Cyberatak na MyDr. Numery PESEL można już sprawdzić

Polacy mogą już sprawdzić, czy ich numer PESEL znalazł się wśród danych przejętych po cyberataku na firmę MyDr. Link do miejsca gdzie można zrobić jest na końcu artykułu. Chodzi o ogromny incydent obejmujący informacje dotyczące 19 mln osób i 12 tys. podmiotów medycznych. Sam rządowy serwis nie pokaże jednak, jakie dokładnie informacje o pacjencie wyciekły. Po te dane trzeba zwrócić się do przychodni albo gabinetu lekarskiego.

PESEL można już sprawdzić

Informacja o tym, czy konkretny numer PESEL znalazł się w wycieku, została udostępniona w serwisie bezpiecznedane.gov.pl. Logowanie jest możliwe m.in. przez aplikację mObywatel, bankowość elektroniczną, e-dowód lub profil zaufany.

Sprawa dotyczy cyberataku na MyDr, firmę dostarczającą placówkom medycznym system służący m.in. do prowadzenia elektronicznej dokumentacji medycznej.

Ministerstwo Cyfryzacji informowało w sierpniu, że incydent objął dane 19 mln Polaków. Wśród przejętych informacji znajdowały się m.in. dane dotyczące leków i recept. Dane pochodziły z 12 tys. podmiotów medycznych korzystających z platformy.

Skala jest więc bardzo duża. Nie podano przy tym, jaki proc. wszystkich osób korzystających z usług tych placówek stanowią pacjenci, których PESEL znalazł się w przejętej bazie.

Czytaj też: Wyciek danych medycznych z MyDr. Co dokładnie mogło trafić do sprawców?

Nie stwierdzono publikacji całej bazy

Administratorzy rządowego serwisu podkreślają, że samo przełamanie zabezpieczeń MyDr zostało potwierdzone. Jak dotąd służby nie stwierdziły jednak publicznego udostępnienia przejętych danych.

Państwo zdecydowało się mimo to przekazać obywatelom informację o numerach PESEL, które znalazły się w wycieku. Ma to charakter prewencyjny.

To ważne rozróżnienie. Informacja widoczna w serwisie pozwala ustalić, czy PESEL został objęty incydentem, ale nie daje pacjentowi pełnego obrazu tego, co mogło zostać przejęte.

Po szczegóły do przychodni

Jeżeli ktoś chce dowiedzieć się, jaki dokładnie zakres jego informacji znalazł się w wycieku, sam portal nie wystarczy.

Szczegółów może udzielić administrator danych – przykładowo przychodnia lub gabinet lekarski, z którego usług korzystał pacjent. Informacje dotyczące rodzaju przejętych danych nie są przechowywane w serwisie bezpiecznedane.gov.pl.

Dla zwykłego pacjenta oznacza to więc dwa kroki. Najpierw może sprawdzić swój PESEL w rządowym systemie. Jeżeli okaże się, że numer znalazł się w wycieku, dokładniejszej informacji musi szukać już bezpośrednio w placówce medycznej.

Sprawą zajmuje się prokuratura

Dochodzenie dotyczące ataku prowadzi Centralne Biuro Zwalczania Cyberprzestępczości. Postępowanie nadzoruje Prokuratura Okręgowa w Warszawie.

Śledczy badają uzyskanie dostępu do systemu informatycznego MyDr i informacji przechowywanych na serwerach spółki przez nieustaloną oraz nieuprawnioną osobę. Z przekazanych informacji wynika, że sprawca miał wcześniej przełamać albo ominąć zabezpieczenia.

Następnie część uzyskanych materiałów została ujawniona innym osobom poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”.

Za taki czyn grozi do 3 lat więzienia.

Czytaj też: DRMG potwierdza wyciek danych z przetargu tramwajowego

Resort zaleca zastrzeżenie PESEL

Ministerstwo Zdrowia przypomina przy okazji incydentu o podstawowych zasadach cyberbezpieczeństwa. Wśród zaleceń znalazło się zastrzeżenie numeru PESEL, na przykład w aplikacji mObywatel.

Resort wskazuje także na używanie silnych i różnych haseł do poszczególnych usług, stosowanie uwierzytelniania wieloskładnikowego oraz ostrożność wobec e-maili, SMS-ów i telefonów nakłaniających do przekazywania danych.

Sprawa MyDr może mieć również dalszy ciąg prawny. Wiceminister cyfryzacji Dariusz Standerski zapowiedział zmiany legislacyjne zmierzające do zaostrzenia odpowiedzialności podmiotów przetwarzających dane medyczne. Ministerstwo ma przedstawić swoje propozycje w tym tygodniu.

Kontrolę w MyDr zapowiedział również Urząd Ochrony Danych Osobowych. UODO ma przyjrzeć się zastosowanym w spółce środkom technicznym i organizacyjnym, w tym przeprowadzonej analizie ryzyka.