Ransomware w szpitalu: jak cyberatak paraliżuje placówkę medyczną?

Ransomware w szpitalu to nie tylko zaszyfrowane pliki. To brak dostępu do dokumentacji, wyników badań, systemów rejestracji i laboratoriów — a w efekcie realne ryzyko dla pacjentów. Pokazujemy, jak atak paraliżuje placówkę, dlaczego powrót trwa tygodniami i jak przygotować się zanimcoś się wydarzy.

Ransomware w szpitalu to nie problem komputerów. To problem pacjentów.

Kiedy słyszymy „atak ransomware”, często wyobrażamy sobie zablokowany komputer, komunikat o okupie i informatyków próbujących odzyskać dane. W ochronie zdrowia ten obraz jest zbyt wąski.

W szpitalu ransomware nie blokuje wyłącznie plików. Może zablokować dostęp do dokumentacji medycznej, wyników badań, historii leczenia, systemów rejestracji, systemów laboratoryjnych, zleceń lekarskich, grafików, zaleceń, rozliczeń i urządzeń podłączonych do sieci.

A to oznacza, że cyberatak bardzo szybko przestaje być problemem technicznym. Staje się problemem organizacyjnym, klinicznym i zarządczym. Jeśli lekarz nie widzi historii pacjenta, pielęgniarka nie ma dostępu do informacji o lekach, laboratorium nie może przekazać wyników, a dyrekcja nie wie, które systemy działają — placówka traci zdolność normalnego funkcjonowania.

O tym, jak ransomware i inne incydenty wyglądają z perspektywy eksperta i osoby zarządzającej placówką medyczną, rozmawiamy w odcinku The Modern Practice: https://youtu.be/Gspd3WaEAf8.

Czym właściwie jest ransomware?

Ransomware to rodzaj złośliwego oprogramowania, które blokuje dostęp do systemów lub szyfruje dane organizacji. Następnie atakujący żądają okupu, najczęściej w kryptowalutach, w zamian za klucz deszyfrujący albo obietnicę nieopublikowania wykradzionych danych.

W praktyce ransomware coraz częściej oznacza dwa problemy naraz:

• Utrata dostępu — organizacja nie może korzystać z systemów, dokumentów, baz danych i narzędzi potrzebnych do codziennej pracy.
• Wyciek danych — atakujący kopiują pliki przed zaszyfrowaniem i grożą ich publikacją albo sprzedażą na czarnym rynku.

To szczególnie groźne w ochronie zdrowia. Dane medyczne — imię, nazwisko, PESEL, wyniki badań, rozpoznanie, historia leczenia, informacje o lekach i terapiach — to dane, których nie da się po prostu „zmienić” tak jak hasła do konta. Dlatego zapłacenie okupu nie rozwiązuje problemu: nawet po odzyskaniu części danych nie ma gwarancji, że skradzione informacje nie zostaną wykorzystane.

Dlaczego szpitale są atrakcyjnym celem?

• Ogromna presja czasu. Szpital nie może zatrzymać pacjentów, terapii i diagnostyki do momentu, aż wszystkie systemy wrócą.
• Bardzo cenne dane. Dane pacjentów są atrakcyjne dla szantażu, oszustw, kradzieży tożsamości i dalszych ataków.
• Złożona infrastruktura. Lokalne serwery, chmura, stare komputery, tablety, drukarki, systemy laboratoryjne, sprzęt diagnostyczny, systemy dostawców.
• Etapowo budowane systemy. Część rozwiązań jest trudna do aktualizacji, bo wyłączenie ich oznacza przerwę w pracy oddziału.
• Większa skłonność do płacenia. Cyberprzestępcy wiedzą, że w medycynie pokusa szybkiego rozwiązania problemu może być ogromna.

Cyberatak może zatrzymać więcej niż jeden system

W rozmowie w The Modern Practice pada ważna myśl: nie należy mówić wyłącznie, że „zaatakowano system”. W praktyce zaatakowana zostaje cała organizacja.

Jeśli nie działa system laboratoryjny — wyniki nie trafią na czas do lekarza. Jeśli nie działa dokumentacja elektroniczna — personel ma problem z odtworzeniem historii pacjenta. Jeśli nie działa rejestracja — kolejki się wydłużają. Jeśli nie działa poczta — komunikacja z dostawcami jest utrudniona. Jeśli atak obejmie infrastrukturę zewnętrznego dostawcy — problem może dotknąć wiele placówek naraz.

Dlatego ransomware w ochronie zdrowia trzeba analizować nie tylko przez pryzmat IT, ale przez pryzmat ciągłości działania.

Przypadek Synnovis: gdy atak na laboratorium uderza w cały system

Jednym z najgłośniejszych przykładów ostatnich lat był atak ransomware na Synnovis — dostawcę usług diagnostycznych współpracującego z NHS w Wielkiej Brytanii. Atak miał miejsce 3 czerwca 2024 roku i uderzył w usługi laboratoryjne, m.in. w przetwarzanie badań krwi.

