„Najpoważniejszy kryzys e-zdrowia w historii”. Co wiemy o wycieku z MyDr

Sprawa nie opiera się już wyłącznie na deklaracjach osób podających się za sprawców. Ministerstwo Cyfryzacji poinformowało po specjalnym posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, że MyDr potwierdziło nieuprawniony dostęp do historycznych danych gabinetów lekarskich przechowywanych w systemach firmy. Chodzi o dane do kwietnia 2024 r. Według resortu problem może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.

Minister cyfryzacji Krzysztof Gawkowski mówił podczas briefingu, że „doszło do nadzwyczajnego wycieku danych, sięgającego 19 mln osób”. Według przekazanych przez niego informacji przejęty zbiór ma ponad 2 TB. Ministerstwo zaznacza jednocześnie, że zdarzenie nie zakłóciło bieżącej działalności placówek, w tym wystawiania recept.

Samo MyDr, w oświadczeniu przekazanym mediom, poinformowało, że na obecnym etapie dochodzenia nie jest w stanie potwierdzić, czy skopiowano 19 mln numerów PESEL ani jakie konkretnie kategorie danych zostały skopiowane. Firma zapewnia, że jej zespoły wraz z zewnętrznymi ekspertami ustalają zakres, sposób i chronologię nieuprawnionego dostępu.

Osoby podające się za włamywaczy twierdziły wcześniej, że zdobyły dane ponad 18,8 mln osób i zbiór liczący około 2,5 TB. Zaufana Trzecia Strona, która jako jedna z pierwszych opisała sprawę, otrzymała od nich próbki. Część zawartych w nich informacji udało się sprawdzić – w tym dane identyfikacyjne konkretnej osoby – i w tym ograniczonym zakresie nie stwierdzono niezgodności. Nie oznacza to jednak niezależnego potwierdzenia zawartości całej wieloterabajtowej bazy.

Później administracja państwowa podała skalę bardzo zbliżoną do deklarowanej przez sprawców: potencjalnie 18,8 mln osób. Nie oznacza to jednak, że w przypadku każdej z nich przejęto pełną dokumentację medyczną. Zakres danych dotyczących poszczególnych pacjentów może się różnić.

Gawkowski przekazał, że dane mogą obejmować informacje o lekach i receptach. Mamy więc do czynienia nie tylko z ryzykiem dotyczącym danych identyfikacyjnych, ale również informacji związanych ze zdrowiem.

Bardzo mocno zareagował dr Jakub Kosikowski, rzecznik Naczelnej Izby Lekarskiej. Na X napisał, że nie chce sobie wyobrażać, „jaki kałszkwał się rozpęta”, jeśli w sieci zaczną krążyć medyczne dokumenty. W kolejnym zdaniu ocenił wprost: „To najpoważniejszy kryzys e-zdrowia w historii”.

Rzecznik NIL zwrócił też uwagę na skalę wyzwań związanych z przepisami o ochronie danych. Jego zdaniem obowiązujące procedury dotyczące naruszeń nie były tworzone z myślą o zdarzeniu obejmującym kilkanaście milionów pacjentów.

Właśnie kwestia informowania pacjentów szybko stała się jednym z najważniejszych problemów po ujawnieniu skali wycieku. UODO przypomniał, że administratorzy, którzy powierzyli MyDr przetwarzanie danych, muszą ocenić ryzyko związane z naruszeniem. Jeżeli zachodzą przesłanki do zgłoszenia naruszenia, administrator powinien zrobić to bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności danej osoby, administrator powinien również bez zbędnej zwłoki ją o tym zawiadomić.

UODO napisał też wprost: „obowiązek powiadomienia osób, dotkniętych wyciekiem danych, spoczywa na administratorach” korzystających z usług MyDr. Przy ponad 12 tys. placówek potencjalnie objętych sprawą może to być ogromne wyzwanie organizacyjne.

Do tego właśnie odniósł się Janusz Cieszyński. Były minister cyfryzacji napisał na X, że „najważniejsze teraz to sprawnie »posprzątać«”. Domagał się jednoznacznej interpretacji, która pozwoli szybko poinformować ludzi, po czym dodał: „Każdy inny tok postępowania to czysta urzędnicza obstrukcja”.

Cieszyński oczekuje również szczegółowego raportu CERT Polska i konsekwencji dla odpowiedzialnych za ewentualne zaniedbania. Słowo „ewentualne” jest tu istotne: do tej pory publicznie nie ustalono, czy do wycieku doprowadziło konkretne zaniedbanie ani kto miałby za nie odpowiadać.

Jak jedna firma mogła mieć dane tak wielu pacjentów?

To jeden z najważniejszych systemowych wątków tej sprawy. MyDr dostarcza oprogramowanie wykorzystywane przez placówki medyczne, w tym do prowadzenia elektronicznej dokumentacji medycznej. Firma należy do grupy Docplanner, znanej w Polsce m.in. z serwisu ZnanyLekarz.

Ekspert ds. prywatności i bezpieczeństwa informacji Łukasz Olejnik zwrócił na X uwagę na skalę koncentracji danych u jednego dostawcy. „Jakaś jedna prywatna firma miała dane ponad połowy Polaków” – napisał. Zwrócił również uwagę na możliwość przenoszenia do MyDr starszych danych podczas migracji placówek z innych systemów.

