A 14 de maio de 2021, o Health Service Executive (HSE) da Irlanda sofreu um grande ataque cibernético de ransomware que fez com que todos os seus sistemas de TI em todo o país fossem desligados.

Foi o ataque de cibercrime mais significativo a uma agência estatal irlandesa e o maior ataque conhecido contra um sistema informático de serviço de saúde. A Bloomberg News informou que os invasores usaram o ransomware Conti . O grupo responsável foi identificado como uma gangue criminosa conhecida como Wizard Spider, que se supõe ter estado a operar na Rússia. Acredita-se que o mesmo grupo tenha atacado o Departamento de Saúde com um ataque cibernético semelhante.

A 19 de maio, o Financial Times fez uma revisão de dados privados de doze indivíduos que apareceram online como resultado da violação. A 28 de maio, o HSE confirmou que informações médicas confidenciais de 520 pacientes, bem como documentos corporativos foram publicados online.

A 23 de junho, foi confirmado que pelo menos três quartos dos servidores de TI do HSE foram descriptografados e 70% dos computadores estavam novamente em uso. Em setembro, mais de 95% de todos os servidores e dispositivos foram restaurados.

Contexto Os invasores começaram com envio de um e-mail malicioso para uma estação de trabalho, a 16 de março de 2021. O e-mail foi aberto em 18 de março. Um arquivo malicioso do Microsoft Excel foi baixado, o que permitiu que os invasores acessassem os sistemas do HSE. Os invasores ganharam mais acesso nas semanas seguintes. O software antivírus do HSE detectou atividade a 31 de março, mas não conseguiu bloqueá-la, pois estava definido para o modo de monitoramento.

A 13 de maio, o provedor de segurança cibernética do HSE enviou um e-mail à equipe de operações de segurança informando que haviam ameaças não tratadas em pelo menos 16 sistemas desde 7 de maio. A equipe de operações de segurança fez com que a equipe do servidor reiniciasse os servidores.

O HSE foi alertado sobre o ataque às 4h do dia 14 de maio de 2021. O ataque afetou os sistemas nacionais e locais, envolvidos em todos os serviços principais, com o HSE desativando seu sistema de TI para protegê-lo do ataque e dar tempo ao HSE para considerar opções.

O ataque ocorreu durante a pandemia de COVID-19 . O programa de vacinação COVID-19 da Irlanda não foi afetado pelo ataque e prosseguiu conforme planeado; no entanto, o sistema de clínica geral de COVID-19 e o sistema de referência de contato próximo estavam inativos, exigindo que esses indivíduos frequentassem os locais de atendimento em vez de comparecer a uma consulta.

O independente TD (Membro do Parlamento) Cathal Berry afirmou que o Centro Nacional de Segurança Cibernética, responsável pela segurança cibernética do estado, tinha apenas 25 funcionários, um orçamento de € 5 milhões por ano, sem instalações dedicadas, e que sua posição de Administrador estava vago há um ano devido ao seu salário de 89.000 euros por ano. O Centro Nacional de Segurança Cibernética está sob a alçada do Departamento de Meio Ambiente, Clima e Comunicações .

Autor e metodologia O National Cyber Security Center identificou a ferramenta de teste de penetração Cobalt Strike, vendida pela empresa americana de TI HelpSystems, como sendo usada para infiltrar e infectar os sistemas do HSE e do Departamento de Saúde, correr arquivos executáveis e implantar uma variante do ransomware Conti . O Cobalt Strike Beacon foi detectado em sistemas infectados, o que permitiu que eles fossem controlados e que o software fosse implantado remotamente.

O grupo responsável foi identificado como uma gangue criminosa conhecida como Wizard Spider, que se acredita estar operando em São Petersburgo, na Rússia.

Impacto O ataque cibernético de ransomware teve um impacto significativo nas consultas hospitalares em todo o país, com muitas consultas canceladas, incluindo todos os serviços ambulatoriais e de radiologia.

