Brabantse ziekenhuizen mogelijk getroffen door hack bij softwarebedrijf
In dit artikel:
ChipSoft, een grote Nederlandse leverancier van elektronische patiëntendossiers, is getroffen door een gijzelsoftware-aanval. Expertisecentrum Z-CERT waarschuwde dinsdag zorginstellingen landelijk dat er bij het bedrijf een data-incident is geweest; ChipSoft stelt zelf niet uit te kunnen sluiten dat onbevoegd toegang tot of diefstal van patiëntgegevens heeft plaatsgevonden.
Wie: het getroffen bedrijf is ChipSoft; naar schatting gebruiken circa 70% van de Nederlandse ziekenhuizen systemen van deze leverancier. Bekende getroffen ziekenhuizen die dit bevestigen of genoemd worden, zijn onder meer Jeroen Bosch Ziekenhuis (JBZ), Bernhoven, Bravis en instellingen in Arnhem, Amsterdam, Rotterdam, Heerenveen en Hilversum. Waar: de hack raakt ziekenhuizen in het hele land, met nadruk op Brabant waar meerdere ziekenhuizen met ChipSoft-software werken. Wanneer: de melding kwam dinsdag, de website van ChipSoft was die dag offline en zorginstellingen kregen het advies de verbinding met de software te verbreken.
Wat: aanvallers gebruikten vermoedelijk een webkoppeling — mogelijk dezelfde toegang die patiënten gebruiken om hun eigen gegevens te bekijken — om in systemen te komen. Een groot deel van de ziekenhuizen draait het HiX-systeem of varianten daarvan; daarin staat naast medische informatie ook gegevens over behandelingen, financiën en logistiek. Of en in welke omvang dossiers daadwerkelijk zijn ingezien of exfiltratie heeft plaatsgevonden, is nog onduidelijk.
Waarom belangrijk: de incidentie kan zowel privacyrisico’s voor patiënten betekenen als operationele problemen in de zorgverlening. De meeste ziekenhuizen hebben hun patiëntenportalen niet offline gehaald; slechts elf instellingen deden dat wel. Niet alle Brabantse centra gebruiken ChipSoft—sommigen, zoals Amphia en ETZ, werken met Epic, en St. Anna gebruikt Nexus—dus de impact verschilt per locatie.
Achtergrond: sommige ziekenhuizen hebben eerder technische problemen met ChipSoft-systemen ervaren (zoals een storing vorig jaar bij Máxima Medisch Centrum), maar die waren toen geen gevolg van een hack. Onderzoek naar de omvang van de huidige inbreuk en verdere maatregelen door ChipSoft en de betrokken instellingen lopen nog.