Sam fakt skupienia tak dużej liczby danych u jednego dostawcy nie wyjaśnia przyczyn włamania. Pokazuje jednak, jak rozległe mogą być skutki naruszenia bezpieczeństwa firmy, której oprogramowanie jest wykorzystywane przez tysiące niezależnych placówek.

W pierwszych doniesieniach o sprawie łatwo było odnieść wrażenie, że zaatakowany został „polski system e-zdrowia”. Ministerstwo Zdrowia wyraźnie temu zaprzecza.

Nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. Zdarzenie w MyDr nie wpływa na dostęp pacjentów do świadczeń, recept ani innych usług realizowanych w publicznym systemie ochrony zdrowia. Centrum e-Zdrowia zwiększyło jednak monitoring i pozostaje w stanie podwyższonej gotowości.

Trzeba też odróżniać MyDr od ZnanyLekarz. Obie firmy funkcjonują w grupie Docplanner, jednak według stanowiska samego Docplannera ich systemy są rozdzielone, a infrastruktura MyDr jest odrębna od reszty grupy. Firma zapewnia także, że poza funkcjonalnością dotyczącą rezerwacji wizyt oba systemy nie wymieniają między sobą danych pacjentów, w szczególności informacji o stanie zdrowia. To deklaracja firmy, a nie wynik niezależnego audytu bezpieczeństwa.

Czy można już sprawdzić, czyje dane wyciekły? 13 sierpnia rano – jeszcze nie. Serwis BezpieczneDane.gov.pl nadal wyświetla komunikat: „Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu”. Mają zostać udostępnione po przekazaniu ich przez uprawnione podmioty. Serwis zapowiada osobny komunikat, gdy baza zostanie zasilona tymi informacjami.

Ministerstwo Cyfryzacji uprzedza, że proces może potrwać kilka dni, m.in. dlatego, że administratorami danych są poszczególne gabinety i placówki.

Dlatego brak informacji o MyDr w serwisie Bezpieczne Dane nie oznacza dziś, że dane konkretnej osoby nie wyciekły.

Co robić? Jak się zabezpieczyć?

Nie czekaj na oficjalne zawiadomienie, by podjąć podstawowe środki ostrożności.

1. Zastrzeż PESEL.
   To najprostszy i jeden z najważniejszych kroków. Można zrobić to bezpłatnie m.in. w aplikacji i serwisie mObywatel albo w urzędzie gminy. Zastrzeżony PESEL utrudnia wykorzystanie cudzej tożsamości do zaciągnięcia kredytu lub pożyczki czy uzyskania duplikatu karty SIM. Nie przeszkadza natomiast w wizycie u lekarza ani w realizacji recepty.
2. Szczególnie uważaj na kontakt rzekomo „z przychodni”.
   Po takim wycieku trzeba liczyć się z próbami phishingu wykorzystującymi prawdziwe dane pacjenta. Oszust, który zna nazwisko, numer telefonu albo inne informacje o swojej ofierze, może przygotować znacznie bardziej przekonującą wiadomość. UODO zaleca dokładne analizowanie SMS-ów i e-maili oraz szczególną ostrożność przy przekazywaniu danych przez telefon, zwłaszcza gdy rozmowę inicjuje ktoś inny.

Jeśli dzwoni osoba przedstawiająca się jako pracownik przychodni, banku czy innej instytucji i prosi o dodatkowe dane, bezpieczniej zakończyć rozmowę i samodzielnie skontaktować się z daną placówką przez numer znaleziony w jej oficjalnych kanałach.

1. Nie klikaj linków pod presją czasu. Wiadomości o „pilnym potwierdzeniu recepty”, „wyniku badania”, „blokadzie konta” czy konieczności dopłaty mogą być pretekstem do wyłudzenia danych logowania lub pieniędzy. Presja czasu jest jednym z typowych narzędzi używanych w kampaniach phishingowych.
2. Lepiej zabezpiecz swoją pocztę i najważniejsze konta. Warto używać silnych, unikalnych haseł oraz włączyć uwierzytelnianie wieloskładnikowe. Ministerstwo Zdrowia wymienia te działania wprost wśród zaleceń po zdarzeniu w MyDr.
3. Zgłaszaj próby oszustwa. Podejrzane SMS-y można przesyłać do CERT Polska na bezpłatny numer 8080. Podejrzane strony i e-maile można zgłaszać przez formularz CERT Polska, a phishing również za pomocą usługi „Bezpiecznie w sieci” w mObywatelu.

Skutki mogą pojawić się długo po samym wycieku

Techniczne opanowanie sytuacji nie musi kończyć problemów pacjentów. Dane osobowe i informacje o zdrowiu mogą zostać wykorzystane później – do prób podszywania się pod ofiarę, phishingu, naruszenia prywatności czy innych nadużyć.

UODO zwraca uwagę, że ujawnienie danych dotyczących zdrowia może wiązać się m.in. z ryzykiem dyskryminacji, ostracyzmu społecznego oraz naruszenia dóbr osobistych. W przypadku połączenia imienia i nazwiska z numerem PESEL urząd wskazuje również na ryzyko prób wyłudzeń.

Dlatego ostrożność nie powinna ograniczać się do najbliższych kilku dni. PESEL można zastrzec, hasło zmienić. Informacji o przebytych chorobach, przyjmowanych lekach czy historii leczenia nie da się jednak po wycieku „wymienić” na nowe. To właśnie odróżnia sprawę MyDr od wielu wycieków zwykłych baz klientów.