Centralne Biuro Zwalczania Cyberprzestępczości prowadzi pod nadzorem Prokuratury Okręgowej w Warszawie postępowanie dotyczące nieuprawnionego dostępu do systemu firmy MyDr i przechowywanych tam informacji. Najnowszy komunikat policji z 18 sierpnia potwierdza, że śledczy nadal ustalają okoliczności i skalę zdarzenia oraz próbują ustalić osobę lub osoby za nie odpowiedzialne.
Sprawa jest szczególnie istotna dla pacjentów, bo prokuratura potwierdziła, że postępowanie obejmuje dane osobowe osób korzystających z placówek będących klientami MyDr. Wśród nich są imiona i nazwiska, numery PESEL, telefony, adresy e-mail, a także informacje dotyczące stanu zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach.
Śledczy nadal ustalają skalę wycieku
Według Prokuratury Okręgowej w Warszawie do nieuprawnionego dostępu doszło nie później niż 6 sierpnia 2026 r. Pierwsze czynności CBZC zostały podjęte z urzędu 10 sierpnia, a formalne dochodzenie wszczęto 12 sierpnia. Prokuratura podała również, że część zdobytych informacji została ujawniona poprzez przesłanie wycinka danych do redakcji serwisu Zaufana Trzecia Strona.
Nie ma natomiast podstaw, aby dziś podawać konkretną liczbę pacjentów, których dane na pewno zostały przejęte. Ministerstwo Cyfryzacji informowało 12 sierpnia, że firma potwierdziła nieuprawniony dostęp do danych historycznych – do kwietnia 2024 r. – i że incydent może dotyczyć 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Jednocześnie UODO zaznaczył dzień później, że skala naruszenia nie jest jeszcze w pełni znana. Najnowszy komunikat CBZC również wskazuje, że ustalanie skali zdarzenia nadal trwa.
Oznacza to, że podawanej wcześniej liczby 18,8 mln nie należy traktować jako potwierdzonej liczby osób, których konkretne dane zostały wykradzione.
Policja przekazała też ważną informację dla osób próbujących samodzielnie sprawdzić, czy zostały objęte incydentem. Na obecnym etapie numery PESEL pacjentów obsługiwanych przez system MyDr nie są publikowane w serwisie bezpiecznedane.gov.pl. CBZC wyjaśnia, że udostępnienie ich teraz mogłoby utrudnić prowadzone czynności.
UODO zapowiedział kontrolę MyDr
Sprawą zajmuje się również Urząd Ochrony Danych Osobowych. 13 sierpnia prezes UODO zapowiedział kontrolę w spółce MyDr. Urząd chce sprawdzić zastosowane środki techniczne i organizacyjne, ich regularne testowanie oraz to, czy analiza ryzyka uwzględniała zagrożenia dla przetwarzanych danych i czy jej wyniki były stosowane w praktyce.
UODO zwraca uwagę na jeszcze jedną ważną kwestię. Administratorem danych pacjentów są placówki ochrony zdrowia korzystające z usług MyDr. To na administratorach spoczywa obowiązek powiadomienia osób dotkniętych naruszeniem, jeżeli spełnione są przesłanki wymagające takiego zawiadomienia.
Pacjent, który korzystał z przychodni lub gabinetu używającego systemu MyDr, powinien więc zwracać szczególną uwagę na komunikaty otrzymywane bezpośrednio od swojej placówki.
Policja: zastrzeż PESEL i uważaj na phishing
CBZC ostrzega, że naruszenie poufności danych, również medycznych, może zostać wykorzystane przy kolejnych przestępstwach. Szczególnym zagrożeniem są próby kradzieży tożsamości, wyłudzeń finansowych i phishingu.
Policja zaleca przede wszystkim zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, przez serwis Gov.pl albo w urzędzie. CBZC wskazuje ten krok jako najskuteczniejszą metodę zabezpieczenia się przed nieuprawnionym zaciąganiem zobowiązań, takich jak kredyty lub pożyczki.
Drugim zaleceniem jest wzmożona ostrożność wobec SMS-ów, e-maili i telefonów. Przestępcy mogą podszywać się pod placówkę medyczną, bank albo instytucję państwową i wykorzystywać prawdziwe informacje o danej osobie, aby uwiarygodnić próbę oszustwa. UODO również przestrzega, że zdobyte wcześniej informacje mogą posłużyć do wyłudzenia kolejnych danych lub dostępu do bankowości internetowej i innych usług.
CBZC zaleca też sprawdzenie haseł do portali pacjenta i internetowych kont medycznych. Jeżeli to samo hasło było używane również w innych usługach, należy je zmienić. Policja rekomenduje ponadto włączenie uwierzytelniania dwuskładnikowego, jeśli dana usługa daje taką możliwość.
Podejrzane SMS-y można przekazywać do CERT Polska pod bezpłatny numer 8080. Jeśli doszło już do przestępstwa na szkodę danej osoby, CBZC zaleca zgłoszenie sprawy policji.
Napisz komentarz
Komentarze