Vários hospitais descreveram situações em que não conseguiam acessar sistemas e registros electrónicos e precisavam contar com registros em papel. Alguns alertaram para interrupções significativas com o cancelamento de consultas de rotina, incluindo checkups e exames de maternidade.

O sistema de referência de testes COVID-19 foi colocado offline, exigindo que indivíduos com casos suspeitos compareçam aos centros de testes COVID-19 walk-in, em vez de comparecerem a uma consulta. O portal de registro de vacinação COVID-19 também ficou offline, mas voltou a ficar online à noite.

A chefe de operações do HSE – Anne O'Connor – disse a 14 de maio que alguns serviços de oncologia e cardiologia foram afetados e que "a situação será muito grave se continuar até segunda-feira [17 de maio]". Ela disse que as preocupações mais sérias eram com os sistemas de diagnóstico, com os sistemas de radiologia tendo caído, afetando o avanço de exames de tomografia computadorizada e de outros exames. Uma grande quantidade de consultas ambulatoriais também foi cancelada; a maioria dos serviços de saúde comunitários não são afetados. O'Connor também informou que "não sabemos quais dados foram coletados", mas "sabemos que alguns dados foram comprometidos", com o Comissário de Proteção de Dados sendo alertado sobre a possível violação.

O HSE publicou uma lista de serviços afetados em seu site, na hora do almoço, a 14 de maio de 2021.

A 19 de maio, o Financial Times revisou "amostras" de dados privados de doze indivíduos que foram publicados on-line, incluindo registros de admissão e resultados laboratoriais de um homem internado no hospital para cuidados paliativos . Em resposta, o Centro Nacional de Segurança Cibernética afirmou que as gangues criminosas "habitualmente liberam informações roubadas como meio de pressionar as organizações a pagar um resgate". A equipe do ContiLocker alegou também ter contratos de trabalho de funcionários, dados de folha de pagamento e demonstrações financeiras, endereços de pacientes e números de telefone de pacientes.

A 28 de maio, o HSE confirmou que os dados relativos a 520 pacientes, incluindo informações confidenciais, foram publicados online.

A dezembro de 2021, o HSE disse que poderia levar até quatro meses para entrar em contato com todos aqueles cujos dados foram roubados. O Garda National Cyber Crime Bureau recebeu os dados do Departamento de Justiça dos Estados Unidos por meio de um tratado de assistência jurídica mútua . O Bureau forneceu os dados ao HSE a 17 de dezembro de 2021. O HSE confirmou que esses dados foram retirados dos seus computadores. O HSE também entrou em contato com o Comissário de Proteção de Dados sobre os dados. Os dados seriam uma mistura de dados pessoais, informações médicas, informações corporativas do HSE, bem como informações administrativas pessoais comerciais e gerais.

Resposta O HSE está a trabalhar com o Centro Nacional de Segurança Cibernética, a Garda Síochána, as Forças de Defesa Irlandesas, bem como vários parceiros nacionais e internacionais, incluindo Europol e Interpol .

O Ministro de Estado para Compras Públicas e Governação Electrónica – Ossian Smyth – disse que o ataque foi internacional, não de espionagem, e que “este é um ataque muito significativo, possivelmente o ataque cibernético mais significativo ao estado irlandês”.

O HSE alegou que era uma ameaça de dia zero e que não havia experiência em como responder ao ataque. O ministro da Saúde – Stephen Donnelly – disse que o ataque teve “um impacto severo” nos serviços de saúde e assistência social. O diretor-geral do HSE – Paul Reid – disse que o ataque iria custar “dezenas de milhões” para ser consertado.

Vários meios de comunicação, incluindo o Bleeping Computer, relataram que um resgate de € 16,5 milhões (cerca de US $ 20 milhões) foi feito, oferecendo para descriptografar dados e não publicar "dados privados". Inicialmente, o Business Post informou que um pedido de resgate de três bitcoins ou € 124.000 (cerca de US$ 150.000) foi feito. Taoiseach Micheál Martin afirmou que o resgate não seria pago, com o ataque sendo tratado de "maneira metódica".

