Zastrzeżenie PESEL trwa kilka sekund. Po wycieku z MyDr nie ma na co czekać

Oprogramowanie spółki MyDr, wykorzystywane w 12 tys. polskich przychodni, uległo rekordowemu włamaniu. Złodzieje skopiowali ponad 2 terabajty poufnych plików, które zawierają dane pacjentów, terminy wizyt, e-recepty oraz spisy przepisywanych leków.

Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości. Wicepremier Krzysztof Gawkowski, który potwierdził wyciek danych 19 mln Polaków, poinformował o powołaniu specjalnego sztabu we współpracy z ministrem Tomaszem Siemoniakiem i szefem UODO Mirosławem Wróblewskim. Placówki medyczne funkcjonują na ten moment bez problemu.

Najprostszym zabezpieczeniem w takich sytuacjach pozostaje zastrzeżenie numeru PESEL. Zaleca to też samo Ministerstwo Cyfryzacji. Blokada sprawia, że oszuści nie mogą zaciągnąć na nasze nazwisko kredytu, zrobić zakupów na raty ani wyrobić zapasowej karty SIM. Od 1 czerwca 2024 roku banki mają obowiązek sprawdzenia rejestru przed zgodą na pożyczkę.

Cały proces potrwa zaledwie chwilę. Możemy to zrobić w aplikacji mObywatel, a także na komputerze przez stronę mObywatel.gov.pl (logujemy się tam profilem zaufanym lub przez bank).

Można też złożyć papierowy wniosek w dowolnym urzędzie gminy, by także zastrzec numer od ręki. Usługa jest bezpłatna i działa od razu. Jeśli jesteśmy opiekunem prawnym, kuratorem lub pełnomocnikiem, możemy zrobić to w imieniu naszego podopiecznego lub innej osoby.

Zabezpieczenie nie blokuje dostępu do usług medycznych, załatwiania spraw urzędowych czy udziału w wyborach. Ściągnięcie ograniczeń następuje w parę sekund za pośrednictwem tej samej apki i strony. Takie odblokowanie przydaje się podczas wizyty u notariusza lub wypłacania w banku większej gotówki. Zaraz po transakcji można ponownie aktywować ochronę.

Rząd dysponuje narzędziem Bezpieczne Dane, które informuje ofiary o wyciekach. Na razie jednak nie może jeszcze sprawdzić, czy nasze informacje zostały przejęte. "Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu" – czytamy na stronie bezpiecznedane.gov.pl.

Minister Gawkowski zapewnił, że wdrożono już procedurę przeniesienia plików skradzionych MyDr do tego systemu. Obecnie jednak nikt poza przestępcami nie dysponuje pełnym archiwum. Włamywacze udostępnili dotąd niewielkie fragmenty pokazujące rekordy sprzed 2024 roku.

Serwis zaufanatrzeciastrona.pl tłumaczy dokładnie przyczyny opóźnienia w udostępnieniu bazy pacjentom. Główną przeszkodą pozostają twarde zasady RODO. Operator oprogramowania po prostu nie ma prawa wysłać bazy do NASK. "Firma danych przekazać nie może, prezes UODO nie pozwoli a nikt mu nie każe pozwolić" – wyjaśnia portal.

Przekazanie dostępu będzie wymagało specjalnych działań operacyjnych. Pliki musi najpierw oficjalnie zabezpieczyć prokuratura na podstawie Kodeksu postępowania karnego. Dopiero po włączeniu tych akt do śledztwa sprawdzimy swoje nazwiska w systemie. To może jednak trochę potrwać...

Specjaliści od zabezpieczeń opisali już potencjalne finały tego masowego ataku. Czarny scenariusz zakłada, że hakerzy sfrustrowani brakiem okupu wystawią archiwum na sprzedaż.

"Kupi je ktoś, kto źle życzy w Polsce i zacznie się zabawa w analizowanie, kto jest w bazie i jakie tabletki przyjmował" – analizuje Adam Haertle na łamach zaufanatrzeciastrona.pl. Sytuacja ta pozwala na np. szantażowanie polityków, którzy np. zataili epizody leczenia psychiatrycznego.

Dużo jednak wskazuje, że sprawa skończy się szybko i z happy endem. Złodzieje z pewnością obawiają się śledztwa organów ścigania i nagłośnienia sprawy. "Jeśli wierzyć ostatnim wieściom od złodziei sprzed paru dni, to dane leżą zaszyfrowane na jakimś dysku offline, a sami włamywacze przyczaili się, by przeczekać sztorm rozpętany w mediach przez premiera" – relacjonuje zaufanatrzeciastrona.pl.

Minister Gawkowski na konferencji odrzucił wersję o ataku z udziałem obcych wywiadów. Zebrane dowody wskazują na to, że hakerzy standardowo wykradli te dane, by sobie zarobić. Służby już tropią cyfrowe ślady włamywaczy, by ustalić z kim mamy do czynienia.

Spółka MyDr na swojej stronie potwierdza, że padła ofiarą celowego działania przestępczego z zewnątrz. "Dane objęte incydentem najprawdopodobniej mają charakter historyczny - pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów" – czytamy.

Firma zapewnia jednocześnie, że jej "systemy są już w pełni operacyjne" i bezpieczne dla wszystkich użytkowników. Zewnętrzni eksperci od cyberbezpieczeństwa ciągle monitorują dark web. Na ten moment nie znaleźli dowodów na to, by dane z MyDr zostały udostępnione publicznie.

Placówki medyczne nie muszą obecnie podejmować żadnych dodatkowych kroków. Operator zapowiada bezpośredni kontakt z poszkodowanymi gabinetami, gdy tylko śledczy ustalą, co dokładnie wyciekło. Dochodzenie służb wciąż trwa, a firma przeprasza pacjentów za "niepokój, który ten incydent mógł wywołać".