Wyciek danych blisko 19 mln Polaków. „Niebywały i bardzo duży incydent”

Gawkowski mówił o „niebywałym i bardzo dużym incydencie w zakresie bezpieczeństwa polskiej infosfery”. Jak przekazał, z firmy wykradziono 2 TB danych, czyli około 19 mln rekordów zawierających różnego rodzaju dane, które można ze sobą łączyć.

MyDr dostarcza platformę informatyczną oraz system elektronicznej dokumentacji medycznej (EDM) dla placówek ochrony zdrowia. Z rozwiązania korzystają zarówno indywidualne praktyki lekarskie, jak i przychodnie oraz centra medyczne.

Firma informuje, że za pośrednictwem jej platformy realizowanych jest około 3 mln wizyt miesięcznie, a lekarze wystawiają za jej pomocą 2,7 mln recept każdego miesiąca. Jak podaje MyDr, jej system znalazł zastosowanie w ponad 10 tys. przychodni, zarówno komercyjnych, jak i posiadających kontrakty z NFZ.

System obsługuje m.in. e-recepty, e-skierowania i e-zwolnienia. Jest także zintegrowany z rządową Platformą P1.

MyDr bada, co się stało

Na pytania PAP dotyczące wycieku firma przekazała, że prowadzi obecnie postępowanie wyjaśniające.

„Zespoły ds. bezpieczeństwa, inżynierii i infrastruktury, wspierane przez zewnętrznych ekspertów w zakresie cyberbezpieczeństwa, prowadzą obecnie dochodzenie dotyczące dokładnego charakteru i sposobu potencjalnego nieuprawnionego dostępu, jego chronologii, tego, czy i jakie alerty systemowe zostały wywołane, oraz jego potencjalnego zakresu” – przekazała MyDr.

Firma poinformowała również, że współpracuje z właściwymi organami i instytucjami rządowymi. Zastrzegła przy tym, że ponieważ dochodzenie nadal trwa, nie może ujawnić szczegółów technicznych ani przesądzać o jego wynikach.

Gawkowski zaznaczył, że obecnie nic nie wskazuje na to, aby za incydentem stał atak zewnętrzny, w tym działanie innego państwa.

Służby zajmują się sprawą

W sprawę zostały włączone organy ścigania. Za część operacyjną odpowiada Centralne Biuro Zwalczania Cyberprzestępczości, które współpracuje z prokuraturą.

Minister cyfryzacji poinformował również, że pozostaje w kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Jolantą Sobierańską-Grendą oraz prezesem Urzędu Ochrony Danych Osobowych Mirosławem Wróblewskim.

Systemy firmy MyDr zostały zabezpieczone. Jak przekazał Gawkowski, działają już w normalnym trybie. Rozpoczęto także procedurę informowania lekarzy korzystających z systemu.

Pacjenci czekają na szczegóły

Na razie nie wiadomo dokładnie, jakie dane znalazły się w wykradzionej bazie i których pacjentów dotyczą. Ministerstwo Cyfryzacji pracuje nad uruchomieniem możliwości sprawdzenia tego przez obywateli.

Informacje o skradzionych danych mają zostać udostępnione w bazie Bezpieczne Dane. Każdy będzie mógł sprawdzić, czy jego dane znalazły się wśród wykradzionych informacji.

O sytuacji poinformował również enel-med. Centrum medyczne przekazało, że monitoruje sprawę i analizuje dostępne informacje.

„Na ten moment nie otrzymaliśmy od MyDr potwierdzenia, że incydent dotyczył danych osobowych pacjentów enel-med korzystających z usług w ramach NFZ” – przekazała spółka. Jednocześnie zaznaczyła, że ryzyko nie dotyczy pacjentów korzystających z usług komercyjnych, abonamentów oraz ubezpieczeń.

Enel-med zapowiedział, że jeśli pojawią się potwierdzone informacje dotyczące jego pacjentów, przekaże kolejne komunikaty i zalecenia.

Co zrobić, jeśli dane wyciekły?

Minister cyfryzacji zaapelował, aby osoby, których dane zostały skradzione, w pierwszej kolejności zastrzegły numer PESEL.

– To jest pierwsza, podstawowa, elementarna higiena cyfrowa. Zastrzeżenie numeru PESEL dzisiaj w mObywatelu trwa pięć sekund – powiedział Gawkowski.

PESEL można zastrzec również w urzędzie gminy.

Minister zapowiedział dalsze działania służb i poszukiwanie osób odpowiedzialnych za wyciek. Zapewnił, że sprawcy będą ścigani.