İngiltere'de geçtiğimiz günlerde hastaneleri hedef alan siber saldırı, sağlık hizmetlerini sekteye uğratırken, başkent Londra'da ameliyatların iptal edildiği bildirildi. Peki bu, sağlık sektöründe ne kadar büyük bir sorun?
REKLAMİngiltere'nin başkenti Londra'nın öndegelen hastanelerine laboratuvar hizmetleri sunan patoloji hizmetleri tedarikçisi Synnovis'e düzenlenen fidye yazılımı saldırısı test sonuçları ve kan nakli gibi hizmetleri olumsuz etkiledi, ameliyatları erteletti.
Synnovis'tan yapılan açıklamada, söz konusu saldırının "önemli bir etkisi" olduğu ve "bu tür bir saldırının herhangi bir zamanda herkesin başına gelebileceğine dair sert bir hatırlatma" olduğu belirtildi.
Öte yandan, Ulusal Sağlık Sistemi (NHS) olayın veriler üzerindeki tam etkisini henüz saptayamadı.
Bir NHS yetkilisi Perşembe günü yaptığı açıklamada, "Tüm acil servisler her zamanki gibi açık ve ayakta tedavi hizmetlerinin çoğu normal şekilde devam ediyor," dedi.
"Ne yazık ki, patoloji hizmetleriyle daha yakından ilişkili bazı operasyonlar ve prosedürler ertelendi," diyen yetkili, acil vakalarda kan testlerine öncelik verildiği için diğer randevuların iptal edildiğini kaydetti.
Bir bilgisayar veya ağdaki dosyaları şifreleyen ve bu dosyaların çözülmesi için fidye talep eden kötü niyetli bir siber saldırı türü olan fidye yazılım saldırısı genellikle büyük zararlar ve ciddi veri kayıplarına neden olabiliyor. Uzmanlar, bu saldırıların sağlık sektöründeki siber olaylarda giderek artan bir eğilimi yansıttığını ifade ediyor.
Hacker'ların gözü Avrupa sağlık sektöründe
Euronews Health'e konuşan AB Siber Güvenlik Ajansı (ENISA) sözcüsü Laura Heuvinck, "Dijitalleşmenin saldırı alanını genişletmesi ve artan kimlik avı ve fidye yazılımı saldırılarına yol açması nedeniyle sağlık sektörü giderek daha fazla hedef alınıyor," dedi.
Geçen yıl yayınlanan bir ENISA raporuna göre, fidye yazılımı saldırıları Ocak 2021'den Mart 2023'e kadar sektördeki siber olayların yüzde 54'ünü temsil ediyor ve "sağlık sektöründe birincil tehdit" olarak görülüyor. Buna rağmen, ajans, sağlık sektöründeki kuruluşların sadece yüzde 23'ünün 2023 yılında özel bir fidye yazılımı programına sahip olduğunu belirtti.
Sağlık sektörünün birincil hedef olduğu COVID-19 salgını döneminin bir bölümünü kapsayan rapor, fidye yazılımı saldırılarının arkasındakilerin birçoğunun finansal kazanç sağladığını ortaya koydu.
Ajans sözcüsü, "Saldırılar çoğunlukla hastaların elektronik sağlık kayıtları gibi verilerini hedef alıyor ve bunlar daha sonra dolandırıcılık, kimlik hırsızlığı veya hassas verileri gasp etmek için kullanılıyor" dedi.
AB sağlık hizmeti tedarikçileri ve hastaneler, sağlık yetkilileri ve ilaç endüstrisine kıyasla saldırılardan özellikle etkilendi.
Fransız Dijital Sağlık Ajansı'nın geçtiğimiz ay yayınladığı bir raporda, 2023 yılında sağlık sektöründe 581 siber saldırının rapor edildiği, bunların en az yarısının kötü niyetli olduğu kaydedildi. Ancak aynı zamanda bu yıla, "büyük olaylarda önemli bir azalma ve hasta bakımı üzerinde etkisi olan olayların sayısında istikrarın" damgasını vurduğunu da belirttiler.
Kurumların yaklaşık yüzde 53'ü bir siber olayın işleyişlerini etkilemediğini söylerken, analistler bilgi sistemlerinin proaktif bir şekilde izlenmesinin siber saldırıların etki gücünün zayıflatılmasına yardımcı olduğunu belirtti.
Yazılım şirketi Emsisoft'un bu yıl yayınladığı rapora göre, 2023 yılında Amerika Birleşkik Devletleri'ndeki (ABD) hastaneleri hedef alan fidye yazılımı saldırılarında da artış oldu.
