Baza MyDr wyciekła do sieci. Zagrożenie może jednak czyhać gdzie indziej

– Doszło do poważnego wycieku danych w firmie MyDr, który może obejmować blisko 19 milionów osób korzystających z opieki medycznej. W związku z sytuacją krytyczną zostały natychmiast podjęte działania mające zabezpieczyć dane i wyjaśnić okoliczności incydentu – mówił wczoraj podczas briefingu prasowego minister cyfryzacji Krzysztof Gawkowski.

Według jego stanowiska nic nie wskazuje na atak zewnętrzny, a kradzież danych jest motywowana najprawdopodobniej chęcią uzyskania korzyści finansowych.

Skala wycieku danych jest bezprecedensowa, szczególnie gdy zwrócimy uwagę na to, jakie informacje mogły znaleźć się w rękach przestępców i to, że może on obejmować 19 milionów osób. Sama baza obejmuje ponad 2 TB danych. Są to m.in. adresy e-mail, dane logowania, numery telefonów i numery PESEL. W bazie mogą być także informacje o wizytach, lekach i receptach. Są to informacje niezwykle wrażliwe, do których dostęp może sprzyjać szantażom, phishingowi i kradzieży tożsamości.

Ze względu na charakter przechowywanych przez MyDr danych szczególnie narażone na powyższe mogą być osoby starsze, które częściej korzystają z pomocy medycznej. Firma potwierdziła wyciek w komunikacie, który pojawił się w czwartek rano. MyDr w oświadczeniu umieściło zapis o "danych historycznych". Jako "dane historyczne" firma określa informacje pochodzące z 2024 roku lub lat wcześniejszych. Warto jednak zauważyć, że taką daną historyczną może być równie dobrze PESEL, adres, choroba przewlekła czy numer telefonu. Zapis nie jest więc szczególnie uspokajający. MyDr sugeruje jednak, że "dane objęte incydentem (...) mogą nie obejmować wszystkich klientów ani wszystkich pacjentów".

"Skala wycieku jest katastrofalna. Jak to możliwe, że prywatny procesor zgromadził dane zdrowotne blisko 19 mln ludzi i stał się ogólnokrajowym punktem koncentracji ryzyka, a żaden z systemów nadzoru nie uruchomił wcześniej wymogów, audytu ani mechanizmu monitorowania koncentracji" – zastanawia się dr Łukasz Olejnik, badacz technologii, ekspert z zakresu bezpieczeństwa i prywatności.

Ekspert krytykuje też komunikat UODO głoszący, że to placówki, jako administrator danych, mają przeanalizować ryzyko, zgłosić naruszenie i poinformować o tym pacjentów. Dr Łukasz Olejnik zwraca także uwagę na opóźnienia we wdrażaniu Nowego Krajowego Systemu Cyberbezpieczeństwa. Ustawa w tej sprawie jest w okresie wdrożeniowym, a pierwsze obowiązkowe audyty podmiotów mogą odbywać się dopiero na 3 kwietnia 2028 roku.

"Posłuchajcie rady wicepremiera Gawkowskiego i zastrzeżcie sobie PESEL" – to stanowisko portalu Niebezpiecznik, specjalizującego się w cyberbezpieczeństwie. Eksperci zwracają uwagę, że w Polsce "niestety nic więcej sensownego nie da się zrobić, kiedy wyciekną wasze dane medyczne".

"Jeśli przed kwietniem 2024 byliście u lekarza, to przypomnijcie sobie, u którego. Możecie zapytać go, czy korzystał z systemu MyDr. A jeśli tak, to przypomnijcie sobie, jakie dane mu podawaliście" – rekomendują przedstawiciele portalu.

Podobnego zdania są inne osoby związane z cyberbezpieczeństwem. "Pytacie, co robić w sprawie tego incydentu z MyDr – na ten moment można zastrzec PESEL i wzmożyć czujność względem wiadomości/telefonów – czyli w sumie to, co zwykle" – rekomenduje ekspert i edukator z obszaru cyberbezpieczeństwa, Mateusz Chrobok.

Pakiet danych, który ma być w rękach cyberprzestępców, idealnie sprzyja możliwości wyłudzania dodatkowych informacji (np. danych płatniczych). "Asem w rękawie" jest tu dostęp do numeru PESEL, który podawany jest tylko zaufanym (jak się okazuje, pozornie) podmiotom.

Dalsza część artykułu poniżej.

Wykorzystując te dane w ramach phishingu, np. podszywając się pod urząd lub bank, oszuści są w zupełnie innej pozycji niż w przypadku standardowych ataków. Mogą być znacznie bardziej wiarygodni, jeśli będą identyfikować daną osobę numerem PESEL. Rozmówca może pomyśleć, że ma do czynienia z zaufanym podmiotem (może nawet tym samym centrum zdrowia, któremu udostępnił dane jakiś czas temu).

Incydent jest więc niezwykle poważny, a konieczność przygotowania się na ataki phishingowe dotyczy ogromnej grupy użytkowników usług MyDr. W tym także osób, które niekoniecznie muszą rozumieć pewne zawiłości związane z całym wyciekiem. Osoby bez kompetencji cyfrowych lub podstawowej edukacji z zakresu cyberbezpieczeństwa mogą być szczególnie narażone na konsekwencje phishingu.

Warto więc nie tylko zastrzec numer PESEL (trwa to kilka sekund), ale też być w gotowości na bardzo specyficzne ataki od cyberprzestępców, którzy mogą być szczególnie skuteczni w budowaniu zaufania. W przypadku usług bankowych należy bezwzględnie korzystać z usług weryfikacyjnych i skontrolować, czy telefon faktycznie pochodzi od danego podmiotu (na szczęście dostęp do takich usług w bankowości staje się powoli standardem). Jednocześnie warto przypomnieć – cyberprzestępcy manipulują nazwą nadawcy. Nawet jeśli nasz telefon rozpoznaje nazwę dzwoniącego, niekoniecznie musi to być numer należący do danej firmy.

Obecnie na stronie bezpiecznedane.gov.pl można sprawdzić, czy w innych atakach wyciekły nasze e-maile, numery telefonu lub loginy. Portal wciąż ma pewne problemy z działaniem, użytkownicy licznie zgłaszali trudności z logowaniem. Wygląda jednak na to, że od południa 13 sierpnia sytuacja się poprawiła.

Niestety, jak głosi komunikat na stronie, "Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu. Zostaną udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem". Oznacza to, że wciąż należy czekać na dalsze komunikaty i rozwój sytuacji.