سازمان حفاظت از داده‌های فرانسه (CNIL) بیمارستان خصوصی Hôpital privé de la Loire (به اختصار HPL) را به دلیل عدم حفاظت کافی از داده‌های بیماران و نزدیکان آن‌ها، مبلغ ۵۰۰ هزار یورو (معادل ۵۸۰ هزار دلار) جریمه کرد. این جریمه در پی نقض امنیتی در تابستان سال ۲۰۲۵ صادر شده است که طی آن اطلاعات حساس ۵۲۴,۸۶۷ بیمار و ۲۰۲,۲۴۶ نفر از افراد معتمد و همراهان آن‌ها فاش شد.
بیمارستان HPL واقع در شهر سنت-اتین (Saint-Étienne)، بخشی از گروه درمانی Ramsay Santé است. این بیمارستان عمومی با داشتن ۶۵۰ پرسنل (شامل ۱۸۰ پزشک) و ۳۳۳ تختخواب، سالانه به حدود ۶۰ هزار بیمار خدمات درمانی ارائه می‌دهد. سال گذشته، یک مهاجم سایبری با نفوذ به سیستم پرونده الکترونیک سلامت این بیمارستان، اطلاعات حساس بیش از ۷۲۷ هزار نفر را که در این مرکز تحت درمان قرار گرفته یا همراه بیماران بوده‌اند، استخراج کرد.
یافته‌های تحقیقات CNIL و نقض قوانین GDPR
تحقیقات CNIL نشان داد که این بیمارستان در رعایت الزامات مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (GDPR) به‌ویژه مواد ۳۲ و ۳۴ کوتاهی کرده است. برخی از مهم‌ترین ضعف‌های امنیتی شناسایی‌شده در این پرونده عبارتند از:
- امکان دسترسی کاربران خارجی (از جمله پزشکان بخش خصوصی) به سیستم بدون نیاز به VPN یا احراز هویت چندعاملی (MFA).
- کنترل‌های دسترسی ناکافی که به حساب کاربری هک‌شده اجازه می‌داد به پرونده تمامی بیماران بیمارستان دسترسی پیدا کند.
- فقدان سیستم نظارت و هشداردهی آنی یا نزدیک به آنی، که به مهاجم فرصت داد چندین روز بدون شناسایی شدن در سیستم جست‌وجو کرده و حجم زیادی از داده‌ها را استخراج کند.
- عدم اطلاع‌رسانی مستقیم به ۲۰۲,۲۴۶ فرد معتمد و همراه بیمار که داده‌هایشان به سرقت رفته بود (بیمارستان فقط به خود بیماران اطلاع داده بود).
جزئیات حمله و هویت هکر
یک هکر نوجوان با نام مستعار Marak مسئولیت این حمله را بر عهده گرفت. او در آن زمان از طریق تلگرام با رسانه فرانسوی Le Progrès تماس گرفت و اعلام کرد که حمله با نفوذ به حساب کاربری یک پزشک آغاز شد و به او امکان دسترسی به کل سیستم داخلی HPL را داد.
این هکر تلاش کرد داده‌های سرقت‌شده را به قیمت ۲,۰۰۰ تا ۵,۰۰۰ یورو به یک خریدار بفروشد، هرچند گزارش‌های بعدی نشان داد که این داده‌ها هرگز فروخته یا منتشر نشده‌اند. بیمارستان HPL در طول مراحل دادرسی، اقدامات متعددی را برای تقویت امنیت خود انجام داده است.