Um provedor de patologia do NHS que foi atingido por ransomware em uma das piores violações de 2024 finalmente começou a notificar seus clientes sobre quantos dados foram roubados.
Um ataque de ransomwareem Synnovis em junho de 2024 levou à escassez de sangue e O cancelamento de 10.000 consultas ambulatoriais agudas e mais de 1700 operações eletivas em Londres e no Sudeste. Pelo menos uma fatalidade foi vinculado ao ataque perpetrado por uma afiliada da Qilin.
Em 20 de junho de 2024, os agentes de ameaças do grupo publicaram 400 GB de dados que alegaram ter sido exfiltrados da empresa, incluindo nomes de pacientes, números do NHS e descrições de exames de sangue.
Como a empresa se recusou a pagar seus extorsores, presume-se que os dados roubados foram posteriormente vendidos no submundo do crime cibernético.
No entanto, a extensão da violação até agora tem sido um mistério, embora algumas estimativas coloquem o número em cerca de um milhão de pacientes.
A Synnovis disse em uma atualização esta semana que agora estava no processo de notificar os controladores de dados afetados – que neste caso serão seus clientes do NHS.
“Cada organização afetada, de acordo com as leis de proteção de dados do Reino Unido, decidirá se algum paciente precisa ser notificado e como fará essas notificações”, acrescentou.
O processo será concluído até 21 de novembro, embora os próprios controladores de dados precisem de tempo para filtrar as informações relevantes antes de notificar os pacientes afetados.
Complexidade e atrasos
A Synnovis culpou o atraso pela “escala e complexidade excepcionais” da investigação, acrescentando que durante o ataque “os dados foram roubados às pressas e de maneira aleatória das unidades de trabalho da Synnovis”.
Seu declaração continuada: “Esta investigação levou mais de um ano para ser concluída porque os dados comprometidos não eram estruturados, incompletos e fragmentados, e muitas vezes muito difíceis de entender. Nomeamos especialistas em segurança cibernética que tiveram que usar plataformas altamente especializadas e processos sob medida para montá-lo.”
No entanto, os especialistas criticaram o ritmo lento do progresso.
Damon Small, membro do conselho da Xcape, descreveu o atraso de 17 meses como “uma falha completamente inaceitável” na resposta a incidentes.
“O impacto humano, incluindo a morte de um paciente e graves interrupções de serviço, supera em muito as complexidades da investigação forense”, acrescentou.
“Quando um fornecedor falha, o relógio da segurança e privacidade do paciente deve começar imediatamente, não 17 meses depois.”
Denis Calderone, COO da Suzu, argumentou que o atraso provavelmente se deve ao mau gerenciamento de dados.
“Dados não estruturados e fragmentados não são uma desculpa válida; é evidência de gerenciamento de dados inadequado. Se você não consegue identificar rapidamente as informações comprometidas, falhou fundamentalmente na governança básica de dados”, acrescentou.
“A resposta a incidentes na área da saúde é genuinamente difícil, mas quando uma violação supostamente contribui para a morte de pacientes e afeta quase um milhão de pessoas, o setor precisa de mais do que lições aprendidas a portas fechadas. Precisamos de transparência que ajude os outros a se defenderem.”