Aantal cyberincidenten bij leveranciers explodeert: acuut gevaar voor zorgsector

Het aantal geslaagde cyberaanvallen met ransomware op de IT-leveranciers van zorgorganisaties is afgelopen jaar meer dan verdubbeld. Ook bij producenten van medische technologie en in de farmaceutische industrie steeg het aantal incidenten fors, blijkt uit het nieuwe Dreigingsbeeld van expertisecentrum Z-CERT.

Leveranciers worden vaker getroffen door ransomware dan zorginstellingen zelf, komt naar voren uit de cijfers van Z-CERT, die het expertisecentrum voor cybersecurity in de zorg vandaag aanbood aan ActiZ-voorzitter Anneke Westerlaken. Bij producenten van medische technologie steeg het wereldwijd met 63 procent, in de farmaceutische industrie met 75 procent. De geslaagde aanvallen op IT-leveranciers spannen de kroon met een toename van 117 procent.

Aanvallen op leveranciers

De kwetsbaarheid van leveranciers laat zich ook voelen in Nederland. Bij de top drie van meest gerapporteerde cyber-incidenten waar zorgorganisaties afgelopen jaar mee te maken kregen, staan twee soorten aanvallen die bij een leverancier plaatsvonden. De koploper is een DDoS-aanval op een leverancier. Van de respondenten gaf 17 procent aan hier in 2023 door geraakt te zijn. Nog eens 11 procent rapporteert een ransomware-aanval bij een leverancier. Een opvallend voorbeeld hiervan is een ransomware-incident bij een leverancier van alarmknoppen, die de communicatie tussen de knoppen en de meldkamer plat legde. Het illustreert dat ook aanbieders van zorgdomotica getroffen kunnen worden.

Cloud kent risico’s

Z-CERT verwacht dat dit jaar meerdere ransomware-incidenten zullen plaatsvinden met impact op zorginstellingen. “Leveranciers en de transitie naar de cloud brengen dus nieuwe risico’s met zich mee”, valt in het Dreigingsbeeld te lezen. “De groeiende digitale afhankelijkheid rechtvaardigt een grotere focus op leveranciers.” Het expertisecentrum wijst erop dat een deel van de incidenten in Europese zorginstellingen te voorkomen was geweest als leveranciers tijdig een update hadden uitgevoerd in de on-premise systemen van zorgaanbieders. Daardoor bleven digitale achterdeuren langer open staan dan nodig, wat kwaadwillenden de kans gaf hun slag te slaan.

Afhankelijkheid neemt toe

Volgens Z-CERT neemt de afhankelijkheid in de keten tussen zorgorganisaties en leveranciers van IT toe. “Dit brengt het risico met zich mee dat een zorginstelling de eigen cyberhygiëne wel op orde heeft, terwijl een externe partij niet voldoende is toegerust op de digitale dreigingen van nu”, schrijft het expertisecentrum. Het risico op datalekken via een (onder)leverancier is dan ook reëel.

Scherp op afspraken

Z-CERT raadt zorgorganisaties aan actief te controleren of hun leveranciers up-to-date zijn met het patchen van systemen en scherp te zijn op de naleving van de afspraken uit het Service Level Agreement (SLA). Dit gaat regelmatig mis, constateert het expertisecentrum. Ook is het zaak afspraken en verantwoordelijkheden duidelijk vast te leggen en multifactorauthenticatie en periodieke testen af te dwingen, staat in het dreigingsbeeld. De Europese wetgeving NIS2 kan daarbij een steun in de rug zijn, die stelt strengere eisen aan (middel-)grote zorgorganisaties maar scherpt ook de verplichtingen van leveranciers richting de zorgaanbieders aan.

Hoog risico op ransomware en hacks

Naast de leveranciers moeten zorgorganisaties zelf ook aan de bak. De ziekenhuizen hebben een inhaalslag gemaakt, maar voor veel andere zorgsectoren geldt dat nog niet. Het gevaar op ransomware-aanvallen en datalekken na een hack is hoog, net als het gevaar op spionage. Het risico op digitale financiële fraude, DDoS-aanvallen en datalekken via phishing staat op “medium” in de dreigingsradar. Cybercriminelen zijn steeds sneller met het misbruiken van een gevonden kwetsbaarheid en maken ook graag gebruik van nieuwe middelen voor hun aanvallen. Zo kunnen internationale criminelen AI gebruiken om overtuigende Nederlandse phishing-teksten te genereren of met nep audio- en video fraude te plegen.