Blisko 19 mln osób może dotyczyć wyciek z systemów MyDr, dostawcy oprogramowania używanego przez około 12 tys. placówek medycznych. W przejętym zbiorze mogły znaleźć się imiona, nazwiska, numery PESEL, telefony, adresy e-mail, informacje o receptach i notatki dotyczące zdrowia. Nie oznacza to, że każdy z 19 mln rekordów zawierał pełną historię leczenia. Zakres danych różni się między osobami i wciąż jest analizowany. Do popołudnia 13 sierpnia służby nie miały dowodu, że cała baza została publicznie udostępniona lub wystawiona na sprzedaż. Śledztwo CBZC nadzoruje Prokuratura Okręgowa w Warszawie. Zastrzeżenie numeru PESEL ogranicza część ryzyka finansowego, lecz nie cofnie ujawnienia informacji medycznych ani nie zatrzyma spersonalizowanych prób oszustwa.
NA TERAZ
| SKALA | Incydent może dotyczyć blisko 19 mln osób i ponad 2 TB danych. |
| DANE | W zbiorze mogły być PESEL-e, kontakty, recepty, leki i informacje o zdrowiu. |
| STATUS | 13 sierpnia nie było dowodu publicznej publikacji lub sprzedaży całej bazy. |
| ŚLEDZTWO | Sprawę prowadzi CBZC pod nadzorem Prokuratury Okręgowej w Warszawie. |
Co zostało potwierdzone?
Wicepremier Krzysztof Gawkowski potwierdził wyciek danych sięgający blisko 19 mln osób i ponad 2 TB. System MyDr przechowywał informacje związane z wizytami, receptami, lekami i dokumentacją przekazywaną lekarzom. Próbka udostępniona redakcji zawierała także dane identyfikacyjne i kontaktowe. Liczba 19 mln opisuje jednak skalę osób, których dane mogą być objęte incydentem, ale nie oznacza identycznego kompletu informacji o każdym pacjencie. Nie można więc twierdzić, że przestępcy mają pełną historię medyczną co drugiego Polaka. Pewne jest to, że skala jest bezprecedensowa, a ostateczny zakres wymaga analizy rekord po rekordzie.
Źródło wypowiedzi lub danych: PAP / Onet: ustalenia śledztwa
Atak wyszedł na jaw przez próbkę danych
Według informacji ze śledztwa do nieuprawnionego dostępu doszło najpóźniej 6 sierpnia. Osoby podające się za sprawców przesłały serwisowi Zaufana Trzecia Strona próbkę, która zawierała prawdziwe dane. W poniedziałek 10 sierpnia służby podjęły pierwsze działania z urzędu, a 12 sierpnia po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa rząd potwierdził skalę incydentu. 13 sierpnia poinformowano, że postępowanie CBZC nadzoruje Prokuratura Okręgowa w Warszawie. Sam fakt wysłania próbki dziennikarzom nie oznacza, że pełna baza trafiła do publicznego internetu, ale potwierdza, że ktoś spoza systemu miał dostęp do autentycznych rekordów.
PESEL można zastrzec, zdrowia nie można zmienić
Najbardziej namacalne ryzyko tworzy połączenie kilku kategorii danych. Imię, nazwisko i PESEL mogą ułatwiać próby podszywania się pod pacjenta. Numer telefonu i e-mail pozwalają dotrzeć do konkretnej osoby, a wiedza o leku, recepcie lub wizycie sprawia, że fałszywa wiadomość brzmi wiarygodnie. Informacje o zdrowiu są jeszcze bardziej wrażliwe, bo mogą prowadzić do naruszenia prywatności, dyskryminacji, presji lub szantażu. Hasło da się zmienić, kartę zastrzec, lecz danych o przebytym leczeniu nie można wymienić na nowe. Dlatego skutki wycieku mogą pojawiać się długo po zakończeniu technicznego usuwania luki.
Dlaczego jedna firma miała tak wiele rekordów?
MyDr dostarcza placówkom system elektronicznej dokumentacji medycznej. Według rządu z jego oprogramowania korzystało około 12 tys. podmiotów, dlatego pojedynczy incydent u dostawcy mógł objąć pacjentów wielu niezależnych przychodni i gabinetów. Część osób może nawet nie wiedzieć, że ich lekarz używał właśnie tego rozwiązania. Z punktu widzenia RODO MyDr jest w wielu relacjach podmiotem przetwarzającym dane, natomiast administratorami pozostają placówki, które zleciły przetwarzanie. To rozproszenie komplikuje informowanie pacjentów: trzeba ustalić, której placówki, jakiego okresu i jakiej kategorii danych dotyczy każdy fragment wykradzionej bazy.
