Wyciek danych z MyDr może dotyczyć 18,8 mln Polaków
UODO skontroluje zabezpieczenia MyDr. Pacjenci powinni zastrzec PESEL oraz uważać na fałszywe SMS-y o wizytach, receptach i dopłatach.
Wyciek danych z MyDr może obejmować informacje dotyczące 18,8 mln osób i ponad 12 tys. placówek medycznych. Cyberprzestępcy uzyskali dostęp do historycznych danych przechowywanych w systemach używanych przez lekarzy i przychodnie. Pacjenci będą mogli sprawdzić swoje numery PESEL w rządowym serwisie Bezpieczne Dane. Baza MyDr nie została jednak jeszcze dodana do wyszukiwarki.
Ministerstwo Cyfryzacji potwierdziło wyciek danych z MyDr
MyDr dostarcza lekarzom, gabinetom i przychodniom oprogramowanie do prowadzenia elektronicznej dokumentacji medycznej. Pacjent nie musiał sam zakładać konta w MyDr, aby jego dane znalazły się w systemie. Wystarczyło, że korzystał z placówki używającej tego oprogramowania.
Ministerstwo Cyfryzacji poinformowało 12 sierpnia, że firma potwierdziła nieuprawniony dostęp do danych historycznych z kwietnia 2024 roku i wcześniejszego okresu. Według obecnych szacunków cyberatak może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.
– Z przykrością muszę poinformować, że doszło do nadzwyczajnego wycieku danych sięgającego niemal 19 milionów osób – powiedział wicepremier i minister cyfryzacji Krzysztof Gawkowski po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa.
Sprawą zajmują się Ministerstwo Cyfryzacji, Ministerstwo Zdrowia, służby specjalne, Prokuratura Krajowa, Centralne Biuro Zwalczania Cyberprzestępczości oraz Urząd Ochrony Danych Osobowych.
Jakie dane mogły wyciec z systemów MyDr?
Zaatakowane oprogramowanie służyło do umawiania wizyt, prowadzenia dokumentacji medycznej oraz wystawiania recept. W systemach mogły znajdować się między innymi imiona, nazwiska, numery PESEL, daty urodzenia, numery telefonów oraz informacje dotyczące zdrowia.
Krzysztof Gawkowski mówił również o danych związanych z receptami, lekami, wizytami oraz dokumentami przedstawianymi lekarzom. Nie każdy przejęty numer PESEL musi być połączony z kompletną dokumentacją medyczną. Służby nadal ustalają dokładny zakres skradzionych informacji.
MyDr potwierdziła, że padła ofiarą celowego działania przestępczego. Firma przekazała, że przejęte dane najprawdopodobniej pochodzą z kwietnia 2024 roku i wcześniejszego okresu. Mogą nie obejmować wszystkich placówek korzystających z oprogramowania ani wszystkich ich pacjentów.
Firma poinformowała również, że nie znalazła dotąd dowodów na publiczne udostępnienie skradzionych informacji. Nie ma więc potwierdzenia, że przestępcy opublikowali całą bazę lub sprzedali ją w darknecie. Ryzyko wykorzystania danych może jednak utrzymywać się przez wiele miesięcy.
Minister Gawkowski: AI wykona pracę pięciu urzędników. GUS: zagrożonych jest 4,5 mln Polaków
UODO skontroluje zabezpieczenia systemów MyDr
Urząd Ochrony Danych Osobowych potwierdził, że placówki korzystające z aplikacji MyDr zgłaszają naruszenia ochrony danych osobowych pacjentów. UODO mówi wprost o wycieku informacji dotyczących zdrowia. Urząd nadal ustala pełną skalę incydentu.
Prezes UODO zdecydował o przeprowadzeniu kontroli w spółce MyDr. Kontrolerzy sprawdzą, jak firma chroniła dokumentację medyczną oraz czy regularnie testowała swoje zabezpieczenia.
„Kontrolerzy UODO sprawdzą zastosowane przez spółkę środki techniczne i organizacyjne. Będą ustalać również, czy te zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Przedmiotem kontroli będzie też sprawdzenie, czy analiza ryzyka uwzględniała możliwe zagrożenia dla przetwarzanych danych, a jej wyniki zostały zastosowane w praktyce” – poinformował Urząd Ochrony Danych Osobowych.
