Cyberbezpieczeństwo · Ochrona zdrowia
Ransomware w placówce medycznej — anatomia ataku i ochrona
Atak ransomware na klinikę lub przychodnię to nie tylko utrata danych — to zatrzymanie pracy placówki, brak dostępu do dokumentacji pacjentów, ryzyko dla zdrowia i życia oraz obowiązek zgłoszenia incydentu do UODO i właściwego CSIRT.
Poniżej opisujemy typowy przebieg ataku na placówkę medyczną — krok po kroku — i pokazujemy, w którym miejscu Bitdefender GravityZone EDR go wykrywa i blokuje.
Aktualizacja: · Opracowanie: zespół ITdlaLekarzy
Anatomia ataku
Anatomia ataku ransomware na klinikę
Nowoczesny ransomware to wieloetapowa operacja, często prowadzona przez zorganizowane grupy przestępcze (RaaS — Ransomware as a Service). Typowy atak trwa od kilku dni do kilku tygodni.
| Faza | Kiedy | Co robi atakujący | Jak wykrywa to GravityZone |
|---|---|---|---|
| 1. Uzyskanie dostępu | Dzień 0 | Phishing z załącznikiem (PDF, Word z makrem) lub linkiem; alternatywnie exploit na VPN, RDP, Exchange albo skradzione hasła. Recepcja otwiera „wyniki badań” — makro uruchamia PowerShell. | EPP blokuje znane warianty, Anti-exploit blokuje exploitację Office. Jeśli przejdzie — EDR rejestruje uruchomienie cmd.exe z Worda. |
| 2. Utrzymanie dostępu | Dzień 1–2 | Backdoor, modyfikacja kluczy Run/RunOnce, zaplanowane zadania, usługi — żeby przetrwać restart i wykrycie pierwszego pliku. | EDR wykrywa modyfikacje kluczy Run, nowe nieznane usługi i podejrzane zadania. |
| 3. Rekonesans | Dzień 2–5 | Wbudowane narzędzia (net.exe, ipconfig, nltest) i skanery — mapa sieci, serwery AD, plików, backupu, HIS/PACS, konta administratorów. | EDR wykrywa sekwencje LOTL, Network Attack Defense — skanowanie portów w sieci. |
| 4. Eskalacja uprawnień | Dzień 3–7 | Pass-the-Hash, Kerberoasting, exploity lokalne — cel: administrator domeny. | EDR + XDR Identity wykrywa podejrzane operacje Kerberos i logowania na kontach uprzywilejowanych. |
| 5. Ruch boczny | Dzień 5–10 | Recepcja → serwer AD → serwer plików → backup → HIS. RDP, SMB, WMI, PsExec. | EDR wykrywa nieautoryzowane połączenia RDP/SMB między stacjami. |
| 6. Wyprowadzenie danych | Dzień 7–12 | Kopiowanie dokumentacji i danych pacjentów — „podwójne wymuszenie”: okup za klucz albo publikacja danych. | EDR wykrywa masowe kopiowanie i duże transfery, Network Attack Defense — podejrzane połączenia wychodzące. |
| 7. Szyfrowanie | Dzień 10–14 | Jednoczesne szyfrowanie HIS, PACS, serwerów plików; usunięcie kopii shadow; żądanie okupu. | Ostatnia linia obrony: Anti-Ransomware blokuje masowe szyfrowanie, EDR izoluje endpoint. Przy wykryciu wcześniejszych faz do tego etapu nie dochodzi. |
Skutki
Skutki ataku ransomware na placówkę medyczną
Przestój operacyjny
Brak dostępu do HIS/EDM — niemożność wystawiania recept, prowadzenia dokumentacji, rejestracji pacjentów. Średni czas przestoju: 2–4 tygodnie.Utrata danych pacjentów
Zaszyfrowana dokumentacja, wyniki badań, obrazy PACS. Bez sprawdzonego backupu — trwała utrata danych.Obowiązki prawne
Zgłoszenie naruszenia do UODO w 72 godziny, a podmioty objęte KSC — także do właściwego CSIRT. Potencjalne kary RODO do 4% rocznego obrotu.Koszty finansowe
Okup (często 50–500 tys. zł), odtworzenie systemów, koszty prawne, kary regulacyjne, utracone przychody.Reputacja i zaufanie
Pacjenci tracą zaufanie do placówki. Media nagłaśniają incydenty. Trudno odbudować reputację po publicznym ataku.Ryzyko dla pacjentów
Brak dostępu do historii choroby, alergii, leków. W szpitalach — ryzyko dla życia pacjentów wymagających pilnej interwencji.
Co zrobić teraz
Jak przygotować placówkę na atak ransomware
Najwięcej daje połączenie ochrony, która wykryje atak w trakcie, z kopią zapasową, która pozwoli wrócić do pracy.
- Ochrona endpointów z EDR na wszystkich komputerach i serwerach
- MFA na poczcie, VPN i kontach administratorów
- Aktualizacje systemów i aplikacji (zwłaszcza VPN, RDP, Exchange)
- Brak RDP wystawionego bezpośrednio do internetu
- Backup 3-2-1 z kopią offline lub niezmienialną
- Regularny test odtworzenia HIS i PACS
- Segmentacja sieci — urządzenia medyczne w osobnym VLAN
- Procedura reagowania i lista kontaktów na wypadek incydentu
Typowo od kilku dni do kilku tygodni — najczęściej 10–14 dni od uzyskania dostępu do szyfrowania. W tym czasie atakujący rozpoznaje sieć, przejmuje uprawnienia i przemieszcza się do serwerów HIS, PACS i backupu. To okno, w którym EDR może wykryć i przerwać atak.
Odłącz zainfekowane komputery od sieci (nie wyłączaj ich — to utrudnia analizę), nie usuwaj plików, skontaktuj się z dostawcą IT i zabezpiecz dowody. Naruszenie danych zgłoś do UODO w ciągu 72 godzin; podmioty objęte KSC zgłaszają też incydent do właściwego CSIRT. Odtworzenie najlepiej prowadzić z kopii zapasowej po usunięciu przyczyny ataku.
Nie. Backup pozwala odtworzyć dane, ale nie chroni przed ich wyciekiem (podwójne wymuszenie) ani przed przestojem. Atakujący często celowo niszczą kopie dostępne w sieci. Potrzebne są oba elementy: EDR, który przerywa atak, i backup z kopią offline lub niezmienialną, regularnie testowany.
Nie czekaj na incydent
Podstawowa ochrona GravityZone może działać na komputerach już w ciągu kilku godzin. Analiza środowiska i dobór pakietu — bezpłatnie.