Wyciek danych pacjentów z MyDr. Policja ostrzega przed oszustami i phishingiem

Wyciek danych pacjentów. Policja ostrzega przed oszustami

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi pod nadzorem Prokuratury Okręgowej w Warszawie postępowanie dotyczące nieuprawnionego dostępu do systemu firmy MyDr i przechowywanych tam informacji. Najnowszy komunikat policji z wtorku, 18 sierpnia potwierdza, że śledczy nadal ustalają okoliczności oraz skalę zdarzenia, a także próbują zidentyfikować osobę lub osoby za nie odpowiedzialne.

Sprawa jest szczególnie istotna dla pacjentów, bo prokuratura potwierdziła, że postępowanie obejmuje dane osobowe osób korzystających z placówek będących klientami MyDr. Wśród nich są: 

• imiona i nazwiska,
• numery PESEL,
• telefony,
• adresy e-mail,
• informacje dotyczące stanu zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach.

Wyciek danych z MyDr. Śledczy nadal ustalają skalę incydentu

Według Prokuratury Okręgowej w Warszawie, do nieuprawnionego dostępu do danych w MyDr doszło nie później niż 6 sierpnia 2026 roku. Pierwsze czynności CBZC zostały podjęte z urzędu w poniedziałek, 10 sierpnia, a formalne dochodzenie wszczęto w środę, 12 sierpnia. Prokuratura podała również, że część zdobytych informacji została ujawniona poprzez przesłanie wycinka danych do redakcji serwisu Zaufana Trzecia Strona.

Nie ma natomiast podstaw, aby dziś podawać konkretną liczbę pacjentów, których dane na pewno zostały przejęte. Ministerstwo Cyfryzacji informowało 12 sierpnia, że firma potwierdziła nieuprawniony dostęp do danych historycznych – do kwietnia 2024 roku – i że incydent może dotyczyć 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Jednocześnie UODO zaznaczył dzień później, że skala naruszenia nie jest jeszcze w pełni znana. Najnowszy komunikat CBZC również wskazuje, że ustalanie skali zdarzenia nadal trwa.

Oznacza to, że podawanej wcześniej liczby 18,8 mln nie należy traktować jako potwierdzonej liczby osób, których konkretne dane zostały wykradzione.

Czy można sprawdzić, czy PESEL wyciekł z systemu MyDr?

Policja przekazała też ważną informację dla osób próbujących samodzielnie sprawdzić, czy zostały objęte incydentem. Na obecnym etapie numery PESEL pacjentów obsługiwanych przez system MyDr nie są publikowane w serwisie bezpiecznedane.gov.pl. CBZC wyjaśnia, że udostępnienie ich teraz mogłoby utrudnić prowadzone czynności.

UODO zapowiada kontrolę w spółce MyDr

Sprawą zajmuje się również Urząd Ochrony Danych Osobowych. W czwartek, 13 sierpnia prezes UODO zapowiedział kontrolę w spółce MyDr. Urząd chce sprawdzić zastosowane środki techniczne i organizacyjne, ich regularne testowanie oraz to, czy analiza ryzyka uwzględniała zagrożenia dla przetwarzanych danych, a także, czy jej wyniki były stosowane w praktyce.

Kto powinien poinformować pacjentów o wycieku danych?

UODO zwraca uwagę na jeszcze jedną ważną kwestię. Administratorem danych pacjentów są placówki ochrony zdrowia korzystające z usług MyDr. To na administratorach spoczywa obowiązek powiadomienia osób dotkniętych naruszeniem, jeżeli spełnione są przesłanki wymagające takiego zawiadomienia.

Pacjent, który korzystał z przychodni lub gabinetu używającego systemu MyDr, powinien więc zwracać szczególną uwagę na komunikaty otrzymywane bezpośrednio od swojej placówki.

Wyciek danych z MyDr. Co powinien zrobić pacjent?

CBZC ostrzega, że naruszenie poufności danych, również medycznych, może zostać wykorzystane przy kolejnych przestępstwach. Szczególnym zagrożeniem są próby kradzieży tożsamości, wyłudzeń finansowych i phishingu.

Zastrzeż numer PESEL

Policja zaleca przede wszystkim zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, przez serwis Gov.pl albo w urzędzie. 

CBZC wskazuje ten krok jako najskuteczniejszą metodę zabezpieczenia się przed nieuprawnionym zaciąganiem zobowiązań, takich jak kredyty lub pożyczki.

Uważaj na SMS-y, e-maile i podejrzane telefony

Drugim zaleceniem jest wzmożona ostrożność wobec SMS-ów, e-maili i telefonów. Przestępcy mogą podszywać się pod placówkę medyczną, bank albo instytucję państwową i wykorzystywać prawdziwe informacje o danej osobie, aby uwiarygodnić próbę oszustwa. UODO również przestrzega, że zdobyte wcześniej informacje mogą posłużyć do wyłudzenia kolejnych danych lub dostępu do bankowości internetowej i innych usług.

Zmień hasła i włącz uwierzytelnianie dwuskładnikowe

CBZC zaleca też sprawdzenie haseł do portali pacjenta i internetowych kont medycznych. Jeżeli to samo hasło było używane również w innych usługach, należy je zmienić. Policja rekomenduje ponadto włączenie uwierzytelniania dwuskładnikowego, jeśli dana usługa daje taką możliwość.

Gdzie zgłosić próbę oszustwa po wycieku danych?

• Podejrzane SMS-y można przekazywać do CERT Polska pod bezpłatny numer 8080. 

Jeśli doszło już do przestępstwa na szkodę danej osoby, CBZC zaleca zgłoszenie sprawy policji.