14 мая 2021 года Управление здравоохранения (HSE) Ирландии подверглось крупной кибератаке с использованием вируса-вымогателя , в результате которой все его ИТ-системы по всей стране были отключены. [1] [2] [3] [4]
Это была самая значительная кибератака на ирландское государственное агентство и самая крупная известная атака на компьютерную систему службы здравоохранения. [5] [6] Bloomberg News сообщил, что злоумышленники использовали вирус-вымогатель Conti . [7] Было установлено, что ответственная за атаку группа — преступная группировка, известная как Wizard Spider , предположительно действующая из России. [8] [9] [10] Предполагается, что эта же группа атаковала Департамент здравоохранения с помощью аналогичной кибератаки.
19 мая Financial Times рассмотрела личные данные двенадцати человек, которые появились в сети в результате утечки. [11] 28 мая HSE подтвердила, что конфиденциальная медицинская информация 520 пациентов, а также корпоративные документы были опубликованы в сети. [12]
Злоумышленники начали с отправки вредоносного электронного письма на рабочую станцию 16 марта 2021 года. [13] Электронное письмо было открыто 18 марта. [13] Был загружен вредоносный файл Microsoft Excel , который позволил злоумышленникам получить доступ к системам HSE. [13] Злоумышленники получили больше доступа в течение следующих недель. [13] Антивирусное программное обеспечение HSE обнаружило активность 31 марта, но не смогло ее заблокировать, поскольку было установлено в режим мониторинга. [13]
13 мая поставщик услуг кибербезопасности для HSE отправил электронное письмо команде по безопасности, в котором говорилось, что с 7 мая по меньшей мере в 16 системах были обнаружены неустраненные угрозы. [13] Команда по безопасности поручила серверной команде перезапустить серверы. [13]
HSE была предупреждена об атаке в 4 утра 14 мая 2021 года. [14] Атака затронула как национальные, так и местные системы, задействованные во всех основных службах, при этом HSE отключила свою ИТ-систему, чтобы защитить ее от атаки и дать HSE время рассмотреть варианты. [15]
Нападение произошло во время пандемии COVID-19 . Программа вакцинации от COVID-19 в Ирландии не пострадала от нападения и продолжалась по плану; [7] однако система направления врачей общей практики и близких контактов по поводу COVID-19 была отключена, что потребовало от этих лиц посещать пункты приема без предварительной записи , а не идти на прием. [16] [1]
Независимый TD (член парламента) Катал Берри заявил, что Национальный центр кибербезопасности , который отвечает за кибербезопасность штата, имеет всего 25 сотрудников, бюджет в 5 миллионов евро в год, не имеет специального помещения и что должность директора остается вакантной в течение года из-за его зарплаты в 89 000 евро в год. [17] [18] Национальный центр кибербезопасности находится в ведении Департамента окружающей среды, климата и коммуникаций . [19]
Национальный центр кибербезопасности идентифицировал инструмент тестирования на проникновение Cobalt Strike, продаваемый американской ИТ-компанией HelpSystems, как используемый для проникновения и заражения систем HSE и Министерства здравоохранения , для запуска исполняемых файлов и развертывания варианта вымогателя Conti . [14] [20] Cobalt Strike Beacon был обнаружен на зараженных системах, что позволяло управлять ими и удаленно развертывать программное обеспечение. [20]
Группа, ответственная за это, была идентифицирована как преступная группировка, известная как Wizard Spider , предположительно действующая из Санкт-Петербурга , Россия. [8] [9] [10]
Кибератака с использованием вируса-вымогателя оказала значительное влияние на приемы в больницах по всей стране, многие приемы были отменены, включая все амбулаторные и рентгенологические услуги. [21]
Несколько больниц описали ситуации, когда они не могли получить доступ к электронным системам и записям и были вынуждены полагаться на бумажные записи. [22] Некоторые предупредили о значительных сбоях в работе из-за отмены плановых приемов, включая осмотры беременных и сканирования. [23]
Система направления на тестирование на COVID-19 была переведена в автономный режим, требуя от лиц с подозрением на COVID-19 посещать центры тестирования на COVID-19 без предварительной записи , а не приходить на прием. [16] Портал регистрации вакцинации от COVID-19 также был переведен в автономный режим, но позже снова заработал вечером. [24]
