MyDr zaczął wysyłać maile po cyberataku. Pacjenci dowiadują się, z której placówki pochodzą ich dane

MyDr rozpoczął wysyłanie indywidualnych zawiadomień do pacjentów, których dane mogły zostać objęte sierpniowym cyberatakiem. Do naszej redakcji trafiła taka wiadomość wysłana 5 września. Nadawcą technicznym jest system MyDr, ale już na początku maila wskazana zostaje konkretna placówka medyczna, z którą powiązane są dane pacjenta. W tym przypadku był to OpenMed Centrum Medyczne w Warszawie. Dopiero dalej pojawia się szczegółowa informacja, jakie dane mogły zostać objęte naruszeniem.

To ważny nowy etap sprawy. Sam atak na system MyDr został ujawniony wcześniej, ale dopiero teraz część pacjentów dostaje wiadomości odnoszące incydent do konkretnej placówki, z której korzystali. W mailu, który otrzymaliśmy, wymieniono bardzo szeroki zakres możliwych danych: imię, nazwisko, adres, dane kontaktowe, numer PESEL, informacje o zdrowiu i ubezpieczeniu społecznym, a w niektórych przypadkach również informacje dotyczące pracodawcy i osób upoważnionych do dokumentacji medycznej.

Mail przychodzi z MyDr, ale już na początku wskazana jest konkretna przychodnia

To rozróżnienie jest ważne. Wiadomość nie została wysłana bezpośrednio z serwera pocztowego OpenMed. W polu nadawcy widnieje MyDr oraz adres w domenie mydr.pl. Jednocześnie w samej treści, jeszcze przed właściwym zawiadomieniem, znajduje się rubryka „Placówka”, w której wpisana jest nazwa konkretnego podmiotu medycznego. W wiadomości udostępnionej naszej redakcji wskazano OpenMed Centrum Medyczne.

Na końcu zawiadomienie jest natomiast podpisane nazwą tej placówki. Pod spodem znajduje się informacja, że wiadomość została wygenerowana automatycznie, oraz stopka MyDr. W praktyce pacjent dostaje więc mail wygenerowany i wysłany przez system MyDr, ale dotyczący danych przetwarzanych w związku z leczeniem w konkretnej przychodni.

Ma to znaczenie również z punktu widzenia RODO. MyDr pełni wobec placówek rolę podmiotu przetwarzającego dane, natomiast administratorem danych pacjenta pozostaje przychodnia, gabinet lub inny podmiot medyczny korzystający z systemu. Dlatego w zawiadomieniu wskazana jest właśnie placówka, której dane dotyczyły incydentu, mimo że samo włamanie nastąpiło do środowiska informatycznego MyDr.

Wśród danych PESEL, adres i informacje o zdrowiu

Z treści zawiadomienia wynika, że analiza wykonana przez MyDr przy wsparciu specjalistów od informatyki śledczej wskazała przede wszystkim na dane znajdujące się w systemie przed 12 kwietnia 2024 r. W ograniczonej liczbie przypadków incydent mógł również obejmować informacje z anulowanych skierowań na badania medyczne wystawionych później.

Zakres danych jest bardzo szeroki. W mailu wskazano imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, informacje dotyczące zdrowia oraz ubezpieczenia społecznego. Jeżeli zostały przekazane, w bazie mogły znajdować się również dane dotyczące pracodawcy lub inne informacje identyfikacyjne.

Incydent mógł ponadto dotyczyć danych przedstawiciela ustawowego albo osoby upoważnionej do dostępu do dokumentacji medycznej. W zależności od zakresu przekazanych wcześniej informacji mogą to być imię i nazwisko, adres, dane kontaktowe, numer PESEL oraz informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.

Ministerstwo Cyfryzacji informowało wcześniej, że problem może obejmować około 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Nie oznacza to, że każdej z tych osób wyciekł identyczny zestaw informacji. Właśnie dlatego indywidualne wiadomości są tak istotne – pozwalają pacjentowi powiązać zdarzenie z konkretnym podmiotem medycznym.

Wiadomość ostrzega nawet przed oszustem znającym chorobę pacjenta

MyDr podkreśla, że dotychczasowy monitoring nie wykazał publicznego ujawnienia ani potwierdzonego wykorzystania danych. Jednocześnie samo zawiadomienie bardzo dokładnie opisuje potencjalne konsekwencje. Numer PESEL w połączeniu z imieniem, nazwiskiem i danymi kontaktowymi może zostać wykorzystany do prób zawarcia umowy, zaciągnięcia pożyczki lub innego oszustwa.

Jeszcze bardziej niepokojący jest możliwy sposób wykorzystania informacji medycznych. W mailu wprost wskazano scenariusz, w którym osoba trzecia kontaktuje się z pacjentem albo jego bliskimi i, znając informacje o chorobie, proponuje alternatywne metody leczenia. Taki telefon może brzmieć znacznie bardziej wiarygodnie niż zwykły phishing, bo oszust zna szczegół, którego przypadkowa osoba znać nie powinna.

