Funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości prowadzą pod nadzorem Prokuratury Okręgowej w Warszawie postępowanie dotyczące uzyskania za pośrednictwem internetu nieuprawnionego dostępu do systemu informatycznego administrowanego przez firmę MyDr oraz informacji przechowywanych na serwerach spółki.
Policjanci przeprowadzili szereg czynności, w tym kompleksową analizę danych. Ustalają okoliczności i skalę zdarzenia oraz próbują zidentyfikować osobę lub osoby odpowiedzialne za atak.
Wyciek danych z MyDr. Szeroko zakrojone śledztwo
Na razie numery PESEL pacjentów obsługiwanych przez system MyDr nie powinny być publikowane w serwisie bezpiecznedane.gov.pl. Zdaniem służb mogłoby to utrudnić prowadzone czynności. Funkcjonariusze mają obecnie podejmować działania zmierzające do maksymalnego ograniczenia zakresu wycieku. Więcej informacji o ich efektach ma zostać przekazanych w najbliższym czasie.
Służby apelują jednocześnie, aby informacje dotyczące incydentu czerpać z oficjalnych komunikatów Ministerstwa Cyfryzacji, prokuratury oraz odpowiednich służb.
Dane medyczne mogły trafić w niepowołane ręce
Sprawa jest szczególnie poważna ze względu na możliwość naruszenia ochrony danych osobowych zawartych w dokumentacji medycznej pacjentów. CBZC przypomina, że informacje pozyskane w wyniku cyberataku mogą zostać wykorzystane do kolejnych przestępstw. Skradzione dane mogą posłużyć m.in. do prób wyłudzenia pieniędzy lub podszywania się pod inną osobę. Przestępcy mogą również wykorzystać posiadane informacje, aby zwiększyć wiarygodność fałszywych wiadomości SMS, e-maili lub rozmów telefonicznych.
Oszuści mogą podszywać się m.in. pod placówki medyczne, banki czy instytucje państwowe. Znajomość prawdziwych danych potencjalnej ofiary może sprawić, że próba oszustwa będzie wyglądała bardziej wiarygodnie.
Policja radzi zastrzec PESEL. Jak zabezpieczyć swoje dane?
Jednym z najważniejszych działań zalecanych przez CBZC jest zastrzeżenie numeru PESEL. Ma ono ograniczyć ryzyko wykorzystania danych do nieuprawnionego zaciągania zobowiązań finansowych, takich jak kredyty czy pożyczki.
PESEL można zastrzec bezpłatnie za pośrednictwem aplikacji mObywatel, serwisu GOV.pl lub osobiście w urzędzie. Służby zalecają również zachowanie szczególnej ostrożności wobec wiadomości SMS, e-maili i połączeń telefonicznych. Podejrzane powinny być zwłaszcza próby nakłonienia do podania dodatkowych danych, haseł lub informacji umożliwiających dostęp do kont.
Osoby korzystające z portali pacjenta i internetowych kont związanych z usługami medycznymi powinny także zweryfikować swoje hasła. Jeżeli to samo hasło jest używane w kilku różnych usługach, CBZC rekomenduje jego niezwłoczną zmianę. Warto również uruchomić uwierzytelnianie dwuskładnikowe (2FA).
Podejrzane wiadomości SMS można przekazywać do CERT Polska pod numer 8080. Jeżeli doszło już do przestępstwa na szkodę konkretnej osoby, sprawę należy zgłosić policji.
Dane 13 mln osób miały wyciec dwa lata temu
Obecne działania polskich instytucji nie są pierwszą sprawą dotyczącą nieuprawnionego dostępu do danych za pośrednictwem platformy MyDr. Od kwietnia 2024 roku Prokuratura Regionalna w Poznaniu prowadzi odrębne śledztwo wszczęte po zawiadomieniach prezesa Narodowego Funduszu Zdrowia. Dotyczy ono nadmiarowych zapytań kierowanych do systemu Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców (eWUŚ) za pośrednictwem podmiotów świadczących usługi medyczne. Sprawę ujawniła "Gazeta Polska Codziennie".
Według niej sprawcy już wtedy, dwa lata temu, uzyskali nieuprawniony dostęp do kont pracowników podmiotów medycznych korzystających z platformy MyDr. Następnie zaimplementowali skrypt pozwalający na masowe wysyłanie zapytań do systemu eWUŚ. W ten sposób skierowano około 18 mln zapytań i pozyskano dane osobowe ponad 13 mln osób. Obejmowały one imię, nazwisko, numer PESEL oraz informację o posiadaniu lub braku prawa do ubezpieczenia.
Funkcjonariuszom CBZC udało się odzyskać całą bazę danych nielegalnie pozyskanych z NFZ i zapobiec jej dalszej odsprzedaży. Śledczy ustalili również osobę podejrzaną o stworzenie oprogramowania służącego do przełamywania zabezpieczeń i uzyskiwania nieuprawnionego dostępu do informacji. Podejrzany przyznał się do zarzutów i złożył szczegółowe wyjaśnienia.
Zarzuty związane z nieuprawnionym dostępem do danych usłyszały również cztery inne osoby. Wobec dwóch podejrzanych stosowano wcześniej tymczasowe aresztowanie, jednak obecnie wszyscy objęci są środkami zapobiegawczymi o charakterze wolnościowym. Zarzucane czyny zagrożone są – w zależności od kwalifikacji – karą do 8 lub 12 lat pozbawienia wolności. Prokuratura informuje, że postępowanie znajduje się na końcowym etapie.
Fot. zdjęcie ilustracyjne/East News
Red.
Komentarze
Pokaż komentarze (22)