Pacjenci w całej Polsce dostali SMS-y z ostrzeżeniem. Gigantyczny wyciek danych medycznych

Zdjęcie: Pacjenci w całej Polsce dostali SMS-y z ostrzeżeniem. Gigantyczny wyciek danych medycznych / 1788699041494

Placówki medyczne w całym kraju rozpoczęły wysyłkę wiadomości SMS do pacjentów, których dane mogły zostać przejęte w wyniku hakerskiego ataku na system MyDr. Incydent bezpieczeństwa dotyczy systemu do Elektronicznej Dokumentacji Medycznej (EDM) wykorzystywanego przez ponad 12 tysięcy przychodni i gabinetów. Rząd potwierdził, iż zagrożenie może dotyczyć choćby 19 milionów obywateli.

Dlaczego pacjenci otrzymują powiadomienia SMS?

Osoby korzystające z opieki zdrowotnej w placówkach pracujących na systemie MyDr zaczęły otrzymywać oficjalne powiadomienia tekstowe oraz wiadomości e-mail. Jest to efekt działań mających na celu realizację wymagań rozporządzenia RODO. Dostawca systemu udostępnił przychodniom dedykowane narzędzie oraz wzory komunikatów, by umożliwić szybkie poinformowanie osób, których dane znalazły się w naruszonej bazie.

Atak cyberprzestępczy doprowadził do skopiowania z chmury bazy danych pochodzących głównie z okresu do 12 kwietnia 2024 roku (a w odosobnionych przypadkach także danych z anulowanych e-skierowań z późniejszego okresu). Z ostrożności zdecydowano o powiadomieniu bardzo szerokiej grupy pacjentów – choćby takich, co do których istnieje jedynie potencjalne ryzyko wycieku.

W nieuprawnione ręce mogły trafić:

• Numery PESEL,
• Imiona, nazwiska oraz numery telefonów i adresy e-mail,
• Historia leczenia, w tym informacje o e-receptach i skierowaniach.

Oficjalne stanowisko i brak dowodów na publikację w sieci

Prezes firmy MyDr, Piotr Miluski, w oficjalnym oświadczeniu skierowanym do użytkowników przeprosił za zaistniałą sytuację i zapewnił, iż luka w systemie została niezwłocznie zidentyfikowana oraz usunięta.

„Przepraszam każdego pacjenta i każdego naszego użytkownika za niepokój, stres i niepewność. Wiem, iż obawa o swoje dane medyczne to nie jest zwykły stres – to jedne z najbardziej prywatnych informacji, jakie istnieją, a ich bezpieczeństwo traktujemy jako najważniejsze zadanie” – zadeklarował szef spółki.

Zarówno dostawca oprogramowania, jak i rządowy zespół CERT NASK podkreślają, iż na obecnym etapie śledztwa nie stwierdzono, aby skradzione dane zostały publicznie udostępnione lub wystawione na sprzedaż w dark necie. Posiadanie danych przez hakerów nie oznacza automatycznie, iż zostały one rozpowszechnione.

Sprawą zajmują się wyspecjalizowane jednostki, w tym Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) pod nadzorem Prokuratury Okręgowej w Warszawie, a także Urząd Ochrony Danych Osobowych (UODO) i Centrum e-Zdrowia.

Jak sprawdzić, czy Twój PESEL był w przejętej bazie?

W odpowiedzi na skalę zdarzenia Ministerstwo Cyfryzacji wdrożyło dedykowaną usługę weryfikacyjną. Każdy obywatel może samodzielnie zweryfikować status swoich danych na państwowym portalu:

1. Wejdź na stronę bezpiecznedane.gov.pl.
2. Zaloguj się bezpiecznie poprzez mObywatel, Profil Zaufany, bankowość elektroniczną lub e-dowód.
3. Sprawdź, czy Twój numer PESEL znajduje się w zbiorze objętym incydentem MyDr.

Należy pamiętać, iż serwis rządowy pokazuje jedynie obecność numeru PESEL w bazie. o ile chcesz uzyskać dokładne informacje o zakresie przetwarzanych danych medycznych, skontaktuj się ze swoją przychodnią, która jest administratorem Twojej dokumentacji.

Kluczowe kroki chroniące przed oszustwem

Samo wejście w posiadanie numeru PESEL i danych medycznych nie pozwala przestępcom na bezpośrednie wypłacenie środków z konta bankowego, jednak znacząco ułatwia tzw. phishing – czyli podszywanie się pod zaufane instytucje.

Eksperci ds. cyberbezpieczeństwa zalecają podjęcie następujących środków zaradczych:

• Zastrzeżenie numeru PESEL – najszybszą metodą jest skorzystanie z bezpłatnej opcji w aplikacji mObywatel lub zaimplementowanie blokady w urzędzie gminy. Zapobiega to m.in. zaciągnięciu pożyczki przez osoby nieuprawnione.
• Wzmożona czujność przy wiadomościach SMS i telefonach – przestępcy mogą wykorzystać wiedzę o Twoim leczeniu do wyłudzeń (np. fałszywe SMS-y z prośbą o dopłatę do e-recepty lub potwierdzenie płatnej wizyty).
• Zmiana haseł i włączenie 2FA – warto odświeżyć hasła do kont pocztowych oraz serwisów pacjenta i aktywować dwuetapową weryfikację logowania.