Wyciek danych 19 mln Polaków. Ekspert mówi, co od razu zrobić

Polska mierzy się z jednym z największych cyberataków w ostatnich latach. Wicepremier i minister cyfryzacji Krzysztof Gawkowski oficjalnie potwierdził, że doszło do nadzwyczajnego wycieku danych, który swoim zasięgiem obejmuje blisko 19 milionów polskich obywateli. Skradzione informacje pochodzą z systemów firmy MyDr dostarczającej oprogramowanie medyczne służące do zarządzania wizytami i obsługi pacjentów. Z jej infrastruktury korzysta aż 12 tysięcy placówek ochrony zdrowia w całym kraju.

Przejęte przez hakerów bazy mogą zawierać wrażliwe informacje dotyczące wsparcia medycznego, historii wizyt, przypisanych leków oraz wystawionych recept.

Przedstawiciele rządu uspokajają jednak, że nie każdy skradziony numer PESEL jest bezpośrednio powiązany z pełną dokumentacją medyczną. Ministerstwo Cyfryzacji wdrożyło natychmiastowe procedury zabezpieczające, a systemy zaatakowanej firmy zostały zablokowane.

Obecnie trwają prace nad przeniesieniem skradzionych rekordów do rządowego portalu Bezpieczne Dane, gdzie każdy obywatel będzie mógł samodzielnie zweryfikować, czy jego informacje wpadły w ręce przestępców.

Wicepremier Gawkowski zaapelował do Polaków o zachowanie cyfrowej higieny i niezwłoczne zastrzeżenie numeru PESEL, co można wykonać w kilka sekund za pomocą aplikacji mObywatel lub osobiście w dowolnym urzędzie gminy. To właśnie blokada najważniejszego numeru identyfikacyjnego jest główną tarczą obronną przed finansowymi konsekwencjami kradzieży tożsamości.

Piotr Konieczny, założyciel eksperckiego serwisu Niebezpiecznik.pl, w pełni zgadza się z tymi zaleceniami i szczegółowo tłumaczy mechanizm ochrony.

Praktyka pokazuje, że status naszego numeru identyfikacyjnego nie powinien być pozostawiony samemu sobie. – Zabezpieczeń jest więcej, dlatego każdy powinien mieć PESEL cały czas domyślnie zastrzeżony i tymczasowo "odstrzegać" go właśnie dopiero tuż przed realizacją działań, podczas których firmy sprawdzają status zastrzeżenia PESEL-u. Zastrzeżenie PESEL to na dziś najlepsza metoda, która chroni nas przed negatywnymi skutkami kradzieży tożsamości w Polsce – mówi ekspert.

Zwraca też uwagę na inne dokumenty. – Ale jeśli mamy poważne przesłanki że mógł także wyciec nasz dowód osobisty, to powinniśmy też zastrzec i ten dokument. Możemy to zrobić w placówce dowolnego banku, niekoniecznie naszego.

Samo zabezpieczenie dokumentów nie kończy jednak sprawy. Przestępcy, dysponując bazą 19 milionów rekordów, mogą wykorzystać pozyskane informacje do zaawansowanych ataków socjotechnicznych. Wiedząc, u jakiego lekarza się leczymy lub jakie leki przyjmujemy, oszuści stają się niezwykle wiarygodni.

– Po wyciekach naszych danych powinniśmy też zwracać uwagę na próby kontaktu, zarówno e-mailowego, telefonicznego, jak i listownego – ostrzega Piotr Konieczny.

– Oszuści mogą się podszywać pod różne organizacje i uwiarygadniając się naszymi danymi, które wcześniej wykradli, próbować od nas pod różnymi pretekstami wyłudzić dodatkowe informacje albo pieniądze. Złota zasada jest taka: jeśli ktoś się z nami kontaktuje z ważną informacją, zwłaszcza telefonicznie, to powinniśmy się rozłączyć i samodzielnie zadzwonić na infolinię danej firmy i tam sprawdzić, czy faktycznie jest jakiś problem, który nas dotyczy – podsumowuje ekspert w rozmowie z money.pl.

Konieczny w rozmowie z money.pl zwraca uwagę, że obecny incydent wpisuje się w szerszy, niepokojący trend.

W obliczu tak powszechnego cyfrowego przetwarzania informacji, specjaliści od cyberbezpieczeństwa zalecają daleko idącą ostrożność przy wypełnianiu jakichkolwiek ankiet czy formularzy rejestracyjnych. Zbyt pochopne dzielenie się pełnym pakietem danych osobowych znacząco zwiększa ryzyko w przypadku skutecznego ataku hakerskiego.

– Dlatego warto za każdym razem zastanowić się, przekazując dane, czy rzeczywiście musimy je przekazać w takim zakresie o jaki jesteśmy proszeni – radzi ekspert Niebezpiecznik.pl.

– Nie zawsze np. pełen adres zamieszkania czy numer telefonu, a jak trzeba, to nie zawsze muszą to być dane prawdziwe. Oczywiście, w przypadku wizyty lekarskiej, której celem jest pozyskanie skierowania, ciężko będzie uniknąć podania prawdziwych danych, ale w wielu sytuacjach jest to możliwe. Każdy jednak musi tę decyzję podjąć świadomie, bo czasem takie kłamanie, nawet realizowane w celu ochrony swoich danych przed wyciekiem, może nie być najlepszym pomysłem – podkreśla.

Jak zauważa nasz rozmówca, dbanie o własną prywatność wymaga dziś od obywateli sporego wysiłku i zaangażowania. – Niestety, to pracochłonne stosowanie różnych zestawów danych u różnych usługodawców w dzisiejszych czasach to jedyny sposób na ochronę swoich danych i minimalizację szkód, jeśli zostaną one wykradzione i ujawnione – mówi Konieczny.

Wyciek z systemów MyDr na nowo otwiera dyskusję o tym, jak w Polsce projektowane są bazy danych, szczególnie te w sektorze ochrony zdrowia. Zgromadzenie w jednym miejscu imienia, nazwiska, numeru PESEL, adresu, telefonu oraz historii chorób tworzy niezwykle łakomy kąsek dla cyberprzestępców. Minister Gawkowski poinformował, że za obecnym atakiem stoją najprawdopodobniej zorganizowane grupy przestępcze nastawione na zysk, a nie obce służby wywiadowcze. Rząd zapowiedział bezwzględne ściganie sprawców i odmowę płacenia jakichkolwiek okupów.

Tymczasem środowisko ekspertów od dawna wskazuje na rozwiązania, które mogłyby zminimalizować skutki podobnych incydentów. – Od lat w Niebezpieczniku apelujemy o to, aby stworzyć wymóg anonimizacji danych pacjentów, bo naprawdę nie zawsze komplet danych typu adres zamieszkania, numer telefonu, PESEL i nazwisko musi łącznie występować i być przetwarzany przez szereg podmiotów, aby np. wykonać badanie krwi – argumentuje Piotr Konieczny.

– A anonimizacja w przypadku danych medycznych jest istotna, bo niektóre kwestie związane ze zdrowiem, po ujawnieniu, mogą narazić pacjentów na niepotrzebny stres czy wstyd. Da się tego uniknąć – dodaje w rozmowie z money.pl.