Ransomware bij Belgische zorglabs: wat een kleine organisatie vandaag kan doen

Een labo in Waregem weigerde losgeld na een ransomware-aanval. Kan jouw organisatie dat ook? Back-ups, segmentatie, MFA en NIS2 vanuit de aanvaller.

Elke dag komen er ruim 5.000 bloedstalen binnen bij een klinisch labo in Waregem. Van huisartsen, ziekenhuizen en rusthuizen. Eind oktober kon dat labo plots niet meer aan zijn eigen computergegevens. De stalen moesten naar andere labo's. Dat meldden VRT NWS en HLN op 5 november.

Het gaat om klinisch laboratorium Maenhout. Volgens de politie is het een ransomware-aanval van een gekend hackerscollectief, dat ook bij drie gelijkaardige aanvallen in België betrokken zou zijn. De hackers eisen losgeld. Het labo betaalt niet. Of er patiëntgegevens zijn buitgemaakt, is niet bekend. Het bedrijf geeft geen verdere commentaar.

Wij weten niet hoe de aanvallers binnenkwamen, en we gaan daar ook niet naar raden. Maar het verhaal is herkenbaar voor elke kleine zorgorganisatie in België. En de vraag die elke CEO zich nu moet stellen, is simpel: zouden wij kunnen weigeren?

Waarom dit verder gaat dan één labo

Een labo is een schakel. Valt het uit, dan wachten huisartsen op resultaten, schuiven ziekenhuizen werk door en worden collega-labo's plots overspoeld. Een zorgsector cyberaanval treft dus nooit één bedrijf. Hij treft een keten.

Daarbij komt NIS2. Sinds de Belgische NIS2-wet vallen veel zorgorganisaties, ook middelgrote labo's, onder strengere regels. Bestuurders zijn persoonlijk verantwoordelijk voor cyberrisicobeheer, en een ernstig incident moet snel gemeld worden. Ransomware in België is geen IT-probleem meer. Het is een bestuursvraag.

Door de ogen van de aanvaller

Bij XPOSE denken we zoals de tegenpartij. Wat volgt zijn scenario's, geen reconstructie van deze aanval en zeker geen handleiding.

De back-up is het eerste doelwit, niet het laatste. Een ransomwarebende wil dat je betaalt. De grootste hinderpaal is je back-up. Dus gaan ervaren aanvallers daar eerst naar op zoek: de back-upserver, de beheerconsole, de cloudopslag die met hetzelfde beheeraccount verbonden is. Pas als die gewist of versleuteld is, gaat de versleuteling van de rest aan. Veel bedrijven ontdekken op de slechtst mogelijke dag dat hun "back-up" gewoon een tweede schijf in hetzelfde netwerk was.

Weigeren is een technische keuze, geen morele. Niet betalen klinkt als moed. In de praktijk is het een kwestie van voorbereiding. Je kunt alleen weigeren als je een kopie hebt die de aanvaller niet kon aanraken: offline, of immutable (onveranderbaar: opslag die je zelfs met beheerrechten niet kunt wissen of overschrijven tot een vaste datum). En als je weet hoe lang terugzetten duurt. Een back-up die je nooit testte, is een hoop, geen plan.

Het labotoestel is de stille achterdeur. Analyzers, centrifuges met software, koelkasten met sensoren: in een labo hangen toestellen aan het netwerk die vaak op verouderde Windows-versies draaien en die je niet zomaar mag patchen, omdat de leverancier ze certificeerde. Voor een aanvaller zijn dat ideale schuilplaatsen. Niemand installeert er antivirus op, niemand kijkt naar de logs. We schreven eerder hoe dat bij koelinstallaties in supermarkten misliep. In een labo is het principe hetzelfde.

Remote toegang van de leverancier. Die toestellen worden vaak op afstand onderhouden. Een VPN-account of een remote-supporttool die altijd openstaat, zonder MFA, met een wachtwoord dat al jaren niet veranderde. Voor een aanvaller is dat geen inbraak. Dat is een sleutel onder de mat.

Ze zijn er al langer dan je denkt. Ransomware is het einde van een aanval, niet het begin. Daarvoor zat de aanvaller vaak al dagen of weken binnen, om rond te kijken, rechten te verzamelen en gegevens weg te sluizen. Daarom is "zijn er gegevens buitgemaakt?" zo moeilijk te beantwoorden. Ook wie niet betaalt, kan nog afgeperst worden met gestolen patiëntendata.

Wat een kleine organisatie vandaag kan doen

1. Maak minstens één back-up onbereikbaar. Offline of immutable, met aparte inloggegevens die niet in je gewone Active Directory zitten. Vraag niet "hebben we back-ups?", maar "kan iemand met domeinbeheerrechten ze wissen?"
2. Test het terugzetten. Kies één kritiek systeem, bijvoorbeeld je labo-informatiesysteem, en meet hoe lang het duurt om het volledig te herstellen. Dat getal hoort in de directiekamer.
3. Segmenteer je labo- en OT-toestellen. Zet analyzers en andere toestellen in een apart netwerkdeel. Ze mogen alleen praten met wat strikt nodig is. Valt de kantooromgeving, dan blijft het labo overeind, en omgekeerd.
4. MFA op alle toegang van buitenaf. VPN, remote desktop, webmail, cloudbeheer, en zeker de accounts van leveranciers. Zet leverancierstoegang alleen open wanneer ze nodig is. Net zoals bij onze blog over de Barracuda-mailgateway: systemen die aan het internet hangen, krijgen voorrang.
5. Weet nu al wie je belt. Leg vast wie beslist, wie communiceert en wie de techniek doet. Meld een incident bij het CCB, het Centrum voor Cybersecurity België, en dien klacht in bij de politie. Onder NIS2 is melden voor veel zorgorganisaties verplicht, en vaak binnen 24 uur een eerste waarschuwing.
6. Laat je omgeving testen door iemand die denkt als een aanvaller. Laat controleren wat er van buitenaf zichtbaar is, en of een aanvaller van je laptop tot je back-up raakt.

Tot slot

Het labo in Waregem weigert te betalen. Dat is de juiste reflex. Maar die keuze maak je niet op de dag van de aanval. Die maak je maanden eerder, wanneer je beslist waar je back-ups staan, wie er van buitenaf binnen kan en welke toestellen met elkaar mogen praten.

XPOSE Security test je omgeving zoals echte APT-aanvallers het zouden doen: van de vergeten leverancierstoegang tot de back-upserver die toch bereikbaar bleek. Liever dat wij het vinden dan zij. Neem contact op en laat je cybersecurity in België structureel versterken met onze CISO-as-a-service.