Największy wyciek danych w historii Polski. Co wiadomo do tej pory?

Wyciek danych z MyDr. Co dokładnie się wydarzyło?

W środę (12 sierpnia) wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o wycieku 2 TB danych dotyczących leków i recept 19 mln Polaków z serwisu MyDr. To jeden z największych dostawców systemów Elektronicznej Dokumentacji Medycznej w Polsce. Z jego rozwiązań korzysta 12 tys. placówek ochrony zdrowia. System jest przeznaczony zarówno dla indywidualnych praktyk lekarskich, jak i przychodni czy centrów medycznych. Według danych podawanych przez samą firmę platforma obsługuje miesięcznie około 3 mln wizyt oraz 2,7 mln wystawianych recept.

- Mamy do czynienia z niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery - ocenił Gawkowski.

Szef resortu przyznał, że wiadomo już, "gdzie był błąd w oprogramowaniu, jakie elementy dotyczące procesu i zarządzania tym systemem nie zagrały", a także że zostały one już uszczelnione. Zauważył, że "w każdym oprogramowaniu jakaś luka może się zdarzyć". - To, że ona się zdarzyła, będzie etapem postępowania służb i ewentualnego nałożenia kary - zapewnił.

Kto odpowiada za wyciek danych?

Jak przekazał Krzysztof Gawkowski, "nic nie wskazuje na to, że w procesie (...) uczestniczył podmiot zewnętrzny, czyli spoza Polski". - Z dużą dozą pewności możemy powiedzieć, że to jest działanie cyberprzestępców, którzy mają określone chęci związane z pozyskiwaniem środków finansowych - informował minister.

Jak zareagował resort?

"Klienci firmy, czyli placówki medyczne i lekarze, zostali poinformowani o identyfikacji potencjalnego nieuprawnionego dostępu do systemów" - napisał we środę Krzysztof Gawkowski na platformie X.

Minister zwołał Połączone Centrum Operacyjne Cyberbezpieczeństwa. Jak przekazał, systemy firmy, która padła ofiarą cyberataku, zostały już zabezpieczone i "nie grozi im żadne niebezpieczeństwo". Obecnie działają bezpiecznie i w normalnym trybie.

Minister zapowiedział również, że obywatele będą informowani o kolejnych działaniach. Jednym z nich ma być udostępnienie w rządowej stronie bezpiecznedane.gov.pl informacji pozwalających sprawdzić, czy dane konkretnej osoby znalazły się wśród tych, które zostały skradzione. Dotychczas jednak dane z wycieku nie trafiły jeszcze do bazy serwisu. - Trwa zabezpieczanie danych, żeby w ciemnej części darknetu nie były dostępne i żeby nikt nie mógł ich kupić (...) albo nie chciał ich sprzedać na przykład w dużej paczce - wyjaśnił Gawkowski.

Co robią służby?

Minister przekazał, że służby rozpracowują grupę odpowiedzialną za atak. - Celem jest złapanie osób, które to zrobiły - powiedział. Za część operacyjną odpowiada Centralne Biuro Zwalczania Cyberprzestępczości, które współpracuje z prokuraturą.

Gawkowski zapewnił, że pozostaje w stałym kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Jolantą Sobierańską-Grendą oraz prezesem Urzędu Ochrony Danych Osobowych Mirosławem Wróblewskim.

Mirosław Wróblewski był gościem Pawła Sulika w audycji "TOK 360". Jak ocenił prezes UODO, wyciek danych blisko 19 mln osób to "bardzo poważny incydent". - Parę lat temu nielegalnie przekazano - w ramach tak zwanych wyborów korespondencyjnych - dane wszystkich dorosłych Polaków. To zdarzenie ma, w moim przekonaniu, porównywalną skalę - ocenił gość TOK FM.

Całej rozmowy Pawła Sulika z Mirosławem Wróblewskim wysłuchaj tutaj:

Gdzie są dane, które wyciekły?

Według informacji przekazanych przez ministra cyfryzacji danych skradzionych w cyberataku "nie ma w przestrzeni publicznej". - Nie są one wystawione nigdzie na sprzedaż ani nie są elementem żadnej gry. Monitorują to służby - przekazał Gawkowski

Hakerzy zdobyli dane "jednego z ważnych polityków". Minister potwierdził

Krzysztof Gawkowski pytany w rozmowie w TVN24, czy grupa hakerów, aby udowodnić tę kradzież, wysłała dane jednego z ważnych polityków - jego numer PESEL i recepty - Gawkowski potwierdził i zastrzegł, że "nic więcej nie powie". Później wrócił do tego tematu. - Jeżeli pojawiają się dane o indywidualnych osobach, tak jak w przypadku polityka, który mógł być elementem pewnej gry, czyli opowieści o tym, że to jego dane zostały przekazane i wiadomo, że chodzi o jego recepty i o jego leki, ta osoba została już poinformowana - zaznaczył wicepremier. - Te najważniejsze kwestie dotyczące bezpieczeństwa najważniejszych osób w państwie, żeby nie było żadnego pola do szantażu, zostały wczoraj, już w dniu wczorajszym przez ABW zrealizowane - dodał.

