Wyciek z systemów firmy MyDr może obejmować dane niemal 19 mln osób i ponad 2 TB informacji – potwierdził 12 sierpnia minister cyfryzacji Krzysztof Gawkowski. Incydent dotyczy infrastruktury prywatnego dostawcy oprogramowania medycznego wykorzystywanego przez około 12 tys. placówek. Nie ma dowodów, że naruszone zostały centralne systemy NFZ, Internetowe Konto Pacjenta lub Platforma P1. Nadal nie wiadomo też, jaka część przejętych danych zawiera informacje o leczeniu konkretnych pacjentów.
Niemal 19 mln osób w danych MyDr
Według ministra cyfryzacji skala incydentu może obejmować blisko 19 mln osób, ponad 2 TB danych i około 12 tys. placówek medycznych korzystających z rozwiązań MyDr.
Domniemani sprawcy podają bardziej szczegółowe dane. Twierdzą, że uzyskali 18 814 422 unikatowe numery PESEL i około 2,5 TB informacji. Te liczby nie zostały jednak w całości niezależnie potwierdzone.
Część próbek przekazanych dziennikarzom udało się zweryfikować. Zawierały m.in. poprawne numery PESEL, imiona i nazwiska, daty urodzenia, numery telefonów oraz region NFZ. Pokazano także numery recept przypisane do jednej z osób.
Gdyby liczba 18,8 mln unikatowych numerów PESEL okazała się prawdziwa, odpowiadałaby około 50,5 proc. obecnej ludności Polski, szacowanej przez GUS na 37,243 mln osób. Nie oznacza to jednak, że wszystkie rekordy dotyczą osób obecnie żyjących ani że każdej z nich wykradziono pełną dokumentację medyczną.
Czytaj też: DRMG potwierdza wyciek danych z przetargu tramwajowego
PESEL, recepty i dane o wizytach – Wyciek danych medycznych z MyDr
Resort cyfryzacji informuje, że chodzi o historyczne dane gabinetów sięgające do kwietnia 2024 r. W przejętym zbiorze mogły znajdować się dane identyfikacyjne, informacje o wizytach, receptach, przepisywanych lekach oraz dokumentach przedstawianych lekarzowi.
Możliwe jest również występowanie rozpoznań, opisów wizyt czy danych dotyczących historii chorób. Nie wiadomo jednak, ilu osób takie informacje dotyczą ani jak kompletne są poszczególne rekordy. Nie potwierdzono masowego przejęcia wyników badań.
Nie ma również publicznego potwierdzenia wycieku haseł pacjentów lub lekarzy, danych kart płatniczych czy numerów rachunków bankowych.
Najważniejsze rozróżnienie jest więc takie: zbiór może zawierać dane identyfikacyjne niemal 19 mln osób, a w części przypadków również informacje o wizytach, receptach i leczeniu. Nie ma podstaw, by twierdzić, że wyciekły pełne historie chorób wszystkich tych osób.
Sprawcy pokazali próbki
Materiały przekazane przez domniemanych włamywaczy znacząco uwiarygodniły sam fakt naruszenia.
Według opisów Zaufanej Trzeciej Strony i „Gazety Lekarskiej” sprawcy pokazali dane jednego z czołowych polityków – imię, nazwisko, datę urodzenia, PESEL i dwa numery telefonów. Przekazali też listę 25 numerów recept, które miały być przypisane do tej osoby.
Zaprezentowali również dane autora publikacji Zaufanej Trzeciej Strony, w tym poprawny PESEL i region NFZ, zrzuty z wewnętrznych systemów Jira i HubSpot CRM, możliwość wysłania SMS-a z konta MyDr w SMSAPI oraz wewnętrzną korespondencję i informacje o pracownikach.
Do prezesa firmy miała trafić wiadomość zawierająca żądanie pieniędzy, przedstawione jako „oferta zakupu wyników audytu bezpieczeństwa”. To potwierdza, że sprawcy dysponowali materiałami pochodzącymi z otoczenia MyDr. Nie pozwala jednak niezależnie potwierdzić, że przejęli cały deklarowany zbiór o wielkości około 2,5 TB.
Nie zaatakowano centralnych systemów państwa
Z dotychczasowych informacji wynika, że celem była infrastruktura MyDr, a nie centralna baza NFZ, IKP czy państwowa Platforma P1. Docplanner, właściciel MyDr i serwisu ZnanyLekarz, przekazał ponadto, że oba systemy są rozdzielone. Łączy je jedynie ograniczona integracja związana z rezerwacją wizyt.
Minister cyfryzacji poinformował, że systemy zostały zabezpieczone. Placówki mają działać normalnie, a incydent nie zakłócił wystawiania recept ani udzielania świadczeń.
Dla pacjenta oznacza to, że sam wyciek nie powinien obecnie blokować wizyty, e-recepty czy obsługi w przychodni. Problem dotyczy przede wszystkim poufności danych, które mogły znaleźć się poza kontrolą placówek i ich dostawcy.
Jak mogło dojść do włamania
Domniemani sprawcy twierdzą, że wykorzystali problem związany z obsługą certyfikatów, następnie uzyskali dostęp do kodu źródłowego, a później do zasobów MyDr działających w chmurze AWS.
Na razie jest to wyłącznie wersja samych włamywaczy.
