Polska może mieć do czynienia z jednym z największych wycieków danych osobowych w swojej historii. Przedstawiciele rządu potwierdzili, że dane dotyczące prawie 19 milionów Polaków mogły zostać ujawnione w związku z systemami firmy MyDr, dostawcy oprogramowania dla placówek medycznych oraz systemów elektronicznej dokumentacji medycznej.
Według wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego skradziona baza ma zawierać ponad 2 TB danych i dotyczyć osób korzystających z różnych form wsparcia medycznego. MyDr działa w sektorze oprogramowania medycznego i współpracuje między innymi z serwisem ZnanyLekarz.
Co się stało
Sprawa stała się publiczna po tym, jak portal Zaufana Trzecia Strona poinformował, że skontaktowali się z nim domniemani sprawcy ataku. Twierdzili oni, że posiadają dane pacjentów z wielu polskich placówek medycznych.
Według ich deklaracji baza miała zawierać 18 814 422 unikatowych numerów PESEL.
Skalę incydentu potwierdzono podczas spotkania Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Wicepremier Gawkowski określił wyciek jako zdarzenie „nadzwyczajne”.
W praktyce oznacza to, że incydent może dotyczyć danych więcej niż co drugiego obywatela Polski.
Dlaczego ten wyciek jest szczególnie groźny
Nie jest to zwykły wyciek imion, numerów telefonów czy adresów e-mail.
Najpoważniejszym elementem jest kontekst medyczny. Według wypowiedzi ekspertów wśród danych mogą znajdować się numery PESEL, dane kontaktowe oraz informacje dotyczące zdrowia.
To szczególnie niebezpieczne, ponieważ dane medyczne mogą zostać wykorzystane nie tylko do oszustw finansowych, ale również do bardziej złożonych ataków, w tym szantażu związanego z chorobami, przyjmowanymi lekami lub prywatnymi informacjami zdrowotnymi.
Zgodnie z RODO dane dotyczące zdrowia należą do szczególnej kategorii danych osobowych i wymagają dodatkowej ochrony.
To właśnie odróżnia ten incydent od wielu innych naruszeń. Hasło można zmienić. Numer telefonu czasem można wymienić. Ale historii leczenia, informacji o chorobach, lekach czy diagnozach nie da się po prostu „zresetować”.
Do czego przestępcy mogą wykorzystać te dane
Jeżeli deklaracje atakujących są prawdziwe, skradzione dane mogą mieć dużą wartość na czarnym rynku przez wiele lat.
Możliwe scenariusze nadużyć obejmują:
- kradzież tożsamości z użyciem numeru PESEL i danych osobowych,
- próby wyłudzenia kredytów lub pożyczek,
- phishing podszywający się pod przychodnie, lekarzy, apteki lub instytucje publiczne,
- fałszywe wiadomości dotyczące recept, wyników badań lub rozliczeń medycznych,
- szantaż z użyciem wrażliwych informacji zdrowotnych,
- telefony socjotechniczne, w których przestępcy znają realne dane osobowe i medyczne ofiary,
- długoterminowe profilowanie osób, których dane wyciekły.
Eksperci ostrzegają, że przestępcy mogą próbować sprzedawać te dane lub wykorzystywać je do oszustw finansowych, szczególnie w instytucjach pożyczkowych o słabszych procedurach weryfikacji.
Reakcja rządu
Rząd zapowiedział uruchomienie specjalnej procedury, która ma pozwolić obywatelom sprawdzić, czy ich dane znalazły się w wycieku.
Informacje mają zostać przeniesione do rządowego serwisu Bezpieczne Dane, gdzie każdy obywatel będzie mógł zweryfikować, czy jego dane pojawiły się w znanych wyciekach.
Wicepremier Gawkowski poinformował również, że systemy zaatakowanej firmy zostały zablokowane, a następnie przywrócone do bezpiecznego i normalnego działania. Rozpoczęto także procedurę informowania lekarzy korzystających z systemu. Według przekazanych informacji chodzi o około 12 tysięcy placówek medycznych.
Co powinni zrobić obywatele
Nawet zanim pojawi się możliwość sprawdzenia danych w serwisie Bezpieczne Dane, warto założyć, że ryzyko może dotyczyć bardzo wielu osób.
Najważniejszym krokiem jest zastrzeżenie numeru PESEL.
Można to zrobić przez aplikację mObywatel, przez stronę mObywatel lub osobiście w urzędzie gminy. Od 1 czerwca 2024 roku banki i instytucje finansowe mają obowiązek sprawdzać rejestr zastrzeżeń PESEL przed udzieleniem kredytu lub pożyczki.
Zalecane działania:
- Zastrzeż PESEL jak najszybciej.
Najlepiej utrzymywać PESEL zastrzeżony na stałe i cofać zastrzeżenie tylko wtedy, gdy faktycznie jest to potrzebne, na przykład podczas procedury bankowej lub notarialnej. - Sprawdź serwis Bezpieczne Dane, gdy dane zostaną dodane.
Korzystaj wyłącznie z oficjalnej strony rządowej. Nie klikaj linków z SMS-ów, maili lub wiadomości od nieznanych nadawców. - Uważaj na phishing i podejrzane telefony.
Przestępcy mogą wykorzystywać prawdziwe dane medyczne lub osobowe, aby brzmieć bardziej wiarygodnie. - Zmień powtarzane hasła.
Szczególnie jeśli używasz tych samych lub podobnych haseł w kilku miejscach. - Włącz uwierzytelnianie dwuskładnikowe.
Dotyczy to zwłaszcza poczty e-mail, bankowości, portali medycznych, chmury i mediów społecznościowych. - Monitoruj aktywność finansową.
Sprawdzaj rachunki bankowe, zapytania kredytowe, rejestry dłużników oraz alerty z aplikacji mObywatel. - Uważaj na fałszywe wiadomości „weryfikacyjne”.
Po dużych wyciekach przestępcy często wysyłają fałszywe powiadomienia podszywające się pod rząd, banki, przychodnie lub firmy cyberbezpieczeństwa.
Dlaczego sektor medyczny musi potraktować ten incydent jako ostrzeżenie
Ten incydent rodzi również poważne pytania dotyczące bezpieczeństwa w sektorze ochrony zdrowia.
Dostawcy oprogramowania medycznego, przychodnie i platformy zdrowotne przetwarzają jedne z najbardziej wrażliwych danych. Muszą zakładać, że atakujący nie szukają wyłącznie pieniędzy, ale również danych tożsamościowych, historii leczenia, recept i relacji pacjent–lekarz.
Firmy technologiczne obsługujące sektor medyczny powinny pilnie przeanalizować:
- kontrolę dostępu i konta uprzywilejowane,
- dostęp do produkcyjnych baz danych,
- bezpieczeństwo kopii zapasowych,
- logowanie i wykrywanie anomalii,
- szyfrowanie wrażliwych danych,
- separację danych między placówkami i klientami,
- dostęp zewnętrznych dostawców,
- procedury reagowania na incydenty,
- minimalizację danych,
- gotowość do informowania o naruszeniach.
W ostatnim czasie w Polsce odnotowano kilka poważnych cyberincydentów dotyczących organizacji medycznych, w tym szpitali, klinik, laboratoriów i placówek rehabilitacyjnych.
Wniosek jest prosty: dane medyczne stały się jednym z najcenniejszych celów dla cyberprzestępców.
Podsumowanie
Incydent związany z MyDr to nie tylko techniczny wyciek danych. To zdarzenie o skali krajowej, które może mieć długotrwałe konsekwencje dla milionów osób.
Jeśli dane prawie 19 milionów Polaków rzeczywiście zostały ujawnione, skutki mogą być odczuwalne przez lata. Numery PESEL, dane kontaktowe i informacje medyczne mogą być wykorzystywane w phishingu, oszustwach finansowych, próbach wyłudzeń, szantażu i kradzieży tożsamości długo po samym ataku.
Dla obywateli najważniejsze jest teraz zastrzeżenie PESEL, obserwowanie oficjalnych komunikatów i zachowanie szczególnej ostrożności wobec podejrzanych wiadomości oraz telefonów.
Systemy przetwarzające dane zdrowotne muszą być chronione jak infrastruktura krytyczna, bo gdy zawodzą, szkody są wyjątkowo osobiste i często niemożliwe do pełnego odwrócenia.
