29/06/2026
🌐Κυβερνοεπιθέσεις στις δομές υγείας 🏥
Η ψηφιακή απειλή ως ζήτημα βιοηθικής και ασφάλειας 🔒
📖ΑΡΘΡΟ
✒Γράφει ο Λάμπρος Δερμεντζόγλου
Διευθυντής Υπηρεσίας Πληροφορικής
▶Το φθινόπωρο του 2020, στο Πανεπιστημιακό Νοσοκομείο του Ντίσελντορφ, η ψηφιακή απειλή μετατράπηκε σε φυσική τραγωδία. Μια ασθενής εισήχθη επειγόντως με ρήξη ανευρύσματος, ωστόσο η σωτήρια παρέμβαση του προσωπικού του τμήματος επειγόντων περιστατικών κατέστη αδύνατη, καθώς τα κρίσιμα πληροφοριακά συστήματα του νοσοκομείου είχαν παραλύσει υπό το βάρος μιας επίθεσης ransomware, δηλαδή ενός κακόβουλου λογισμικού, που χρησιμοποιούν οι κυβερνοεγκληματίες για να μπλοκάρουν την πρόσβαση και να καταστρέψουν ή να δημοσιεύσουν κρίσιμα δεδομένα ενός θύματος, εκτός εάν καταβληθούν λύτρα. Η ασθενής διακομίστηκε σε μονάδα 30 χιλιόμετρα μακρύτερα, όπου και τελικώς κατέληξε. Το περιστατικό αυτό, η πρώτη καταγεγραμμένη περίπτωση όπου μια κυβερνοεπίθεση συνδέθηκε αιτιωδώς με την απώλεια ανθρώπινης ζωής, κατέδειξε με τον πλέον οδυνηρό τρόπο ότι η ψηφιακή ασφάλεια των Κρίσιμων Υποδομών (Critical Infrastructure) δεν συνιστά απλώς τεχνική παράμετρο, αλλά θεμελιώδη προϋπόθεση δημόσιας υγείας.
▶Στόχοι υψηλής στρατηγικής αξίας
Αν και η γενεαλογία των κυβερνοεπιθέσεων στον χώρο της υγείας ανάγεται στο 1995, το τοπίο των απειλών έχει υποστεί ριζικό μετασχηματισμό. Σήμερα, τα νοσοκομεία αποτελούν στόχους υψηλής στρατηγικής αξίας, λόγω του μεγάλου όγκου δεδομένων τύπου Προστατευόμενων Πληροφοριών Υγείας (PHI) που διαχειρίζονται. Το 2017, το κακόβουλο λογισμικό WannaCry προκάλεσε επιχειρησιακή παράλυση στο βρετανικό NHS, με ζημίες που υπερέβησαν το 1 δισ. λίρες. Πιο πρόσφατα, το 2021, η παραβίαση της Ιρλανδικής Υπηρεσίας Υγείας (HSE) αποκάλυψε το modus operandi των δραστών: πλέον δεν αρκούνται στην κρυπτογράφηση των ιατρικών και προσωπικών πληροφοριών ώστε να καθίστανται μη αναγνώσιμα, αλλά προβαίνουν σε εκβιαστική εξαγωγή δεδομένων (data exfiltration), απειλώντας με δημοσιοποίηση ευαίσθητων προσωπικών στοιχείων.
▶Γιατί είναι ελκυστικές οι ιατρικές βάσεις δεδομένων
Ποιος είναι, όμως, ο παράγοντας που καθιστά τις ιατρικές βάσεις δεδομένων τόσο ελκυστικές στο ψηφιακό παραεμπόριο του σκοτεινού διαδικτύου (Dark Web); Σε αντίθεση με τους αριθμούς πιστωτικών καρτών που δύνανται να ακυρωθούν ακαριαία, τα βιομετρικά και ιατρικά δεδομένα συνιστούν «αμετάβλητους ταυτοποιητές» (immutable identifiers). Η εγγενής αυτή μονιμότητα εκτοξεύει την αξία τους στη μαύρη αγορά, με έναν πλήρη ιατρικό φάκελο VIP προσώπου να αγγίζει τετραψήφια ποσά. Τα σύγχρονα εγκληματικά συνδικάτα, υιοθετώντας το επιχειρηματικό μοντέλο «Ransomware-as-a-Service» (RaaS), εφαρμόζουν τακτικές «διπλού εκβιασμού» (double extortion), θέτοντας εν κινδύνω τόσο την οικονομική βιωσιμότητα όσο και τη φήμη του οργανισμού.
