Gigantyczny wyciek. Dane 19 mln Polaków mogły trafić do hakerów

Atak na MyDr. Wyciek danych niemal 19 mln osób

Pierwsze sygnały o incydencie w systemach MyDr Ministerstwo Cyfryzacji otrzymało w poniedziałek, 10 sierpnia. W środę sprawa stała się publiczna, a minister cyfryzacji Krzysztof Gawkowski zwołał pilne posiedzenie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa.

W działania zaangażowane zostały służby oraz przedstawiciele najważniejszych instytucji państwowych. Ich zadaniem jest ustalenie dokładnej skali ataku, zabezpieczenie systemów oraz ograniczenie jego skutków.

– Mamy pewność, że firma MyDr została zaatakowana. Współpracuje ona ze służbami, aby dokładnie wyjaśnić sprawę – powiedział Gawkowski w programie Onet Rano.

O incydencie zaczęto również informować lekarzy z 12 tys. placówek medycznych korzystających z oprogramowania MyDr.

Po posiedzeniu Centrum Operacyjnego minister poinformował o ogromnej skali zdarzenia.

– Doszło do nadzwyczajnego wycieku danych sięgającego niemal 19 milionów osób – przekazał Gawkowski.

Zobacz takżeNawrocki może spać spokojnie. Prokuratura umarza głośne śledztwo z kampanii

PESEL, recepty i historia chorób. Hakerzy mieli przejąć 2,5 TB danych

Według informacji MyDr oraz portalu Zaufana Trzecia Strona z systemów mogło wyciec około 2,5 terabajta danych dotyczących blisko 19 mln osób.

Wśród przejętych informacji mają znajdować się numery PESEL oraz dokumentacja medyczna. Chodzi m.in. o dane dotyczące odbytych wizyt, wystawionych recept, przyjmowanych leków i diagnozowanych schorzeń. W bazie znajdowały się również prywatne dokumenty medyczne przedstawiane lekarzom podczas konsultacji.

Rzekomi sprawcy przekazali redakcji Zaufanej Trzeciej Strony zrzut ekranu zawierający prawdziwe dane jednego z czołowych polskich polityków oraz autora artykułu w tym portalu. Widoczne miały być m.in. numery PESEL i informacje dotyczące recept.

Według deklaracji sprawców do włamania miało dojść poprzez wykorzystanie podatności XXE przy obsłudze certyfikatów PKCS#12. W ten sposób mieli uzyskać dostęp do klucza API do platformy GitHub.

Atak ma mieć podłoże finansowe. Władze zapowiadają jednak, że nie będzie negocjacji z cyberprzestępcami.

– Nikt nie będzie płacił żadnych okupów – zapowiedział Krzysztof Gawkowski, dodając, że osoby odpowiedzialne za włamanie muszą liczyć się z działaniami polskich służb.

Zobacz takżeORP Wicher ochrzczony. Największy kontrakt w historii floty

Wyciek danych z MyDr. Jak można się zabezpieczyć?

Po ataku kluczowe znaczenie ma ochrona danych, które mogą zostać wykorzystane do kradzieży tożsamości. Ministerstwo Cyfryzacji uruchomiło procedurę umożliwiającą sprawdzenie, czy konkretna osoba znalazła się w wykradzionej bazie. Informacje mają być dostępne za pośrednictwem rządowego serwisu bezpiecznedane.gov.pl.

Rząd zaleca również zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie za pomocą aplikacji mObywatel lub osobiście w urzędzie gminy. Zastrzeżenie można później cofnąć.

MyDr jest istotnym dostawcą systemów dla polskiej ochrony zdrowia. Z jego Elektronicznej Dokumentacji Medycznej korzystają tysiące lekarzy. Oprogramowanie obsługuje około 3 mln wizyt i 2,7 mln recept miesięcznie.

MyDr należy do grupy DocPlanner, do której należy również ZnanyLekarz. Zgodnie z informacjami zawartymi w materiale infrastruktura techniczna obu usług oraz dane ich pacjentów są jednak od siebie oddzielone.

Jeżeli potwierdzi się pełna skala incydentu, atak na MyDr będzie jednym z największych wycieków danych w historii Polski. Szczególnie poważny charakter sprawy wynika nie tylko z liczby potencjalnie poszkodowanych osób, ale również z charakteru przejętych informacji – obejmujących zarówno dane identyfikacyjne, jak i wrażliwą dokumentację medyczną.

red.

Atak hakerski, wykradanie danych. Fot. Piotr Kamionka/REPORTER