Dlatego sama znajomość przez rozmówcę nazwy choroby, danych kontaktowych czy innych informacji medycznych nie może być traktowana jako dowód, że telefonuje prawdziwy lekarz, pracownik przychodni albo przedstawiciel ubezpieczyciela. Przy tak szerokim zakresie danych szczególnie ważna staje się ostrożność wobec telefonów, SMS-ów i wiadomości e-mail odnoszących się do zdrowia.

Warszawa jest ważnym punktem całej sprawy

Incydent ma mocny warszawski wymiar. MyDr ma siedzibę w Warszawie, postępowanie prowadzą funkcjonariusze warszawskiego Zarządu Centralnego Biura Zwalczania Cyberprzestępczości, a nadzoruje je Prokuratura Okręgowa w Warszawie. Teraz również pacjenci warszawskich placówek zaczynają dostawać indywidualne zawiadomienia.

W mailu przekazanym naszej redakcji jako placówkę powiązaną z danymi wskazano OpenMed Centrum Medyczne. To nie oznacza, że cyberatak przeprowadzono na system OpenMed. Naruszenie dotyczyło systemu MyDr, z którego korzystała placówka. Nazwa przychodni pojawia się dlatego, że właśnie z nią związany był konkretny zestaw danych danego pacjenta.

To rozróżnienie może być szczególnie ważne dla osób, które korzystały przez lata z wielu lekarzy i przychodni. Mail nie jest jedynie ogólnym ostrzeżeniem „Twoje dane były kiedyś w MyDr”. Wskazuje podmiot medyczny, z którym powiązana była informacja objęta incydentem. Dzięki temu pacjent może łatwiej ustalić, jakiego rodzaju dokumentacja mogła znajdować się w systemie.

MyDr współpracuje z CBZC, UODO, NASK i Centrum e-Zdrowia

Z przesłanego pacjentowi zawiadomienia wynika, że po wykryciu ataku MyDr zaangażował zewnętrzną firmę specjalizującą się w cyberbezpieczeństwie i przeprowadził analizę zdarzenia. Spółka zgłosiła incydent Centralnemu Biuru Zwalczania Cyberprzestępczości i deklaruje współpracę z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK, CSIRT Centrum e-Zdrowia oraz Urzędem Ochrony Danych Osobowych.

Firma informuje również o ciągłym monitorowaniu systemów i internetu pod kątem ewentualnego pojawienia się przejętych danych. Według informacji przekazywanej pacjentom nie wykryto dotąd przypadków ich publicznego udostępnienia ani wykorzystania. Nie ma też dowodów na dalszy nieuprawniony dostęp do systemów.

To jednak nie oznacza, że incydent można zignorować. Sam MyDr w wiadomości kierowanej do pacjentów zaznacza, że ze względu na charakter informacji w określonych okolicznościach naruszenie może powodować wysokie ryzyko dla praw i wolności osób, których dane znalazłyby się w rękach osoby nieuprawnionej.

PESEL najlepiej zastrzec. Nie blokuje to wizyt u lekarza

Jednym z podstawowych zaleceń przekazywanych osobom objętym incydentem jest zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, w serwisie gov.pl albo osobiście w urzędzie gminy. Instytucje finansowe mają obowiązek sprawdzać rejestr w określonych sytuacjach przed zawarciem umowy, co ogranicza możliwość wykorzystania przejętych danych do zaciągania zobowiązań na cudzy rachunek.

Zastrzeżenie PESEL nie uniemożliwia korzystania z normalnej opieki zdrowotnej. Nadal można rejestrować się do lekarza, realizować recepty i korzystać ze świadczeń. Nie blokuje też zwykłego załatwiania spraw urzędowych.

Po otrzymaniu takiego zawiadomienia dobrze również zwracać szczególną uwagę na kontakty od osób, które wiedzą zaskakująco dużo o stanie zdrowia pacjenta. W razie próby oszustwa sprawę można zgłosić Policji. Jeżeli wiadomość budzi wątpliwości, nie należy korzystać z przypadkowych linków przesyłanych w kolejnych mailach lub SMS-ach. Lepiej samodzielnie wejść na stronę MyDr, swojej placówki albo na gov.pl.

Indywidualne wiadomości wysyłane obecnie przez MyDr pokazują, że sierpniowy cyberatak wchodzi w kolejny etap. Po informacji o ogromnej możliwej skali naruszenia pacjenci zaczynają dostawać konkretne zawiadomienia ze wskazaniem placówki, której dane były związane z incydentem. W pokazanym przypadku mail dotarł 5 września. Jeżeli podobna wiadomość pojawi się w skrzynce, warto jej nie kasować automatycznie jako spamu – ale jednocześnie dokładnie sprawdzić nadawcę, bo tak duży wyciek może szybko stać się również pretekstem do podszywania się pod MyDr i placówki medyczne.