Emsisoft, fidye yazılımı saldırılarının geçtiğimiz yıl 140'tan fazla hastaneyi kapsayan 46 ABD hastane sistemini etkilediğini ve en az 32 hastane sisteminin sağlık verilerinin çalındığını söyledi.
Sağlık sektörü neden hedefte?
İngiltere'deki Surrey Üniversitesi'nde bilgisayar güvenliği uzmanı olan Alan Woodward, hastanelerin "çok sayıda tedarikçi ile iletişim kurmayı amaçladıkları" için sistemlerini daha "açık" hale getirdikleri ve bu nedenle risk altında olabileceklerini söyledi.
Ne kadar çok bağlantı olursa saldırı alanının o denli genişlediğini belirten uzman, bu şekilde suçluların sisteme sızmak için daha fazla fırsat bulduğunu da kaydetti.
"Bir hastaneye ve hastanedekilere her gün gidip gelen e-postaların sayısını bir düşünün... İçinde bir parça kötü amaçlı yazılım bulunan tek bir e-postaya ihtiyacınız var; o da yayılıyor," dedi.
REKLAMBu saldırının bir benzeri 2017 yılında İngiltere'de yaşanmıştı. WannaCry olarak bilinen küresel yazılım saldırısından 80 hastane tröstü etkilenmişti.
Imperial College London tarafından yapılan bir analiz, randevu iptalleri ve hastaların hayat kurtarıcı bakımlarında yaşanan gecikmeler nedeniyle bu büyük siber saldırının NHS'ye maliyetinin yaklaşık 6 milyon £ (7 milyon €) olduğunu ortaya koyuyor.
"Sonuç olarak suçluların umurunda değil. Kimi vurdukları gerçekten umurlarında değil," diyen Woodward, "Bence muhtemelen akıllarındaki düşüncelerden bazıları, kritik olan şeylere saldırırsak, insanların ödeme yapma olasılığının daha yüksek olabileceği çünkü buna sahip olmaları gerektiği..." diye ekledi.
Hastanelerin kaynaklarının halihazırda kısıtlı olması da sorunun bir diğer boyutu.
"Bilişim Teknolojileri onların ana işi değil ancak ona epey bağımlılar" diyen uzman, en güncel yazılımlara sahip olabilmek için hastanelerin zaman ve kaynak bulma konusunda güçlük çektiklerinin de altını çizdi.
REKLAMHastaneler saldırıları önlemek için ne yapabilir?
Woodward, artık çoğu hastanenin, saldırıya uğrayıp uğramayacaklarından ziyade "ne zaman" uğrayacakları gerçeğine hazırlıklı olduğunu belirtiyor.
Kişilerin bir siber saldırı durumunda kimi arayacaklarını ve hangi eylemleri gerçekleştireceklerini bilmeleri gerekiyor.
Fidye yazılımının genellikle "birilerini kandırarak" sisteme girdiklerini kaydeden Woodward, "siber güvenlik söz konusu olduğunda kimse suçu kurbana atmamalı. Kuruluşların asıl yapması gereken, bunun nasıl olabileceğine dair farkındalık eğitimlerini tekrar tekrar vermek," dedi.
Bu eğitimlerle herhangi bir siber saldırı durumunda nelere dikkat edilmesi gerektiğinin öğrenilebileceğini ifade eden uzman, tüm oturum açma işlemlerinde çok faktörlü kimlik doğrulama ve eğitimin parola hijyenini de içermesi gerekliliğine dikkat çekti.
Siber saldırılarda fidye ödememenin önemli olduğunu söyleyen uzmanlar, bu ödemelerin uluslararası düzeyde yasaklanması için bastırıyor.
REKLAMSophos'un 2022 yılında 31 ülkede gerçekleştirdiği bir araştırmaya göre, sağlık sektörü fidye ödeme olasılığı en yüksek sektör olmakla birlikte aynı zamanda en az ödeme yapan sektör.
Emsisoft'ta tehdit analisti olarak görev yapan Brett Callow bu yılın başlarında yayınladığı bir blog yazısında, "Tek çözüm, taleplerin ödenmesini tamamen yasaklayarak saldırganları finansal olarak caydırmak. Bu noktada, yasaklama işe yaraması muhtemel tek yaklaşım," diyor.
Woodward da fidye ödememenin önemini vurgulayarak, "Tavsiyemiz, lütfen ödeme yapmayın çünkü bu şekilde hem suçluları cesaretlendirmiş olursunuz hem de verilerinizi geri almayı garanti edemezsiniz," diye ekledi.