Главный операционный директор HSE – Энн О'Коннор – заявила 14 мая, что некоторые службы по лечению рака и инсульта были затронуты, и что «ситуация будет очень серьезной, если она продолжится до понедельника [17 мая]». Она сказала, что самые серьезные опасения связаны с диагностикой, поскольку системы радиологии вышли из строя, что повлияло на проведение КТ и других сканирований. [25] Большое количество амбулаторных приемов также было отменено; большинство служб общественного здравоохранения не затронуто. [26] О'Коннор также сообщила, что «мы не знаем, какие данные были украдены», но «мы знаем, что некоторые данные были скомпрометированы», и комиссар по защите данных был предупрежден о потенциальной утечке. [27]
HSE опубликовала список затронутых услуг на своем веб-сайте в обеденное время 14 мая 2021 года. [28] [29]
19 мая Financial Times рассмотрела «образцы» личных данных двенадцати человек, которые были опубликованы в Интернете, включая записи о приеме и результаты лабораторных исследований мужчины, поступившего в больницу для паллиативной помощи . В ответ Национальный центр кибербезопасности заявил, что преступные группировки «обычно публикуют украденную информацию в качестве средства давления на организации с целью заставить их заплатить выкуп». Команда ContiLocker заявила, что у них также есть трудовые договоры сотрудников, данные о заработной плате и финансовые отчеты, адреса пациентов и номера их телефонов. [11]
28 мая HSE подтвердила, что данные, касающиеся 520 пациентов, включая конфиденциальную информацию, были опубликованы в Интернете. [12] [30] [31] [32]
В декабре 2021 года HSE заявила, что может потребоваться до четырех месяцев, чтобы связаться со всеми, чьи данные были украдены. [33] Национальное бюро по киберпреступности Garda получило данные от Министерства юстиции США в рамках договора о взаимной правовой помощи . [33] Бюро предоставило данные HSE 17 декабря 2021 года. [33] HSE подтвердила, что указанные данные были взяты с ее компьютеров. [33] HSE также связалась с Комиссаром по защите данных по поводу данных. [33] Ожидается, что данные будут представлять собой смесь персональных данных, медицинской информации, корпоративной информации HSE, а также коммерческой и общей личной административной информации. [33]
HSE сотрудничала с Национальным центром кибербезопасности , полицией Ирландии , Ирландскими силами обороны , а также с различными партнерами на национальном и международном уровнях, включая Европол и Интерпол . [14] [34]
Министр государственных закупок и электронного правительства Оссиан Смит заявил, что атака была международной, а не шпионской, и что «это очень значительная атака, возможно, самая значительная кибератака на ирландское государство». [35]
HSE заявила, что это была угроза нулевого дня и что не было никакого опыта реагирования на атаку. [36] Министр здравоохранения Стивен Доннелли сказал , что атака оказала «серьезное влияние» на службы здравоохранения и социального обеспечения. [36] Генеральный директор HSE Пол Рид сказал, что устранение последствий атаки обойдется в «десятки миллионов». [27]
Ряд новостных агентств, включая Bleeping Computer , сообщили, что был выдвинут запрос выкупа в размере 16,5 млн евро (около 20 млн долларов США) с предложением расшифровать данные и не публиковать «личные данные». [37] [38] [39] Первоначально Business Post сообщил, что был выдвинут запрос выкупа в размере трех биткоинов или 124 000 евро (около 150 000 долларов США). [40] Премьер-министр Майкл Мартин заявил, что выкуп не будет выплачен, а вместо этого атака будет рассмотрена «методичным образом». [41] [42]
После атаки HSE заключила контракты с американскими фирмами по кибербезопасности McAfee и FireEye , чтобы минимизировать ущерб и отслеживать сайты в даркнете на предмет утечки данных. [43]
16 мая сообщалось, что Департамент социальной защиты подвергся «непрерывной и ожесточенной атаке», однако высокоорганизованная преступная группировка не смогла прорваться через систему безопасности. После этого Департамент приостановил свои электронные каналы связи с ВШЭ. [44] [39]
20 мая министр коммуникаций Имон Райан заявил, что будет создана горячая линия для оказания помощи лицам, чья медицинская информация была опубликована в результате взлома, и что компаниям социальных сетей было предложено не делиться информацией, которая была опубликована, [45] при этом HSE получила предписание Высокого суда , запрещающее распространение этой информации. [46] [47] В тот же день было сообщено, что организованная киберпреступная группировка предоставила ключ дешифрования , который может позволить HSE восстановить свои ИТ-системы и файлы, которые хакеры заблокировали и зашифровали. [48] [49] Между тем, полиция Gardaí посоветовала общественности быть в курсе ряда мошеннических звонков и текстовых сообщений после кибератаки на фоне предупреждений о том, что оказание медицинской помощи в системе здравоохранения будет подвергаться высокому риску в течение нескольких недель; [50] [51] По состоянию на 24 мая полиция Ирландии охарактеризовала любые звонки с угрозой раскрытия информации как «оппортунистические», заявив, что у них нет доступа к частным данным. [52]
