מרכז אבטחת הסייבר מבצע פעולות משפטיות עם PJ בנוגע להתקפה על ה-SNS
המרכז הלאומי לאבטחת סייבר (CNCS), יחד עם השירותים המשותפים של משרד הבריאות (SPMS) ובשיתוף עם ה-PJ, ממשיך לבצע פעולות משפטיות, במסגרת גישה פסולה לנתונים של יותר מ-100 אלף משתמשי SNS, אמר מקור רשמי ללוסה ביום שני.
"המרכז הלאומי לאבטחת סייבר קיבל הודעה, ב-21 במאי, על האירוע שהשפיע על מערכות המידע בתחום מתן שירותי הבריאות של מערכת הבריאות הלאומית [SNS]", אמר אותו מקור כשנשאל על ידי לוסה.
CERT.PT, שהוא צוות התגובה הלאומי לאירועים, ואשר פועל במסגרת ה-CNCS, "במימוש אחריותו המשפטית והתפעולית, פיקח על המצב מול האחראים לתפעול מערכות המידע הללו, כמו גם מול הרשויות", מדגיש את המרכז הלאומי לאבטחת סייבר.
ברגע זה, "המצב מוכל על ידי פעולה של ה-SPMS [Serviços Partilhados do Ministério da Saúde]עם השבתת חשבונות הקשורים לאירוע".
ה-CNCS, "יחד עם SPMS, ובשיתוף עם משטרת המשפט [PJ]ממשיך לאסוף מידע ולבצע פעולות פורנזיות הנחשבות נחוצות לזיהוי וקטורי התקיפה המשמשים במקרה זה", מסכם גורם רשמי.
ב-25 במאי, ה-PJ דיווח כי גישה לא נאותה לנתונים ממשתמשי SNS באמצעות אישורים שנפגעו של רופא הביאה לפחות יותר מ-100,000 קורבנות, והודה שייתכן שנעשה שימוש בבינה מלאכותית (AI).
חוסה ריביירו, מנהל היחידה הלאומית למאבק בפשעי סייבר ופשע טכנולוגי (UNC3T), הסביר במסיבת עיתונאים כי מתקפת המחשב שאיפשרה איסוף של "כמות גדולה" של מידע התרחשה תוך ימים, ואיפשרה לחלץ מידע ש"לפני כמה חודשים היה לוקח שלושה חודשים" להשיג, וזו הסיבה שהוא הודה שנעשה שימוש בבינה מלאכותית.
מנהל יחידת פשעי הסייבר של ה-PJ אמר גם כי יותר מ-100,000 קורבנות הגישה הפסולה לנתונים אישיים מפוזרים על פני כל השטח הלאומי, כולל איים, והצהיר כי האינדיקציות הראשוניות לכך שגניבת מידע משפיעה באופן משמעותי על המידע של ילדים וקטינים נעשו "בחפזול".
משתמשי SNS שנפגעו מהמצב אינם יכולים לעשות דבר כדי להבטיח אבטחה רבה יותר של הנתונים שלהם, שכן האחריות של פלטפורמת הנתונים היא של השירותים המשותפים של משרד הבריאות.
על פי מידע שקיבל ה-PJ משירותי משרד הבריאות, האישורים שאפשרו גישה לא תקינה הושבתו, חילוץ הנתונים הופסק ונאספו מכונות לניתוח וצעדי חיזוק אבטחה נוספים מתבצעים.
המקרה התעורר לאחר תלונות ודיווחים של משתמשים ברשתות החברתיות על הודעות על גישה לתהליכים שלהם על ידי SUS24, שהובילו להגשת תלונות למספר גורמי בריאות.
כפי שכתבה PÚBLICO בשבוע שעבר, גופי בריאות הציבור עלולים להיות אחראים משפטית לאי הגנה על הנתונים האישיים של יותר מ-100,000 משתמשים בשירות הבריאות הלאומי (SNS) שנפגעו ממתקפת ההאקרים שהתרחשה בשבוע שעבר. במקרה של עבירות חמורות, הקנסות נעים בין חמשת אלפים ל-20 מיליון יורו, על פי תקנת הגנת המידע הכללית (GDPR). כמו כן, הגופים האחראים על ניהול הנתונים האישיים של המטופלים, ובפרט השירותים המשותפים של משרד הבריאות ויחידות הבריאות המקומיות, לא הודיעו להם, "ללא דיחוי" כי נתוניהם נפגעו, דבר הנתון אף הוא לעונש.