Cyberatak na firmę MyDr doprowadził do wycieku ogromnego zbioru danych pacjentów. Według informacji przekazywanych przez Ministerstwo Cyfryzacji incydent może dotyczyć nawet 19 mln Polaków. Wśród przejętych informacji znajdują się nie tylko dane identyfikacyjne, ale również szczególnie wrażliwe dane dotyczące zdrowia, recept i przyjmowanych leków. Sprawę bada Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie.
Prokuratura Okręgowa w Warszawie poinformowała o nadzorowaniu postępowania prowadzonego przez Centralne Biuro Zwalczania Cyberprzestępczości. Śledztwo dotyczy uzyskania przez nieustaloną osobę dostępu do systemu informatycznego MyDr bez odpowiednich uprawnień. Według przekazanych informacji miało dojść do przełamania lub ominięcia zabezpieczeń systemu.
Dochodzenie zostało wszczęte przez CBZC, jednak służby na tym etapie nie ujawniają szczegółów dotyczących planowanych czynności ani dotychczasowych ustaleń. Wynika to z dobra prowadzonego postępowania przygotowawczego.
To ważny moment, ponieważ skala incydentu jest wyjątkowo duża. Według dostępnych informacji wyciek może obejmować dane niemal 19 mln osób.
Jakie dane mogły zostać przejęte?
Największe obawy budzi nie tylko liczba potencjalnie poszkodowanych, lecz także charakter informacji znajdujących się w przejętym zbiorze.
Wśród danych wymieniane są m.in. imiona i nazwiska, numery PESEL, numery telefonów oraz adresy poczty elektronicznej. Szczególnie istotne są jednak informacje medyczne: dane dotyczące chorób, diagnoz, wizyt lekarskich, leków oraz wystawianych recept.
Według wcześniejszych informacji wykradziona baza miała mieć ponad 2 TB. Dane pochodziły z elektronicznego systemu obsługi pacjentów MyDr, wykorzystywanego przez placówki ochrony zdrowia.
W praktyce oznacza to, że potencjalny wyciek nie ogranicza się do informacji, które można uznać za standardowe dane kontaktowe. Połączenie PESEL-u z informacjami o zdrowiu, leczeniu czy receptach znacząco zwiększa potencjalne konsekwencje incydentu.
MyDr: system wykorzystywany przez placówki medyczne
MyDr jest platformą należącą do grupy ZnanyLekarz i dostawcą systemu elektronicznej dokumentacji medycznej dla placówek ochrony zdrowia. Z rozwiązania korzystają zarówno indywidualne praktyki lekarskie, jak i przychodnie oraz centra medyczne.
Skala działalności systemu pokazuje, dlaczego cyberatak może mieć tak poważne konsekwencje. Według informacji zawartych w materiale platforma obsługiwała około 3 mln wizyt miesięcznie, a lekarze wystawiali za jej pośrednictwem około 2,7 mln recept każdego miesiąca.
Firma zaznacza jednocześnie, że informacje objęte incydentem najprawdopodobniej mają charakter historyczny. Mają pochodzić z 2024 r. i wcześniejszych lat. MyDr zastrzega jednak, że na obecnym etapie nie jest w stanie precyzyjnie określić pełnego zakresu wycieku ani wskazać wszystkich potencjalnie objętych nim klientów i pacjentów.
Czy dane zostały już opublikowane?
Na tym etapie nie ma informacji, aby skradzione dane zostały publicznie udostępnione lub wystawione na sprzedaż. Wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał, że służby monitorują sytuację i nie stwierdzono, aby dane pojawiły się w przestrzeni publicznej.
Według premiera Donalda Tuska motywacja stojąca za atakiem może mieć charakter kryminalny. Premier wskazywał na możliwość próby uzyskania okupu od firmy. Jednocześnie podkreślił, że śledztwo trwa, a zastosowane przez sprawców metody były wyrafinowane.
To jednak nie oznacza, że problem można uznać za zakończony. W przypadku tak dużego zbioru danych kluczowe będzie ustalenie, jakie dokładnie informacje zostały skopiowane oraz czy i w jaki sposób mogą zostać wykorzystane w przyszłości.
Jak sprawdzić, czy nasze dane znalazły się w wycieku?
Ministerstwo Cyfryzacji zapowiedziało przygotowanie rozwiązania pozwalającego obywatelom sprawdzić, czy ich dane znalazły się w przejętym zbiorze. Informacje mają zostać zebrane i przeanalizowane, a następnie udostępnione za pośrednictwem rządowego serwisu Bezpieczne Dane.
W momencie opisywanym w materiale taka weryfikacja nie była jeszcze możliwa. Rząd zapowiadał osobny komunikat po dodaniu informacji dotyczących incydentu MyDr do systemu.
To oznacza, że osoby, które obawiają się o swoje dane, powinny korzystać przede wszystkim z oficjalnych komunikatów Ministerstwa Cyfryzacji i służb, a nie z przypadkowych stron internetowych oferujących rzekomą możliwość sprawdzenia wycieku.
Co zrobić, jeśli nasze dane mogły zostać przejęte?
Jednym z najważniejszych działań, które można podjąć już teraz, jest zastrzeżenie numeru PESEL. Minister cyfryzacji apelował o wykonanie takiego kroku. Można to zrobić za pośrednictwem aplikacji mObywatel, a osoby, które nie korzystają z tej usługi, mogą dokonać zastrzeżenia w odpowiednim urzędzie.
Warto również zachować szczególną ostrożność wobec wiadomości SMS, e-maili i telefonów, które mogą wykorzystywać informacje o zdrowiu lub leczeniu do uwiarygodnienia próby oszustwa. Sam fakt, że dane nie zostały obecnie publicznie udostępnione, nie oznacza bowiem, że ryzyko można całkowicie wykluczyć.
To nie jest już tylko problem jednej firmy
Cyberatak na MyDr pokazuje, jak dużym wyzwaniem staje się bezpieczeństwo danych w systemach ochrony zdrowia. Placówki medyczne coraz szerzej korzystają z cyfrowych systemów dokumentacji, a wraz z tym rośnie znaczenie zabezpieczeń infrastruktury, w której przechowywane są informacje o pacjentach.
W tym przypadku szczególnie niepokojące jest połączenie ogromnej skali incydentu z wyjątkową wrażliwością danych. Numer PESEL, dane kontaktowe i informacje medyczne znajdujące się w jednym zbiorze tworzą zestaw, którego potencjalne wykorzystanie może mieć dla poszkodowanych znacznie poważniejsze konsekwencje niż standardowy wyciek adresów e-mail.
I właśnie dlatego sprawa MyDr będzie ważnym testem nie tylko dla samej firmy, lecz także dla państwowego systemu reagowania na cyberincydenty.
Na razie najważniejsze pytania pozostają bez odpowiedzi: jaki jest dokładny zakres wycieku, kto stoi za atakiem i czy skradzione informacje zostaną wykorzystane. Dochodzenie prowadzone przez CBZC pod nadzorem warszawskiej prokuratury ma przynieść odpowiedzi na te pytania.
Czytaj także:
