Firma MyDr, jeden z głównych dostawców systemów Elektronicznej Dokumentacji Medycznej w Polsce, stała się celem cyberataku. Hakerzy twierdzą, że wykradli 2,5 TB danych, w tym numery PESEL, historię wizyt oraz informacje o receptach należących do ponad 18 milionów Polaków. Wśród poszkodowanych nie zabrakło polityków, a więc jest szansa na to, iż sprawa nie zostanie zamieciona pod dywan. Co prawda przedstawiciele rządu oraz zaatakowana spółka prowadzą szczegółowe śledztwo, niemniej, jak podaje Zaufana Trzecia Strona, skomplikowany status prawny platformy znacząco utrudnia szybkie poinformowanie pacjentów o wycieku. Jeśli więc nie mieliście pojęcia, że wasze dane mogły trafić w niepowołane ręce – cóż, właśnie się tego dowiedzieliście.
Czym jest MyDr i jaka jest skala zagrożenia?
Dla większości pacjentów nazwa MyDr może brzmieć obco, jednak firma odgrywa kluczową rolę w polskim systemie ochrony zdrowia, albowiem jest dostawcą oprogramowania służącego do prowadzenia Elektronicznej Dokumentacji Medycznej (EDM). Z rozwiązań dostarczanych przez spółkę korzystają tysiące lekarzy i prywatnych przychodni w całym kraju. To właśnie za pośrednictwem infrastruktury MyDr pracownicy medyczni wprowadzają dane dotyczące wizyt, rejestrują historię chorób oraz wystawiają e-recepty. Według oficjalnych danych, platforma przetwarza miesięcznie około 3 milionów wizyt i odpowiada za wystawienie 2,7 miliona recept.
Jeśli doniesienia przestępców się potwierdzą, będziemy mieli do czynienia z jednym z największych wycieków danych w historii polskiego internetu. Hakerzy deklarują, że w ich posiadaniu znalazły się unikalne rekordy dotyczące 18 814 422 numerów PESEL.
Dowody włamania
Sprawcy skontaktowali się z redakcją serwisu Zaufana Trzecia Strona, dostarczając szereg materiałów mających uwiarygodnić ich twierdzenia. Przestępcy udostępnili zrzuty ekranu bazy danych zawierające PESEL, datę urodzenia, numery telefonów, historię recept oraz region NFZ jednego z najważniejszych polskich polityków. Wykradziono także pełne dane autora omawianego artykułu ujawniającego sprawę, nie wliczając w to numeru telefonu.
Jakby tego było mało, włamywacze przedstawili dowody na przejęcie kontroli nad firmowymi narządami, w tym systemem do zarządzania projektami Jira oraz platformą HubSpot CRM. Hakerzy wykazali także możliwość wysyłania wiadomości SMS do pracowników MyDr przy użyciu oficjalnego, firmowego konta.
Jako jeden z dowodów przedstawiono również wiadomość wysłaną do prezesa przedsiębiorstwa. Zawarty w niej został plik PDF zawierający m.in. raporty sygnalistów o nieprawidłowościach, dane nowych pracowników oraz fragmenty bazy lekarzy współpracujących z MyDr.
Wiarygodność wycieku
Wiarygodność wycieku została wstępnie zweryfikowana w teście statystycznym. Na prośbę dziennikarzy hakerzy sprawdzili bazę pod kątem czterech losowo wybranych ekspertów z branży – dane dwóch z nich znajdowały się w skradzionym zbiorze. Łącznie na pięć zweryfikowanych osób aż trzy figurują w wycieku. Prawdopodobieństwo incydentu potwierdził również wicepremier i minister cyfryzacji Krzysztof Gawkowski, wskazując, że osoba nieuprawniona najprawdopodobniej uzyskała dostęp do zasobów.
Kim są sprawcy?
Tożsamość sprawców pozostaje tajemnicą. W komunikacji używają języka angielskiego, stosują emotki rodem z Rosji, zaś struktura ich wypowiedzi przypomina tekst przetworzony przez model AI z poleceniem udawania osoby z Azji o średniej znajomości języka. Wiele wskazuje na to, że są to celowe zabiegi mające na celu wprowadzenie śledczych w błąd.
Czy pacjenci mogą sprawdzić, czy ich dane wyciekły?
Obecnie zweryfikowanie, czy dane konkretnej osoby znalazły się w rękach hakerów, jest praktycznie niemożliwe. Wynika to bezpośrednio z konstrukcji prawnych RODO. Spółka MyDr jest w świetle prawa jedynie podmiotem przetwarzającym dane w imieniu lekarzy i placówek medycznych, co komplikuje sprawę.
Pacjenci muszą oczekiwać na zakończenie wewnętrznego śledztwa. Dopiero po ustaleniu pełnego zakresu incydentu MyDr poinformuje konkretne placówki medyczne, a te będą zobowiązane skontaktować się bezpośrednio ze swoimi pacjentami. Należy jednak mieć na uwadze, iż może upłynąć wiele dni, nim się to stanie.
0 komentarzy