Proč hackeři s oblibou útočí na evropské nemocnice?

To dokládá i případ frankfurtské univerzitní nemocnice, která se po masivním útoku v roce 2023 musela doslova odříznout od internetu. Lékaři přešli zpět na tužku, papír a telefon. Podle lékaře a krizového plánovače Simona Meiera si nemocnice dodnes plně neobnovila své systémy. Náklady na obnovu se přitom šplhají do statisíců eur, přičemž běžná cena za jeden velký incident v EU dosahuje až 300 000 eur.

Dopad těchto útoků může být fatální. V Británii loni zemřel pacient poté, co se kvůli útoku zpozdil výsledek krevního testu. Generální ředitel WHO Tedros Adhanom Ghebreyesus označil podobné útoky za otázky „života a smrti“.

Podle odborníka na kyberbezpečnost Christose Xenakise z Univerzity v Pireu jde z pohledu hackerů o ideální byznys – data jsou snadno dostupná a draze prodejná. Útoky typu ransomware, kdy útočníci uzamknou systémy a požadují výkupné, tvoří nejčastější scénář. Hackeři tak nejen kradou data, ale rovněž paralyzují nemocnice a žádají miliony eur za jejich odblokování.

Například v barcelonské nemocnici Clínic si útočníci řekli o 4,5 milionu dolarů. Nemocnice ale odmítla zaplatit.

Kromě finančně motivovaných útoků přibývají i útoky geopolitické, zejména ze strany proruských skupin, které se snaží narušit zdravotnické systémy západních zemí.

Přesto jen 27 % zdravotnických zařízení má vypracovaný obranný plán proti ransomware útokům a 40 % vůbec neškolí personál v oblasti kyberbezpečnosti. Podle Xenakise panuje v sektoru chabá „kyberhygiena“ a bezpečnostní povědomí je mizivé. Ochrana dat je stále vnímána jako luxus, nikoli nutnost.

Zkušenosti z praxe ukazují, že nemocnice často nezajišťují ani základní bezpečnostní pravidla. Xenakis popisuje, jak ho nechali samotného v ordinaci s přístupem k nezabezpečenému počítači. Podobné opomenutí je z hlediska kybernetické bezpečnosti nemyslitelné.

Sabina Magalini, bývalá profesorka chirurgie v Římě, která vedla evropský projekt PANACEA zaměřený na kyberbezpečnost ve zdravotnictví, připomíná, že nemocnice fungují jako „přístavy“ – s neustálým pohybem lidí – což z nich činí složité prostředí pro zabezpečení. Přetížený personál často odmítá složité přihlašování do systémů, což vytváří další slabiny.

Podle Xenakise je navíc nemožné předejít všem chybám lidského faktoru, zvlášť když hackeři využívají umělou inteligenci k vytváření sofistikovaných phishingových útoků. Odpovědí by měly být inteligentní detekční systémy schopné včasného odhalení útoku.

Další problém představují konzultační firmy v oblasti kyberbezpečnosti, které často sídlí mimo Evropu. Magalini volá po „evropském způsobu ochrany“ zdravotnických systémů.

Státy však podle odborníků stále investují málo. Například Německo podle Meiera sice zavádí nové regulace, ale kyberbezpečnost nemocnic výrazně nepodporuje. V případě útoku na frankfurtskou nemocnici sehrála roli náhoda – bez rychlé reakce by mohlo dojít ke kolapsu celé databáze.

Evropská komise letos reagovala akčním plánem na posílení kyberbezpečnosti ve zdravotnictví. Počítá s vytvořením podpůrného centra pod agenturou ENISA, rychlou reakční jednotkou a „kybervouchery“ pro menší zdravotnická zařízení.

Podle Markuse Kallioly z finského fondu Sitra jde o dobrý krok, ale málo ambiciózní. EU by měla jít dál – vnímat kyberbezpečnost jako otázku národní bezpečnosti, zavést povinné standardy, zařadit kyberškolení do vzdělání zdravotníků a pořádat celoevropská cvičení.

Kromě akčního plánu Komise postupně zavádí i širší legislativu – směrnici NIS2, zákon o kybernetické odolnosti, AI Act nebo nové regulace zdravotnických zařízení. Problémem ale zůstává nesourodé a pomalé zavádění těchto opatření v praxi.

„Regulace nestačí. Musíme je konečně převést do reality,“ varuje Kalliola.