W październiku 2020 roku University of Vermont Medical Center (UVM) stało się celem ataku ransomware, który poważnie zakłócił funkcjonowanie jego systemów informatycznych.
Atak ransomware na University of Vermont Medical Center wyłączył kluczową infrastrukturę i ograniczył świadczenie usług medycznych przez ponad dwa tygodnie. Polskie incydenty potwierdzają, że skutki cyberataku obejmują opiekę nad pacjentami, dostępność dokumentacji, odpowiedzialność Zarządu oraz zgodność z RODO i ustawą o krajowym systemie cyberbezpieczeństwa.
Phishing otworzył dostęp do infrastruktury UVM
Atak na University of Vermont Medical Center rozpoczął się 28 października 2020 roku. Prezentacja przygotowana później przez przedstawiciela szpitala wskazuje phishing jako początkowy wektor infekcji. Złośliwe oprogramowanie zaszyfrowało 1300 serwerów stanowiących podstawową infrastrukturę, a mechanizmy zapewniające utrzymanie dostępu napastników znalazły się na około 5000 urządzeń. System elektronicznej dokumentacji medycznej Epic pozostał technicznie niezainfekowany, lecz szpital wyłączył go razem z pozostałymi zasobami, aby ograniczyć dalsze rozprzestrzenianie się ataku. UVM informował również, że analiza incydentu nie potwierdziła naruszenia danych pacjentów.
Reakcja rozpoczęła się od uruchomienia struktury zarządzania incydentem, współpracy z organami ścigania oraz odłączenia sieci od internetu. Szpital zamknął połączenia na granicy sieci i wyłączył systemy kliniczne zgodnie z procedurą awaryjną. W działaniach uczestniczyła również Gwardia Narodowa stanu Vermont, której zespół wspierał odbudowę środowiska przez około miesiąc. Federalne śledztwo powiązało incydent z infrastrukturą przestępczą wykorzystującą malware IcedID do uzyskania dostępu i późniejszego wdrażania ransomware.
Cyberatak szybko stał się kryzysem klinicznym
Personel utracił dostęp do poczty elektronicznej, telefonii, dokumentacji i wielu narzędzi wspierających codzienną opiekę. Szpital przeszedł na dokumentację papierową, ręczną obsługę zleceń oraz alternatywne kanały komunikacji. Pierwszego dnia telefony pozostawały niedostępne, dlatego zespoły korzystały z krótkofalówek i pracowników przekazujących informacje między oddziałami. Tysiące zleceń i wyników laboratoryjnych wymagały ręcznego przetworzenia, dystrybucji i późniejszego wprowadzenia do systemów.
Procedury przestojowe pozwoliły kontynuować część działalności, lecz były przygotowane na znacznie krótszą przerwę. Komputery awaryjne przechowywały dane potrzebne do obsługi około trzech dni, a część pracowników straciła biegłość w procedurach manualnych. Odbudowa wymagała równoległego podejmowania decyzji technicznych, klinicznych i organizacyjnych. Szpital przywracał systemy zgodnie z kolejnością ustaloną na podstawie znaczenia dla bezpieczeństwa pacjentów i możliwości realizowania świadczeń.
Departament Sprawiedliwości Stanów Zjednoczonych ustalił, że placówka przez ponad dwa tygodnie nie mogła realizować wielu krytycznych usług. Według prokuratorów zakłócenie stworzyło ryzyko śmierci lub poważnego uszczerbku na zdrowiu pacjentów i spowodowało straty przekraczające 30 milionów dolarów. Władze szpitala przedstawiały później wyższe szacunki, obejmujące również utracone przychody i długotrwałe koszty odbudowy. Różnica między tymi wartościami pokazuje znaczenie precyzyjnego definiowania kosztów incydentu w raportach dla Zarządu i ubezpieczyciela.
UVM przygotował procedury, lecz skala przestoju przekroczyła założenia
Działania UVM pokazują wartość sprawnej struktury zarządzania kryzysowego. Kierownictwo IT współpracowało z liderami klinicznymi i operacyjnymi, a priorytety odbudowy wynikały z potrzeb świadczenia usług. Organizacja szybko zaangażowała ekspertów kryminalistycznych, organy ścigania i zewnętrzne zespoły wsparcia. Ograniczyła również zasięg ataku przez zdecydowane odłączenie infrastruktury, choć decyzja zwiększyła krótkoterminowy zakres niedostępności.