Skutki nie ograniczyły się do jednej firmy technologicznej. Zakłócenia objęły szpitale, przychodnie i pacjentów w południowo-wschodnim Londynie. Według NHS England incydent doprowadził do opóźnień ponad 11 tysięcy wizyt ambulatoryjnych i procedur planowych.

W 2025 roku media informowały również, że opóźniony wynik badania krwi był jednym z czynników, które przyczyniły się do śmierci pacjenta. Ten przykład trzeba opisywać ostrożnie — nie chodzi o prostą tezę, że „komputer zabił pacjenta”. Chodzi o coś bardziej systemowego: cyberatak może wydłużyć czas diagnostyki, zaburzyć proces leczenia i zwiększyć ryzyko kliniczne.

Dlaczego powrót po ransomware trwa tygodniami, a nie godzinami?

Z perspektywy spoza branży może się wydawać, że po ataku wystarczy „odtworzyć backup” i po kilku godzinach wrócić do pracy. W praktyce wygląda to zupełnie inaczej:

1. Ustalenie źródła infekcji. Bez tego po odtworzeniu systemów ransomware może zacząć szyfrować dane ponownie.
2. Identyfikacja naruszonych systemów. Setki, czasem tysiące urządzeń, kont, serwerów i połączeń.
3. Izolacja zainfekowanych elementów. Często wymaga czasowego odłączenia części systemów od sieci.
4. Weryfikacja backupów. Kopie wykonane już po infekcji albo stale podłączone do tej samej infrastruktury mogą być bezużyteczne.
5. Odtwarzanie w priorytetach. Najpierw systemy najistotniejsze dla bezpieczeństwa pacjentów i ciągłości leczenia.
6. Równoległa komunikacja, analiza prawna i zgłoszenia. Cały czas trzeba dokumentować i decydować.

Dlatego powrót po ransomware to często nie dzień lub dwa, lecz tygodnie, a czasem miesiące.

Backup to nie wszystko. Liczy się zdolność odtworzenia pracy

Wiele placówek mówi: „mamy backup”. Samo posiadanie kopii zapasowej nie wystarczy. Kluczowe pytania są inne:

• Czy backup jest regularnie testowany?
• Czy wiadomo, ile czasu zajmie odtworzenie systemów?
• Czy backup nie zostanie zaszyfrowany razem z resztą infrastruktury?
• Czy placówka wie, które systemy odtwarza jako pierwsze?
• Czy personel ma procedurę pracy awaryjnej?
• Czy istnieje plan działania na pierwsze 24 godziny po ataku?

W rozmowie pada przykład tabletów aktualizowanych co kilka godzin, które pozwalają personelowi zachować dostęp do podstawowych danych pacjenta nawet przy problemach z głównym systemem. Nie chodzi o to, by wszystko działało idealnie w trakcie kryzysu — chodzi o minimalną zdolność bezpiecznej obsługi pacjentów.

Czy warto płacić okup?

To jedno z najtrudniejszych pytań po ataku ransomware. Nie ma prostej odpowiedzi, ale jest kilka faktów, które trzeba brać pod uwagę:

• Zapłacenie okupu nie daje gwarancji odzyskania danych. Klucz może nie działać.
• Zapłacenie okupu nie daje gwarancji, że dane nie wyciekną — kopie zwykle są już u atakujących.
• Zapłacenie okupu może zwiększać ryzyko kolejnych ataków. Organizacja, która raz zapłaciła, trafia na listę „skłonnych do płacenia”.
• Zapłacenie okupu nie zwalnia z obowiązków prawnych — naruszenie danych trzeba i tak ocenić oraz w razie potrzeby zgłosić.

Małe placówki też są celem

Jednym z najgroźniejszych mitów w ochronie zdrowia jest przekonanie: „nas to nie dotyczy, jesteśmy za mali”. Ataki na duże szpitale trafiają do mediów, bo skala skutków jest duża. Ataki na małe przychodnie i gabinety często nie są publicznie znane — to nie znaczy, że ich nie ma.

Dla cyberprzestępcy mała placówka jest atrakcyjna właśnie dlatego, że ma mniejszy budżet, mniej procedur, słabsze zabezpieczenia i większy chaos organizacyjny. Często wystarczy jeden kliknięty link, jedno słabe hasło, jeden nieaktualny komputer albo jeden dostawca z dostępem do systemu.

Dla małej placówki skutki mogą być proporcjonalnie nawet trudniejsze niż dla dużej organizacji: utrata dostępu do danych, przestój, chaos, utrata zaufania pacjentów i koszty odtworzenia mogą zagrozić dalszemu funkcjonowaniu biznesu.

Najczęstsze słabe punkty placówek medycznych

Ransomware rzadko zaczyna się od spektakularnego włamania jak w filmie. Częściej — od codziennych słabości:

• nieaktualne systemy operacyjne,
• brak segmentacji sieci,
• zbyt szerokie uprawnienia użytkowników,
• brak wieloskładnikowego uwierzytelniania (MFA),
• słabe hasła,
• brak testów backupu,
• prywatne telefony używane do pracy z dokumentacją,
• przesyłanie danych przez komunikatory,
• pendrive’y podłączane do komputerów placówki,
• drukarki sieciowe i urządzenia zewnętrznych dostawców,
• brak jasnej procedury zgłaszania incydentów,
• kultura karania pracowników za błędy,
• przekonanie, że cyberbezpieczeństwo to wyłącznie zadanie IT.