Η ανατομία της εισβολής, όπως αποτυπώθηκε στην περίπτωση του λογισμικού Ryuk, ακολουθεί μια συγκεκριμένη «Αλυσίδα Κυβερνο-Θανάτου» (Cyber Kill Chain). Η επίθεση εκκινεί συνήθως με μια παραπλανητική επικοινωνία μέσω ηλεκτρονικού ταχυδρομείου (phishing) που διαπερνά την περίμετρο ασφαλείας του δικτύου. Με την εγκατάστασή του, το κακόβουλο λογισμικό χαρτογραφεί την υποδομή υφαρπάζοντας τα προνόμια και τους κωδικούς του διαχειριστή (privilege escalation), ενώ στοχεύει προληπτικά τα αντίγραφα ασφαλείας, απενεργοποιώντας τα. Ο μέσος χρόνος «αθέατης επώασης» (dwell time) εντός του δικτύου ανέρχεται μεσοσταθμικά στις 23 ημέρες, καθιστώντας τον έγκαιρο εντοπισμό εξαιρετικά δυσχερή.
▶Αυστηρό πλαίσιο κανονιστικής συμμόρφωσης
Ως θεσμικό ανάχωμα, εισάγεται πλέον η ευρωπαϊκή Οδηγία NIS2, η οποία ορίζει ένα αυστηρό πλαίσιο κανονιστικής συμμόρφωσης. Κάθε νοσοκομειακή μονάδα άνω των 50 κλινών καλείται να θωρακιστεί μέσω προηγμένων πρωτοκόλλων: έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA), αυστηρή τμηματοποίηση δικτύου (network segmentation) και διατήρηση αντιγράφων ασφαλείας σε περιβάλλον πλήρως αποκομμένο από το δίκτυο (air-gapped backups). Στην ελληνική έννομη τάξη, ο Ν. 4961/2022 ενσωματώνει τις επιταγές αυτές, καθιστώντας τις διοικήσεις των οργανισμών υγείας άμεσα υπόλογες για τυχόν πλημμέλειες.
Η επόμενη ημέρα δε δικαιολογεί τον εφησυχασμό. Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου (NCSC) εξέδωσε προειδοποίηση ότι η τεχνητή νοημοσύνη ήδη αξιοποιείται από κυβερνοεγκληματίες. Σύμφωνα με το NCSC, «είναι σχεδόν βέβαιο ότι θα αυξηθούν τόσο ο όγκος όσο και η αποτελεσματικότητα των κυβερνοεπιθέσεων μέσα στα επόμενα δύο χρόνια». Αυτή η απειλή είναι ιδιαίτερα έντονη στον τομέα της κοινωνικής μηχανικής, όπου η παραγωγική τεχνητή νοημοσύνη (GenAI) δίνει τη δυνατότητα στους κυβερνοεγκληματίες να σχεδιάζουν εξαιρετικά πειστικές εκστρατείες, προσαρμοσμένες σε πολλές γλώσσες και προφίλ υποψηφίων θυμάτων.
Απαιτείται λοιπόν η μετάβαση σε αρχιτεκτονική «Μηδενικής Εμπιστοσύνης» (Zero Trust) και η αδιάλειπτη λειτουργία Κέντρων Επιχειρήσεων Ασφαλείας (SOC) που παρακολουθούν ταυτότητες, τερματικά, διακομιστές, βάσεις δεδομένων, εφαρμογές δικτύου, τοποθεσίες web και άλλα συστήματα για να εντοπίσουν και να αποτρέψουν πιθανές επιθέσεις στον κυβερνοχώρο σε πραγματικό χρόνο. Το διακύβευμα υπερβαίνει την αποφυγή των υπέρογκων προστίμων· αφορά τη διασφάλιση της Επιχειρησιακής Συνέχειας (Business Continuity), ώστε οι ιατρικές πράξεις να τελούνται απρόσκοπτα.
Γιατί τελικά, στον ευαίσθητο τομέα της υγείας, η χρονική υστέρηση δεν αποτιμάται μόνο σε χρηματικές απώλειες, αλλά δυστυχώς και σε ανθρώπινες ζωές.
*Το άρθρο δημοσιεύθηκε στο περιοδικό "ΧΡΕΟΣ ΖΩΗΣ" που εκδίδει το ΓΝ Παπαγεωργίου.