27 мая генеральный директор HSE Пол Рид заявил, что стоимость кибератаки на его ИТ-системы может превысить 100 миллионов евро. [53]
Корпус CIS Сил обороны задействовал «этичных хакеров» для борьбы с атакой вирусов-вымогателей и отправил персонал CIS в больницы и офисы HSE, чтобы расшифровать пострадавшие устройства на месте. Резервисты армии были особенно полезны в этой работе из-за их навыков кибербезопасности и опыта, полученного в частном секторе во время их повседневной работы. [54] [55]
5 сентября в ходе крупной операции, проведенной полицией Gardaí против банды, стоящей за атакой с использованием программ-вымогателей, Национальное бюро по борьбе с киберпреступностью Garda конфисковало несколько доменов, использовавшихся в кибератаке и других атаках с использованием программ-вымогателей. [56]
10 декабря был опубликован отчет PricewaterhouseCoopers , в котором говорилось, что злоумышленники проникли в компьютерные системы HSE за восемь недель до начала атаки. [13] В отчете говорилось, что устаревшая ИТ-система HSE не была устойчива к кибератакам. [13] Она развивалась с течением времени, но не была разработана для противостояния атакам. [13]
Генеральный директор HSE Пол Рид сказал, что система не была стратегически разработана, а стала результатом объединения советов по здравоохранению, больничных групп и общественных организаций здравоохранения. [13] Система очень фрагментирована и разрозненна. [13] Напротив, сотрудники HSE были описаны как устойчивые, работающие быстро, чтобы обеспечить непрерывность услуг. [13] Рид также сказал, что HSE инициировала ряд действий для смягчения будущих атак. [13] К ним относятся круглосуточная система мониторинга ИТ-систем в HSE и более многофакторная аутентификация для пользователей. [13]
Председатель HSE Сиаран Девайн заявил, что служба здравоохранения все еще ощущает последствия атаки. [13]
HSE приняла ряд рекомендаций из отчета, включая разработку значительного нового инвестиционного плана и трансформацию устаревших ИТ-решений с целью включения в них безопасности. [13]
Будут созданы новые должности директора по технологиям и трансформации и директора по информационной безопасности. [13]
В отчете также рекомендуются планы управления кризисами безопасности, которые позволят обеспечить надлежащее реагирование на будущие атаки. [13]
Будет увеличено использование этичных хакеров для проверки безопасности системы. [13]
13 мая Национальный центр кибербезопасности (NCSC) был предупрежден о «подозрительной активности» в системах Министерства здравоохранения , а утром 14 мая попытка запуска программы-вымогателя была предотвращена, а ИТ-системы Министерства здравоохранения были отключены в качестве меры предосторожности. [39] [57] [58] Предварительное расследование NCSC показало, что для заражения систем и выполнения вредоносного ПО использовалось средство удаленного доступа Cobalt Strike, проданное американской технологической компанией HelpSystems, [59] .
По данным RTÉ News , в ИТ-системах Департамента была оставлена цифровая записка от киберпреступной группировки, предположительно ответственной за это, аналогичная той, что была обнаружена в HSE. [60]
23 июня 2021 года было подтверждено, что по крайней мере три четверти ИТ-серверов НИУ ВШЭ были расшифрованы и 70% компьютерных устройств были снова доступны для использования. [61] [62] [63] К 15 июля этот показатель вырос до 82% серверов и 83% устройств. [64] К сентябрю было восстановлено более 95% всех серверов и устройств. [65]
25 июня 2021 года судье Высокого суда Тони О'Коннору сообщили, что около 27 файлов, украденных из HSE, были размещены на сервисе анализа вредоносных программ VirusTotal в конце мая. [66] [67] VirusTotal принадлежит и управляется Chronicle Security Ireland Ltd, ее американской материнской компанией Chronicle LLC и, в конечном итоге, Google. [68] Украденные файлы включали конфиденциальную информацию о пациентах и были загружены 23 раза, прежде чем файлы были удалены 25 мая. [69]
Ответчики – Chronicle Security Ireland и Chronicle LLC – заявили, что они хотели бы помочь HSE как можно больше, но по причинам защиты данных не могут передать материалы, если суд не прикажет. Поэтому HSE добивалась постановлений Norwich Pharmacal против ответчиков, чтобы потребовать от них предоставить информацию о тех, кто загрузил или скачал украденную информацию. Постановления потребуют от ответчиков предоставить HSE адреса электронной почты, номера телефонов, IP-адреса или физические адреса неизвестных пользователей. [67]
