Cyberatak na systemy firmy MyDr może dotyczyć danych nawet 18,8 mln osób i ponad 12 tys. placówek medycznych. Wśród przejętych informacji mogą znajdować się numery PESEL, dane kontaktowe, a także informacje o lekach, receptach i stanie zdrowia. Ministerstwo Cyfryzacji zapowiedziało, że osoby objęte incydentem będą mogły sprawdzić swoje dane w serwisie bezpiecznedane.gov.pl.
Atak dotyczył systemów MyDr, dostawcy oprogramowania do prowadzenia elektronicznej dokumentacji medycznej. Firma potwierdziła nieuprawniony dostęp do danych historycznych przechowywanych w jej systemach. Chodzi o informacje pochodzące z okresu do kwietnia 2024 r.
Skala incydentu stawia go wśród największych wycieków danych w Polsce. Wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o jednym z największych incydentów tego rodzaju w historii kraju.
MyDr: co to za firma
MyDr dostarcza oprogramowanie dla gabinetów lekarskich, przychodni i centrów medycznych. System służy między innymi do prowadzenia elektronicznej dokumentacji medycznej i obsługi pacjentów.
Według informacji podawanych przez firmę za pomocą jej platformy realizowanych jest około 3 mln wizyt miesięcznie, a lekarze wystawiają około 2,7 mln recept. Z systemów MyDr miało korzystać ponad 12 tys. podmiotów medycznych w Polsce.
MyDr należy do grupy ZnanyLekarz. Sam cyberatak nie był jednak wymierzony w serwis służący pacjentom do wyszukiwania lekarzy i rezerwowania wizyt, lecz w systemy wykorzystywane przez placówki ochrony zdrowia.
Skala działalności MyDr tłumaczy, dlaczego pojedynczy incydent w firmie technologicznej może objąć dane milionów pacjentów. Jeden system informatyczny może przechowywać dokumentację pochodzącą z wielu niezależnych gabinetów i placówek.
Wyciek danych MyDr. Jakie informacje mogły zostać przejęte
Z dotychczasowych informacji przekazanych przez administrację wynika, że wyciek danych MyDr nie ogranicza się do podstawowych danych osobowych.
W przejętym zbiorze mogą znajdować się numery PESEL, adresy i dane kontaktowe, ale również informacje dotyczące zdrowia. Minister cyfryzacji wskazywał między innymi na historię recept, przyjmowane leki oraz rozpoznane choroby.
To odróżnia ten incydent od wielu wcześniejszych wycieków baz klientów sklepów, usług internetowych czy firm telekomunikacyjnych. Dane medyczne pozwalają połączyć konkretną osobę nie tylko z numerem PESEL lub adresem, lecz również z historią leczenia.
MyDr poinformowała, że jej zespoły bezpieczeństwa, infrastruktury i inżynierii, wspierane przez zewnętrznych specjalistów, analizują sposób uzyskania nieuprawnionego dostępu, jego przebieg oraz zakres. Firma współpracuje też z organami państwa. Nie ujawniła dotychczas szczegółów technicznych ataku.
Bezpiecznedane.gov.pl ma pokazać, kogo dotyczy wyciek
Ministerstwo Cyfryzacji zapowiedziało przekazywanie informacji dotyczących wycieku do rządowego serwisu bezpiecznedane.gov.pl. Dane mają trafiać tam stopniowo po ustaleniu, których osób dotyczył nieuprawniony dostęp.
Proces może potrwać kilka dni. Administratorem dokumentacji są poszczególne gabinety i placówki ochrony zdrowia korzystające z oprogramowania MyDr, dlatego ustalenie pełnej listy osób wymaga zebrania informacji z wielu podmiotów.
Serwis Bezpieczne Dane pozwala po zalogowaniu sprawdzać, czy określone dane znalazły się w ujawnionych zbiorach. Wyszukiwanie może obejmować między innymi numer PESEL, adres e-mail, numer telefonu lub login.