Szczególnie ważna jest ostatnia kwestia. Jeśli personel boi się zgłosić kliknięcie w podejrzany link, organizacja traci czas. A w przypadku ransomware czas jest jednym z najważniejszych zasobów.

Co zrobić, gdy podejrzewasz ransomware?

Każda placówka powinna mieć własną procedurę reagowania na incydenty — prostą, znaną personelowi i przećwiczoną. W sytuacji stresu nikt nie będzie czytał wielostronicowego dokumentu od początku do końca. Podstawowa logika działania:

1. Nie ignoruj sygnałów. Spowolnienie, dziwne komunikaty, brak dostępu do plików, podejrzane rozszerzenia, komunikat o okupie — natychmiastowa reakcja.
2. Nie ukrywaj błędu. Kliknąłeś link, pobrałeś załącznik, podałeś dane logowania — zgłoś od razu.
3. Odizoluj urządzenie od sieci. Kabel, Wi-Fi, w telefonie tryb samolotowy. Cel: ograniczyć rozprzestrzenianie.
4. Nie usuwaj śladów. Nie kasuj podejrzanych wiadomości i nie „sprzątaj” komputera na własną rękę.
5. Powiadom właściwe osoby. IT, cyberbezpieczeństwo, IOD, kierownictwo, osoby odpowiedzialne za ciągłość działania.
6. Uruchom tryb awaryjny. Plan obsługi pacjentów, gdy systemy cyfrowe są niedostępne.
7. Udokumentuj incydent. Czas wykrycia, zakres, dotknięte systemy, działania, potencjalny wpływ na dane.
8. Oceń obowiązki zgłoszeniowe. Analiza ryzyka, ewentualne zgłoszenie do organu nadzorczego, ewentualne zgłoszenie do CSIRT CeZ.

Jak przygotować placówkę, zanim dojdzie do ataku?

Najlepszy moment na przygotowanie jest przed incydentem. Od czego zacząć:

• Inwentaryzacja — systemy, urządzenia, konta, dostawcy, krytyczne procesy.
• Backupy i testy odtwarzania — nie wystarczy mieć kopię, trzeba umieć z niej wrócić.
• Segmentacja sieci — ransomware nie powinien móc swobodnie się rozprzestrzeniać.
• Aktualizacje — niezałatane podatności to najprostsza droga do organizacji.
• Kontrola dostępu — użytkownicy z minimalnymi potrzebnymi uprawnieniami.
• Szkolenia — phishing, fałszywe załączniki, podejrzane linki, socjotechnika.
• Procedury — każdy wie, co zrobić, jeśli coś pójdzie nie tak.
• Ćwiczenia — procedura nieprzećwiczona może nie zadziałać w kryzysie.
• Współpraca zarządu, IT, IOD i działu prawnego — ransomware to problem techniczny, prawny, organizacyjny i komunikacyjny jednocześnie.

Ransomware jako test dojrzałości organizacji

Atak ransomware bardzo szybko pokazuje, czy placówka naprawdę zna swoją infrastrukturę:

• Czy wiadomo, gdzie są dane?
• Czy wiadomo, kto ma dostęp do systemów?
• Czy wiadomo, które urządzenia są krytyczne?
• Czy wiadomo, jak działają dostawcy zewnętrzni?
• Czy wiadomo, jak długo placówka może działać bez głównego systemu?
• Czy wiadomo, kto podejmuje decyzje?
• Czy wiadomo, jak komunikować się z personelem i pacjentami?
• Czy wiadomo, co zgłaszać i komu?

Jeśli odpowiedzi pojawiają się dopiero w trakcie kryzysu — organizacja jest spóźniona. Ransomware rzadko tworzy problemy od zera. Najczęściej ujawnia problemy, które istniały wcześniej: brak procedur, testów, odpowiedzialności, aktualizacji, mapy systemów i komunikacji między działami.

Podsumowanie: ransomware może sparaliżować placówkę, ale nie musi jej zniszczyć

Ransomware w szpitalu lub placówce medycznej to jeden z najpoważniejszych scenariuszy cyberbezpieczeństwa. Może zablokować dostęp do dokumentacji, wyników badań, systemów i procesów potrzebnych do leczenia pacjentów. Ale atak nie musi oznaczać całkowitego chaosu.

Organizacja, która wcześniej zadbała o backupy, procedury, szkolenia, segmentację sieci, kontrolę dostępu i plan ciągłości działania, ma większą szansę ograniczyć skutki incydentu. Może szybciej odizolować problem, szybciej wrócić do pracy, lepiej chronić pacjentów i uniknąć panicznych decyzji pod presją.

Więcej o tym, jak placówki medyczne mogą przygotować się na cyberataki, jakie błędy najczęściej popełniają i dlaczego nawet małe jednostki są celem, znajdziesz w odcinku The Modern Practice: https://youtu.be/Gspd3WaEAf8.

Najczęstsze pytania