ons eigen netwerk met internet verbonden. En daar zitten beveiligingssystemen tussen.”
Van Hasselt zegt dat Sanquin geen gebruikmaakt van Coolworld-apparatuur. Om „mensen niet op ideeën te brengen” wil Van Hasselt niet zeggen welke leverancier wel wordt gebruikt.
Grote. Bloedbanken maken drie „producten” van bloed dat gedoneerd wordt, zegt Van Hasselt. Rode bloedcellen, bloedplaatjes voor stolling en bloedplasma, dat vooral wordt gebruikt voor geneesmiddelen. Die producten worden respectievelijk op 4 graden Celsius, kamertemperatuur en min 30 graden Celsius bewaard.
Mocht koelingsapparatuur gehackt worden, dan zal er gezocht worden naar alternatieve koeling. Als dat niet lukt, hebben ziekenhuizen vaak nog „een kleine” eigen voorraad, zegt Van Hasselt. Maar zodra die voorraden opraken zal veel zorg stil komen te liggen. Bloedtransfusies kunnen dan niet meer, artsen kunnen geen operaties uitvoeren waarbij bloed toegediend moet worden, zoals veel ingrepen aan het hart. Ook voor een chemokuur is doorgaans bloed nodig, omdat patiënten dat vaak zelf niet meer kunnen aanmaken.
Sinds augustus geldt een nieuwe Cyberbeveiligingswet die grote organisaties verplicht tot meer digitale weerbaarheid. Bestuurders kunnen aansprakelijk worden gesteld als ze hieraan te weinig hebben gedaan.
Een goede zaak, vindt Hans van Goudoever, voorzitter voor koepelorganisatie UMCNL en Amsterdam UMC. Cybercriminelen richten hun pijlen steeds vaker op zorginstellingen, ook in Nederland, ziet hij. Instellingen worden tienduizenden keren per jaar aangevallen. Hij verwijst naar de hack bij Clinical Diagnostics, waarbij miljoenen persoonsgegevens werden gestolen. En naar de hack door een Iraanse hackersgroep van Stryker, een Amerikaanse fabrikant van medische apparatuur, waardoor ook Nederlandse ziekenhuizen werden geraakt.
Ondanks de vele hacks is cyberexpert Jordens redelijk positief over hoe binnen de kritieke zorg naar cybersecurity wordt gekeken. „Ik adviseer veel bestuurders en die zijn echt wel doordrongen van de risico’s. Op de meeste plekken heb je grote teams die hiermee bezig zijn.”
Over kleinere organisaties, zoals in de ouderenzorg, is de expert minder gerust. „Daar leeft nog vaak de perceptie: wij zijn niet interessant. Maar als zo’n organisatie wordt gehackt en bijvoorbeeld de medicijnregistratie stillegt, dan kun je niet meer de juiste zorg leveren.”
Van Goudoever ziet dat ziekenhuizen miljoenen meer investeren in digitale weerbaarheid. „Bij het Amsterdam UMC gaat er nu 12 miljoen extra bij.” Toch waarschuwt hij dat het onmogelijk is alle hacks uit te bannen. „Het is vooral zaak om, zodra er een hack plaatsvindt, de schade te beperken. En om het hackers zo moeilijk mogelijk te maken.”
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Meer informatie