Lekken van ziekenhuisdata toch niet uitgesloten bij Chipsoft-hack
In dit artikel:
Bij de ransomware-aanval op Chipsoft — leverancier van elektronische patiëntendossiers en het HIX365-patiëntportaal — kan mogelijk toch patiëntinformatie zijn buitgemaakt, meldt de NOS op basis van bronnen. Aanvankelijk werd gezegd dat ziekenhuisdata veilig waren, maar onderzoek wijst uit dat toegang tot gegevens van een deel van de ziekenhuizen niet volledig uitgesloten kan worden.
De zorginstellingen die HIX365 gebruiken, waaronder het Franciscus Gasthuis (Rotterdam), het Albert Schweitzer Ziekenhuis (Dordrecht) en het Meander Medisch Centrum (Amersfoort) plus zo’n twaalf andere ziekenhuizen, leiden verkeer naar patiëntendossiers via Chipsoft-servers. Daardoor bestaat de vrees dat aanvallers dat verkeer konden meelezen. Veel regionale ziekenhuizen zeiden eerst dat patiëntgegevens niet op Chipsoft-servers waren opgeslagen, maar die verklaring sluit niet uit dat er toch gegevens gelekt zijn.
Betrokken ziekenhuizen kregen het advies een melding te doen bij de Autoriteit Persoonsgegevens; die toezichthouder bevestigt meerdere meldingen maar noemt geen details. Voor andere ziekenhuizen is het nog onduidelijk of een melding nodig is; het precieze bereik van de hack wordt nog onderzocht. Ook een relatief klein aantal huisartsenpraktijken dat Chipsoft-software gebruikt kan getroffen zijn.
Eind vorige week werden extra beveiligingsmaatregelen genomen: Chipsoft zette de HIX365-patiëntensites offline nadat externe beveiligingsexperts waren ingeschakeld, logingegevens voor ondersteunend Chipsoft-personeel werden ingetrokken of vernieuwd en digitale sleutels tussen Chipsoft en ziekenhuizen vervangen. Dat duidt erop dat die externe deskundigen niet konden uitsluiten dat de aanvallers meer toegang hadden dan eerst gedacht. Chipsoft zegt dat externe experts direct zijn betrokken; coördinator Z-Cert wil niet inhoudelijk reageren.
De patiëntportalen zijn nog offline, waardoor patiënten geen uitslagen kunnen inzien en inchecken soms niet mogelijk is, wat op sommige locaties leidt tot langere rijen. Voor zover bekend heeft dit nog niet geleid tot aantoonbare problemen met de patiëntenzorg. Het forensisch onderzoek loopt nog; definitieve duidelijkheid over mogelijke datadiefstal ontbreekt.