Spitalul Universitar New Jersey a fost nevoit să plătească 670.000 de dolari după un atac ransomware

În septembrie 2020, Spitalul Universitar din New Jersey (University Hospital New Jersey, UHNJ) a plătit aproximativ 670.000 de dolari unui grup de atacatori care îi furaseră și îi criptaseră datele, după cum a relatat Bleeping Computer.

Mai exact, spitalul a fost atacat cu un ransomware numit SunCrypt. Atacatorii au furat 240 GB de date, inclusiv date ale pacienților, și au publicat o arhivă cu 48.000 de documente, despre care susțineau că ar conține copii ale actelor de identitate, date de naștere, numere de asigurare socială și diagnostice. Atacul a fost unul clasic: odată ajunși în rețea, atacatorii au furat datele și apoi au criptat sistemele afectate.

Totul a pornit de la un e-mail de phishing: un angajat și-a dat datele de autentificare, iar atacatorii le-au folosit pentru a se conecta la serverul Citrix al spitalului.

UHNJ a avut doar două servere criptate, dar a plătit mai ales pentru ca datele pacienților să nu fie publicate. Atacatorii ceruseră inițial 1,7 milioane de dolari. După câteva runde de negocieri, suma plătită a fost de 672.744 de dolari, în bitcoin (61,90 bitcoin, mai exact), pe 19 septembrie 2020.

În schimbul banilor, atacatorii au promis un program de decriptare, returnarea datelor furate, un raport de securitate despre cum au intrat în rețea și că nu vor publica datele și nu vor ataca din nou spitalul. Chiar și așa, o firmă care plătește nu are nicio garanție că datele sunt șterse cu adevărat.

Cum vă protejați infrastructura de atacurile ransomware?

Prin straturi de protecție care îi opresc pe atacatori la fiecare pas: la intrare, în rețea și la date. Atacurile ransomware sunt coșmarul oricărei companii, pentru că, în cazul criptării datelor, pagubele sunt uriașe. Amenzile sunt și ele mari atunci când sunt compromise datele personale: GDPR prevede amenzi de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală la nivel mondial, dacă aceasta este mai mare. Plus că, de cele mai multe ori, și activitatea firmei este afectată grav de pierderea datelor.

Măsurile standard de protecție care previn genul acesta de situații sunt următoarele:

• o politică strictă de securitate – actualizările de securitate sunt absolut obligatorii;
• autentificarea în doi pași (MFA) pentru orice acces din afara rețelei, inclusiv Citrix, VPN și e-mail – în cazul UHNJ, parola obținută prin phishing ar fi fost insuficientă;
• instruirea angajaților, ca să recunoască atacurile de tip phishing;
• izolarea echipamentelor critice, pentru a nu putea fi accesate din exteriorul rețelei – accesul din afară se restricționează și se face doar prin conexiuni securizate;
• soluții de protecție administrate central, cu detecție după comportament (EDR), care pot opri un proces care începe să cripteze fișiere;
• implementarea unei politici serioase de backup, cu o copie pe care atacatorii nu o pot modifica sau șterge și cu restaurări testate, pentru a putea restaura ușor datele la nevoie;
• un plan de răspuns la incidente, ca echipa să știe ce are de făcut în primele ore.

Despre modul în care funcționează grupările care închiriază ransomware altor atacatori puteți citi în articolul despre RaaS (Ransomware as a Service).

Ce trebuie să facă o firmă din România după un atac ransomware?

Să izoleze sistemele afectate, să anunțe autoritățile în termenele legale și să restaureze datele din backup, nu să negocieze cu atacatorii.

• GDPR: dacă au fost afectate date personale, firma anunță ANSPDCP în cel mult 72 de ore de la aflarea incidentului, dacă acesta pune în pericol drepturile persoanelor.
• NIS2: entitățile din domeniile vizate de OUG 155/2024, printre care și sănătatea, raportează incidentele semnificative la DNSC: o avertizare timpurie în 24 de ore, notificarea incidentului în 72 de ore și un raport final în cel mult o lună.

Și spitalele din România au trecut prin asta. În februarie 2024, un ransomware din familia Phobos (Backmydata) a criptat sistemele a 25 de spitale care foloseau platforma Hipocrate (HIS), iar alte 75 au fost deconectate preventiv, potrivit Bleeping Computer. Atacatorii au cerut 3,5 bitcoin. Majoritatea spitalelor afectate aveau backupuri făcute cu 1–3 zile înainte, iar DNSC a recomandat ferm să nu se plătească răscumpărarea.

RezolvIT este o companie de Externalizare IT care gestionează infrastructuri de complexitate și dimensiuni variate, prin servicii de Securitate IT și Backup as a Service. Vă sprijinim și în conformarea cu NIS2.

Dacă v-am convins, cereți un Audit IT gratuit din formularul de contact.