As empresas americanas de segurança cibernética McAfee e FireEye foram contratadas pelo HSE após o ataque, para mitigar os danos e monitorar sites dark web em busca de dados vazados.

A 16 de maio, foi relatado que o Departamento de Proteção Social sofreu "ataques contínuos e ferozes", mas o grupo criminoso altamente organizado não conseguiu violar a segurança. Posteriormente, o Departamento suspendeu seus canais de comunicação electrónica com o HSE.

A 20 de maio, o Ministro das Comunicações, Eamon Ryan disse que uma linha de apoio iria ser criada para ajudar indivíduos que tiveram informações de saúde publicadas como resultado do ataque, e que as empresas de mídia social foram solicitadas a não compartilhar informações que foram divulgadas, com uma liminar do Tribunal Superior obtida pelo HSE para proibir o compartilhamento dessas informações. No mesmo dia, foi relatado que o grupo de crime cibernético organizado forneceu uma chave de descriptografia que poderia permitir que o HSE recuperasse seus sistemas de TI e os arquivos que os hackers bloquearam e criptografaram. Enquanto isso, o público foi aconselhado por Gardaí a estar ciente de uma série de golpes de chamadas e mensagens de texto após o ataque cibernético em meio a avisos de que a prestação de cuidados no serviço de saúde seriam um alto risco por semanas; desde 24 de maio, a Garda Síochána qualificou de "oportunistas" quaisquer ligações ameaçando a divulgação de informações, afirmando que estas não têm acesso a dados privados.

A 27 de maio, o Chefe do Executivo do HSE – Paul Reid – disse que o custo do ataque cibernético aos seus sistemas informáticos poderia ultrapassar os 100 milhões de euros.

O CIS Corps das Forças de Defesa implantou 'hackers éticos' para combater o ataque de ransomware e enviou pessoal da CIS para hospitais e escritórios de HSE para descriptografar os dispositivos afetados no local. Os reservistas do Exército foram particularmente úteis para esse esforço devido às suas habilidades de segurança cibernética e à experiência adquirida no setor privado durante seus trabalhos diários.

A 5 de setembro, durante uma grande operação realizada pela Gardaí visando a quadrilha por trás do ataque de ransomware, o Garda National Cyber Crime Bureau apreendeu vários domínios usados no ataque cibernético e outros ataques de ransomware.

Relatório PricewaterhouseCoopers A 10 de dezembro, foi divulgado um relatório da PricewaterhouseCoopers que revelou que os invasores estavam nos sistemas de computador HSE oito semanas antes do início do ataque. O relatório disse que o sistema de TI herdado da HSE não era resiliente contra ataques cibernéticos. Ele evoluiu ao longo do tempo, mas não foi projetado para resistir a ataques.

O CEO da HSE, Paul Reid, disse que o sistema não foi estrategicamente projetado, mas foi o resultado da fusão de conselhos de saúde, grupos hospitalares e organizações comunitárias de saúde. O sistema é muito fragmentado e isolado. Em contraste, a equipe do HSE foi descrita como resiliente, trabalhando rapidamente para garantir a continuidade dos serviços. Reid também disse que o HSE iniciou uma série de ações para mitigar futuros ataques. Isso inclui um sistema de monitoramento 24 horas para sistemas de TI no HSE e mais autenticação multifator para usuários.

O presidente do HSE, Ciarán Devine, disse que o serviço de saúde ainda sente o impacto do ataque.

O HSE aceitou várias recomendações do relatório, incluindo o desenvolvimento de um novo plano de investimento significativo e a transformação da TI legada para incluir segurança.

Novos cargos de Diretor de Tecnologia e Transformação e Diretor de Segurança da Informação devem ser criados.

O relatório também recomenda planos de gerenciamento de crises de segurança para garantir que as respostas a ataques futuros sejam gerenciadas adequadamente.