Britse zorg wekenlang mank door ransomware

Het getroffen bedrijf is Advanced, dat er prat op gaat al meer dan 20 jaar een vertrouwde partner te zijn van de Britse zorginstantie NHS. Advanced meldt op zijn site dat het op 4 augustus een verstoring van zijn systemen had en dat dat het gevolg was van een cyberaanval met ransomware. "We hebben onmiddellijk actie ondernomen om verder risico te beperken en we hebben al onze Health- en Care-omgevingen geïsoleerd waar het incident was gedetecteerd." Die reactie heeft echter flink leed niet weten te voorkomen.

Dagen tot weken

De impact op de NHS en de zorgverlening in heel Groot-Brittannië is namelijk groot, melden diverse Britse media. Daarbij lijkt het er nu op dat deze verstoring van de zorg niet vlot opgelost kan worden. Herstel van de getroffen organisaties en systemen gaat volgens schattingen meer dan 3 weken in beslag nemen. Deze sombere inschatting is niet afkomstig van externe experts of speculerende securitymensen; het is Advanced zelf dat spreekt van "drie tot vier weken" in zijn FAQ over deze cyberaanval.

Sommige organisaties die onder de Britse NHS vallen, zijn al wel begonnen aan hun herstel van de lamleggende aanval. Advanced meldt dat het samenwerkt met de NHS en het Britse NCSC (National Cyber Security Centre) om zijn aanvullende stappen voor inperking, opschoning en herstel te valideren. Voor bepaalde onderdelen en diensten kan herstel naar verwachting de komende dagen al gefaseerd beginnen. Voor sommige andere NHS-klanten en zorginstanties duurt het herstel flink langer. Volgens Advanced is het daarvoor noodzakelijk om nog tenminste drie tot vier weken langer vast te houden aan bestaande noodplannen.

Pen en papier

Die noodplannen omvatten onder meer terugval op werken met pen en papier, wat de responsetijden voor bijvoorbeeld noodnummer 111 en ambulances flink omhoog trekt. De getroffen zorgleverancier zegt dat hij er hard aan werkt om de afgegeven tijdsinschatting (van meer dan 3 weken) omlaag te krijgen. Hij hoopt daarin succesvol te zijn, maar wil wel dat zijn klanten voorbereid zijn op mogelijk langer draaien op noodprocedures.

In zijn FAQ over de aanval legt Advanced nog uit waarom het zo lang gaat duren om de normale dienstverlening te herstellen. Geraakte systemen worden door het bedrijf opnieuw opgebouwd en hersteld in een gescheiden en veilige omgeving, zo geeft Advanced aan. "Om alle klanten te helpen vertrouwen te hebben in het opnieuw verbinden met onze producten zodra de service is hersteld, hebben we een gedefinieerd proces geïmplementeerd waardoor alle omgevingen systematisch worden gecontroleerd voordat ze veilig weer online worden gebracht."

Rechten, patches, monitoring

Dat proces omvat de implementatie van aanvullende blokkeerregels, het verder beperken van privileged accounts voor hogere stafmedewerkers, het scannen van alle geraakte systemen en het zeker stellen dat die volledig zijn gepatched, het resetten van inloggegevens (credentials), het uitrollen van aanvullende software-agents voor endpoint detection & response en het uitvoeren van 24/7 monitoring. Deze door Advanced genoemde maatregelen schetsen een - klassiek te noemen - diagnose van hoe de aanvallers zijn binnengekomen bij deze cruciale leverancier van de Britse zorgsector.