Wyciek danych prawie 19 mln Polaków! Numery PESEL, maile i dokumentacja zagrożone

Imię, nazwisko, numer PESEL, telefon, adres e-mail, a w części przypadków także informacje o receptach i leczeniu – taki zakres danych mógł znaleźć się w bazach objętych cyberatakiem na systemy firmy MyDr. Skala incydentu jest ogromna, bo według Ministerstwa Cyfryzacji może dotyczyć choćby 18,8 mln osób i ponad 12 tys. placówek medycznych. Od 29 sierpnia każdy może sprawdzić w rządowym serwisie, czy jego numer PESEL znalazł się w zbiorze związanym z wyciekiem.

Fot. Warszawa w Pigułce

To jeden z największych takich incydentów w Polsce

Sprawa zaczęła się na początku sierpnia. Firma MyDr, dostarczająca oprogramowanie między innymi do prowadzenia elektronicznej dokumentacji medycznej, potwierdziła nieuprawniony dostęp do historycznych danych przechowywanych w swoich systemach.

12 sierpnia Ministerstwo Cyfryzacji podało skalę zdarzenia. Incydent może obejmować dane 18,8 mln osób oraz ponad 12 tys. gabinetów i placówek medycznych. Chodzi o dane historyczne – według informacji resortu sięgające okresu do kwietnia 2024 r.

Nie oznacza to jednak, iż w przypadku każdej z 18,8 mln osób cyberprzestępcy uzyskali identyczny zestaw informacji. Zakres danych zależy między innymi od konkretnej placówki i dokumentacji, która była przetwarzana w systemie.

PESEL to tylko początek. W bazach były też dane medyczne

Prokuratura Okręgowa w Warszawie potwierdziła, iż postępowanie obejmuje nieuprawniony dostęp do danych osobowych pacjentów. Wśród informacji przechowywanych w systemie były imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz informacje dotyczące stanu zdrowia.

Prokuratura wymienia między innymi treść notatek z wizyt lekarskich oraz informacje o wystawionych receptach. To właśnie ten element odróżnia incydent MyDr od wielu typowych wycieków obejmujących jedynie adres e-mail lub hasło.

Dane o zdrowiu należą do szczególnych kategorii danych osobowych chronionych przez RODO. Mogą być szczególnie atrakcyjne dla przestępców nie tylko przy próbach kradzieży tożsamości, ale również podczas przygotowywania bardzo wiarygodnych wiadomości phishingowych.

Od 29 sierpnia możesz sprawdzić swój numer PESEL

Przez kilkanaście dni od ujawnienia incydentu trwało ustalanie, które numery PESEL znalazły się w przejętym zbiorze. 18 sierpnia Centralne Biuro Zwalczania Cyberprzestępczości informowało jeszcze, iż na tamtym etapie umieszczanie tych informacji w serwisie Bezpieczne Dane nie było zasadne.

Sytuacja zmieniła się 29 sierpnia. Dane dotyczące incydentu MyDr zostały udostępnione w serwisie bezpiecznedane.gov.pl i użytkownicy mogą zweryfikować, czy ich PESEL znajduje się w zbiorze powiązanym z cyberatakiem.

Do rządowego serwisu można zalogować się dzięki środka identyfikacji elektronicznej, między innymi Profilu Zaufanego, bankowości elektronicznej, e-dowodu lub narzędzi powiązanych z mObywatelem.

Portal nie pokaże jednak pełnej dokumentacji medycznej ani szczegółowej listy wszystkich informacji, które mogły zostać przejęte. Potwierdza przede wszystkim, czy dany numer PESEL znalazł się w zbiorze związanym z incydentem.

Serwis pokazuje PESEL, ale nie powie wszystkiego

Jeżeli po zalogowaniu pojawi się informacja dotycząca MyDr, nie oznacza to automatycznie, iż wszystkie dane medyczne danej osoby zostały wykradzione. Rządowy portal nie posiada szczegółowych informacji o pełnym zakresie danych przypisanych do konkretnego pacjenta.

Taką informację powinien przekazać administrator danych, czyli przychodnia, gabinet lub inny podmiot medyczny korzystający z systemu MyDr. To właśnie placówki są administratorami danych pacjentów, natomiast MyDr pełniło w tym układzie rolę podmiotu przetwarzającego.

UODO przypomina, iż placówka musi przeanalizować ryzyko związane z naruszeniem. o ile może ono powodować wysokie ryzyko dla praw lub wolności pacjenta, administrator ma obowiązek poinformować osobę, której dane dotyczą.

Zastrzeżenie PESEL nie blokuje wszystkich możliwych oszustw

Ministerstwo Zdrowia i UODO zalecają zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel albo w urzędzie gminy. Zastrzeżenie utrudnia między innymi wykorzystanie danych do zawarcia części umów finansowych.