UODO zbada zabezpieczenia techniczne, organizację ochrony danych oraz sposób reagowania na zagrożenia. Kontrolerzy ustalą również, czy MyDr prawidłowo oceniała ryzyko cyberataku i wdrażała zabezpieczenia wynikające z tej oceny.
MyDr przetwarzała dane na zlecenie przychodni, gabinetów i innych podmiotów leczniczych. To właśnie te placówki są administratorami danych swoich pacjentów. Każda z nich musi ustalić, czy cyberatak objął powierzone MyDr informacje.
Pilny komunikat Ministerstwa Cyfryzacji: Rosyjscy hakerzy atakują polskie urzędy, instytucje i firmy. Wykorzystują lukę w Wordzie i Excelu
Placówki medyczne muszą powiadomić poszkodowanych pacjentów
Placówki, których dane objął cyberatak, muszą ocenić zagrożenie dla pacjentów. Jeżeli naruszenie może spowodować ryzyko dla ich praw lub wolności, administrator powinien zgłosić je Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia.
Jeżeli wyciek powoduje wysokie ryzyko, placówka musi bez zbędnej zwłoki powiadomić osoby, których dane zostały przejęte. Informacja powinna opisywać zakres naruszenia, jego możliwe skutki oraz działania, które ograniczą niebezpieczeństwo.
UODO podaje, że przejęcie imienia, nazwiska i numeru PESEL może prowadzić do prób wyłudzania pożyczek. Ujawnienie informacji o zdrowiu może natomiast naruszyć prywatność pacjenta, jego dobra osobiste albo narazić go na dyskryminację.
Pacjent może więc otrzymać wiadomość bezpośrednio od przychodni lub gabinetu, który korzystał z MyDr. Warto dokładnie przeczytać takie zawiadomienie, ale przed kliknięciem w jakikolwiek link trzeba potwierdzić jego autentyczność.
Ministerstwo Cyfryzacji ostrzega: cyberprzestępcy podszywają się pod aplikację mObywatel
Cyberatak nie zatrzymał leczenia ani wystawiania recept
Ministerstwo Cyfryzacji zapewnia, że cyberatak nie wpłynął na bieżące funkcjonowanie placówek medycznych. Lekarze nadal mogą przyjmować pacjentów, prowadzić dokumentację i wystawiać recepty.
„Incydent dotyczył wyłącznie danych zawartych w systemach firmy MyDr, bez wpływu na bieżące funkcjonowanie jednostek ochrony zdrowia w zakresie zapewnienia opieki zdrowotnej, w tym wystawiania recept pacjentom” – przekazało Ministerstwo Cyfryzacji.
Pacjenci nie muszą zatem odwoływać wizyt ani obawiać się, że z powodu cyberataku nie zrealizują recepty. Ministerstwo podało również, że dalsze działania prowadzi wspólnie z ministrem koordynatorem służb specjalnych, ministrą zdrowia, UODO, Prokuraturą Krajową oraz Centralnym Biurem Zwalczania Cyberprzestępczości.
Czy mObywatel szpieguje obywateli? Komunikat Ministerstwa Cyfryzacji
Danych z MyDr nie ma jeszcze w serwisie Bezpieczne Dane
Każdy będzie mógł sprawdzić, czy wyciek objął jego informacje, korzystając z rządowego serwisu bezpiecznedane.gov.pl. Strona pozwala zweryfikować między innymi numer PESEL, numer telefonu, adres e-mail i login.
Jednak rano 14 sierpnia baza pochodząca z MyDr nie była jeszcze dostępna w serwisie. Na stronie jest komunikat:
„Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu. Zostaną udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem. O fakcie zasilenia danymi poinformujemy w osobnym komunikacie”.
Ministerstwo Cyfryzacji wyjaśnia, że informacje będą przekazywane etapami. Proces może potrwać kilka dni, ponieważ administratorami danych są poszczególne gabinety i placówki medyczne.
