Case: szpital MSWiA w Krakowie
Sprawozdanie Pełnomocnika Rządu ds. Cyberbezpieczeństwa za 2025 r. wymienia ataki ransomware jako jedno z dwóch ryzyk wysokich o ocenie 12 pkt (wpływ 4 × prawdopodobieństwo 3) i wskazuje sektor zdrowia jako szczególnie narażony. Konkretny, udokumentowany przypadek to poważny paraliż infrastruktury podmiotu medycznego MSWiA w Krakowie — atak ransomware, który spowodował długotrwałą niedostępność systemów klinicznych i administracyjnych.
Incydent w szpitalu MSWiA to nie odosobniony przypadek — to reprezentacja szerszego zjawiska. Pełnomocnik w rejestrze ryzyka wskazuje sektor zdrowia jako połączenie najgorszych czynników systemowych: braki kadrowe specjalistów IT, ograniczenia budżetowe uniemożliwiające konkurencję z sektorem prywatnym, przestarzała infrastruktura (w tym urządzenia medyczne bez wsparcia producenta) oraz kluczowe znaczenie ciągłości dla życia i zdrowia pacjentów.
Mechanizm podwójnego wymuszenia
Współczesny ransomware — szczególnie w modelu Ransomware-as-a-Service (RaaS) dominującym w 2025 r. — opiera się na mechanizmie podwójnego lub potrójnego wymuszenia. Tradycyjne wymuszenie (szyfrowanie → okup za odszyfrowanie) zostało uzupełnione o dodatkowe dźwignie nacisku na ofiarę.
| Etap | Działanie atakującego | Nacisk na ofiarę |
|---|---|---|
| 1. Eksfiltracja | Kradzież danych (EDM, dane kadrowe, badania) przed szyfrowaniem | Groźba publikacji na darknecie |
| 2. Szyfrowanie | Encryption systemów HIS, LIS, RIS, backup online | Brak dostępu do systemów klinicznych |
| 3. Publikacja | Publikacja fragmentów danych jako „dowód” | Naruszenie RODO, reputacja |
| 4. Szantaż pacjentów/kontrahentów | Kontakt z pacjentami i partnerami ofiary | Presja społeczna, odszkodowania |
| 5. DDoS równoległy | Atak wolumetryczny na stronę szpitala | Utrudnienie reakcji PR |
Kluczowym wnioskiem jest to, że zapłata okupu nie rozwiązuje problemu — nawet po odszyfrowaniu dane zostały wyeksfiltrowane i mogą zostać opublikowane lub sprzedane. Kopie zapasowe online są szyfrowane razem z produkcją, więc backup „podpięty do sieci” nie chroni. Skuteczna jest wyłącznie kopia zapasowa offline (air-gapped) lub immutable (WORM) w technologii nieusuwalnej.
Paraliż HIS/EDM i ryzyko dla pacjentów
Systemy HIS (Hospital Information System), EDM (Elektroniczna Dokumentacja Medyczna), LIS (Laboratory Information System), RIS/PACS (Radiology Information System, Picture Archiving) i apteki centralnej tworzą wzajemnie zależną sieć. Paraliż jednego z tych systemów kaskadowo wpływa na pozostałe.
- HIS niedostępny → brak rejestracji, brak zleceń, brak rozliczeń NFZ, powrót do papierowej obsługi.
- EDM niedostępny → brak historii choroby, brak listy leków pacjenta, brak wyników badań z wizyty poprzedniej.
- LIS niedostępny → brak badań laboratoryjnych, brak krzyżówek transfuzyjnych, wstrzymanie diagnostyki.
- RIS/PACS niedostępny → brak opisów TK/MR, brak dostępu do poprzednich badań obrazowych.
- Apteka szpitalna niedostępna → brak dyspensacji, ryzyko podania niewłaściwego leku.
Obowiązki szpitali pod KSC
Szpitale i podmioty lecznicze są wymienione w załączniku nr 1 do znowelizowanej UKSC (sektor: ochrona zdrowia). Szpital będący dużym przedsiębiorcą (≥250 pracowników lub obrót > 50 mln EUR lub bilans > 43 mln EUR) jest podmiotem kluczowym; mniejszy — ważnym. Laboratoria referencyjne i podmioty produkujące produkty lecznicze krytyczne również kwalifikują się niezależnie od wielkości.
- Rejestracja w wykazie S46 prowadzonym przez Ministra Cyfryzacji — termin: 3 października 2026 r. dla podmiotów istniejących w dniu wejścia w życie ustawy.
- Wdrożenie SZBI zgodnie z art. 8 UKSC — polityki bezpieczeństwa, analiza ryzyka, plany ciągłości działania, procedury reagowania na incydenty.
- Plan odtwarzania po awarii (DRP) i kopie zapasowe offline — krytyczny środek zaradczy wobec ransomware; wymagany przez art. 8 oraz wewnętrzne standardy Ministerstwa Zdrowia.
- Raportowanie incydentów — 24h na zgłoszenie wstępne, 72h na szczegółowe; docelowo do CSIRT CeZ (Centrum e-Zdrowia) dla sektora zdrowia.
- Szkolenia zarządu i ordynatorów — obowiązek ustawowy; zarząd ponosi osobistą odpowiedzialność za niezapewnienie bezpieczeństwa.
- Audyt bezpieczeństwa co 3 lata (art. 15 UKSC) dla podmiotów kluczowych — przeprowadzony przez uprawniony podmiot, obejmujący IT + urządzenia medyczne.
- Zarządzanie ryzykiem łańcucha dostaw — klauzule bezpieczeństwa z dostawcami HIS/LIS/RIS, serwisantami sprzętu medycznego, dostawcami chmury medycznej.
Plan odporności — co wdrożyć w pierwszej kolejności
Rejestr ryzyka w Sprawozdaniu 2025 wskazuje konkretne środki zaradcze dla ransomware w sektorze zdrowia: plany ciągłości działania (BCP/DRP), kopie zapasowe offline, segmentacja sieci i EDR/XDR. Poniżej priorytetyzacja dla szpitala rozpoczynającego wdrożenie:
- Kopie zapasowe offline lub immutable — backup HIS/EDM w technologii air-gapped lub WORM; testy odtworzenia co najmniej kwartalne; oddzielna kopia w fizycznie innym miejscu.
- Segmentacja sieci — rozdzielenie sieci klinicznej, administracyjnej, gościnnej (WiFi dla pacjentów) i urządzeń medycznych (IoMT); firewall między segmentami z regułami domyślnie blokującymi.
- EDR/XDR na stacjach roboczych i serwerach — detekcja i blokowanie typowych wzorców ransomware (masowe szyfrowanie plików, komunikacja z C2, wyłączanie kopii zapasowych).
- MFA dla wszystkich dostępów administracyjnych i zdalnych — obrona przed kompromitacją kont (najczęstszy wektor początkowy).
- Plan BCP z procedurą „papierową” — gotowe formularze papierowe dla rejestracji, zleceń, recept na wypadek niedostępności systemów; regularne ćwiczenia personelu.
- Inwentaryzacja urządzeń medycznych — lista aparatów USG, TK, MR, pomp infuzyjnych, monitorów; systemy bez wsparcia producenta izolowane lub wymieniane; patching planowy.
- Umowa SOC 24/7 — dla szpitali bez własnego SOC; monitoring zdarzeń bezpieczeństwa, korelacja, szybka reakcja (MDR lub SOC-as-a-Service).
- Szkolenie personelu — phishing awareness, rozpoznawanie ataków socjotechnicznych (szczególnie celowane na ordynatorów i CFO — CEO fraud).