Do poważnego incydentu cyberbezpieczeństwa doszło w systemie MyDr, który jest wykorzystywany przez placówki medyczne do obsługi elektronicznej dokumentacji pacjentów. Według informacji przekazanych przez ministra cyfryzacji Krzysztofa Gawkowskiego wykradziona baza ma około 2 TB i może zawierać dane nawet 19 mln Polaków.
Skala zdarzenia jest szczególnie poważna ze względu na rodzaj informacji znajdujących się w bazie. Mogły zostać przejęte między innymi numery PESEL pacjentów, informacje o wystawionych receptach, szczegóły wizyt lekarskich oraz historia chorób. Są to dane wrażliwe, których ujawnienie może stanowić zagrożenie dla prywatności pacjentów, a także zostać wykorzystane przez cyberprzestępców do prób wyłudzeń lub kradzieży tożsamości.
MyDr jest platformą należącą do grupy ZnanyLekarz i należy do głównych dostawców systemów elektronicznej dokumentacji medycznej w Polsce. Z rozwiązania korzystało około 12 tys. placówek ochrony zdrowia. W systemie przetwarzano informacje dotyczące milionów wizyt lekarskich i recept, dlatego potencjalny zakres wycieku jest bardzo duży.
Sprawą zajęły się już służby. Za działania operacyjne odpowiada Centralne Biuro Zwalczania Cyberprzestępczości, które pozostaje w kontakcie z prokuraturą. Minister cyfryzacji poinformował, że odpowiednie służby zostały postawione w stan gotowości, aby ustalić zakres incydentu, jego przyczyny oraz osoby odpowiedzialne za wykradzenie danych.
Na obecnym etapie nie ma informacji wskazujących, że za atakiem stoi Rosja lub inne państwo. Krzysztof Gawkowski ocenił, że dostępne ustalenia wskazują raczej na działalność cyberprzestępców, których motywacją są korzyści finansowe. Rząd zapowiedział jednocześnie, że nie zamierza płacić sprawcom okupu.
Mimo incydentu placówki ochrony zdrowia mają działać normalnie. Rozpoczęła się również procedura informowania lekarzy i podmiotów, które korzystały z systemu MyDr. Według przekazanych informacji dotyczy to około 12 tys. placówek medycznych.
Wiele osób zastanawia się teraz, jak sprawdzić, czy ich dane znalazły się w wykradzionej bazie. Do tego celu służy rządowy serwis Bezpieczne Dane dostępny pod adresem bezpiecznedane.gov.pl. Problem polega jednak na tym, że dane dotyczące konkretnego incydentu MyDr nie zostały jeszcze dodane do systemu.
Ministerstwo zapowiedziało osobny komunikat w momencie, gdy informacje dotyczące wycieku z MyDr zostaną wprowadzone do serwisu. Dopiero wtedy będzie można sprawdzić, czy konkretna osoba znalazła się wśród osób, których dane zostały przejęte. Samo sprawdzenie danych w serwisie przed dodaniem informacji o tym incydencie nie pozwoli więc obecnie jednoznacznie potwierdzić, czy dane pacjenta wyciekły.
Osoby, których dane zostaną potwierdzone jako objęte wyciekiem, powinny przede wszystkim zastrzec swój numer PESEL. Można zrobić to za pośrednictwem aplikacji mObywatel, a osoby niekorzystające z tej usługi mogą dokonać zastrzeżenia w urzędzie. Warto również zachować szczególną ostrożność wobec podejrzanych SMS-ów, wiadomości e-mail oraz telefonów od osób podających się za pracowników banków, przychodni, urzędów lub innych instytucji.
Ujawnione dane mogą zostać wykorzystane do przygotowania bardziej wiarygodnych prób oszustwa. Cyberprzestępcy posiadający informacje o wizytach lekarskich czy receptach mogą próbować wzbudzić zaufanie ofiary, dlatego nie należy przekazywać przez telefon ani internet danych logowania, kodów SMS, danych karty płatniczej czy innych informacji umożliwiających dostęp do kont.
Na ten moment najważniejsze jest oczekiwanie na oficjalny komunikat dotyczący uruchomienia możliwości sprawdzenia danych związanych z incydentem MyDr. Gdy informacje zostaną dodane do rządowego systemu Bezpieczne Dane, każdy będzie mógł zweryfikować, czy jego dane znalazły się wśród informacji objętych wyciekiem.