Nie rozwiązuje jednak całego problemu. Numer telefonu, e-mail, dane o lekarzu albo informacje o receptach mogą posłużyć do stworzenia bardzo przekonującego oszustwa.

Przestępca może na przykład podszyć się pod przychodnię, laboratorium, lekarza, NFZ, bank lub urzędnika i wykorzystać prawdziwe dane do zdobycia zaufania rozmówcy. Wiadomość może zawierać imię, nazwisko albo informację o korzystaniu z określonej placówki, a następnie prowadzić do fałszywej strony logowania.

Dlatego po takim wycieku szczególnie podejrzliwie należy traktować SMS-y i e-maile nakłaniające do szybkiego kliknięcia linku, dopłaty, potwierdzenia recepty czy podania kodu BLIK.

Nie doszło do włamania do centralnego systemu e-zdrowia

To ważne rozróżnienie. Ministerstwo Zdrowia i Centrum e-Zdrowia potwierdziły, iż incydent nie dotyczył centralnych usług państwowego systemu e-zdrowia. Nie stwierdzono naruszenia bezpieczeństwa systemu P1 odpowiedzialnego między innymi za e-recepty i e-skierowania.

Cyberatak dotyczył infrastruktury firmy MyDr. Nie przerwał bieżącego dostępu pacjentów do świadczeń medycznych ani możliwości wystawiania recept.

Centrum e-Zdrowia podjęło jednak działania prewencyjne. Wspólnie z MyDr rozpoczęto między innymi stopniową wymianę certyfikatów wykorzystywanych do komunikacji z systemem P1, mimo iż dotychczasowe ustalenia nie wskazują na ich przejęcie lub nieuprawnione wykorzystanie.

UODO wszedł do sprawy. Kontrola obejmie zabezpieczenia MyDr

13 sierpnia Prezes Urzędu Ochrony Danych Osobowych zapowiedział kontrolę spółki. Inspektorzy mają sprawdzić zastosowane środki techniczne i organizacyjne oraz ustalić, czy zabezpieczenia były regularnie testowane wobec zmieniających się zagrożeń.

Kontrola obejmuje również analizę ryzyka. UODO chce ustalić, czy firma prawidłowo identyfikowała możliwe zagrożenia dla tak dużego zbioru danych i czy wyniki tych analiz rzeczywiście przekładały się na konkretne zabezpieczenia.

Osobny obowiązek spoczywa na tysiącach przychodni i gabinetów korzystających z platformy. To one muszą zgłaszać UODO naruszenie, o ile dotyczy ono danych ich pacjentów i spełnia warunki określone w art. 33 RODO.

Śledztwo prowadzone jest w Warszawie

Warszawa pojawia się w tej sprawie nie tylko dlatego, iż mieszkańcy stolicy również mogli korzystać z placówek wykorzystujących system MyDr. To właśnie Prokuratura Okręgowa w Warszawie nadzoruje dochodzenie prowadzone przez warszawski Zarząd Centralnego Biura Zwalczania Cyberprzestępczości.

Według prokuratury nieustalona osoba miała uzyskać nieuprawniony dostęp do systemu nie później niż 6 sierpnia 2026 r., po przełamaniu lub ominięciu zabezpieczeń. Fragment uzyskanych danych został następnie przesłany do redakcji serwisu Zaufana Trzecia Strona.

Postępowanie wszczęto 12 sierpnia, a pierwsze czynności CBZC podjęło 10 sierpnia. Sprawa prowadzona jest między innymi pod kątem art. 267 Kodeksu karnego oraz przepisów ustawy o ochronie danych osobowych. Czyn objęty postępowaniem jest zagrożony karą do 3 lat pozbawienia wolności.

Nie ma w tej chwili publicznych danych pozwalających określić, ilu poszkodowanych mieszka w Warszawie albo ile dokładnie stołecznych przychodni znalazło się wśród ponad 12 tys. podmiotów. Takiej liczby nie należy więc szacować na podstawie ogólnopolskiej skali wycieku.

Nie czekaj na podejrzany SMS, żeby zareagować

Informacja, iż PESEL znajduje się w zbiorze związanym z incydentem, nie oznacza, iż ktoś już wykorzystał dane do oszustwa. Najważniejsze jest ograniczenie ryzyka, zanim do takiej próby dojdzie.

Oprócz zastrzeżenia PESEL warto przejrzeć historię jego użycia w aplikacji mObywatel, obserwować rachunki bankowe i reagować na nietypowe powiadomienia o logowaniu. Do każdego serwisu należy stosować inne hasło, a tam, gdzie to możliwe, włączyć uwierzytelnianie wieloskładnikowe.

Szczególną ostrożność należy zachować przy kontaktach nawiązujących do zdrowia. o ile ktoś telefonicznie przedstawia się jako pracownik przychodni i prosi o kod SMS, dane karty lub logowanie do banku, trzeba zakończyć rozmowę i samodzielnie zadzwonić na oficjalny numer placówki.