Cybersikkerhedsdirektør anholdt efter angiveligt at have installeret malware på hospitalscomputere

I et chokerende tillidsbrud, der fremhæver den stigende trussel fra insiderangreb, er administrerende direktør for et cybersikkerhedsfirma blevet arresteret for angiveligt at have installeret malware på hospitalers computere. Jeffrey Bowie, chef for Veritaco med base i Oklahoma, står over for to forbrydelser i henhold til Oklahomas lov om computerkriminalitet efter sin anholdelse den 14. april 2025.

Hændelsen har sendt ringvirkninger gennem både sundhedsvæsenet og cybersikkerhedsbranchen og rejst kritiske spørgsmål om de sårbarheder, der udgøres af personer, der formodes at forsvare sig mod cybertrusler – ikke at skabe dem.

Påstande om en foruroligende overtrædelse

Ifølge retsdokumenter fandt det påståede angreb sted den 6. august 2024 på St. Anthony Hospital, et større medicinsk hospital i Oklahoma City. Overvågningsoptagelser angiveligt fangede Bowie, mens han vandrede rundt på hospitalets gange og forsøgte at få adgang til forskellige kontorer, før han fandt to uovervågede computere. Det påstås, at han derefter installerede malware designet til i hemmelighed at tage skærmbilleder hvert 20. minut og sende dem til en ekstern IP-adresse.

Da Bowie blev udspurgt af hospitalspersonalet, hævdede han, at han besøgte et familiemedlem, der skulle opereres, og at han skulle bruge en computer. En retsmedicinsk undersøgelse foretaget af St. Anthony's IT-sikkerhedsteam afslørede dog snart installationen af uautoriseret skadelig software.

"Den 6. august 2024 blev en uautoriseret person identificeret, der tilgik en hospitalscomputer i et påstået forsøg på at installere malware," udtalte SSM Health, sundhedsvæsenet der driver St. Anthony Hospital, i en officiel pressemeddelelse. "På grund af de forholdsregler, der var truffet, blev problemet løst med det samme, og der blev ikke tilgået patientoplysninger."

Baggrund for den anklagede

Før Jeffrey Bowie grundlagde Veritaco i august 2023, opbyggede han en karriere inden for cybersikkerhed, hvor han arbejdede som Senior Cyber Security Engineer hos High Point Networks og havde adskillige andre sikkerhedsroller. Veritaco, beskrevet på LinkedIn som specialiseret i cybersikkerhed, digital retsmedicin og privat efterretningstjeneste, var en lille virksomhed med kun en håndfuld ansatte.

Overtrædelsen er særligt alarmerende, fordi Bowie, givet sin baggrund, ville have forstået de fulde konsekvenser af at plante malware på et hospital – et miljø, hvor liv afhænger af computersystemernes integritet og pålidelighed.

Potentielle sanktioner og igangværende undersøgelse

Ifølge Oklahomas lov kan grove overtrædelser af Computer Crimes Act føre til alvorlige konsekvenser, herunder bøder fra $5.000 til $100.000, fængsel i op til ti år eller begge dele. Indtil videre fortsætter både FBI og lokale retshåndhævende myndigheder deres efterforskning af sagen.

Selvom ingen patientjournaler blev kompromitteret takket være hurtig handling fra hospitalspersonalet, tjener sagen som en barsk påmindelse om, at insidertrusler kan komme fra uventede kilder – selv fra dem, der formodes at beskytte os.

Lektioner for sundhedssektoren

Sundhedsinstitutioner er alleredeprimære mål for cyberangreb på grund af den følsomme karakter af de data, de håndterer. Denne hændelse understreger vigtigheden af robust fysisk sikkerhed, strenge adgangskontroller, konstant overvågning og strenge sikkerhedskontroller for alle - selv leverandører og formodede eksperter - der kommer i kontakt med interne systemer.

Organisationer skal opretholde en "tillidsfuld, men verificér"-tankegang og sikre, at selv personer med høje legitimationsoplysninger ikke får ukontrolleret adgang til kritisk infrastruktur. I dagens landskab handler cybersikkerhed ikke kun om at forsvare sig mod angribere udefra – farerne indefra kan være lige så reelle og nogle gange endda mere ødelæggende.