Wyciek danych z MyDr. Dane nawet 19 mln Polaków mogły trafić w ręce cyberprzestępców

Nawet 19 mln Polaków może być objętych skutkami cyberataku na systemy firmy MyDr. Chodzi o dane związane z opieką medyczną, w tym informacje o pacjentach, receptach i wizytach lekarskich. Służby prowadzą postępowanie, a państwo pracuje nad rozwiązaniem, które pozwoli sprawdzić, czy konkretna osoba znalazła się wśród poszkodowanych.

O sprawie poinformował minister cyfryzacji Krzysztof Gawkowski. Według przekazanych informacji z systemów MyDr mogła zostać wykradziona baza danych o wielkości około 2 terabajtów. Wśród informacji miały znajdować się m.in. numery PESEL, dane dotyczące recept, wizyt lekarskich oraz historii chorób.

Skala incydentu jest duża. Według informacji przekazanych przez ministra może on dotyczyć nawet 19 mln osób.

Firma MyDr zaznacza jednak, że dokładny zakres wycieku nie został jeszcze ustalony. Trwa analiza śledcza, która ma odpowiedzieć na pytanie, jakie dane zostały skopiowane i ilu pacjentów faktycznie dotyczy incydent.

MyDr przekazał, że dane objęte incydentem najprawdopodobniej mają charakter historyczny. Mają pochodzić z 2024 roku oraz wcześniejszych lat.

Spółka podkreśla również, że wyciek nie musi obejmować wszystkich jej klientów ani wszystkich pacjentów korzystających z obsługiwanych placówek.

Na razie nie ma też potwierdzenia, że skradzione informacje zostały publicznie udostępnione lub wystawione na sprzedaż w internecie. Firma deklaruje, że jej partnerzy zajmujący się cyberbezpieczeństwem monitorują podziemną część internetu pod kątem pojawienia się danych.

Ministerstwo Cyfryzacji oraz Centrum e-Zdrowia podkreślają, że incydent dotyczy systemów MyDr, a nie centralnych usług publicznego e-zdrowia.

Oznacza to, że cyberatak nie powinien wpływać na dostęp pacjentów do recept, świadczeń czy usług działających w ramach publicznego systemu ochrony zdrowia. Placówki korzystające z systemu mają nadal funkcjonować normalnie.

MyDr rozpoczął natomiast kontakt z placówkami, które mogły zostać objęte incydentem.

Rząd zapowiedział, że informacje dotyczące wycieku MyDr zostaną wykorzystane w serwisie Bezpieczne Dane. Dzięki temu użytkownicy mają otrzymać możliwość sprawdzenia, czy ich dane znalazły się wśród wykradzionych informacji.

Na razie nie można jednak uzyskać tam takiej informacji. Serwis informuje, że dane z wycieku MyDr nie zostały jeszcze dodane do jego bazy. O uruchomieniu możliwości sprawdzania ma pojawić się osobny komunikat.

Jednym z najważniejszych działań jest zastrzeżenie numeru PESEL. Można to zrobić za pomocą aplikacji mObywatel lub w urzędzie, jeśli ktoś nie korzysta z aplikacji.

Eksperci zalecają również:

• stosowanie różnych, silnych haseł do poszczególnych kont,
• włączenie uwierzytelniania wieloskładnikowego (MFA),
• ostrożność wobec podejrzanych SMS-ów, e-maili i telefonów,
• nieprzekazywanie danych osobowych osobom, których tożsamości nie można potwierdzić,
• regularne sprawdzanie aktywności na kontach internetowych.

Szczególną ostrożność warto zachować wobec wiadomości, które mogą pojawić się w związku z wyciekiem. Cyberprzestępcy mogą próbować wykorzystać informacje o pacjentach do przygotowania bardziej wiarygodnych ataków phishingowych.

Za działania związane z cyberatakiem odpowiadają m.in. służby zajmujące się cyberprzestępczością oraz prokuratura. Minister cyfryzacji przekazał, że na obecnym etapie nic nie wskazuje na udział obcego państwa. Według dotychczasowych ustaleń za atakiem mogą stać cyberprzestępcy nastawieni na uzyskanie korzyści finansowych.

Rząd zapowiedział jednocześnie, że nie zamierza płacić okupu.

Najważniejsze informacje dla pacjentów mają pojawiać się wraz z postępem dochodzenia. Na tym etapie nie wiadomo jeszcze, czy dane konkretnej osoby znalazły się w wykradzionej bazie. Możliwość ich sprawdzenia ma zostać udostępniona w serwisie Bezpieczne Dane po zakończeniu niezbędnych prac i uporządkowaniu informacji.