רשות הגנת הפרטיות הצרפתית (CNIL) הטילה קנס של 500,000 יורו על בית החולים Hôpital privé de la Loire בסן-אטיין, בעקבות אירוע אבטחה מקיץ 2025 שבו נחשפו נתונים רגישים של יותר מ- 727,000 בני אדם. בית החולים, המשתייך לקבוצת Ramsay Santé, מעסיק 650 עובדים מהם 180 רופאים, מפעיל 333 מיטות בחמש מחלקות קליניות ומטפל בכ- 60,000 מטופלים בשנה.
מה קרה
תוקף השיג גישה למערכת התיקים הרפואיים הממוחשבת של בית החולים וגנב ממנה מידע של 524,867 מטופלים ועוד 202,246 אנשים שהוגדרו כאנשי קשר — מלווים, בני משפחה ואנשים שסייעו למטופלים בדרך זו או אחרת. רבים מהם מעולם לא היו מטופלים של בית החולים בעצמם.
האקר צעיר המכנה עצמו "Marak" נטל אחריות בפנייה לעיתון הצרפתי Le Progrès דרך טלגרם. לדבריו המתקפה החלה בפריצה לחשבון של רופא אחד, שממנו נפתחה הגישה לכלל המערכת הפנימית. לפי הדיווח הוא ניסה למכור את המידע לקונה יחיד בסכום של 2,000 עד 5,000 יורו, אך המידע לא נמכר ולא פורסם בסופו של דבר.
הקנס לא ניתן על הפריצה
זו הנקודה המרכזית בסיפור הזה. הרגולטור לא קנס את בית החולים על כך שנפרץ. הוא קנס אותו על ארבע בקרות שהיו אמורות להיות שם ולא היו. הרשות פירטה אותן אחת לאחת:
- גישה חיצונית ללא VPN וללא אימות רב-שלבי. משתמשים חיצוניים, בהם רופאים עצמאיים, יכלו להתחבר למערכת בלי ערוץ מוצפן ובלי גורם אימות שני. חשבון אחד שנפרץ הספיק.
- היעדר הרשאות מינימליות. בקרות ההרשאות אפשרו לחשבון שנפרץ לגשת לתיקים של כל מטופלי בית החולים. חשבון של רופא בודד היה אמור לראות את המטופלים שלו בלבד.
- היעדר ניטור והתרעה בזמן אמת. התוקף שוטט במערכת וחילץ ממנה נפח גדול של נתונים במשך ימים, בלי שאיש הבחין בכך. זו לא פריצה מתוחכמת שנמשכה שניות, אלא פעילות ארוכה שאיש לא ראה.
- כשל בדיווח. בית החולים יידע את המטופלים הנפגעים, אך לא פנה ישירות ל- 202,246 אנשי הקשר שנתוניהם נגנבו גם הם.
ההפרות מתייחסות לסעיפים 32 ו- 34 ב- GDPR. הוועדה ציינה שבית החולים נקט שורת צעדי חיזוק במהלך ההליך עצמו.
המשמעות לארגון ישראלי
הפער בין ארגון שנפרץ לארגון שנקנס מסתכם בשאלה אחת: האם היו במקום בקרות סבירות. ארבע הבקרות שהרגולטור הצרפתי מנה אינן יקרות ואינן חדשניות. הן שגרתיות לחלוטין. בדיוק משום כך היעדרן נחשב הפרה.
גם בישראל התמונה הרגולטורית התהדקה מאוד. חובת הדיווח על אירוע אבטחה חמור קיימת מכוח תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. זו חובה מיידית — לא 72 שעות, מספר שמיובא בטעות מהרגולציה האירופית. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, יצר את העיצום הכספי הישיר על הפרת החובה הזו. העיצום הראשון שהוטל מכוחו פורסם ביולי 2026: 256,000 שקלים על קופת חולים מאוחדת — לא על הפריצה עצמה, אלא על דיווח באיחור.
010 אבטחת מידע
ארבעת הליקויים שהרגולטור הצרפתי מנה הם ארבעה תחומי עבודה מוגדרים היטב.
- סקר סיכונים הוא הכלי אשר מאתר את שני הליקויים הראשונים: מיפוי כל נתיבי הגישה מבחוץ אל מערכות הליבה ובדיקה אילו מהם עוברים אימות רב-שלבי, לצד בחינה של מודל ההרשאות. השאלה המעשית לכל ארגון פשוטה: אילו רשומות רואה החשבון החלש ביותר שלכם.
- SIEM/SOC הוא המענה לליקוי השלישי, אולי החשוב מכולם. הרגולטור לא דרש שהפריצה תימנע; הוא דרש שיבחינו בה. חילוץ המוני של רשומות במשך ימים הוא בדיוק סוג ההתנהגות שניטור מרכזי אמור לסמן — נפח שאילתות חריג, גישה לרשומות מחוץ לתחום האחריות של המשתמש, פעילות בשעות לא שגרתיות.
- מניעת דלף מידע (DLP) מוסיפה שכבה שנייה על אותו ליקוי — הפעם על זרימת המידע החוצה, לא רק על הגישה אליו.
- מודעות עובדים לסייבר נוגעת לנקודת הכניסה עצמה. השרשרת כולה התחילה בחשבון של רופא אחד.
הליקוי הרביעי, הדיווח, הוא תזכורת לכך שהמוכנות לאירוע אינה מסתיימת בטכנולוגיה. נוהל תגובה כתוב שקובע מי מדווח, למי ותוך כמה זמן — הוא ההבדל בין אירוע מנוהל לבין קנס.
למקור הידיעה ולקריאה נוספת לחצו כאן