Incydent ujawnił jednocześnie ograniczenia istniejących procedur. Plany pracy awaryjnej zakładały krótszy czas niedostępności, część pracowników wymagała ponownego wdrożenia do pracy papierowej, a początkowa utrata telefonii utrudniła koordynację. Po zdarzeniu UVM rozbudował ochronę urządzeń końcowych, całodobowy monitoring, filtrowanie ruchu, segmentację sieci, wieloskładnikowe uwierzytelnianie (MFA) oraz program symulacji phishingu. Zmiany obejmowały również zarządzanie dostępem dostawców i automatyzację obsługi zdarzeń bezpieczeństwa.
Ocena UVM wyłącznie przez pryzmat skuteczności zabezpieczeń technicznych pozostawiłaby poza analizą główne źródło kosztów. Największe konsekwencje wynikały z czasowej utraty zdolności do świadczenia usług. Organizacja powinna więc łączyć zarządzanie cyberbezpieczeństwem z zarządzaniem ciągłością działania (BCM), bezpieczeństwem pacjentów oraz planowaniem zasobów klinicznych.
Ataki ransomware na polskie placówki medyczne
Podobne zdarzenia wystąpiły również w Polsce. W lutym 2022 roku ransomware zaszyfrowało dane przechowywane przez Samodzielny Publiczny Zespół Opieki Zdrowotnej w Pajęcznie. Incydent objął dane około 30 000 pacjentów oraz ponad 1000 pracowników. Placówka zawiadomiła Policję i Prezesa Urzędu Ochrony Danych Osobowych, lecz oceniła zdarzenie jako mało poważne, ponieważ nie znalazła dowodów potwierdzających skopiowanie danych.
UODO uznał tę ocenę za niewystarczającą. Brak śladów transferu nie potwierdza, że napastnicy ograniczyli się do szyfrowania, szczególnie gdy infrastruktura nie zapewniała pełnej widoczności działań atakującego. Organ wskazał również, że utrata dostępności danych dotyczących zdrowia może bezpośrednio wpływać na prawa pacjentów. SPZOZ nie posiadał udokumentowanej i aktualizowanej analizy ryzyka, a istotne działania naprawcze rozpoczął dopiero po ataku. Prezes UODO nałożył karę w wysokości 40 000 złotych i nakazał wdrożenie odpowiednich środków oraz powiadomienie osób objętych zdarzeniem.
Drugi udokumentowany przypadek dotyczył Uniwersyteckiego Dziecięcego Szpitala Klinicznego im. Ludwika Zamenhofa w Białymstoku. Atak z 11 stycznia 2020 roku objął serwery fizyczne, maszyny wirtualne, kontrolery domeny, serwer plików, system kontroli dostępu oraz serwer kopii zapasowych. Systemy szpitalne przetwarzające dokumentację pacjentów pozostały poza zakresem zaszyfrowania, lecz incydent naruszył dostępność i potencjalnie poufność danych około 2000 pracowników. Szpital utracił część plików i zmian utworzonych między lipcem 2019 a styczniem 2020 roku.
Postępowanie wykazało możliwość zdalnego dostępu z prywatnych komputerów, brak odpowiednich ograniczeń instalowania aplikacji z nośników zewnętrznych, korzystanie z nieaktualnego oprogramowania oraz niewystarczający scentralizowany nadzór nad infrastrukturą. UODO stwierdził także brak regularnego testowania i oceniania skuteczności zabezpieczeń. W czerwcu 2025 roku Prezes UODO nałożył na szpital karę w wysokości 66 500 złotych. Organ podkreślił, że analiza ryzyka powinna obejmować konsekwencje dla osób, których dane dotyczą, a nie wyłącznie skutki organizacyjne dla placówki.
Certyfikat nie zastępuje kontroli technicznych
Osobny przypadek opisany przez UODO dotyczył spółki medycznej, z której systemów napastnicy pobrali dane pacjentów i pracowników. Atakujący zażądali trzech milionów dolarów za powstrzymanie publikacji informacji obejmujących między innymi dane dotyczące zdrowia, numery PESEL, dane dokumentów tożsamości, adresy, dane finansowe i dane uwierzytelniające. Organ ustalił, że część serwerów utraciła wsparcie producenta, aktualizacje nie zostały wykonane, a ochrona przed phishingiem pozostawała niewystarczająca.