Brak informacji o wycieku bezpośrednio po uruchomieniu weryfikacji nie musi więc przesądzać, że dana osoba nie została nim objęta. Ministerstwo zapowiedziało sukcesywne uzupełnianie bazy dotyczącej incydentu MyDr.
Zastrzeżenie PESEL po wycieku danych
Po ujawnieniu skali cyberataku Krzysztof Gawkowski zaapelował o zastrzeżenie numeru PESEL. Można zrobić to w aplikacji i serwisie mObywatel albo w urzędzie gminy.
Zastrzeżenie PESEL ogranicza możliwość wykorzystania numeru między innymi przy części czynności finansowych wymagających weryfikacji tożsamości. Mechanizm można później cofnąć, jeśli numer jest potrzebny do wykonania określonej czynności.
Apel resortu wynika z charakteru przejętych informacji. Jeżeli w jednym zbiorze znajdują się dane identyfikacyjne oraz dodatkowe informacje dotyczące konkretnej osoby, łatwiej wykorzystać je do przygotowania bardziej wiarygodnych prób wyłudzenia lub podszywania się pod instytucję.
Sam numer PESEL nie jest jednak jedynym problemem związanym z tym incydentem. Historii leczenia, recept czy informacji o chorobach nie można unieważnić ani zmienić tak jak hasła do konta.
Placówki medyczne nadal przyjmują pacjentów
Cyberatak na MyDr nie zatrzymał bieżącego funkcjonowania systemu ochrony zdrowia. Ministerstwo Cyfryzacji podało, że incydent dotyczył danych znajdujących się w systemach firmy i nie zakłócił udzielania świadczeń ani wystawiania recept.
Po wykryciu zdarzenia zaatakowana infrastruktura została odizolowana. Do sprawy włączono między innymi Ministerstwo Cyfryzacji, Ministerstwo Zdrowia, Urząd Ochrony Danych Osobowych, Prokuraturę Krajową oraz Centralne Biuro Zwalczania Cyberprzestępczości.
UODO przypomniał jednocześnie, że obowiązek poinformowania osób dotkniętych naruszeniem spoczywa na administratorach danych, czyli placówkach i gabinetach korzystających z systemu MyDr. Naruszenia ochrony danych podlegające zgłoszeniu powinny być przekazywane organowi nadzorczemu bez zbędnej zwłoki, zasadniczo w ciągu 72 godzin od ich stwierdzenia.
Enel-med sprawdza, czy incydent dotyczy jego pacjentów
Jedną z sieci korzystających z MyDr jest enel-med. Firma poinformowała, że analizuje sytuację dotyczącą systemu obsługującego pacjentów w ramach umów z NFZ.
Według komunikatu sieci nie otrzymała ona dotychczas potwierdzenia, że naruszenie objęło dane jej pacjentów korzystających ze świadczeń NFZ. Enel-med podał jednocześnie, że ryzyko związane z tym konkretnym systemem nie obejmuje osób korzystających z usług komercyjnych, abonamentów i ubezpieczeń.
Sytuacja poszczególnych placówek może być różna, ponieważ MyDr dostarcza oprogramowanie wielu niezależnym podmiotom. Dopiero identyfikacja danych znajdujących się w przejętym zbiorze pozwoli ustalić pełny zakres wycieku.
Trwa ustalanie sprawców cyberataku na MyDr
Organy ścigania próbują ustalić, kto odpowiada za włamanie. Według informacji przekazanych przez ministra cyfryzacji nie ma obecnie podstaw, by przypisywać atak innemu państwu.
Sprawcy mieli kontaktować się z przedstawicielami branży cyberbezpieczeństwa i prezentować próbki zdobytych danych. Na obecnym etapie nie wiadomo jednak, kim są ani skąd działali.
Najbliższe działania administracji koncentrują się na ustaleniu pełnej listy osób objętych wyciekiem i przekazaniu tych informacji do bezpiecznedane.gov.pl. To właśnie tam ma być dostępna odpowiedź na podstawowe pytanie po cyberataku na MyDr: czy dane konkretnej osoby znalazły się w przejętej bazie.
