اختراق بيانات مستشفيات NHS في لندن: ما هي تداعياته وتأثيره على المرضى؟

عرب لندن

سرقت عصابة فدية روسية بيانات حساسة للغاية لمرضى هيئة الخدمات الصحية الوطنية، بما في ذلك نتائج اختبارات الدم لفيروس نقص المناعة البشرية والسرطان، بعد هجوم إلكتروني قامت به  هذا الشهر.

ونشرت المجموعة ما يقرب من 400 غيغابايت من البيانات المسروقة يوم الجمعة، وتأثرت سبعة مستشفيات تديرها اثنتين من مؤسسات هيئة الخدمات الصحية الوطنية بالهجوم.

ما هي البيانات التي تمت سرقتها؟

تم سرقة بيانات طبية ضخمة من شركة Synnovis، تشمل حوالي 300 مليون سجل منفصل للمرضى مع الخدمات الصحية الوطنية (NHS)، تعود لعدد كبير ولكن غير محدد من السنوات، ووفقًا ما ذكرته صحيفة الغارديان "The Guardian"  لم تصدر NHS أي تفاصيل عن محتوى هذه البيانات، ولكنها تشمل نتائج اختبارات الدم التي خضع لها المرضى قبل إجراء عمليات جراحية، بما في ذلك جراحات السرطان وزراعة الأعضاء، أو بسبب الاشتباه في إصابتهم بعدوى منقولة جنسيًا أو فحصهم لمعرفة ما إذا كانوا مصابين بفيروس نقص المناعة البشرية (HIV). 

تشمل البيانات أيضًا نتائج اختبارات أجراها المرضى خلال رعايتهم وعلاجهم من قبل "مقدمي رعاية صحية متعددين من القطاع الخاص"، وفقًا لمصدر موثوق به.

وذكرت البي بي سي يوم الجمعة أن البيانات التي نشرها القراصنة على الإنترنت تضمنت أسماء المرضى وتواريخ الميلاد وأرقام هيئة الخدمات الصحية الوطنية و"أوصاف اختبارات الدم".

كيف يمكنني معرفة ما إذا تم أخذ بياناتي؟

ليس من الواضح ما إذا كان يمكن للمرضى معرفة ما إذا كانت البيانات المتعلقة باختبارات الدم والتفاعلات الأخرى التي أجروها مع هيئة الخدمات الصحية الوطنية قد سُرقت أو تم نشرها بالفعل عبر الإنترنت أم لا.

وقالت هيئة الخدمات الصحية الوطنية في إنجلترا، في بيان لها، إن الوكالة الوطنية لمكافحة الجريمة والمركز الوطني للأمن السيبراني يعملان على التحقق من البيانات الواردة في الملفات المنشورة، لكن التحقيق معقداً للغاية وقد يستغرق عملها أسابيع. 

وقالت هيئة الخدمات الصحية الوطنية في إنجلترا إنها ستقوم بتحديث التفاصيل لمرضى هيئة الخدمات الصحية الوطنية على صفحة ويب مخصصة، مضيفة أن الأشخاص الذين لديهم أسئلة يمكنهم أيضًا الاتصال بخط المساعدة للحوادث على الرقم 0345 8778967.

كيف يمكن استخدام تلك البيانات؟

يمكن للعصابات الإجرامية نشر البيانات الشخصية المسربة في هجمات برامج الفدية لتنفيذ أنشطة احتيالية مثل استدراج الأشخاص إلى عمليات التصيد الاحتيالي، حيث يتم خداع الضحايا لتقديم معلومات حساسة مثل كلمات المرور أو النقر على رابط يؤدي إلى تنزيل برامج ضارة.

وفي السياق قال جيمس تايتلر، شريك في S-RM، شركة استشارات أمن المعلومات المتخصصة في استجابة لهجمات الفدية: "هناك خطر أن يحاول المجرمون السيبرانيين الآخرون استخدام معلومات التعريف الشخصية المسربة لسرقة الهوية أو القيام بعمليات احتيال بالبريد الإلكتروني".

بدورها أعلنت NHS أن أي شخص يتلقى اتصالًا من شخص يدعي أنه لديه بياناتهم يجب عليه التواصل مع Action Fraud عبر الإنترنت أو على الرقم 0300 123 2040. يجب إرسال البريد الإلكتروني المشبوه إلى report@phishing.gov.uk أو الرسائل النصية إلى 7726.

هل يمكنك طلب التعويض إذا تأثرت؟

تتم حماية بيانات الأشخاص بموجب القانون العام لحماية البيانات في المملكة المتحدة، والذي يتطلب من المؤسسات الحفاظ على أمان أي بيانات شخصية تحتفظ بها.

قالت كيت بريمستد، الشريكة في شركة المحاماة البريطانية برايان كيف لايتون بيسنر: "الأفراد الذين يعانون من ضرر أو ضائقة نتيجة لانتهاك إحدى المنظمات للقانون العام لحماية البيانات في المملكة المتحدة، لهم الحق في مقاضاة المنظمة للحصول على تعويض".

ومع ذلك، أضاف بريستيد أن مجرد حدوث الاختراق وأخذ البيانات لا يعني أنه كان هناك فشل أمني من جانب المنظمة المعنية. 

وأكد:"ستكون هناك حاجة إلى إجراء تحليل دقيق للسبب الجذري وتحقيق فني قبل معرفة أي مسألة تتعلق بانتهاك اللائحة العامة لحماية البيانات في المملكة المتحدة أو المسؤولية".

هل يمكن إرجاع البيانات إذا تم دفع الفدية؟

تم بالفعل نشر البيانات المسروقة على منصة مراسلة عبر الإنترنت ويمكن للمجرمين الوصول إليها. عادةً ما يشير النشر إلى عدم دفع الفدية، وأن المهاجمين سينتقلون إلى ضحيتهم التالية.

وقال سياران مارتن، الرئيس السابق للمركز الوطني للأمن السيبراني، إن دفع فدية مقابل "حذف" البيانات لم ينجح. كما وجدت عملية حديثة أجرتها وكالة الجريمة الوطنية في المملكة المتحدة ضد عصابة LockBit Ransomware أن المجموعة احتفظت بالبيانات على الرغم من قولها إنها ستحذفها بعد تلقي الدفع.