Wyciek dotyczący MyDr ma obejmować dane około 19 milionów Polaków i wieloterabajtowy zbiór zawierający m. in. informacje medyczne. Sprawą zajmuje się UODO.
MyDr sp. z o.o. od 2023 roku nie jest niezależną polską firmą. 100% jej udziałów należy do holenderskiej spółki Docplanner Subholdings B.V. Przejęcie MyDr przez grupę Docplanner zostało oficjalnie ogłoszone w lutym 2023 roku. Do grupy weszły wtedy m. in. MyDr EDM, Dr100 i drNews.
MyDr rozwija m. in. system edm. mydr. pl, serwis mydr. pl oraz dr100. pl. Z punktu widzenia dokumentacji medycznej najważniejszy jest przede wszystkim system EDM.
Sama MyDr w swojej polityce prywatności wprost wskazuje, że jest częścią grupy Docplanner i współpracuje m. in. ze spółkami ZnanyLekarz sp. z o.o. oraz Doctoralia Internet S.L.
Ważne jest też rozróżnienie prawne: UODO wskazuje, że MyDr jest w tym modelu przede wszystkim podmiotem przetwarzającym, natomiast administratorami danych są placówki medyczne i lekarze korzystający z systemu.
Ciekawy jest też wątek techniczny opisany przez Zaufaną Trzecią Stronę. Według relacji tego serwisu osoby podające się za sprawców twierdziły, że wykorzystały podatność typu XXE przy obsłudze certyfikatów PKCS#12, a następnie uzyskały możliwość wykonania kodu i dostęp do dalszych zasobów. Zaufana Trzecia Strona podała też, że udało się zweryfikować część otrzymanych od sprawców materiałów, ale nie całość rzekomo wykradzionego zbioru. To bardzo ważne rozróżnienie: XXE jest na dziś wersją przedstawioną przez atakujących, a nie publicznie potwierdzonym wynikiem analizy forensic.
Ciekawie wygląda infrastruktura. Publiczny DNS mydr. pl korzysta z Amazon Route 53, ale sam serwis wskazuje na adres IP należący do sieci OVH. To trzeba jasno rozdzielić: DNS w AWS nie oznacza hostingu w AWS i nie oznacza AWS WAF.
Jednocześnie sama grupa Docplanner na pewno korzysta z AWS WAF. Amazon opublikował case study opisujące wykorzystanie AWS WAF przez Docplannera do filtrowania ruchu i ochrony usług grupy. To jest fakt.
Natomiast na dziś nie mam jeszcze twardego publicznego dowodu, że kluczowy system edm. mydr. pl albo api. edm. mydr. pl jest chroniony przez AWS WAF, Cloudflare WAF czy Imperva WAF.
I to jest teraz najciekawsze: gdzie faktycznie stoją systemy EDM i API, jaki jest ich realny origin, jakie bramki bezpieczeństwa stoją przed nimi i czy infrastruktura MyDr została po przejęciu zintegrowana z ochroną stosowaną w całej grupie Docplanner.
Mam już kilka naprawdę interesujących tropów. Ciąg dalszy nastąpi.
PS. Rozpoczynam porządne śledztwo dotyczące włamu na portal firmy MyDr, z którego wyciekły dane medyczne połowy Polaków. Śledźcie hashtag, pod którym będą widoczne wszystkie odcinki opisujące tę aferę: https://x.com/hashtag/Wlam_MyDr_GPS65?src=hashtag_click&f=live
__________________
Jak Szczepan Twardoch zmienił się z konserwatysty w lewaka <- poprzednia notka
następna notka -> Scenariusz wykorzystania danych medycznych połowy Polaków
__________________
Tagi: gps65, MyDr
Komentarze
Pokaż komentarze