Spółka opierała ocenę bezpieczeństwa między innymi na audycie wewnętrznym przeprowadzonym w związku z utrzymaniem certyfikatu ISO/IEC 27001. UODO uznał, że analiza ryzyka i testy skuteczności zabezpieczeń pozostawały niewystarczające. Prezes Urzędu nałożył karę w wysokości 1 440 549 złotych i nakazał przeprowadzenie prawidłowej analizy ryzyka oraz wdrożenie regularnych testów. Przypadek potwierdza ograniczenia certyfikatu jako samodzielnego dowodu bezpieczeństwa konkretnego środowiska produkcyjnego.
Norma ISO 27001 tworzy ramy systemu zarządzania i pozwala organizacji uporządkować odpowiedzialność, procesy oraz postępowanie z ryzykiem. Certyfikacja obejmuje jednak zadeklarowany zakres, próbę dowodów i ustalony moment oceny. Zarząd powinien otrzymywać również wyniki testów technicznych, informacje o podatnościach, status aktualizacji, stan kopii zapasowych oraz wyniki ćwiczeń odtworzeniowych. Certyfikat wspiera decyzję, a jego znaczenie wynika z jakości wdrożonych kontroli.
Powtarzalny wzorzec w polskich incydentach
Decyzje UODO pokazują kilka wspólnych elementów. Analizy ryzyka miały charakter ogólny albo powstały dopiero po zdarzeniu. Placówki nie wiązały konkretnych procesów przetwarzania z podatnościami, zagrożeniami i skutkami dla pacjentów. Testy zabezpieczeń nie obejmowały pełnego środowiska, a systemy kopii zapasowych pozostawały dostępne z infrastruktury, którą mogło objąć ransomware.
Problem obejmował również reakcję po ataku. Brak dowodu wycieku bywał traktowany jako dowód zachowania poufności, choć placówka nie posiadała narzędzi pozwalających wiarygodnie odtworzyć aktywność napastnika. Utrata dostępności danych była oceniana przede wszystkim jako trudność techniczna. W ochronie zdrowia dostępność dokumentacji, wyników badań i informacji o leczeniu pozostaje bezpośrednio związana z bezpieczeństwem pacjenta.
Nowe obowiązki wzmacniają odpowiedzialność Zarządu
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca NIS2, weszła w życie 3 kwietnia 2026 roku. Przepisy rozszerzyły zakres podmiotów kluczowych i ważnych oraz objęły szerszą grupę organizacji z sektora ochrony zdrowia. Podmioty spełniające kryteria mają wdrożyć wymagane środki zarządzania ryzykiem, system zarządzania bezpieczeństwem informacji oraz procesy obsługi incydentów w terminach określonych przez ustawę.
W marcu 2026 roku Pełnomocnik Rządu do spraw Cyberbezpieczeństwa wydał osobny komunikat dotyczący wrogiej aktywności wymierzonej w sektor ochrony zdrowia. Zalecenia potwierdziły, że zagrożenie ma charakter bieżący i wymaga działań wykraczających poza jednorazowy audyt. Placówki powinny rozwijać zdolność wykrywania, izolowania i odtwarzania systemów oraz wymieniać informacje z właściwymi zespołami reagowania.
RODO i ustawa o krajowym systemie cyberbezpieczeństwa chronią częściowo odmienne wartości. KSC koncentruje się na odporności systemów i ciągłości usług, podczas gdy RODO wymaga oceny skutków dla praw i wolności konkretnych osób. Placówka medyczna potrzebuje obu perspektyw. Przywrócenie działania systemu nie zamyka oceny naruszenia danych, a zachowanie poufności nie usuwa skutków klinicznych długiego przestoju.
Plan ciągłości powinien odpowiadać realiom pracy klinicznej
Skuteczne przygotowanie wymaga połączenia procedur IT z decyzjami podejmowanymi na oddziałach, w laboratoriach, aptece szpitalnej i diagnostyce obrazowej. Plan musi określać sposób pracy bez dokumentacji elektronicznej, telefonii, poczty i dostępu do centralnych systemów. Powinien także wskazywać minimalny zestaw informacji potrzebny do bezpiecznego leczenia oraz zasady późniejszego uzupełniania danych.
