ביום שני בצהריים הפסיקו אמבולנסים להגיע לבית החולים של אוניברסיטת ניו מקסיקו באלבקרקי, והופנו לבתי חולים אחרים בעיר. ההפניה נמשכה שעתיים, מ-12:30 עד 14:30. במקביל נדחו ניתוחים אמבולטוריים ותורים, ולמחרת בוטלו השיעורים בבתי הספר לרפואה, לסיעוד, לרוקחות ולבריאות הציבור של האוניברסיטה, והעובדים שאינם חיוניים התבקשו להישאר בבית.

מה קרה

המרכז הרפואי מסר שב-26 באוקטובר הוא חווה "אירוע סייבר", שצוותי האבטחה התחילו להכיל אותו בסביבות 11 בבוקר, ושהאירוע נמצא בחקירה פלילית. הניסוח המדויק בהודעה הוא שהאירוע "פגע בחלק ממחשבי הקצה אך לא חדר למערכות הליבה או לשרתים". איזה סוג מתקפה זה היה המרכז לא אמר, ועל מידע של מטופלים הוא לא אמר דבר.

קבוצה חדשה בשם Byod לקחה אחריות באתר ההדלפות שלה, ושם התמונה נראית אחרת לגמרי. קבוצות כאלה עובדות בשני מסלולים במקביל: מצפינות את הקבצים בארגון ודורשות כסף על מפתח הפענוח, ובמקביל מעתיקות את המידע החוצה וגובות שוב על ההבטחה לא לפרסם אותו. לשיטה הזאת קוראים כופרה כפולה. לפי Byod היא השתלטה על 36 אלף מערכות בקמפוס ובבית החולים, ובכלל זה על מערך הניהול שמחזיק את כל חשבונות המשתמשים בארגון (Active Directory), על חשבון הענן הארגוני ב-Microsoft Entra ועל שני מסדי נתונים של Oracle. היא מפרטת גם מה לטענתה בידיה: מספרי ביטוח לאומי, נתוני שכר ומשאבי אנוש, רשומות סטודנטים, דוא"ל פנימי, נתוני מחקר, תורים ורשומות רפואיות.

אף אחת מהטענות האלה לא אומתה, וכולן סותרות חזיתית את מה שהמרכז הרפואי פרסם. Byod הודיעה שתסיר את הפרסום ברגע שהאוניברסיטה תיצור קשר, כלומר הזמינה אותה למשא ומתן, והבטיחה מפתחות פענוח חינם למוסדות רפואיים ועד 2,500 דולר לכל מטופל שנפגע. (הבטחה כזאת לא עולה לקבוצה כלום, וכדאי לקרוא אותה כפרסומת.) באתר שלה רשומים שישה קורבנות בלבד, ולשלושה מהם היא כבר הדליפה מידע. עד אתמול חזרו המערכות לעבוד, בתי החולים פתוחים והמרפאות חזרו לתורים כסדרם.

למה זה חשוב לכם

בישראל הדוגמה מוכרת. באוקטובר 2021 שותקו מערכות המידע של המרכז הרפואי הלל יפה בחדרה, ומערך הסייבר הלאומי חוזר לאירוע הזה עד היום כמקרה בוחן. בתי חולים וקופות חולים כאן מחזיקים בדיוק את אותו סוג מידע: תעודת זהות, היסטוריה רפואית ופרטי תשלום. ומה שנוגע למטופל בפועל מתחיל דווקא אחרי שהמערכות חוזרות לעבוד, כשמגיעות הודעות וטלפונים שמשתמשים בפרטים אמיתיים מהמוסד כדי להישמע אמינים. המרכז הרפואי בניו מקסיקו ביקש מהמטופלים, מהעובדים ומהסטודנטים להיזהר בדיוק מזה.

מה עושים?

אם מוסד רפואי שאתם מטופלים בו הודיע על אירוע סייבר, הניחו שבשבועות שאחריו יגיעו אליכם הודעות שיודעות עליכם דברים נכונים. זה לא מוכיח שהן אמיתיות. אמתו כל פנייה דרך המספר או האפליקציה הרשמיים, ולא דרך הקישור או המספר שבהודעה.

אל תמסרו קוד אימות, מספר כרטיס או סיסמה בשיחה שלא אתם יזמתם, גם אם הפונה יודע את תאריך התור שלכם.

נדחה לכם תור או פרוצדורה? בדקו ישירות במרפאה. הבלבול סביב ביטולים הוא בדיוק מה שתוקפים מחפשים.

ואם הסיסמה לפורטל הרפואי שלכם חוזרת גם בחשבונות אחרים, החליפו אותה והדליקו אימות דו-שלבי (קוד נוסף מעבר לסיסמה בכל התחברות).

הפער בין "חלק ממחשבי הקצה" לבין "36 אלף מערכות" לא ייסגר בהודעה לעיתונות של אף אחד מהצדדים. הוא ייסגר, אם ייסגר, במסמכים שיתפרסמו בחודשים הבאים.