Afera MyDr. Polacy dostają SMS-y z alarmem o wycieku ich danych!
PESEL i historia chorób każdego z nas mogły trafić w ręce hakerów. Jak sprawdzić wyciek w MyDr i uchronić się przed oszustami?
W sierpniu 2024 roku w Polsce wybuchła jedna z największych afer związanych z cyberbezpieczeństwem. Przestępcy włamali do systemów obsługujących tysiące przychodni i gabinetów lekarskich w całym kraju. Choć Ministerstwo Cyfryzacji szacowało wtedy, że atak może dotyczyć nawet 18,8 mln osób i ponad 12 tys. placówek medycznych, wielu z nas wydało się, że to nas nie dotyczy. Sytuacja zmieniła się drastycznie w ostatnich dniach. Polacy zaczęli masowo otrzymywać oficjalne SMS-y z ostrzeżeniami, że ich dane zostały przejęte, i dla bezpieczeństwa należy zastrzec PESEL.
Wśród zaskoczonych pacjentów znalazł się nasz czytelnik – pan Marek, który wysłał nam zrzut ekranu z ostrzegawczym SMS-em:
„Naruszenie danych w NZOZ MULTI-MEDYK moze obejmowac PESEL, dane o zdrowiu. Ryzyka: kredyt- zastrzez PESEL; bezprawne uzycie danych, oszustwa, gorsze traktowanie- w razie naduzycia mozesz dochodzic ochrony swoich praw wobec sprawcow na podstawie KC. Wiecej: dane @ mydr. pl i pacjent. mydr. pl”.
Nasz czytelnik doskonale znał sprawę wycieku danych, jednak nie spodziewał się, że sam jest także ofiarą tego ataku. Jak nam napisał:
„Wiedziałem o tej aferze, ale myślałem, że nie mam z nią nic wspólnego. Nie miałem pojęcia, że oni tam mają moje dane. Jak do nich dotarły? Nie mam pojęcia!”
Co 36 minut próba wyłudzenia kredytu. Zastrzeż PESEL i chroń swoje dane
Jak dane pacjentów trafiły do systemu MyDr?
Pan Marek jest kompletnie zaskoczony tą sprawą. I nie tylko on. Takie SMS-y dostają tysiące Polaków. Jak to się stało?Warto wyjaśnić, że firma MyDr dostarcza specjalistyczne oprogramowanie dla przychodni i gabinetów lekarskich. Pracownicy rejestracji używają go do zapisywania pacjentów na wizyty, a lekarze prowadzą w nim dokumentację, odnotowują historię leczenia i wystawiają e-recepty.
Oznacza to, że pacjent nie musi mieć żadnego bezpośredniego kontaktu z MyDr. Żadnej wiedzy na temat istnienia tego systemu. Wystarczy raz skorzystać z usług placówki medycznej, która pracuje na tym oprogramowaniu. Nawet w wiele miesięcy wstecz. Wykradzione dane naszego czytelnika pochodziły najprawdopodobniej z kwietnia 2024 roku i wcześniejszego okresu, więc ostrzeżenie może dotyczyć leczenia nawet sprzed wielu lat.
Z punktu widzenia prawa to przychodnie są administratorami danych swoich pacjentów, a MyDr przetwarza informacje na ich zlecenie. Z tego powodu to na placówkach spoczywa obowiązek oceny skutków wycieku i powiadomienia pacjentów o wysokim ryzyku. Samą firmę sprawdza Urząd Ochrony Danych Osobowych (UODO), który zapowiedział kontrolę zabezpieczeń oraz sposobu oceny ryzyka.
Czy z zastrzeżonym PESEL-em można wyjechać za granicę?
Jak sprawdzić swój PESEL w rządowym serwisie?
Otrzymany przez pana Marka SMS ostrzega o zagrożeniu, ale nie wyjaśnia, jakie dokładnie informacje o leczeniu przejęli przestępcy. Sam numer PESEL w wykradzionej bazie nie oznacza automatycznie, że hakerzy poznali pełną historię chorób. O szczegółowy zakres ujawnionych danych pacjenci muszą pytać bezpośrednio w swojej przychodni.
