Polska potwierdza wyciek danych medycznych 19 milionów obywateli

Potwierdzony cyberatak

Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził 12 sierpnia, że cyberatak na MyDr, jednego z największych w Polsce dostawców systemów Elektronicznej Dokumentacji Medycznej, spowodował wyciek danych dotyczący blisko 19 milionów osób. Gawkowski przekazał te informacje po posiedzeniu Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego, które zwołano w środę w południe. Opisał incydent jako jeden z największych w historii Polski. Według ministra firma potwierdziła kradzież 19 milionów rekordów.

Sprawcy skontaktowali się w sobotę z serwisem Zaufana Trzecia Strona, twierdząc, że posiadają dane ponad 18 milionów Polaków z systemów medycznych. Przesłali próbki danych, które okazały się częściowo autentyczne. Gawkowski po raz pierwszy poinformował o incydencie w poniedziałek na platformie X.

Jakie dane zostały przejęte

MyDr dostarcza placówkom medycznym systemy do przechowywania dokumentacji pacjentów, wystawiania recept, zarządzania wizytami oraz obsługi e-zwolnień. Platforma obsługuje miesięcznie około 3 miliony wizyt i 2,7 miliona recept. Gawkowski ostrzegł, że skradzione dane mogą łączyć imiona, nazwiska i adresy z informacjami o receptach, przyjmowanych lekach oraz stanie zdrowia.

To mogą być dane, które posłużą jako podstawa do szantażu.

Dodał, że są to cenne informacje, które przestępcy lub różne instytucje mogą chcieć kupić w celach analitycznych, szantażu lub innych działań wpływających na życie codzienne. Placówki medyczne pracują normalnie, ponieważ incydent nie wyłączył systemu. Gawkowski zapewnił, że luki zostały załatane, a system pozostaje bezpieczny.

Reakcja rządu

Gawkowski pozostaje w stałym kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Izabelą Leszczyną oraz prezesem Urzędu Ochrony Danych Osobowych Mirosławem Wróblewskim. Centralne Biuro Zwalczania Cyberprzestępczości prowadzi operacyjną stronę śledztwa w kontakcie z prokuraturą. Władze badają, czy do wycieku doszło na skutek błędu ludzkiego, luki w systemie, sabotażu czy zaniedbań ze strony firmy. Gawkowski stwierdził, że nic nie wskazuje na atak innego państwa. Ostrzegł, że MyDr może ponieść kary, jeśli śledczy wykażą brak wymaganych zabezpieczeń lub inwestycji w cyberbezpieczeństwo.

Zalecenia dla obywateli

Informacje zebrane przez służby będą publikowane na stronie Bezpieczne Dane (bezpiecznedane.gov.pl), gdzie obywatele mogą sprawdzić, czy ich dane znajdują się w skradzionych zbiorach. Krótko po konferencji Gawkowskiego strona miała problemy z logowaniem. Minister zaapelował do obywateli o zastrzeżenie numeru PESEL, co zajmuje pięć sekund w aplikacji mObywatel lub można zrobić w dowolnym urzędzie gminy.

Oświadczył, że państwo nie będzie negocjować z przestępcami ani płacić okupu.

Nikt w Polsce nie zapłaci żadnego okupu, bo ktoś uważa, że może zarobić na cyberprzestępczości.

Stanowisko MyDr

MyDr poinformowało, że prowadzi wewnętrzne dochodzenie w sprawie potencjalnego incydentu dotyczącego części systemów. Firma przekazała, że po otrzymaniu informacji o sprawie natychmiast uruchomiła procedury reagowania na incydenty. Wewnętrzne zespoły ds. bezpieczeństwa, inżynierii i infrastruktury współpracują z zewnętrznymi ekspertami ds. cyberbezpieczeństwa oraz doradcami prawnymi. Małgorzata Pragłowska, wspierająca komunikację ZnanyLekarz, przekazała to oświadczenie stacji TVN24. Firma poinformowała, że powiadomiła odpowiednie organy i ściśle z nimi współpracuje.