Rumah Sakit SickKids Alami Kebocoran Data, Informasi Karyawan dan Pelamar Kerja Terekspos
Hospital for Sick Children (SickKids) baru-baru ini mengumumkan adanya insiden keamanan siber yang mengekspos informasi pribadi milik sejumlah karyawan aktif, mantan karyawan, hingga pelamar kerja. Pihak rumah sakit menyatakan bahwa insiden ini berakar dari kerentanan pada perangkat lunak pihak ketiga yang mereka gunakan.
Meskipun sistem klinis dan rekam medis pasien dipastikan tetap aman dan tidak tersentuh, situs web rekrutmen (Careers) milik rumah sakit anak yang berbasis di Toronto ini sempat dinonaktifkan sementara sebagai langkah pencegahan.
Pemulihan Sistem dan Investigasi Lanjutan
Pihak SickKids secara resmi mengonfirmasi bahwa insiden ini menyebabkan akses tidak sah terhadap data kepegawaian. Dalam pernyataan resminya, mereka mengaitkan pelanggaran ini dengan celah keamanan pada aplikasi pihak ketiga yang tidak hanya digunakan oleh SickKids, tetapi juga oleh berbagai organisasi lain. Pernyataan tersebut mengindikasikan potensi adanya kampanye serangan siber yang lebih luas terhadap para pengguna perangkat lunak yang sama, meskipun pihak rumah sakit belum mengungkap identitas vendor, nama aplikasi, maupun kode kerentanan (CVE) yang dieksploitasi.
Situs web Careers eksternal yang sempat terdampak kini telah dipulihkan dan beroperasi kembali dengan aman. Sementara itu, operasional perawatan pasien terus berjalan normal tanpa gangguan pada sistem klinis maupun informasi medis.
Setelah mendeteksi adanya intrusi, SickKids langsung menggelar investigasi mendalam dengan menggandeng para pakar keamanan siber independen. Temuan awal menunjukkan bahwa informasi pribadi yang berisiko terekspos mencakup data milik karyawan SickKids, klinik anak Boomerang (yang dikelola oleh SickKids), karyawan SickKids Foundation, serta para pelamar kerja.
Hingga saat ini, pihak rumah sakit belum merinci kategori data apa saja yang dicuri, jumlah pasti individu yang terdampak, maupun rentang waktu terjadinya intrusi. Proses peninjauan terhadap data yang diretas masih terus berlangsung, dan individu yang terkonfirmasi menjadi korban akan mendapatkan pemberitahuan secara langsung.
Sebagai langkah kehati-hatian, SickKids telah memberikan peringatan kepada semua pihak yang berpotensi terdampak dan menawarkan layanan pemantauan kredit serta perlindungan identitas secara gratis selama 24 bulan.
Portal lamaran kerja memang kerap menjadi target bernilai tinggi bagi para pencuri data. Para pelamar biasanya menyerahkan informasi sensitif seperti nama lengkap, alamat rumah, nomor telepon, riwayat pekerjaan, hingga identitas resmi dari pemerintah. Kumpulan data semacam ini sangat berbahaya jika disalahgunakan, baik untuk melakukan penipuan identitas maupun untuk menyusun rekayasa sosial (social engineering) yang meyakinkan guna mengelabui staf rumah sakit.
Rentetan Insiden Keamanan Sebelumnya
Ini bukan kali pertama SickKids menghadapi insiden keamanan siber berskala besar dalam beberapa tahun terakhir. Pada bulan Desember 2022, rumah sakit ini sempat dilumpuhkan oleh serangan ransomware yang mengganggu sistem internal, saluran telepon, situs web, serta menyebabkan penundaan pada hasil laboratorium dan pencitraan medis.
Kelompok ransomware LockBit, yang bertanggung jawab atas insiden tersebut, kemudian secara mengejutkan merilis permintaan maaf publik. Mereka berdalih bahwa afiliasi yang melakukan peretasan telah melanggar aturan internal kelompok yang melarang serangan terhadap institusi medis. LockBit bahkan memberikan alat dekripsi secara gratis, meskipun hal itu terjadi setelah pihak rumah sakit menghabiskan waktu hampir dua minggu untuk memulihkan sistem secara mandiri.
Selanjutnya, pada bulan September 2023, SickKids juga menjadi salah satu penyedia layanan kesehatan di Ontario yang terdampak oleh peretasan pada organisasi pihak ketiga yang mengelola data kesehatan ibu dan anak. Insiden yang dipicu oleh eksploitasi massal terhadap kerentanan zero-day MOVEit Transfer (CVE-2023-34362) tersebut mengekspos informasi milik 3,4 juta orang, termasuk nama, alamat rumah, tanggal lahir, dan nomor kartu kesehatan.
Sektor layanan kesehatan hingga saat ini masih menjadi salah satu target utama bagi kelompok ransomware maupun sindikat pemerasan data. Rumah sakit anak, secara khusus, menyimpan rekam jejak medis yang sangat sensitif selama puluhan tahun, menjadikannya sasaran empuk yang terus diincar oleh penjahat siber terlepas dari batasan etika yang kerap mereka klaim.
Sumber: Laporan Media Keamanan Siber
