La Pologne confirme une fuite massive de données médicales touchant près de 19 millions de citoyens

Cyberattaque confirmée

Le vice-Premier ministre et ministre de la Numérisation, Krzysztof Gawkowski, a confirmé le 12 août qu'une cyberattaque contre MyDr, l'un des plus grands fournisseurs polonais de systèmes de documentation médicale électronique, a entraîné une fuite de données exceptionnelle touchant près de 19 millions de personnes. Gawkowski s'est exprimé après une réunion du Centre conjoint des opérations de cybersécurité convoquée à midi mercredi. Il a décrit l'incident comme l'un des plus importants de l'histoire de la Pologne. L'entreprise elle-même a confirmé que 19 millions de dossiers ont été volés, selon le ministre.

Les auteurs ont contacté le site Zaufana Trzecia Strona samedi, affirmant détenir les données de plus de 18 millions de Polonais issues de systèmes médicaux. Ils ont envoyé des échantillons de données qui se sont révélés en partie authentiques. Gawkowski a d'abord révélé l'incident lundi sur la plateforme X.

Quelles données ont été compromises

MyDr fournit aux établissements médicaux des systèmes de stockage de documentation patient, de délivrance d'ordonnances, de gestion des rendez-vous et de traitement des arrêts maladie électroniques. La plateforme gère environ 3 millions de visites et 2,7 millions d'ordonnances par mois. Gawkowski a averti que les données volées pourraient lier noms, prénoms et adresses à des informations sur les ordonnances, les médicaments et les problèmes de santé.

Ces données pourraient servir de base à du chantage.

Il a ajouté qu'il s'agit de données précieuses que des criminels ou diverses institutions pourraient vouloir acheter pour analyse, chantage ou autres activités affectant la vie quotidienne. Les établissements médicaux continuent de fonctionner normalement, l'incident n'ayant pas mis le système hors ligne. Gawkowski a assuré que les vulnérabilités ont été corrigées et que le système reste sécurisé.

Réponse du gouvernement

Gawkowski est en contact constant avec le coordinateur des services spéciaux Tomasz Siemoniak, la ministre de la Santé Jolanta Sobierańska-Grenda et le chef de l'Office de protection des données personnelles Mirosław Wróblewski. Le Bureau central de lutte contre la cybercriminalité gère l'enquête opérationnelle, en contact avec le parquet. Les autorités cherchent à déterminer si la fuite résulte d'une erreur humaine, d'une vulnérabilité du système, d'un sabotage ou d'une négligence de la part de l'entreprise. Gawkowski a déclaré que rien n'indique une attaque d'un autre État. Il a averti que MyDr pourrait faire face à des sanctions si les enquêteurs constatent que l'entreprise ne disposait pas des mesures de sécurité ou des investissements nécessaires en cybersécurité.

Les citoyens invités à agir

Les informations recueillies par les services seront publiées sur le site Bezpieczne Dane (bezpiecznedane.gov.pl), où les citoyens pourront vérifier si leurs données figurent dans les ensembles volés. Peu après la conférence de Gawkowski, le site a rencontré des problèmes de connexion. Le ministre a exhorté les citoyens à verrouiller leur numéro PESEL, ce qui prend cinq secondes dans l'application mObywatel ou peut être fait dans n'importe quel bureau municipal.

Il a déclaré que l'État ne négociera pas avec les criminels et ne paiera aucune rançon.

Personne en Pologne ne paiera de rançon parce que quelqu'un pense pouvoir profiter de la cybercriminalité.

Position de MyDr

MyDr a déclaré mener une enquête interne sur un incident potentiel affectant une partie de ses systèmes. L'entreprise a indiqué avoir immédiatement lancé des procédures de réponse aux incidents dès réception des informations. Les équipes internes de sécurité, d'ingénierie et d'infrastructure travaillent avec des experts externes en cybersécurité et des conseillers juridiques. Małgorzata Pragłowska, qui assure la communication pour ZnanyLekarz, a fourni la déclaration à TVN24. L'entreprise a déclaré avoir informé les autorités compétentes et coopérer étroitement avec elles.