Rosyjskie ataki czasem się udają. Ekspertka UMSC: co wtedy?
Zastrzeżenie numeru PESEL ograniczy ryzyko wyłudzenia
Najważniejszym krokiem po wycieku jest zastrzeżenie numeru PESEL. Można to zrobić bezpłatnie w aplikacji lub serwisie mObywatel, a także osobiście w urzędzie gminy.
Zastrzeżenie utrudnia przestępcom zaciągnięcie kredytu lub pożyczki, założenie rachunku bankowego, uzyskanie duplikatu karty SIM albo wykonanie wybranych czynności notarialnych przy użyciu skradzionych danych. Banki, firmy pożyczkowe, operatorzy telekomunikacyjni i inne zobowiązane podmioty muszą sprawdzać rejestr zastrzeżeń.
Zastrzeżony PESEL nie utrudnia leczenia, realizowania recept, załatwiania spraw urzędowych, głosowania ani podróżowania. Właściciel numeru może czasowo cofnąć zastrzeżenie, gdy zamierza na przykład zaciągnąć kredyt lub zawrzeć umowę wymagającą sprawdzenia rejestru.
– To podstawowa higiena cyfrowa. Zastrzeżenie numeru PESEL w mObywatelu trwa pięć sekund. Można też pójść do urzędu – w każdym urzędzie gminy w Polsce można zastrzec swój numer PESEL – mówił Krzysztof Gawkowski.
Oszuści mogą podszywać się pod lekarzy i przychodnie
Dane medyczne pozwalają przestępcom przygotować wiarygodne wiadomości. Oszust może znać nazwę placówki, dane pacjenta, termin wizyty albo informacje o recepcie. Następnie wyśle SMS z żądaniem niewielkiej dopłaty, potwierdzenia wizyty lub aktualizacji danych.
– Wiadomość o konieczności potwierdzenia wizyty, dopłacie do badania, recepty czy aktualizacji danych może wyglądać znacznie bardziej przekonująco, jeżeli zawiera prawdziwe informacje o odbiorcy. Dlatego po dużych wyciekach szczególnie niebezpieczna jest ich druga fala – phishing, próby przejęcia kont i wyłudzenia pieniędzy – wyjaśnia Beniamin Szczepankiewicz, analityk zagrożeń z ESET.
Nie należy klikać w linki przesyłane w niespodziewanych SMS-ach i e-mailach. Jeśli wiadomość dotyczy wizyty, recepty lub płatności, najlepiej samodzielnie znaleźć numer placówki i potwierdzić informację w rejestracji.
Tusk: Polska obroniła system energetyczny przed cyberatakiem
Sprawdź hasła i włącz dodatkowe zabezpieczenie kont
Oficjalne komunikaty nie potwierdziły wycieku haseł do poczty, bankowości lub serwisów społecznościowych. Warto jednak sprawdzić zabezpieczenia najważniejszych kont.
Każde konto powinno mieć inne hasło. Jeśli jedna kombinacja służy do logowania w kilku miejscach, trzeba ją zmienić. W pierwszej kolejności należy zabezpieczyć skrzynkę e-mail, ponieważ przestępca może wykorzystać ją do odzyskiwania dostępu do innych usług.
Warto również włączyć uwierzytelnianie wieloskładnikowe, najlepiej przez aplikację generującą kody lub klucz bezpieczeństwa. Trzeba też kontrolować historię logowań, operacje bankowe oraz wiadomości wysyłane z kont społecznościowych.
Jeżeli ktoś wykorzysta dane do zawarcia umowy, wyłudzenia pieniędzy albo przejęcia numeru telefonu, poszkodowany powinien natychmiast powiadomić bank, operatora i policję. Kradzież tożsamości można również zgłosić przez gov.pl albo w urzędzie gminy. Takie zgłoszenie uruchamia procedurę unieważnienia dowodu osobistego i zastrzeżenia numeru PESEL.
Źródła: MC, UODO
Iga Świątek wygrała w Toronto. Rybakina bez szans w finale
Działkowcy zapłacą kilka tysięcy złotych za ROD? PZD alarmuje
Czytaj więcej