Można już jednak samodzielnie sprawdzić, czy numer identyfikacyjny został skompromitowany. W tym celu należy skorzystać z rządowego serwisu Bezpieczne Dane pod adresem bezpiecznedane.gov.pl. Po zalogowaniu się na stronie można sprawdzić swój PESEL.
Portal nie pokaże jednak przejętych informacji medycznych – te szczegóły musi wyjaśnić placówka.
Rządowy serwis informuje przy tym, że służby dotąd nie stwierdziły upublicznienia danych w sieci, co nie daje jednak pewności, że przestępcy nie wykorzystają ich w celach przestępczych.
Wyciek danych z MyDr może dotyczyć 18,8 mln Polaków
Zastrzeżenie PESEL to podstawa ochrony przed wyłudzeniem
Nasz czytelnik natychmiast zablokował swój PESEL. To znacznie ograniczyło jego nieuprawnione wykorzystanie. Zgodnie z polskimi przepisami banki i firmy pożyczkowe mają obowiązek sprawdzać zastrzeżenie PESEL przed udzieleniem nowego kredytu lub pożyczki. Jeśli mimo zastrzeżenia przekażą pieniądze oszustowi, co do zasady nie mogą potem żądać od poszkodowanego właściciela numeru spłaty długu.
A próby wyłudzeń zdarzają się regularnie. Związek Banków Polskich stale odnotowuje tysiące takich incydentów, w których średnio jedna próba przypada na kilkadziesiąt minut.
Warto pamiętać, że zastrzeżenie PESEL nie działa wstecz, nie unieważnia wcześniejszych umów ani nie zamraża pieniędzy na koncie. Zabezpieczenie numeru jest w pełni bezpłatne i zaczyna działać od razu. Wicepremier i minister cyfryzacji Krzysztof Gawkowski podkreślał, jak prosty jest to krok:
„To podstawowa higiena cyfrowa. Zastrzeżenie numeru PESEL w mObywatelu trwa pięć sekund. Można też pójść do urzędu – w każdym urzędzie gminy w Polsce można zastrzec swój numer PESEL”.
Z zastrzeżonym numerem nadal można normalnie chodzić do lekarza, realizować recepty i wyjechać za granicę. Ale tam, bank podlegający prawu innego państwa nie ma już obowiązku go weryfikować.
Phishing na WhatsApp – wojsko ostrzega przed nową falą ataków. Podejrzane wiadomości także na Signal i Messenger
Phishing – druga fala ataków
Zabezpieczenie numeru PESEL chroni finanse, ale nie zabezpiecza skradzionych danych medycznych. Przestępcy posiadający wiedzę o zdrowiu pacjentów mogą ją wykorzystać do ataków typu phishing, podszywając się pod lekarzy lub rejestrację medyczną. O tym, dlaczego taka wiadomość jest niebezpieczna, mówił Beniamin Szczepankiewicz, analityk zagrożeń z ESET:
„Wiadomość o konieczności potwierdzenia wizyty, dopłacie do badania, recepty czy aktualizacji danych może wyglądać znacznie bardziej przekonująco, jeżeli zawiera prawdziwe informacje o odbiorcy. Dlatego po dużych wyciekach szczególnie niebezpieczna jest ich druga fala – phishing, próby przejęcia kont i wyłudzenia pieniędzy”.
Gdy oszust zna prawdziwe dane, łatwiej wzbudza zaufanie i manipuluje ofiarą, na przykład przesyłając link do fałszywej płatności. Jeśli pacjent wpisze tam dane karty lub hasło do bankowości, może stracić pieniądze z konta, czego zastrzeżenie PESEL nie zablokuje. W przypadku otrzymania podejrzanego SMS-a najlepiej samodzielnie zadzwonić do przychodni pod oficjalny numer.
Źródła: FaktyPlus.pl, Ministerstwo Cyfryzacji, Urząd Ochrony Danych Osobowych, Bezpieczne Dane, Gov.pl, Kodeks cywilny
Leczenie raka prostaty metodą IRE. Nowy zabieg w Szpitalu Carolina
Czytaj więcej
