Rosyjscy hakerzy weszli do polskiego szpitala. Sterowali wentylacją

Centralne Biuro Zwalczania Cyberprzestępczości potwierdziło redakcji CyberDefence24, że prowadzone przez nich kilka miesięcy temu postępowanie obejmowało atak na system sterowania wentylacją szpitala. Z ustaleń wynika, że członkowie grupy uzyskali nieuprawniony dostęp do systemu, a potem dokonali zmian w parametrach ustawień.

Co istotne, w sprawie pojawia się też konkretna atrybucja osobowa. CBZC wskazało obywateli Rosji działających w ramach zorganizowanej grupy przestępczej. Według informacji przekazanych przez służby po zdarzeniu odzyskano dostęp do systemu i zabezpieczono go przed dalszą nieuprawnioną ingerencją. Nie stwierdzono na szczęście szkód.

Jak pisaliśmy w tekście: Polski szpital zaatakowany. Kartki i długopisy na ratunek, cyberatak na placówkę medyczną nie musi dotykać sprzętu medycznego, żeby utrudnić leczenie. Wystarczy paraliż systemów, chaos organizacyjny, konieczność pracy awaryjnej i ręczne odtwarzanie procesów, które normalnie dzieją się cyfrowo. Tutaj scenariusz był inny, ale wniosek podobny. Szpital jest tak bezpieczny, jak bezpieczne są nie tylko jego systemy medyczne, ale też całe techniczne zaplecze.

Słowo wentylacja trochę myli. Nie chodzi o respiratory na OIOM-ie, tylko o system budynkowy: centrale wentylacyjne, nawiew, wywiew, temperaturę i wilgotność. Infrastruktura, nie aparatura medyczna.

To bardzo ważne, bo propaganda cyberprzestępców chętnie miesza pojęcia. Łatwo sprzedać narrację, że ktoś mógł odciąć tlen pacjentom, choć dostęp do panelu wentylacji budynku nie jest tym samym, co przejęcie urządzeń medycznych. Nie trzeba jednak pompować sprawy ponad fakty, żeby uznać ją za niebezpieczną.

Pamiętajmy, że szpital nie jest zwykłym biurowcem. Temperatura, wilgotność i przepływ powietrza mają tam większe znaczenie, niż w galerii handlowej czy urzędzie. Inne wymagania ma blok operacyjny, inne sterylizatornia, inne sale pooperacyjne, laboratoria, pracownie diagnostyczne czy SOR. Wentylacja jest elementem zaplecza, którego pacjent zwykle nie widzi, ale bez którego normalne działanie placówki szybko robi się trudne.

Właśnie dlatego już sama możliwość zmiany parametrów przez osoby z zewnątrz jest problemem. I to ogromnym. Nawet jeśli ustawienia miały techniczne limity, nawet jeśli temperatura nie mogła zostać podniesiona ponad 28 st. C, nawet jeśli nie doszło do szkód. Sedno nie leży w tym, czy ktoś zrobił najgorszą możliwą rzecz. Sedno leży w tym, że w ogóle miał dostęp do miejsca, w którym nie powinno go być.

W cyberatakach na infrastrukturę nie zawsze chodzi o natychmiastową katastrofę. Czasem celem jest po prostu sam strach podlany nagraniem, zmienioną wartością i komunikatem, że następnym razem będzie gorzej.

Atak na wentylację szpitala działa właśnie dlatego, że dotyka miejsca szczególnie wrażliwego społecznie. Gdy słyszymy szpital, myślimy o pacjentach, salach operacyjnych, dzieciach, seniorach, ludziach po zabiegach. I o tym, że ktoś zza granicy mógł kliknąć w system, który powinien być kompletnie poza jego zasięgiem.

Przeczytaj także:

Nawet jeśli rzeczywiste skutki były ograniczone, efekt komunikacyjny uderza mocniej, niż niejeden atak DDoS. Rosyjskie i prorosyjskie grupy doskonale wiedzą, że infrastruktura cywilna działa na wyobraźnię znacznie lepiej, niż kolejna strona internetowa, która padnie i po godzinie wróci. Panel szpitalnej wentylacji to coś innego. To nie internet, który zawsze był gdzieś tam. To budynek. To miejsce, gdzie leżą ludzie. Właśnie o to chodzi, żeby strach wszedł tam, gdzie do tej pory był tylko ekran.

*Źródło zdjęcia wprowadzającego: supplier gorden ready stok minimalis, Pexels