Das Hospital for Sick Children (SickKids) in Toronto hat einen Cybersicherheitsvorfall offengelegt, bei dem personenbezogene Daten einiger aktueller und ehemaliger Mitarbeiter sowie von Bewerbern für Stellen zugänglich wurden. Das Krankenhaus bringt den Vorfall mit einer Schwachstelle in einer Softwareanwendung eines Drittanbieters in Verbindung, ohne den Namen des Anbieters oder der Anwendung beziehungsweise die Nummer der Schwachstelle (CVE) offenzulegen.
Das Krankenhaus bestätigte, dass seine klinischen Systeme und Patientenakten nicht betroffen waren und die medizinische Versorgung normal fortgesetzt wurde. Die öffentliche Karriereseite wurde während der Bearbeitung des Vorfalls vorübergehend abgeschaltet und nach ihrer Absicherung wieder in Betrieb genommen, wie aus einer Erklärung des Krankenhauses hervorgeht.
Untersuchung läuft, Umfang der Daten weiterhin unklar
SickKids leitete nach der Entdeckung des Vorfalls mit Unterstützung unabhängiger Cybersicherheitsexperten eine Untersuchung ein. Erste Erkenntnisse deuten darauf hin, dass möglicherweise personenbezogene Daten aktueller und ehemaliger SickKids-Mitarbeiter, Mitarbeiter der krankenhauseigenen Boomerang Clinic sowie Mitarbeiter der SickKids Foundation und Bewerber offengelegt wurden.
Das Krankenhaus hat bislang weder die Arten der Daten bestimmt, auf die zugegriffen wurde, noch die Zahl der betroffenen Personen oder den Zeitraum, in dem der Eindringversuch stattfand. Die Prüfung der betroffenen Informationen dauert an; Personen, deren Betroffenheit bestätigt wird, sollen direkt benachrichtigt werden. SickKids erklärte, vorsorglich alle möglicherweise betroffenen Personen informiert zu haben, und stellt ihnen außerdem 24 Monate lang kostenlos eine Kreditüberwachung und Dienste zum Schutz vor Identitätsdiebstahl bereit.
Warum sind Beschäftigungsdaten wichtig?
Karriereportale enthalten in der Regel eine große Bandbreite personenbezogener Daten, etwa Namen, Adressen, Telefonnummern und den beruflichen Werdegang, und können in einigen Ländern auch staatliche Identifikationsnummern umfassen. Diese Informationen können daher für Identitätsbetrug oder für überzeugendere Phishing- und Social-Engineering-Versuche gegen Krankenhausmitarbeiter genutzt werden.
Der Hinweis von SickKids auf eine Schwachstelle in einer von anderen Organisationen verwendeten Software lässt vermuten, dass der Vorfall Teil einer umfassenderen Kampagne gegen Nutzer desselben Produkts sein könnte. Das Krankenhaus hat dies jedoch nicht bestätigt und weder das Produkt noch den Anbieter oder die betreffende Schwachstelle benannt. Daher lässt sich derzeit nicht einschätzen, wie weit sich der Vorfall über SickKids hinaus ausgebreitet hat.
Frühere Vorfälle im Zusammenhang mit dem Gesundheitssektor
Die neue Offenlegung erfolgt nach früheren Sicherheitsvorfällen, die das Krankenhaus oder mit ihm verbundene Organisationen betrafen. Im Dezember 2022 wurde SickKids Opfer eines Ransomware-Angriffs, der interne Systeme, Telefonleitungen und die Website des Krankenhauses beeinträchtigte und zu Verzögerungen bei Laborbefunden und medizinischen Bildgebungsverfahren führte. Die Gruppe LockBit erklärte später, der Angriff habe gegen ihre Regeln zur Verschlüsselung medizinischer Einrichtungen verstoßen, und stellte ein kostenloses Entschlüsselungsprogramm bereit, nachdem das Krankenhaus fast zwei Wochen lang seine Systeme eigenständig wiederhergestellt hatte.
Im September 2023 gehörte SickKids zu den Gesundheitsdienstleistern in Ontario, die von einem Einbruch bei einer externen Organisation betroffen waren, mit der sie Daten zur Gesundheit von Müttern und Kindern teilten. Dieser Vorfall resultierte aus der großflächigen Ausnutzung der unter der Nummer CVE-2023-34362 bekannten MOVEit-Transfer-Schwachstelle und führte zur Offenlegung von Informationen zu 3,4 Millionen Personen, darunter Namen, Adressen, Geburtsdaten und Krankenversicherungsnummern.
Die Abfolge dieser Vorfälle zeigt, dass Gesundheitseinrichtungen Risiken sowohl über ihre direkten Systeme als auch über die mit ihnen verbundenen Drittanbieter-Softwarelösungen und externen Organisationen ausgesetzt sein können, selbst wenn Patientenakten und klinische Abläufe außerhalb des jeweiligen Vorfalls bleiben.