Cyberatak na MyDr: prokuratura bada wyciek danych blisko 19 milionów pacjentów

Sprawa gigantycznego wycieku danych z systemów firmy MyDr nabiera tempa. Prokuratura wszczęła śledztwo, UODO zapowiedział kontrolę, a nowe ustalenia potwierdzają, że w ręce przestępców mogły trafić nie tylko numery PESEL i dane kontaktowe, ale również informacje o stanie zdrowia, receptach i treści notatek z wizyt lekarskich.

Prokuratura: włamanie nie później niż 6 sierpnia

Prokuratura Okręgowa w Warszawie poinformowała o wszczęciu dochodzenia dotyczącego bezprawnego uzyskania i przetwarzania danych z systemów MyDr.

Z ustaleń śledczych wynika, że do przełamania zabezpieczeń mogło dojść nie później niż 6 sierpnia. 10 sierpnia działania w tej sprawie rozpoczęło Centralne Biuro Zwalczania Cyberprzestępczości, a dwa dni później formalnie wszczęto dochodzenie.

Śledczy badają, w jaki sposób doszło do włamania, kto za nim stoi oraz co stało się z przejętymi informacjami.

W bazie recepty, diagnozy i notatki z gabinetów

Prokuratura potwierdziła, że wśród przejętych informacji mogły znajdować się imiona i nazwiska pacjentów, numery PESEL, numery telefonów i adresy e-mail.

Szczególnie poważny jest jednak wyciek danych dotyczących zdrowia. W bazie miały znajdować się informacje o wystawionych receptach, stanie zdrowia pacjentów, a nawet treści notatek z wizyt lekarskich.

Co istotne, część skradzionych danych została faktycznie wyniesiona poza system. Jak podała prokuratura, sprawca przesłał fragment bazy redakcji serwisu Zaufana Trzecia Strona.

Urząd sprawdzi, jak MyDr chronił dane

Sprawą zajmuje się również Urząd Ochrony Danych Osobowych. UODO zapowiedział kontrolę w MyDr, podczas której ma zostać sprawdzone m.in., jakie zabezpieczenia stosowała firma, czy były one regularnie testowane i czy właściwie oceniano ryzyko związane z przetwarzaniem tak wrażliwych informacji.

Placówki medyczne korzystające z systemu zaczęły już zgłaszać naruszenia ochrony danych osobowych.

Firma: część danych sprzed 2024 roku

Firma przekazała, że przejęte informacje mogą w dużej mierze pochodzić z 2024 roku i lat wcześniejszych. Zaznacza również, że incydent nie musi dotyczyć wszystkich placówek korzystających z jej usług ani wszystkich pacjentów.

Nadal nie wiadomo jednak dokładnie, których osób dotyczy wyciek i jaki zakres danych został przejęty w przypadku poszczególnych pacjentów.

Minister cyfryzacji Krzysztof Gawkowski informował wcześniej, że incydent może obejmować dane blisko 19 mln osób, a wielkość wykradzionej bazy ma przekraczać 2 TB.

– Dzisiaj nic nie wskazuje na to, że mieliśmy element spoza granic Polski, który by w tym uczestniczył – powiedział cytowany przez Onet minister Gawkowski. – Mamy jasny cel: złapać osoby, które to zrobiły i zabezpieczyć dane obywateli. I to się dzieje. Już wiemy, gdzie był błąd w oprogramowaniu, jakie elementy zarządzania systemem nie zagrały. One są już uszczelnione. 

Rządowy serwis do sprawdzenia PESEL wciąż nie działa

Państwowy serwis Bezpieczne Dane ma zostać uzupełniony o informacje dotyczące tego cyberataku. W piątek, 14 sierpnia rano dane z MyDr nie były jednak jeszcze dostępne (stan na godz. 8).

Oznacza to, że brak wyniku po sprawdzeniu numeru PESEL, telefonu czy adresu e-mail nie daje na razie pewności, że dana osoba nie znalazła się wśród poszkodowanych.

Do czasu pełnego wyjaśnienia sprawy warto zachować szczególną ostrożność wobec podejrzanych telefonów, SMS-ów i wiadomości e-mail oraz rozważyć zastrzeżenie numeru PESEL.