Nie opublikowano niezależnego raportu technicznego, który potwierdzałby sposób uzyskania dostępu. Nie ma też podstaw do twierdzenia, że przełamano zabezpieczenia samej chmury AWS. Nawet jeśli relacja sprawców okaże się prawdziwa, mogło chodzić o przejęcie kont, kluczy lub konfiguracji używanych przez MyDr.
Firma poinformowała, że analizuje sposób dostępu, chronologię zdarzeń, działanie systemów alarmowych oraz możliwy zakres incydentu. Szczegółów technicznych jeszcze nie ujawniono.
Nie wiadomo, kto stoi za atakiem
Sprawcy nie zostali ustaleni. Krzysztof Gawkowski powiedział, że nic nie wskazuje obecnie na operację Rosji ani innego państwa.
Nie oznacza to jednak, że potwierdzono udział osoby z wewnątrz firmy. Publicznie nie przedstawiono dowodów pozwalających przesądzić, kto odpowiada za włamanie.
Brakuje także potwierdzenia, że cały zbiór został opublikowany, sprzedany lub udostępniony w darknecie. Potwierdzony jest nieuprawniony dostęp i wyniesienie danych. Publicznie pokazano dotąd jedynie próbki.
12 tys. placówek i obowiązek powiadamiania
MyDr dostarcza system Elektronicznej Dokumentacji Medycznej wykorzystywany m.in. do prowadzenia dokumentacji, obsługi wizyt, wystawiania e-recept, e-skierowań i e-zwolnień oraz raportowania zdarzeń medycznych.
Firma podawała wcześniej, że jej rozwiązania obsługują około 3 mln wizyt i 2,7 mln recept miesięcznie. Na własnej stronie informowała o ponad 10 tys. przychodni. Minister cyfryzacji mówi obecnie o około 12 tys. placówek objętych incydentem.
Z punktu widzenia ochrony danych znaczenie ma jeszcze jedna kwestia. UODO wskazuje, że administratorami danych są poszczególne przychodnie i gabinety, natomiast MyDr zasadniczo działa jako podmiot przetwarzający.
Każda placówka powinna więc ocenić ryzyko związane z naruszeniem. Jeżeli stwierdzi naruszenie podlegające zgłoszeniu, powinna poinformować UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia.
Jeżeli ryzyko dla pacjentów jest wysokie, placówka powinna również bez zbędnej zwłoki poinformować osoby, których dane dotyczą, o zakresie incydentu, możliwych konsekwencjach i zalecanych działaniach.
Termin 72 godzin nie jest liczony automatycznie od konferencji ministra. Zaczyna biec od momentu, w którym konkretny administrator stwierdził naruszenie.
Przy około 12 tys. placówek oznacza to konieczność ustalenia przez tysiące odrębnych administratorów, których pacjentów i jakich danych dotyczył incydent.
Na razie nie można sprawdzić swoich danych
Po potwierdzeniu wycieku rząd wskazał serwis Bezpieczne Dane jako miejsce, w którym poszkodowani będą mogli weryfikować swoje informacje. Wieczorem 12 sierpnia strona była czasowo przeciążona.
Według stanu na 13 sierpnia dane z MyDr nie zostały jednak jeszcze dodane do systemu. Pacjent nie może więc obecnie sprawdzić w tym serwisie, czy jego dane znalazły się w przejętym zbiorze.
Do działań po incydencie włączono CERT Polska, Centralne Biuro Zwalczania Cyberprzestępczości, prokuraturę, UODO, Ministerstwo Zdrowia oraz koordynatora służb specjalnych.
Ryzyko nie kończy się na PESEL-u
Ujawnione dane mogą być wykorzystywane m.in. do prób phishingu podszywającego się pod przychodnię, lekarza, NFZ lub wiadomość dotyczącą recepty. Ryzyko obejmuje również próby wyłudzenia kolejnych informacji, kodów SMS czy danych bankowych oraz podszywania się pod pacjenta podczas kontaktu z placówką.
W przypadku ujawnienia bardziej szczegółowych danych medycznych konsekwencje mogą dotyczyć także prywatności i dóbr osobistych. UODO wskazuje w odniesieniu do informacji o zdrowiu m.in. na ryzyko dyskryminacji i ostracyzmu społecznego.
Jednym z zabezpieczeń przed częścią nadużyć tożsamościowych jest zastrzeżenie numeru PESEL. Nie chroni ono jednak przed wykorzystaniem informacji o stanie zdrowia ani przed próbami phishingu.
Na pełny obraz skali incydentu trzeba jeszcze poczekać. Kluczowe pozostają trzy kwestie: ile osób rzeczywiście znajduje się w przejętym zbiorze, ilu pacjentów dotyczą dane medyczne oraz czy cały zestaw został gdziekolwiek dalej rozpowszechniony.
Maciej Naskręt
Obserwuj @MaciejNaskret na X . Twórca portalu WbijamSzpile.pl, doświadczony dziennikarz i komentator życia publicznego, specjalizujący się w analizie miejskich zjawisk i politycznych mechanizmów. Pracował w mediach lokalnych i ogólnopolskich, zarówno publicznych, jak i niezależnych, dzięki czemu doskonale zna kulisy funkcjonowania świata mediów. Łączy rzetelność dziennikarską z wyrazistym, często ironicznym stylem. Nie unika trudnych tematów – przeciwnie, zadaje pytania, których inni wolą nie stawiać.
Nie kończ na jednym tekście
Lokalne newsy, szpile, kulisy i tematy, które często zaczynają się tam, gdzie inni kończą komunikatem prasowym.
