רשות הפרטיות הצרפתית קונסת בית חולים ב-500 אלף יורו בעקבות דלף מידע רפואי

רשות הגנת הפרטיות הצרפתית (CNIL) הטילה קנס של 500 אלף יורו על בית החולים הפרטי בלואר (Hôpital privé de la Loire) שבסנט-אטיין, אחרי שדליפת מידע חשפה נתונים של יותר מ-727 אלף בני אדם. הכשלים שהובילו לקנס — היעדר VPN ואימות דו-שלבי לגורמים חיצוניים — הם בדיוק סוג הפערים הבסיסיים שרוב הארגונים כבר אמורים היו לסגור.

הפרטים

לפי CNIL, הפריצה קרתה בקיץ 2025, כשנער המכונה "Marak" השיג גישה לחשבון של רופא עצמאי אחד. מכיוון שרופאים חיצוניים יכלו להתחבר למערכות בית החולים ללא VPN וללא אימות דו-שלבי, וללא הפרדת הרשאות בין תיקי מטופלים שונים, החשבון הבודד הזה נתן לתוקף גישה לכלל מערכת המידע הפנימית. בהיעדר ניטור בזמן אמת, התוקף הצליח לחפש במערכת ולשלוף כמות גדולה של מידע במשך מספר ימים בלי שאיש הבחין בכך.

המידע שדלף כלל נתונים של 524,867 מטופלים ו-202,246 אנשי קשר נוספים שהוגדרו כ"צד שלישי מהימן" (למשל בני משפחה או אנשי קשר לחירום). CNIL קבעה שבית החולים הפר את סעיפים 32 ו-34 ל-GDPR — האחד עוסק באבטחת המידע עצמה, והשני בחובת יידוע נפגעים. בית החולים אמנם עדכן את המטופלים על הדלף, אך לא הודיע ישירות ל-202,246 אנשי הקשר שמידעם נחשף גם הוא. לפי הדיווחים, התוקף ניסה למכור את המידע הגנוב תמורת 2,000 עד 5,000 יורו, אך בסופו של דבר הוא לא נמכר ולא פורסם.

נקודות לשים לב

• אם ספקים או עובדים חיצוניים מתחברים למערכות הארגון שלך מרחוק — ודא שהחיבור מחייב VPN ואימות דו-שלבי, ולא רק שם משתמש וסיסמה.
• אל תסתמך על הרשאת גישה "רחבה מדי כברירת מחדל": חשבון של איש מקצוע בודד לא צריך לאפשר גישה לכלל מאגר הנתונים של הארגון.
• ניטור בזמן אמת של פעילות חריגה (כמות גדולה של שליפות מידע בפרק זמן קצר) הוא מה שהיה יכול לקצר משמעותית את החשיפה במקרה הזה.
• חובת היידוע לפי GDPR (ותקנות דומות) חלה על כל מי שמידעו נחשף, לא רק על הקבוצה ה"עיקרית" של נפגעים — כפי שבית החולים גילה ביחס לאנשי הקשר שלא עודכנו.
• הקנס הוטל על כשלים יסודיים ולא על טכניקת תקיפה מתוחכמת — סימן לכך שרגולטורים מתייחסים ברצינות גם לפערי הגנה "בסיסיים" כאשר ההיקף הנחשף גדול.

מקורות: BleepingComputer