Национальный директор HSE по операционной эффективности и интеграции Джо Райан сказал, что HSE стало известно, что Financial Times опубликовала статью, ссылающуюся на украденные данные и упоминающую ссылку на украденные данные. HSE потребовала вернуть украденные данные и объяснить местонахождение ссылки, но Financial Times указала, что получила информацию из конфиденциального источника, который отказалась раскрыть. [67]
20 мая 2021 года HSE получила постановление суда, запрещающее любую обработку, публикацию, распространение или продажу украденных данных. Когда Financial Times получила копию постановления, они передали полученную от источника информацию консультантам по компьютерной безопасности HSE. Анализ этого материала показал, что украденные данные были загружены на VirusTotal. [67]
Райан сказал, что после того, как с ними связались, ответчики удалили украденные данные со своих серверов. [67]
Адвокат HSE сообщил судье, что дело срочное, но выразил надежду, что его можно будет завершить, когда дело в следующий раз поступит в суд. Адвокаты ответчика заявили, что вряд ли будут возражать против любого распоряжения HSE в согласованной форме о раскрытии информации. Судья в одностороннем порядке предоставил адвокату разрешение на вручение ответчикам краткосрочного уведомления о разбирательстве и возобновил рассмотрение дела на следующей неделе. [67]
9 февраля 2023 года было выявлено, что более 32 000 уведомительных писем были отправлены людям, чьи данные были украдены в результате кибератаки. Более 100 000 писем должны быть отправлены людям, пострадавшим от атаки, к апрелю 2023 года. Комитет по государственным счетам Dáil Éireann изучил финансовые последствия и узнал, что немедленный ответ обошелся Департаменту здравоохранения в 1 миллион евро и обошелся HSE в 53 миллиона евро. [70]
Исследовательская группа под руководством профессора Шеймуса О'Рейли из больницы Университета Корка обнаружила, что из десяти отделений, где проводились испытания онкологических заболеваний (три частных, семь государственных), только два частных отделения имели план готовности до атаки. [71] Три из оставшихся отделений внедрили план или делают это, в то время как в других отделениях плана нет. [71]
В отчете также указано, что направление пациентов на клинические испытания по лечению рака сократилось на 85 процентов, а набор пациентов для участия в испытаниях сократился на 55 процентов. [71]
У 513 пациентов по всей Ирландии была прервана лучевая терапия. [71]
Нападение произошло в конце третьей волны COVID-19 и «серьёзно проверило устойчивость и без того изнуренного персонала». [71]
Профессор О'Рейли сказал: «Covid-19 как онколог заставил меня делать то, что я не хочу делать снова. Но кибератака была хуже, чем Covid» на семинаре «Следующие шаги для онкологических служб в Ирландии» на Политическом форуме Ирландии. [71] Он также сказал: «Это было очень трудное время. Результаты были заморожены на компьютере. Наши способы общения с людьми были скомпрометированы, и у нас не было доступа к старой информации. У нас были пациенты, которым сделали сканирование, и сканирование было заблокировано на машине. Это было очень сложно для пациентов, потому что они появлялись в клиниках, и не было никаких записей об их посещении или необходимости там быть. Нам пришлось бы отправлять пациентов домой к их лечащему врачу, чтобы получить данные их медицинской карты, распечатать их в кабинете лечащего врача и принести их нам, чтобы мы могли позаботиться о них в больнице». [71]
Он сказал, что HSE улучшила кибербезопасность, но предостерег от самоуспокоенности. [71] Он сказал: «Я думаю, что кибератаки становятся все более распространенными и более изощренными, поэтому мы все еще уязвимы для них, мы, вероятно, более уязвимы сейчас, чем были в мае 2021 года. Кибератака теперь активируется менее чем за 24 часа. Та, что была у нас в мае 2021 года; она встраивалась в течение двух месяцев. Я думаю, что мы всегда будем уязвимы для кибератак. Системы стали более изощренными, чтобы обойти все, что мы делаем». [71]
В мае 2024 года сообщалось о 473 судебных исках, поданных против HSE в связи с нападением. [72] Государственное агентство по претензиям занимается 12 делами о причинении вреда здоровью против HSE в связи с нападением, по 11 делам ведутся судебные разбирательства. [72] Дела о причинении вреда здоровью связаны с психологическим воздействием нападения. [72] В Суде Европейского союза рассматривается ряд дел, связанных с нападением. [72]