Spook-labformulier roept vragen op. Hack? Foutje systeembeheer?

Een goede kennis ontving op 15 augustus 2025 een bijzonder vreemde mail, die afkomstig lijkt van het Sint Antoniusziekenhuis in Utrecht/Nieuwegein om laboratoriumonderzoek te laten verrichten. Bij nadere beschouwing bleek het allemaal nogal apart omdat de persoon in kwestie daar en elders geen actuele behandeling heeft lopen. Het laatste contact aldaar dateert van drie jaar terug. De inhoud van het verzoek bevreemdde nog meer omdat er geen specificatie was om wat voor bepalingen in bloed het ging. Alleen de typen afnamebuizen waren aangegeven. Wat nog meer bevreemdt is dat het mailadres van waaruit het bericht verstuurd was, niet het standaard-mailadres van het ziekenhuis betrof maar van een portaal lijkt te komen dat laboratoriumaanvragen van huisartsen faciliteert. Het betreft het portaal LabOnline. Wat het allemaal nog vreemder maakt is dat het Sint Antoniusziekenhuis volgens informatie op het internet geen gebruik maakt van LabOnline.

Spookformulier

Het is nogal raadselachtig hoe iemand een mail met een Pdf-bestand krijgt om bij een gespecificeerd ziekenhuis bloed af te laten nemen zonder dat er enige behandelrelatie is. De inhoud van het verzoek in het PDF-bestand is bizar want er staat geen bepaling genoemd maar wel drie typen bloedbuizen die gebruikt zouden moeten worden: -EDTA, [K3E3 (paars)], – Lithium Heparine met gel, [LH4G (groen)], – Natriumfluoride, [FX2 (grijs)]. Dat staat nooit in correspondentie met een patiënt. De kop van de tekst is van het St. Antoniusziekenhuis, evenals het telefoonnummer onderin dat gerelateerd is aan het laboratorium van dit ziekenhuis.

Normaliter stuurt dit ziekenhuis patiënten nimmer een dergelijke mail met een Pdf-bestand maar wel een mail met daarin het verzoek naar het portaal Mijn Antonius te gaan om daar het formulier in te zien en uit te printen.

LabOnline

Het bericht is afkomstig van antonius@labonline.nl. Dat is zeer vreemd omdat normaliter een aankondiging voor laboratoriumonderzoek afkomstig is van donotreply@antoniusziekenhuis.nl.

Ga je kijken of het St. Antoniusziekenhuis een relatie met LabOnline heeft dat is het antwoord negatief. Het mailadres maakt daardoor een heel vreemde indruk en wordt daarmee verdacht. LabOnline is een digitaal portaal, ontwikkeld door het softwarebedrijf Topicus, waarmee zorgverleners zoals huisartsen laboratoriumaanvragen kunnen indienen en laboratoriumuitslagen kunnen inzien. Het systeem stroomlijnt de communicatie tussen zorgverleners en laboratoria door middel van digitale ordercommunicatie, wat efficiënter en minder foutgevoelig is dan het gebruik van papieren formulieren. 

Topicus heeft wel een zakelijke relatie met het St. Antoniusziekenhuis. Het patiëntenportaal van het St. Antonius Ziekenhuis, genaamd Mijn Antonius, is gebaseerd op de software van Topicus. Dit portaal stelt patiënten in staat om toegang te krijgen tot hun medische informatie en afspraken te beheren.

Reactie St. Antoniusziekenhuis

Uiteraard nam de kennis contact op met het ziekenhuis met de vraag hoe dit nou zit. Het korte antwoord dat zij kreeg was: “Wij weten hier zelf ook niks van af”. Geen opmerking dus over het eventuele uitzoeken door het ziekenhuis hoe dit in elkaar kan steken. Je zou zoiets wel verwachten omdat het ziekenhuis expliciet in beeld is in de Pdf-bijlage. Een gemiste kans dus en weinig professioneel.

Wat is hier gaande?

Er bestaan meerdere mogelijkheden over wat hier gaande is. Het kan een hack zijn waarbij hackers spook-laboratoriumberichten verzenden. In dat geval zou het een hack van het St. Antoniusziekenhuis kunnen zijn aangezien mijn kennis daar enkele jaren terug wel bekend was. Met informatie uit dat systeem kan dan een mail gegenereerd zijn met de huidige bijlage. Die Pdf-bijlage zou in theorie een virus kunnen bevatten. Scannen met een plethora aan virusscanners online laten geen contaminatie zien.

Daarnaast is het mogelijk dat het ziekenhuis naast het gebruik van Topicus-software voor het laboratorium ook integratie met LabOnline van Topicus exploreert. Daarbij zouden dan gesimuleerde berichten met bestaande personen uit de ziekenhuisdatabase toch buiten de ontwikkelomgeving terecht gekomen kunnen zijn en per abuis daadwerkelijk verstuurd zijn.

We gaan het zien

Het is de vraag of Topicus of het St. Antoniusziekenhuis over deze spook-laboratoriumaanvraag iets zinnigs kunnen zeggen. Een dergelijk vreemde spook-labaanvraag krijgen, blijft voor de ontvanger een verwarrend probleem.

W.J. Jongejan, 27 augustus 2025

Afbeelding van SerenityArt via Pixabay

In het Pdf-bestand is het labnummer en de barcode door mij grotendeels onzichtbaar gemaakt. Ik bezit het volledige bestand.