Potencjalny wyciek danych medycznych blisko 19 mln Polaków w systemie MyDr

Wicepremier Krzysztof Gawkowski zwołał pilne posiedzenie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa w związku ze zgłoszeniem incydentu w infrastrukturze firmy MyDr. Przestępcy twierdzą, że weszli w posiadanie danych osobowych ponad 18,8 mln obywateli, w tym numerów PESEL oraz informacji o wystawionych receptach.

Polska branża medyczna mierzy się z jednym z największych kryzysów cyberbezpieczeństwa w historii. Spółka MyDr, dostarczająca oprogramowanie do Elektronicznej Dokumentacji Medycznej dla tysięcy gabinetów w całym kraju, padła ofiarą ataku hakerskiego. Firma zajmuje się cyfrową obsługą placówek zdrowia, procesując miesięcznie około 3 mln wizyt oraz 2,7 mln recept. Sprawcy twierdzą, że pozyskali 2,5 TB danych obejmujących między innymi unikatowe numery PESEL, numery telefonów oraz zapisy realizowanych leków.

Do sprawy odniósł się wicepremier oraz minister cyfryzacji, podkreślając powagę zaistniałej sytuacji.

– Mamy prawdopodobieństwo bardzo dużego wycieku danych związanego z jedną z firm obsługujących lekarzy i gabinety lekarskie, która to gromadziła dane pacjentów z całej Polski. Trwają działania służb, które sprawdzają, jak, jaką metodą, kto doprowadził do tego wycieku, jak wyglądał ten incydent, kto może dzisiaj dysponować tymi danymi i oczywiście jak duża jest tego skala – powiedział Krzysztof Gawkowski.

Minister dodał, że ewentualne potwierdzenie skali wycieku stawiałoby ten przypadek w czołówce największych incydentów bezpieczeństwa w Polsce.

– To byłoby jednym z największych wycieków danych w historii – podkreślił Gawkowski.

Szef resortu cyfryzacji zaznaczył również, z jak dużym ryzykiem wiąże się utrata tak wrażliwych rekordów dla obywateli.

– To są cenne dane, które nie tylko przestępcy, ale różne instytucje mogą chcieć kupić, żeby mieć o nas wiedzę, dokonywać analityki, ale też szantażować, wykonywać różnego rodzaju działania, które mogą wpływać na nasze normalne życie – powiedział.

Mechanizm ataku oraz oficjalne stanowisko spółki

Z relacji napastników, którą opisuje serwis Z3S wynika, że dostęp do zasobów spółki uzyskano poprzez wykorzystanie podatności typu XXE przy obsłudze certyfikatów. Pozwoliło to na przejęcie kluczy API do serwisu GitHub, a w konsekwencji na penetrację kodu źródłowego oraz chmury AWS. Włamaniem objęto również wewnętrzne narzędzia organizacji, takie jak system Jira, platforma CRM HubSpot czy firmowe konto do wysyłki wiadomości SMS.

Dowody wskazują, że intruzi kontaktowali się z kierownictwem firmy już 5 sierpnia. Dostarczone próbki materiałów zawierały szczegółowe dane osobowe wybranych osób publicznych, zestawienia stawek reklamowych oraz wewnętrzną korespondencję firmową. Analizy przeprowadzone przez ekspertów potwierdzają autentyczność części udostępnionych rekordów.

Firma podjęła natychmiastowe kroki w celu zbadania zdarzenia i zabezpieczenia środowiska teleinformatycznego.

– Obecnie prowadzimy postępowanie wyjaśniające dotyczące zgłoszonego incydentu związanego z systemami MyDr – poinformowali przedstawiciele MyDr.

Dodali, że nad wyjaśnieniem sytuacji pracują wewnętrzne zespoły do spraw bezpieczeństwa oraz zewnętrzni eksperci. Ze względu na status spółki jako podmiotu przetwarzającego dane na zlecenie przychodni, proces powiadamiania konkretnych osób będzie wymagał formalnej współpracy z poszczególnymi placówkami medycznymi.