Redakcja poleca

Tykające bomby Putina. "Wybrzeże między Kołobrzegiem a Jastrzębia Górą uległoby zniszczeniu"

Wyciek danych. Co możesz zrobić?

Krzysztof Gawkowski przypomniał, że jednymi z podstawowych zasad bezpieczeństwa i higieny cyfrowej są zastrzeganie swojego numeru PESEL (na przykład w aplikacji mObywatel) oraz stosowanie trudnych haseł i dwuskładnikowej weryfikacji logowania. - Zastrzeżenie numeru PESEL dzisiaj w mObywatelu trwa pięć sekund - powiedział, dodając, że zastrzec PESEL można również w urzędzie gminy

Aby sprawdzić, czy nasze dane znalazły się wśród informacji objętych wyciekiem, należy wejść na stronę bezpiecznedane.gov.pl. Po zalogowaniu się za pomocą Profilu Zaufanego użytkownik może skorzystać z wyszukiwarki i sprawdzić, czy w bazie znajdują się jego numery telefonu, adresy e-mail, loginy lub numer PESEL. Będzie to jednak możliwe dopiero po zakończeniu prac resortu.

- Tutaj chyba komunikacja powinna być lepsza. nie sądzi pan? - zapytał Paweł Sulik prezesa UODO, wskazując, że baza już powinna być dostępna. Według Wróblewskiego sprawa nie jest taka prosta. - Sytuacja jest o tyle skomplikowana, że podstawowe obowiązki dotyczące ochrony danych osobowych spoczywają na administratorach. Prawo europejskie jest sporządzone tak, że w takich masowych sytuacjach odpowiedzialność jest rozłożona na wiele podmiotów, to znaczy wszystkich administratorów, którzy mają informować bezpośrednio te placówki medyczne. Natomiast z perspektywy krajowego systemu cyberbezpieczeństwa, ten portal powinien zawierać tego typu informacje - ocenił.

Prezes UODO był pytany także o to, co może grozić ofierze cyberataku. - Jeżeli chodzi o wzięcie kredytu na czyjeś dane, to ryzyko jest znacznie mniejsze, ponieważ przepisy bankowe są bardzo ścisłe i dane medyczne nie są przydatne do wzięcia kredytu. Ale mogą być inne dane - łącznie z numerem PESEL - które rzeczywiście takie ryzyko zwiększają - podkreślił gość TOK FM i powtórzył apel ministra cyfryzacji o zastrzeżenie numeru PESEL.

Redakcja poleca

Kościół sprzedał grunt, ruszyły eksmisje na Osiedlu Maltańskim. "Szarpali, popychali"

Wyciek danych pacjentów. Głos zabrały MyDr i ENEL-MED

Na pytania PAP o wyciek danych firma MyDr odpisała: "Zespoły ds. bezpieczeństwa, inżynierii i infrastruktury, wspierane przez zewnętrznych ekspertów w zakresie cyberbezpieczeństwa, prowadzą obecnie dochodzenie dotyczące dokładnego charakteru i sposobu potencjalnego nieuprawnionego dostępu, jego chronologii, tego, czy i jakie alerty systemowe zostały wywołane, oraz jego potencjalnego zakresu. Współpracujemy również ściśle z właściwymi organami i instytucjami rządowymi. Ponieważ dochodzenie wciąż jest w toku, nie możemy ujawnić dalszych szczegółów technicznych ani spekulować na temat jego wyników na tym etapie". Strona zarządzająca danymi pacjentów twierdzi też, że dane te kończyły się na 2024 roku.

Komunikat dotyczący incydentu opublikował również ENEL-MED. "W związku z doniesieniami dotyczącymi możliwego naruszenia bezpieczeństwa danych w systemie MyDr (system obsługujący pacjentów w ramach umów NFZ) informujemy, że centrum medyczne enel-med uważnie monitoruje sytuację i analizuje dostępne informacje. Na ten moment nie otrzymaliśmy od MyDr potwierdzenia, że incydent dotyczył danych osobowych pacjentów enel-med korzystających z usług w ramach NFZ. Ryzyko nie dotyczy pacjentów realizujących usługi komercyjne, w ramach abonamentów oraz ubezpieczeń. Jeżeli pojawią się potwierdzone informacje dotyczące naszych pacjentów, niezwłocznie przekażemy dalsze komunikaty i zalecenia"

Źródło: PAP, TOK FM