Verschillende Nederlandse ziekenhuizen hebben gereageerd op de datadiefstal bij het medische laboratorium Clinical Diagnostics uit Rijswijk en berichtgeving dat ook gegevens van ziekenhuispatiënten zijn gestolen. Gisterenmiddag meldden Bevolkingsonderzoek Nederland en demissionair minister Jansen van Volksgezondheid dat bij het laboratorium de gegevens van 485.000 vrouwen zijn gestolen die deel hebben genomen aan het bevolkingsonderzoek baarmoederhalskanker.

Clinical Diagnostics meldde niet veel later dat er ook data is gestolen van zorgverleners en patiënten die onderzoek hebben laten verrichten bij het laboratorium. "Helaas gaat dit datalek verder dan alleen Bevolkingsonderzoek Nederland", aldus Z-CERT, het Computer Emergency Response Team voor de Nederlandse zorg. Dat laat aanvullend weten dat het andere zorginstellingen die rechtstreeks zijn geraakt heeft kunnen informeren. Namen van deze andere zorginstellingen zijn niet bekendgemaakt. De aanvallers claimen bij het lab 300 gigabyte aan data te hebben gestolen, zo lieten ze op 6 juli op de eigen website weten. De criminelen, een ransomwaregroep genaamd Nova, deelden 100MB aan gestolen data.

RTL Nieuws meldde op basis van de gelekte gegevens dat het ook om data gaat van patiënten van het Leids Universitair Medisch Centrum (LUMC), Amphia ziekenhuis en Alrijne ziekenhuis, alsmede veel onderzoeken die door huisartsen zijn uitgeschreven. De ziekenhuizen zijn vandaag met een reactie gekomen. Alrijne laat weten dat het bevestiging van Clinical Diagnostics kreeg dat er geen data van patiënten van Alrijne was gestolen. "Inmiddels vernemen we via de media andere berichten. We zijn hier uiteraard van geschrokken", aldus het ziekenhuis, dat het lab om extra informatie en opheldering heeft gevraagd.

"Verschillende media plaatsten gisteren berichten over een datalek van patiëntgegevens bij het Rijswijkse laboratorium Clinical Diagnostics. Daarbij werd ook gemeld dat het LUMC zou zijn getroffen", meldt het Leids Universitair Medisch Centrum. "Echter, het LUMC zelf heeft niet te maken met een datalek of diefstal van patiëntgegevens. Het LUMC is zelf niet gehackt. Het LUMC stuurt incidenteel onderzoeksmateriaal, zoals weefsel, naar Rijswijk voor verdere analyse."

"Amphia heeft kennisgenomen van de berichtgeving over een datalek bij Bevolkingsonderzoek Nederland. We betreuren het dat dit hen is overkomen. Er is geen sprake van een datalek bij Amphia", laat het Amphia Ziekenhuis weten. Het ziekenhuis zegt dat het nog geen verdere informatie heeft ontvangen over de omvang van het datalek en in hoeverre zorgverleners en patiënten hierdoor zijn geraakt. "Over de ernst van de situatie kan Amphia daarom nu geen uitspraak doen."

"Op basis van door de hackersgroep gedeelde sample hebben wij kunnen vaststellen dat ook de eerstelijnszorg, waaronder huisartspraktijken, is geraakt", aldus Z-CERT. De organisatie stelt dat het vanwege de beperkte omvang van de gelekte data geen verdere conclusies kan trekken over de impact van de ransomware-aanval. "Hier is meer informatie voor nodig vanuit Clinical Diagnostics." Hoe de gegevens konden worden gestolen is nog niet bekendgemaakt. Organisaties die de gegevensverwerking aan aan andere partijen uitbesteden zijn vaak nog wel voor de data verantwoordelijk, zo laat de Autoriteit Persoonsgegevens weten.