Hack bij ChipSoft raakt patiëntgegevens
Een ransomware-aanval trof zorgsoftwarebedrijf ChipSoft op 7 april 2026. Hackers maakten daarbij persoonsgegevens van patiënten buit, waaronder medische gegevens. ChipSoft levert software aan een groot deel van de Nederlandse ziekenhuizen en aan huisartsenpraktijken. Daardoor reikte de impact verder dan één leverancier. ChipSoft meldde↗ later dat de gestolen gegevens niet waren gepubliceerd en technisch waren vernietigd. Zorgexpertisecentrum Z-CERT kon die vernietiging echter niet onafhankelijk bevestigen.
De aanval trof systemen voor de zorg
ChipSoft ontdekte op 7 april afwijkingen in zijn systemen en schakelde direct externe cybersecurity-experts in. Het onderzoek wees uit dat criminelen ransomware hadden gebruikt: software waarmee aanvallers systemen kunnen blokkeren en organisaties onder druk zetten. Uit voorzorg verbrak ChipSoft verbindingen met onder meer het Zorgportaal, HiX Mobile en het Zorgplatform. Daardoor konden patiënten tijdelijk niet bij sommige digitale diensten en konden zorginstellingen niet altijd gegevens uitwisselen. De zorg zelf ging volgens Z-CERT wel door.
Hackers stalen medische gegevens
Aanvankelijk was onduidelijk of de aanvallers persoonsgegevens hadden ingezien of gestolen. Op 16 april bevestigde forensisch onderzoek dat criminelen gegevens van patiënten, waaronder medische informatie, hadden buitgemaakt bij enkele Nederlandse klanten. ChipSoft informeerde de getroffen zorginstellingen, die vervolgens hun patiënten moesten informeren. Het bleef onduidelijk welke bestanden de hackers precies hadden meegenomen en van welke patiënten de gegevens waren. Daardoor is het lastig om vast te stellen welke mensen risico lopen en welke informatie criminelen mogelijk kunnen misbruiken.
Veel zorginstellingen gebruiken ChipSoft
ChipSoft levert het elektronische patiëntendossier HiX en andere digitale diensten aan ziekenhuizen en huisartsen. Volgens de berichtgeving gebruikt een groot deel van de Nederlandse ziekenhuizen de software. Daardoor kan een incident bij één leverancier meerdere zorginstellingen tegelijk raken. De precieze gevolgen verschillen wel per instelling, afhankelijk van de systemen die zij gebruiken en hoe die zijn ingericht. Sommige patiëntportalen gingen tijdelijk offline, terwijl andere beschikbaar bleven. Ook moesten zorginstellingen extra telefoontjes en vragen van patiënten opvangen.
Onzekerheid over vernietigde gegevens
Op 28 april meldde ChipSoft dat de gestolen gegevens niet waren gepubliceerd en dat ingeschakelde experts ze technisch hadden vernietigd. Toch heeft Z-CERT die vernietiging niet onafhankelijk kunnen bevestigen. Op 30 april meldde het expertisecentrum dat het zelf geen bewijs had ingezien en dat volledige zekerheid ontbreekt. De kans op publicatie leek volgens Z-CERT wel kleiner. Bovendien startte de Rijksinspectie Digitale Infrastructuur in juli een onderzoek naar de beveiligingsmaatregelen van ChipSoft en de omstandigheden van de aanval.
De gevolgen kunnen langer doorwerken
De aanval laat zien dat digitale verstoringen bij een softwareleverancier gevolgen kunnen hebben voor patiënten, ook als hackers een ziekenhuis niet rechtstreeks aanvallen. Zorginstellingen zijn afhankelijk van leveranciers voor patiëntportalen, gegevensuitwisseling en andere digitale diensten. Daarom zijn duidelijke afspraken over beveiliging, incidentmeldingen en herstel belangrijk. Patiënten kunnen bij hun eigen zorginstelling navragen of hun gegevens mogelijk betrokken waren. Ondertussen blijft voorzichtigheid verstandig: criminelen kunnen een incident aangrijpen om geloofwaardige phishingberichten te versturen.
