Wyciek danych 19 mln Polaków. Firma przeprasza za cyberatak

MyDr dostarcza systemy do prowadzenia elektronicznej dokumentacji medycznej, a jego platformę wykorzystuje 12 tys. podmiotów medycznych. W sierpniu Ministerstwo Cyfryzacji poinformowało, że w wyniku ataku wyciekły dane 19 mln Polaków, w tym informacje o lekach i receptach.

W poniedziałkowym oświadczeniu prezes spółki Piotr Miluski przeprosił za całą sytuację.

Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych - napisał.

Analiza nie została jeszcze zakończona. Zespół MyDr wspólnie z zewnętrznymi ekspertami wciąż precyzuje, jakie dokładnie dane objął incydent, a równolegle trwa postępowanie Centralnego Biura Zwalczania Cyberprzestępczości.

W najbliższych dniach ruszy oficjalne informowanie placówek medycznych zgodnie z RODO, a spółka ma pomóc im w komunikacji z pacjentami. Firma deklaruje przy tym celowo szerokie podejście do tego procesu.

Stąd liczba 18 mln osób, do których informacja może dotrzeć za pośrednictwem placówek. Jak wyjaśnia Miluski, tę grupę określono z ostrożności i obejmuje ona osoby, których danych — przede wszystkim historycznych, pochodzących z kwietnia 2024 r. lub wcześniejszych — nie da się dziś wykluczyć z zakresu incydentu.

Prezes zastrzega jednak, że nie oznacza to kradzieży, odczytania czy upublicznienia danych 18 mln osób. Jak zapewnia, monitoring prowadzony przez firmę i zewnętrznych ekspertów nie wykazał, by wykradzione informacje zostały gdziekolwiek publicznie udostępnione.

Śledztwo CBZC nadzoruje Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego i serwerów spółki przez nieustaloną osobę, która wcześniej przełamała lub ominęła zabezpieczenia.

Sprawca miał następnie ujawnić część zdobytych informacji, przesyłając wycinek danych do serwisu "Zaufana Trzecia Strona". Za takie działanie grozi do trzech lat pozbawienia wolności.

Ministerstwo Zdrowia zapewniało w ubiegłym tygodniu, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.

Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia - podkreślił resort.

Niezależnie od okoliczności ministerstwo zaleca stosowanie podstawowych zasad cyberbezpieczeństwa. Chodzi o zastrzeżenie numeru PESEL, choćby przez aplikację mObywatel, używanie silnych i unikalnych haseł, korzystanie z uwierzytelniania wieloskładnikowego oraz ostrożność wobec e-maili, SMS-ów i telefonów nakłaniających do podania danych.

Sprawa będzie mieć też ciąg dalszy po stronie przepisów i kontroli. Wiceminister cyfryzacji Dariusz Standerski zapowiedział zaostrzenie odpowiedzialności podmiotów przetwarzających dane medyczne, a propozycje resortu mają zostać przedstawione w tym tygodniu. Urząd Ochrony Danych Osobowych zapowiedział natomiast kontrolę w spółce, obejmującą zastosowane środki techniczne i organizacyjne, w tym analizę ryzyka.