افشای بزرگ داده‌های بیماران NHS؛ Synnovis پس از حمله باج‌افزاری ۲۰۲۴ اطلاع‌رسانی رسمی را آغاز کرد

به گزارش BleepingComputer، شرکت خدمات پاتولوژی Synnovis، که با چندین بیمارستان بزرگ در لندن همکاری دارد، رسماً تأیید کرد که در حمله باج‌افزاری ژوئن ۲۰۲۴ حجم عظیمی از داده‌های بیماران در معرض افشا قرار گرفته است. این حمله توسط گروه باج‌افزاری Qilin انجام شد؛ گروهی که پیش‌تر نیز نهادهای مالی و آموزشی را در اروپا هدف قرار داده بود.

در آن زمان، حمله موجب شد سیستم‌های دیجیتال چندین بیمارستان از جمله Guy’s و St Thomas تا هفته‌ها از کار بیفتند. پزشکان مجبور شدند به شیوه‌های کاغذی بازگردند و صدها جراحی و آزمایش لغو شد. حالا با گذشت نزدیک به ۱۷ ماه، Synnovis می‌گوید فرآیند اطلاع‌رسانی مستقیم به بیماران آغاز شده تا آن‌ها از وضعیت داده‌های خود آگاه شوند.

طبق بیانیه رسمی این شرکت، داده‌های در معرض خطر شامل نام، تاریخ تولد، شماره بیمار NHS، نتایج آزمایش‌های STI، HIV، و سرطان بوده‌اند. گرچه اطلاعات مالی و کارت‌های پرداخت در این حمله افشا نشده، اما ماهیت فوق‌العاده حساس اطلاعات پزشکی باعث نگرانی عمیق در میان افکار عمومی شده است.

واکنش مقامات رسمی و نهادهای امنیتی

وزارت بهداشت بریتانیا اعلام کرده است که تیمی مشترک از «مرکز ملی امنیت سایبری» (NCSC) و «پلیس لندن» در حال بررسی جزئیات دقیق حمله هستند. سخنگوی NHS England نیز گفت:

«ما به‌هیچ‌وجه چنین تهدیدی را کوچک نمی‌شماریم. این حادثه نشان داد که حتی سامانه‌های درمانی نیز باید به اندازه بانک‌ها و نهادهای مالی در برابر حملات سایبری محافظت شوند.»

هم‌زمان، کمیسیونر اطلاعات بریتانیا (ICO) نیز تحقیق مستقلی را آغاز کرده تا بررسی کند آیا Synnovis تمام الزامات قانونی مربوط به حفاظت از داده را رعایت کرده است یا خیر. بر اساس قوانین جدید حفاظت داده، در صورت اثبات سهل‌انگاری، شرکت ممکن است با جریمه‌ای معادل ۴٪ از درآمد سالانه‌اش مواجه شود.

تحلیل کارشناسان امنیت سایبری

به باور تحلیلگران، حمله Qilin تنها یک هشدار نیست بلکه نشانه‌ای از روند رو به رشد حملات باج‌افزاری علیه زیرساخت‌های حیاتی است.
«مارک استیونس»، پژوهشگر ارشد در موسسه Digital Shadows می‌گوید:

«باج‌افزارها دیگر فقط داده‌ها را قفل نمی‌کنند؛ آن‌ها برای فشار روانی بر قربانیان از افشای عمومی اطلاعات حساس استفاده می‌کنند. در مورد Synnovis، افشای داده‌های آزمایش‌های پزشکی، بُعد اخلاقی فاجعه را چند برابر کرده است.»

همچنین برخی کارشناسان پیشنهاد کرده‌اند که NHS باید به سمت معماری‌های Zero Trust و رمزنگاری سرتاسری داده حرکت کند تا حتی در صورت نفوذ، اطلاعات در دسترس مهاجمان نباشد.

پیامدهای اجتماعی و روانی

افشای داده‌های مربوط به بیماری‌های خاص، از جمله عفونت‌های مقاربتی و سرطان، می‌تواند پیامدهای جدی روانی و اجتماعی برای بیماران داشته باشد. انجمن خیریه Patient Data UK اعلام کرده که برخی از افراد پس از اطلاع از افشای داده‌هایشان دچار اضطراب و بی‌اعتمادی نسبت به نظام درمانی شده‌اند.
یکی از بیماران در گفت‌وگو با BBC گفته است:

«این حس را دارم که حریم خصوصی‌ام برای همیشه از بین رفته. انگار بیماری من حالا بخشی از اینترنت شده است.»

چشم‌انداز آینده: تغییر در سیاست‌های امنیت داده NHS

دولت بریتانیا با معرفی لایحه‌ی جدید «Cyber Security and Resilience Bill» قصد دارد الزامات امنیتی در بخش سلامت و زیرساخت‌های حیاتی را به‌طور چشمگیری تقویت کند. بر اساس این طرح، تمام شرکت‌های طرف قرارداد با NHS باید حداقل استانداردهای امنیتی معینی را رعایت کرده و رخدادهای مشکوک را ظرف ۷۲ ساعت گزارش دهند.

همچنین قرار است دوره‌های آموزشی اجباری برای کارکنان بیمارستان‌ها در زمینه تشخیص فیشینگ و مدیریت رمز عبور برگزار شود - زیرا طبق بررسی‌ها، بیش از ۶۰٪ حملات سایبری موفق از خطاهای انسانی آغاز می‌شوند.

جمع‌بندی

حادثه Synnovis نه‌تنها یک شکست فنی، بلکه زنگ خطری برای کل صنعت سلامت دیجیتال است. با گسترش پرونده‌های پزشکی الکترونیکی و افزایش اتکای بیمارستان‌ها به سامانه‌های ابری، امنیت داده به اندازه درمان بیماران اهمیت یافته است.

کارشناسان معتقدند تنها با سرمایه‌گذاری مستمر، فرهنگ امنیت داده و همکاری بین‌المللی می‌توان از تکرار چنین فاجعه‌هایی جلوگیری کرد.