Cyberatak na systemy firmy MyDr odbił się także na pacjentach krakowskich placówek medycznych. Osoby korzystające z lecznic, które używały tego oprogramowania, otrzymują informacje o możliwym naruszeniu bezpieczeństwa ich danych. Sprawa jest poważna, bo w przejętych zasobach mogły znajdować się nie tylko dane identyfikacyjne, ale również informacje związane ze zdrowiem, wizytami czy receptami.
Krakowska lecznica informuje pacjentów
Do incydentu doszło w systemach firmy MyDr, dostawcy rozwiązań wykorzystywanych przez placówki medyczne do prowadzenia elektronicznej dokumentacji. Według informacji przekazanych przez stronę publiczną skala zdarzenia może być ogromna, incydent może dotyczyć danych nawet około 18,8 mln osób oraz ponad 12 tys. placówek.
Wśród podmiotów, których pacjenci mogą być objęci zdarzeniem, znalazła się również placówka z Krakowa. Pacjenci są informowani o naruszeniu i możliwym zagrożeniu dla ich danych. Nie oznacza to jednak, że każdy pacjent korzystający z placówki współpracującej z MyDr został poszkodowany w identyczny sposób. Zakres informacji, które mogły znaleźć się w przejętych zasobach, może być różny.
Jakie dane mogły zostać przejęte?
Sprawa jest szczególnie niepokojąca ze względu na charakter informacji przechowywanych w systemach. Wśród potencjalnie zagrożonych danych wymieniane są m.in. imiona i nazwiska, numery PESEL, numery telefonów oraz adresy e-mail. W części przypadków mogły to być także informacje dotyczące zdrowia pacjentów, w tym notatki z wizyt czy informacje o wystawionych receptach.
Ministerstwo Cyfryzacji informowało, że nieuprawniony dostęp dotyczył przede wszystkim historycznych danych przechowywanych w systemach MyDr, sięgających do kwietnia 2024 roku. To istotne rozróżnienie. Cyberatak na MyDr nie oznacza przejęcia centralnych systemów publicznej ochrony zdrowia.
Ministerstwo Zdrowia uspokaja
Ministerstwo Zdrowia oraz Centrum e-Zdrowia podkreślają, że incydent nie naruszył bezpieczeństwa centralnych usług e-zdrowia. Nie powinien więc wpływać na możliwość korzystania przez pacjentów ze świadczeń, wystawiania recept czy funkcjonowania publicznego systemu ochrony zdrowia. Jednocześnie służby prowadzą postępowanie dotyczące uzyskania nieuprawnionego dostępu do infrastruktury MyDr.
Prokuratura Okręgowa w Warszawie poinformowała, że postępowanie obejmuje m.in. dane osobowe pacjentów oraz informacje dotyczące ich stanu zdrowia. Śledczy ustalają osobę lub osoby odpowiedzialne za atak.
UODO kontroluje MyDr
Incydentem zajmuje się również Urząd Ochrony Danych Osobowych. UODO zdecydował o przeprowadzeniu kontroli w spółce MyDr. Sprawdzane mają być m.in. zastosowane zabezpieczenia techniczne i organizacyjne oraz to, czy były one odpowiednio testowane i dostosowywane do zmieniających się zagrożeń.
Urząd zwraca jednocześnie uwagę na ważną kwestię: w przypadku danych pacjentów administratorem informacji pozostaje placówka medyczna, która korzystała z systemu. Dlatego to właśnie placówki mają obowiązki związane z oceną ryzyka i w odpowiednich przypadkach poinformowaniem osób, których dane zostały objęte naruszeniem.
Co powinni zrobić pacjenci?
Osoby, które otrzymały informację o możliwym naruszeniu danych, powinny zachować szczególną ostrożność. UODO rekomenduje m.in. rozważenie zastrzeżenia numeru PESEL oraz zwiększenie czujności wobec wiadomości SMS, e-maili i telefonów dotyczących wizyt, recept czy dokumentacji medycznej.
To ważne, ponieważ informacje medyczne mogą zostać wykorzystane do przygotowania bardziej wiarygodnych prób oszustwa. Wiadomość odnosząca się do rzeczywistej placówki, wizyty czy recepty może wyglądać znacznie bardziej przekonująco niż typowy phishing. Warto również stosować unikalne hasła, korzystać z uwierzytelniania wieloskładnikowego i dokładnie sprawdzać nadawcę każdej wiadomości, która wymaga kliknięcia w link lub przekazania danych.
To nie koniec sprawy
Cyberatak na MyDr jest obecnie przedmiotem działań kilku instytucji. Służby próbują ustalić sprawców i dokładny zakres przejętych informacji, UODO analizuje sposób zabezpieczenia danych, a placówki medyczne kontaktują się z pacjentami, których może dotyczyć incydent.
Dla mieszkańców Krakowa najważniejsze jest teraz dokładne czytanie komunikatów otrzymywanych od placówek medycznych i ostrożność wobec wszelkich wiadomości dotyczących zdrowia. Jak podkreśla UODO, osoby, które zostały poinformowane o naruszeniu, powinny zachować szczególną ostrożność przy podawaniu danych przez internet i telefon oraz uważać na próby phishingu.
Źródło : Dziennik Polski
