SickKids hat den Vorfall in dieser Woche bekanntgegeben und spricht von unbefugtem Zugriff auf Beschäftigtendaten. Ursache sei eine Schwachstelle in einer Anwendung eines Drittanbieters, die das Krankenhaus gemeinsam mit anderen Organisationen nutzt. Diese Formulierung legt eine breitere Angriffswelle gegen Nutzer desselben Produkts nahe – belastbare Angaben dazu macht SickKids allerdings nicht, weder zum Hersteller noch zur Anwendung oder zur ausgenutzten Schwachstelle.
Betroffen war die extern erreichbare Karriere-Website, die vorübergehend offline genommen und laut Mitteilung inzwischen sicher wiederhergestellt wurde. Klinische Systeme und Patienteninformationen blieben nach Darstellung des Krankenhauses unberührt, der Klinikbetrieb lief normal weiter.
Nach den bisherigen Ergebnissen der mit externen Fachleuten geführten Untersuchung könnten persönliche Daten von aktuellen und früheren Beschäftigten von SickKids, der zum Krankenhaus gehörenden Kinderklinik Boomerang und der SickKids Foundation sowie von Stellenbewerbern offengelegt worden sein. Zu Datenkategorien, Betroffenenzahl und Zeitpunkt des Eindringens äußert sich das Haus nicht. Die Auswertung läuft weiter; wer bestätigt betroffen ist, soll direkt benachrichtigt werden. Vorsorglich wurden bereits alle potenziell Betroffenen informiert und erhalten für 24 Monate kostenlose Kreditüberwachung und Identitätsschutz.
Bewerbungsportale sind für Datendiebe ein besonders lohnendes Ziel: Bewerber geben dort routinemäßig vollständige Namen, Wohnanschriften, Telefonnummern und Beschäftigungsverläufe an, in manchen Rechtsräumen auch staatliche Identifikationsnummern. Solche Angaben eignen sich sowohl für Identitätsbetrug als auch für glaubwürdige Vorwände beim Social Engineering gegenüber Klinikpersonal.
Es ist nicht der erste bekannt gewordene Sicherheitsvorfall bei SickKids in den vergangenen Jahren. Im Dezember 2022 traf das Krankenhaus ein Ransomware-Angriff, der interne Systeme, die Telefonanlage und die Website störte und zu Verzögerungen bei Labor- und Bildgebungsergebnissen führte. Die Ransomware-Gruppe LockBit entschuldigte sich anschließend ungewöhnlicherweise öffentlich: Der verantwortliche Partner habe gegen die eigenen Regeln verstoßen, medizinische Einrichtungen nicht zu verschlüsseln. LockBit übergab einen kostenlosen Entschlüsseler – allerdings erst, nachdem das Krankenhaus seine Systeme fast zwei Wochen lang in Eigenregie wiederhergestellt hatte.
Im September 2023 gehörte SickKids zu den Gesundheitsdienstleistern in Ontario, die von einem Datenleck bei einer dritten Organisation betroffen waren, mit der perinatale und kinderbezogene Gesundheitsdaten geteilt werden. Auslöser war die massenhafte Ausnutzung der Zero-Day-Lücke in MOVEit Transfer (CVE-2023-34362); offengelegt wurden Daten von 3,4 Millionen Menschen, darunter Namen, Wohnadressen, Geburtsdaten und Krankenversicherungsnummern.
Der Gesundheitssektor zählt weiterhin zu den am stärksten angegriffenen Bereichen – sowohl für Ransomware-Banden als auch für Gruppen, die mit erbeuteten Daten erpressen. Kinderkrankenhäuser verwahren dabei über Jahrzehnte gewachsene, hochsensible Datenbestände.