Atak hakerski na dane Polaków
Wczoraj doszło do jednego z największych incydentów cyberbezpieczeństwa w historii Polski po ataku na firmę MyDr - dostawcę systemów do prowadzenia elektronicznej dokumentacji medycznej. Według informacji przekazanych przez wicepremiera Krzysztofa Gawkowskiego wykradziono około 19 mln rekordów, a baza liczy ponad 2 terabajty. Wśród przejętych informacji mogą znajdować się numery PESEL i dane kontaktowe, ale także szczególnie wrażliwe dane dotyczące recept, wizyt lekarskich i historii chorób. Sprawą zajmują się służby, które ustalają dokładny przebieg ataku oraz skalę wycieku.
Naczelna Izba Lekarska zareagowała na doniesienia dotyczące możliwego wycieku danych pacjentów po cyberataku na firmę MyDr. Przypomniała stanowisko prezesa Urzędu Ochrony Danych Osobowych dotyczące placówek medycznych, które powierzały tej firmie przetwarzanie informacji o swoich pacjentach.
To administrator danych musi przeanalizować, czy w konkretnym przypadku doszło do naruszenia ochrony danych osobowych oraz czy może ono powodować ryzyko dla praw lub wolności osób fizycznych. Jeżeli incydent podlega zgłoszeniu, administrator powinien zawiadomić UODO bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Wyciek danych z MyDr. Pacjenci mają zostać poinformowani
Samo zgłoszenie sprawy do UODO nie musi jednak kończyć obowiązków placówki. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności pacjentów, administrator powinien również bez zbędnej zwłoki poinformować osoby, których dane dotyczą. W takim zawiadomieniu powinny znaleźć się informacje o charakterze naruszenia, jego możliwych konsekwencjach oraz działaniach podjętych lub planowanych w celu ograniczenia skutków incydentu.
W przypadku informacji dotyczących zdrowia konsekwencje mogą być szczególnie poważne. UODO wskazuje m.in. na ryzyko dyskryminacji, ostracyzmu społecznego czy naruszenia dóbr osobistych. Centrum e-Zdrowia uspokaja ponadto, że cyberatak dotyczący MyDr nie oznacza naruszenia bezpieczeństwa centralnych usług e-zdrowia. Incydent nie ma wpływać na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie. Sprawa jest monitorowana przez odpowiednie służby i instytucje państwowe, a CeZ zwiększyło poziom monitoringu i pozostaje w stanie podwyższonej gotowości.
Gawkowski: będzie można sprawdzić, czy dane wyciekły
Do sprawy odniósł się w programie "Fakty po Faktach” TVN24 wicepremier i minister cyfryzacji Krzysztof Gawkowski. Przyznał, że obecnie nie można jeszcze sprawdzić, czy dane konkretnej osoby zostały przejęte przez cyberprzestępców. Państwowe służby pracują jednak nad zebraniem i przeanalizowaniem wykradzionych pakietów.
– Będzie taka możliwość, bo pracujemy nad tym, żeby zebrać w całość dane, które zostały wykradzione. Następnie zostaną one umieszczone w portalu bezpiecznedane.gov.pl i tam Polacy będą mogli sprawdzić, czy ich dane wyciekły – powiedział Gawkowski.
Sprawa jest traktowana priorytetowo ze względu na charakter informacji, które mogły zostać przejęte. – Dane są tak wrażliwe, że obejmują nie tylko PESEL, imię, nazwisko czy adres, ale także informacje o lekach i receptach, chorobach, które mogły być wskazywane jako problem, czy postawionych diagnozach – wyjaśnił.
Minister poinformował również o zwołaniu specjalnego posiedzenia Połączonego Centrum Operacji Cyberbezpieczeństwa. Zapowiedział, że osoby, których dane mogły znaleźć się w wykradzionym pakiecie, mają zostać o tym poinformowane. – Chcemy, żeby każda osoba w Polsce, bez względu na to, czy mieszka w metropolii, czy w małej wsi, została poinformowana, że może znajdować się w tym pakiecie – mówil.
Zastrzeżenie PESEL po ataku. Gawkowski apeluje
Naczelna Izba Lekarska zaleca osobom, których dane mogły zostać objęte incydentem, zachowanie szczególnej ostrożności wobec podejrzanych SMS-ów, e-maili oraz telefonów. Przestępcy mogą próbować wykorzystać przejęte informacje do kolejnych prób oszustwa i wyłudzania danych.
Wśród najważniejszych środków bezpieczeństwa wymieniane są stosowanie unikalnych haseł, korzystanie z uwierzytelniania wieloskładnikowego oraz zastrzeżenie numeru PESEL. Do tego ostatniego rozwiązania zdecydowanie zachęca również Krzysztof Gawkowski. – Proszę wszystkich naszych widzów: spróbujcie zrobić prostą rzecz – zastrzeżcie swój numer PESEL. Zastrzeżenie numeru PESEL w mObywatelu trwa pięć sekund. Można cofnąć to zastrzeżenie w 20 sekund. To banalna procedura – przekonywał.
Numer PESEL można zastrzec bezpłatnie w aplikacji mObywatel, przez internet po zalogowaniu do odpowiedniej usługi lub osobiście w urzędzie gminy. Zastrzeżenie zaczyna działać od razu. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać rejestr zastrzeżeń m.in. przed udzieleniem kredytu lub pożyczki.
Kto stoi za cyberatakiem na MyDr?
Na obecnym etapie nie ma – według Gawkowskiego – przesłanek pozwalających uznać, że za atakiem stoi Rosja lub inne państwo. Bardziej prawdopodobny ma być motyw finansowy. Skradzione informacje mogłyby zostać wykorzystane m.in. do sprzedaży, szantażu lub próby wymuszenia okupu. – Operacyjnie wiemy coraz więcej. W tej sprawie nie będzie żadnej miękkiej gry. Służby, bez względu na to, gdzie ukrywa się ta osoba, będą ją ścigały do upadłego – zapowiedział wicepremier.
Gawkowski nie wykluczył również konsekwencji, jeśli postępowanie wykaże zaniedbania po stronie podmiotów odpowiedzialnych za bezpieczeństwo danych. – Jeżeli po kontroli i sprawdzeniu okaże się, że gdzieś nie było odpowiedniego nadzoru, będą kary. Nikt nie będzie zwlekał z żadnymi decyzjami. Nie będę jednak dzisiaj nikogo oskarżał. Mówię tylko, że obecnie współpraca jest dobra – zaznaczył.
Dokładny przebieg cyberataku oraz ewentualne uchybienia mają ustalić Centralne Biuro Zwalczania Cyberprzestępczości, Agencja Bezpieczeństwa Wewnętrznego i NASK.
Fot. Minister cyfryzacji Krzysztof Gawkowski/East News
Red.
Komentarze
Pokaż komentarze (30)