INC Ransom อ้างความรับผิดชอบในการโจมตีทางไซเบอร์ต่อโรงพยาบาลเด็กในสหราชอาณาจักร

กลุ่ม INC Ransom ออกมาอ้างว่าพวกเขาสามารถขโมยข้อมูลที่มีความสำคัญได้จากโรงพยาบาลเด็กในเมืองลิเวอร์พูล สหราชอาณาจักร

เมื่อวันที่ 28 พฤศจิกายน กลุ่ม INC Ransom ได้โพสต์บนเว็บไซต์ที่ใช้เพื่อเผยแพร่ข้อมูลรั่วไหลว่า พวกเขาได้ขโมยข้อมูลขนาดใหญ่ ซึ่งรวมถึงบันทึกข้อมูลผู้ป่วย, รายงานผู้บริจาค และข้อมูลการจัดซื้อระหว่างปี 2018-2024 จาก Alder Hey Children’s NHS Foundation Trust

ทางโรงพยาบาลได้ยอมรับการอ้างถึงเหตุการณ์ดังกล่าวอย่างรวดเร็ว และระบุในแถลงการณ์เมื่อวันที่ 28 พฤศจิกายนว่า "เราได้รับทราบว่ามีข้อมูลถูกนำไปเผยแพร่ผ่านทางออนไลน์ และแชร์ผ่านโซเชียลมีเดีย โดยอ้างว่าได้มาจากระบบที่ใช้ร่วมกันระหว่าง Alder Hey และ Liverpool Heart and Chest Hospital NHS Foundation Trust"

เจ้าหน้าที่ของ Alder Hey กำลังทำงานร่วมกับ the UK’s National Crime Agency (NCA) และพันธมิตรอื่น ๆ เพื่อยืนยันข้อมูล และสรุปผลกระทบจากการโจมตีที่เกิดขึ้น

โรงพยาบาลระบุว่า บริการของพวกเขายังสามารถทำงานได้ตามปกติ และผู้ป่วยสามารถเข้ารับการนัดหมายได้ตามปกติ

ทางโรงพยาบาลระบุเพิ่มเติมว่า "โรงพยาบาลกำลังดำเนินการกับเหตุการณ์นี้อย่างจริงจัง เพื่อรักษาความปลอดภัยให้กับระบบของเรา และดำเนินการขั้นตอนเพิ่มเติมตามคำแนะนำของหน่วยงานบังคับใช้กฎหมายตลอดจนหน้าที่ตามกฎหมายที่เกี่ยวข้องกับข้อมูลผู้ป่วย"

เหตุการณ์นี้ไม่เกี่ยวข้องกับเหตุการณ์ล่าสุดที่เกิดขึ้นกับ Wirral University Teaching Hospitals ซึ่งก็อยู่ใกล้ ๆ กับเมืองลิเวอร์พูลเช่นกัน

ในการให้สัมภาษณ์กับ Infosecurity นักวิจัยชื่อ 'Will Thomas' ผู้สอน SANS และนักวิจัยด้าน CTI ระบุว่า แม้ว่ายังไม่ทราบแน่ชัดว่าการอ้างว่าสามารถขโมยข้อมูลออกไปได้ของกลุ่ม INC Ransom เป็นเรื่องจริงหรือไม่ แต่เราพบว่า Citrix instance จากระบบไอทีของ Alder Hey NHS Foundation Trust ได้มีการหยุดทำงาน

Will Thomas ระบุว่า "Cyber Defenders ที่ Alder Hey น่าจะได้ปิด Citrix instance ลงในขณะที่พวกเขากำลังทำการตรวจสอบ"

Will Thomas ระบุเพิ่มเติมว่า "INC Ransom เป็นที่รู้จักในการใช้ช่องโหว่ CitrixBleed (CVE-2023-4966) ซึ่งเป็นช่องโหว่ระดับ Critical ที่พบในปี 2023 ในอุปกรณ์ Citrix NetScaler ADC และ NetScaler Gateway ช่องโหว่นี้ทำให้ผู้ไม่หวังดีสามารถ Bypass การยืนยันตัวตนหลายปัจจัย (MFA) และขโมย session ของผู้ใช้งานได้"

ที่มา : infosecurity-magazine