Atacul ransomware din februarie 2024 a lovit 26 de spitale din cele circa 100 deservite de RSC, iar tehnologia la zi nu a făcut diferenţa între cele afectate şi cele scăpate.
Atacatorul nu a intrat prin Hipocrate, ci printr-un VPN folosit tocmai pentru backup-ul spitalelor. Din 300 de servere, RSC a reuşit să limiteze atacul la 26.
Lecţiile aplicate după: trei linii de apărare independente în loc de două, firewall şi în interiorul organizaţiei, exerciţii anuale de răspuns la incident, „ca la incendiu”.
Atacul ransomware care a scos din funcţiune 26 de spitale din România în februarie 2024 a lovit deopotrivă unităţi cu sisteme învechite şi unităţi cu sistemele de operare, antivirusul şi echipamentele de securitate actualizate la zi, a declarat Silviu Cârstea, director executiv al RSC (Romanian Soft Company), compania care dezvoltă sistemul informatic Hipocrate, în cadrul conferinţei ZF & Orange Business - Rezilienţa operaţională: de la panică la control.
„Au fost spitale care, într-adevăr, nu aveau ultimele versiuni de Windows, nu aveau ultimele versiuni de antivirus. Dar au fost şi spitale care aveau ultimele versiuni şi update-uri la zi ale sistemelor de operare, antivirus, Fortinet, etc., toate actualizate la ultima versiune. Şi, din păcate, şi ele au fost victima acestui atac”, a explicat Cârstea.
Concluzia pe care a tras-o după doi ani şi jumătate de la incident este că tehnologia plătită şi actualizată reduce riscul, dar nu îl elimină. „Ideea că eu am un antivirus, că-l plătesc şi că e la zi, sau că am ultima tehnologie de securitate, nu cred că te pune la adăpost sută la sută. Sigur, ajută, dar nu este suficient”, a punctat el.
RSC acoperă circa 40% din piaţa spitalelor publice, în jur de 100 de spitale din România şi Republica Moldova, potrivit directorului executiv. Atacul nu a fost ţintit pe RSC sau pe Hipocrate, ci pe un VPN în care funcţionau spitalele - creat tocmai pentru backup-ul datelor. „Până la momentul atacului, tot focusul nostru a fost să ne protejăm de exterior. Niciodată nu ne-am pus problema să ne protejăm de interior”, a recunoscut Cârstea. Procedura internă de escaladare a făcut ca, din 300 de servere din întreaga reţea, atacul să fie limitat la 26.
De aici şi prima lecţie pe care o recomandă oricărei companii: să nu se bazeze pe o singură soluţie de securitate. Atacatorii caută vulnerabilităţi în lucrurile standard - Windows Server, în ultima sau în versiuni mai vechi, sistemele de baze de date - şi, odată intraţi, „trec ca prin brânză prin toate sistemele”, a avertizat el. Directorul RSC a comparat situaţia cu un virus pe care organismul nu îl mai detectează, pentru că îl consideră parte din el.
Măsurile luate după atac au fost structurale. Dacă înainte RSC avea două linii de apărare, acum are trei linii independente: când pică prima, se declanşează procedurile şi se închid celelalte două. Compania şi-a pus firewall şi în interiorul organizaţiei, nu doar spre exterior. Parolele serverelor clienţilor nu erau nici înainte cunoscute decât de doi oameni din companie, angajaţii conectându-se printr-o aplicaţie internă, fără să vadă IP-uri sau parole - ceea ce a complicat, la rândul său, recuperarea.
Cea mai importantă schimbare ţine însă de oameni, nu de tehnologie. „Aşa cum ne antrenăm să răspundem la un incendiu - sună alarma, toată lumea coboară în curte -, aşa trebuie să ne antrenăm şi pentru lucrurile astea. Dacă nu faci lucrurile astea cel puţin o dată pe an, se uită, şi atunci presiunea va fi doar pe cei care coordonează, nu pe toată organizaţia”, a subliniat Cârstea, care recomandă exerciţii anuale de răspuns la incident atât furnizorilor de servicii, cât şi clienţilor lor.
