De Franse privacytoezichthouder CNIL heeft het Hôpital privé de la Loire (HPL) in Saint-Étienne een boete van 500.000 euro opgelegd na een datalek dat gegevens van 727.000 mensen trof. Het ziekenhuis, onderdeel van zorgconcern Ramsay Santé, kreeg de sanctie omdat het patiëntgegevens onvoldoende had beveiligd.
Een hacker die zichzelf “Marak” noemt, brak vorige zomer in op het account van een arts en kreeg zo toegang tot het elektronisch patiëntendossier van het ziekenhuis. Daarbij ging het om gegevens van 524.867 patiënten en 202.246 zogeheten vertrouwde derden — familieleden, begeleiders of andere contactpersonen rond een patiënt.
Volgens CNIL kon extern personeel inloggen op het systeem zonder VPN of multifactorauthenticatie, ontbraken adequate toegangscontroles en had het ziekenhuis geen monitoring of alarmering ingericht die inbraken in real time had kunnen signaleren. De toezichthouder concludeerde daarnaast dat HPL niet iedereen die getroffen was heeft ingelicht: vooral de groep vertrouwde derden kreeg geen bericht. CNIL noemt dat een schending van de artikelen 32 en 34 van de AVG, die respectievelijk beveiliging en de meldplicht bij datalekken regelen.
De dader probeerde de buitgemaakte data voor 2.000 tot 5.000 euro te verkopen op een hackersforum, maar een koper bleef uit — de gegevens zijn niet gepubliceerd of doorverkocht. HPL heeft tijdens het CNIL-onderzoek alsnog beveiligingsmaatregelen getroffen.
De zaak laat zien waar het bij zorginstellingen vaak misgaat: niet bij geavanceerde aanvallen, maar bij basale hygiëne zoals verplichte MFA voor extern personeel en een VPN-verplichting voor toegang tot patiëntsystemen. Voor Nederlandse ziekenhuizen en zorgaanbieders is dat met de NIS2-richtlijn in het vooruitzicht een relevante les — net als de verplichting om bij een lek ook indirect betrokkenen, zoals mantelzorgers of contactpersonen, actief te informeren en niet alleen de patiënt zelf.
Bron: BleepingComputer
Blijf op de hoogte
Volg CybersecurityNieuws.nl via RSS en mis geen enkel beveiligingsnieuws. Zelf iets gezien dat wij moeten weten? Tip de redactie.