Wéér een datalek? Patiëntgegevens mogelijk op straat na hack bij ChipSoft

In dit artikel:

ChipSoft, een van de grootste leveranciers van zorgsoftware in Nederland, is recent het doelwit geworden van een cyberaanval. Het bedrijf levert het veelgebruikte HiX-systeem aan ongeveer 70% van de ziekenhuizen en aan huisartsenpraktijken, waardoor de aanval directe gevolgen kan hebben voor de dagelijkse patiëntenzorg. ChipSoft bevestigt een beveiligingsincident en spreekt van mogelijke ongeautoriseerde toegang tot systemen; daarmee valt niet uit te sluiten dat data zijn ingezien of gestolen.

Het is nog niet officieel vastgesteld of er sprake is van ransomware, maar meerdere bronnen wijzen in die richting: bij zulke aanvallen versleutelen kwaadwillenden systemen en eisen losgeld voor herstel. Z-Cert, het expertisecentrum voor digitale beveiliging in de zorg, waarschuwde instellingen en adviseerde onder meer om direct de VPN-verbinding met ChipSoft te verbreken en het netwerkverkeer nauwlettend te monitoren — standaardmaatregelen bij verdachte toegang of mogelijke datalekken.

Volgens informatie van de Volkskrant zou ook de cloudomgeving voor huisartsenpraktijken geraakt kunnen zijn, wat de impact vergroot omdat deze systemen dagelijks worden gebruikt voor consulten en medicatiebeheer. Daarnaast bestaat zorg over koppelingen naar patiëntportalen: via die online omgevingen kunnen patiënten hun medische gegevens raadplegen en het is mogelijk dat aanvallers toegang tot die verbindingen hebben gekregen. Op de dag van de aanval was de ChipSoft-website ontoegankelijk.

De meeste ziekenhuizen hebben hun portalen echter online gehouden; uit een inventarisatie bleek dat elf ziekenhuizen de portalen tijdelijk offline namen — vooral instellingen met intensievere koppelingen aan ChipSoft deden dat. Hoe groot de schade precies is, blijft onduidelijk: het is nog ongewis welke systemen precies zijn getroffen en of daadwerkelijk persoonsgegevens zijn buitgemaakt. De zaak roept herinneringen op aan eerdere incidenten in de zorgsector, zoals de 2024-aanval op Clinical Diagnostics waarbij gevoelige gegevens van honderden duizenden mensen mogelijk werden ingezien.

ChipSoft zegt alles in het werk te stellen om de gevolgen te beperken. Zorginstellingen blijven in afwachting van meer duidelijkheid over de omvang van het lek en eventuele beveiligingsmaatregelen die volgen.