Het grootste kinderziekenhuis in Canada heeft de persoonlijke gegevens van voormalige en huidige medewerkers gelekt. Aanvallers wisten onlangs in te breken op een systeem waar het ziekenhuis gebruik van maakt. Volgens het Hospital for Sick Children maakten de aanvallers gebruik van een kwetsbaarheid in een third-party applicatie waar het ziekenhuis en andere organisaties mee werken.

Het ziekenhuis laat in de datalekmelding op de eigen website niet weten om welke kwetsbaarheid en applicatie het precies gaat. Ook is onbekend hoeveel mensen zijn getroffen. CTV News meldt op basis van een brief die getroffen medewerkers ontvingen dat het gehackte systeem zowel voor de eigen vacaturesite wordt gebruikt als bepaalde HR-functies, waaronder de salarisadministratie. Om wat voor gegevens het precies gaat is ook niet gemeld, behalve dat het gevoelige persoonlijke informatie kan zijn.

Ransomware-aanval in 2022
Het Hospital for Sick Children kwam in 2022 wegens een ander beveiligingsincident in het nieuws. Toen was het kinderziekenhuis getroffen door een ransomware-aanval, waardoor meerdere systemen niet meer werkten, waaronder interne klinische systemen, ziekenhuisapplicaties en sommige telefoonlijnen en webpagina's. Vanwege de aanval had het ziekenhuis "code grijs" afgegeven.

De aanval werd opgeëist door de groep achter de LockBit-ransomware. LockBit wordt aangeboden als een Ransomware-as-a-Service (RaaS). Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden.

De groep liet via de eigen website weten dat de partner die achter de aanval zat de "regels" had overtreden en uit het partnerprogramma was gezet. De groep verstrekte daarop een gratis decryptietool aan het ziekenhuis. Dat besloot er echter geen gebruik van te maken. Een reden voor deze beslissing werd niet gegeven. De nieuwste aanval is nog niet door een criminele groepering opgeëist.