Proces przygotowania można podzielić na sześć etapów.
- Analiza wpływu na działalność kliniczną
Placówka powinna ustalić kolejność przywracania usług na podstawie bezpieczeństwa pacjentów. Analiza wpływu na działalność (BIA) musi objąć zależności od laboratoriów, diagnostyki, apteki, dostawców, łączności i urządzeń medycznych.
- Procedury długotrwałej pracy offline
Dokumentacja papierowa i formularze awaryjne powinny wystarczyć na przestój liczony w tygodniach. Personel musi regularnie ćwiczyć ich stosowanie, obieg i późniejsze wprowadzanie danych do systemów.
- Odporne kopie zapasowe
Kopie powinny być oddzielone od środowiska produkcyjnego i zabezpieczone przed zmianą lub usunięciem. Test odtworzenia musi obejmować pełną usługę wraz z konfiguracją, zależnościami i wymaganym czasem przywrócenia.
- Segmentacja i ograniczanie uprawnień
Systemy kliniczne, administracyjne, urządzenia medyczne i infrastruktura kopii zapasowych wymagają rozdzielenia. Konta uprzywilejowane, dostęp dostawców i połączenia zdalne powinny podlegać MFA, rejestrowaniu i okresowym przeglądom.
- Wykrywanie oraz reagowanie
Placówka potrzebuje centralnego monitorowania i ochrony urządzeń końcowych, w tym wykrywania i reagowania na punktach końcowych (EDR). Rejestry powinny umożliwiać odtworzenie działań napastnika oraz ocenę możliwej eksfiltracji danych.
- Ćwiczenia dla Zarządu i personelu klinicznego
Scenariusz powinien obejmować brak dokumentacji, niedostępność telefonów, odwoływanie świadczeń, komunikację z pacjentami oraz zgłoszenia do właściwych organów. Wynik ćwiczenia powinien trafić przed Zarząd wraz z właścicielami działań, terminami i kryteriami zamknięcia ustaleń.
Dostępność systemów medycznych wpływa na bezpieczeństwo pacjentów
Incydent UVM potwierdził, że ransomware może stworzyć zagrożenie dla życia nawet bez potwierdzonego wycieku danych. Polskie postępowania pokazują równolegle konsekwencje niewłaściwej analizy ryzyka, braku regularnych testów i ograniczonej wiedzy o aktywności napastnika. Wspólnym mianownikiem pozostaje zależność procesów klinicznych od systemów cyfrowych.
Placówka medyczna powinna znać czas, przez który może bezpiecznie pracować bez każdego systemu. Powinna również posiadać dowody potwierdzające, że kopie można odtworzyć, personel zna procedury, a priorytety odbudowy odpowiadają potrzebom klinicznym. Dokumentacja bez regularnych ćwiczeń daje ograniczoną wartość podczas rzeczywistego incydentu.
Dla Zarządu oznacza to konieczność oceny ryzyka poprzez ciągłość świadczeń, bezpieczeństwo pacjentów i odpowiedzialność regulacyjną. Koszt zabezpieczeń można zaplanować i kontrolować. Koszt wielotygodniowego przestoju pozostaje znacznie mniej przewidywalny, a oszczędność na testach szybko staje się skórką za wyprawkę.
Źródła
- University of Vermont Medical Center, „Cyber Attack”, prezentacja dla Vermont General Assembly, 2022.
- U.S. Department of Justice, „Foreign National Pleads Guilty to Role in Cybercrime Schemes”, 2024.
- Urząd Ochrony Danych Osobowych, decyzja dotycząca SPZOZ w Pajęcznie, 2024.
- Urząd Ochrony Danych Osobowych, decyzja dotycząca Uniwersyteckiego Dziecięcego Szpitala Klinicznego w Białymstoku, 2025.
- Urząd Ochrony Danych Osobowych, decyzja dotycząca spółki medycznej po ataku hakerskim, 2024.
- Ministerstwo Cyfryzacji, materiały dotyczące nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, 2026.