Najpierw mogą zadzwonić oszuści
Najbardziej prawdopodobnym pierwszym skutkiem są spersonalizowane wiadomości i telefony. Oszuści mogą podawać się za przychodnię, aptekę, NFZ, bank albo policję i przywoływać prawdziwe szczegóły, by zdobyć zaufanie. Celem może być kod BLIK, login do banku, instalacja aplikacji, dopłata do recepty albo potwierdzenie kolejnych danych. Numer PESEL zwiększa też ryzyko prób wyłudzenia pożyczki, choć sam zwykle nie wystarcza do skutecznego zaciągnięcia zobowiązania. Niebezpieczeństwo polega na łączeniu rekordów z innymi wyciekami. Im więcej prawdziwych elementów zna rozmówca, tym łatwiej pomylić przygotowane oszustwo z autentycznym kontaktem placówki.
Nie ma dowodu publicznej sprzedaży bazy
Do popołudnia 13 sierpnia rząd i MyDr nie miały dowodu, że pełny zbiór opublikowano lub wystawiono na sprzedaż. Nie potwierdzono również udziału obcego państwa; śledczy badają wątek przestępczy. Firma twierdzi, że dane objęte incydentem są prawdopodobnie historyczne, z 2024 r. i lat wcześniejszych, oraz że mogą nie dotyczyć wszystkich jej klientów i pacjentów. Zastrzega jednocześnie, że nie potrafi jeszcze potwierdzić dokładnej liczby ani rodzaju ujawnionych informacji. To stanowisko spółki, a nie zakończony audyt. Brak publicznej sprzedaży jest dobrą wiadomością, lecz nie oznacza odzyskania danych ani pewności, że sprawcy nie wykonali kopii.
Kto ma poinformować pacjenta?
UODO przypomniał, że placówki będące administratorami muszą ocenić ryzyko dla swoich pacjentów. Jeżeli stwierdzą naruszenie, powinny zgłosić je organowi w miarę możliwości w ciągu 72 godzin, a przy wysokim ryzyku bez zbędnej zwłoki poinformować osoby, których dane dotyczą. Takie zawiadomienie powinno opisywać rodzaj danych, możliwe skutki i konkretne środki ochrony. Rząd zapowiedział procedurę informowania około 12 tys. placówek, a służby analizują przejęty zbiór. Dopóki zakres nie zostanie przypisany do konkretnych podmiotów, brak wiadomości nie jest gwarancją, że czyichś danych nie ma w bazie. Wiarygodne zawiadomienie nie powinno żądać hasła ani kodu do banku.
Źródło wypowiedzi lub danych: Urząd Ochrony Danych Osobowych
Co zrobić już teraz?
Numer PESEL warto bezpłatnie zastrzec w aplikacji lub serwisie mObywatel albo w urzędzie gminy. Dobrze też włączyć powiadomienia bankowe i alerty o zapytaniach kredytowych, sprawdzić unikalność haseł oraz uruchomić logowanie dwuskładnikowe. Najważniejsza będzie ostrożność wobec telefonów, SMS-ów i e-maili od rzekomej placówki. Nie należy podawać kodów, instalować aplikacji ani przelewać pieniędzy pod presją. Kontakt trzeba przerwać i samodzielnie wybrać oficjalny numer przychodni lub banku. Zastrzeżenie PESEL ogranicza część oszustw finansowych, ale nie chroni tajemnicy medycznej. Dlatego trzeba również śledzić komunikaty swojej placówki, MyDr, UODO i państwowych serwisów bezpieczeństwa.
| NAJKRÓCEJ Wyciek z systemów MyDr może dotyczyć blisko 19 mln osób, lecz nie każdy rekord zawierał taki sam pakiet danych ani pełną historię leczenia. W zbiorze mogły znaleźć się PESEL-e, dane kontaktowe, recepty, informacje o lekach i zdrowiu. 13 sierpnia nie było dowodu publicznej publikacji lub sprzedaży całej bazy, ale sprawcy przekazali autentyczną próbkę. Śledztwo CBZC nadzoruje prokuratura. Placówki muszą ustalić, których pacjentów dotyczy naruszenie, i w razie wysokiego ryzyka ich powiadomić. Już teraz warto zastrzec PESEL, włączyć alerty i szczególnie uważać na wiarygodnie brzmiące telefony oraz wiadomości wykorzystujące prawdziwe dane medyczne. |
