Pacjenci dostają wiadomości po cyberataku na MyDr. W mailu ważne dane

Po sierpniowym cyberataku na systemy MyDr rozpoczął się kolejny etap informowania pacjentów. Część osób otrzymuje indywidualne wiadomości e-mail lub SMS, z których wynika, z jaką konkretną placówką medyczną związane były dane objęte incydentem. Skala zdarzenia jest ogromna – według Ministerstwa Cyfryzacji nieuprawniony dostęp mógł dotyczyć danych historycznych nawet 18,8 mln osób i ponad 12 tys. placówek.

Do cyberataku na środowisko MyDr doszło w sierpniu. Firma dostarcza oprogramowanie wykorzystywane przez tysiące gabinetów i placówek medycznych w Polsce. Jak informowało Ministerstwo Cyfryzacji, nieuprawniony dostęp dotyczył przede wszystkim danych historycznych przechowywanych w systemach MyDr, sięgających do kwietnia 2024 roku.

Teraz pacjenci zaczynają dostawać bardziej szczegółowe zawiadomienia.

W wiadomości pojawia się nazwa konkretnej przychodni

To ważna zmiana w całej sprawie. Początkowe komunikaty dotyczyły samego incydentu i jego potencjalnej skali. Obecnie część placówek otrzymała od MyDr informacje pozwalające ustalić, których pacjentów rzeczywiście obejmuje naruszenie.

Przykładowo jedna z placówek medycznych poinformowała, że 2 września otrzymała od MyDr indywidualne potwierdzenie, że incydent objął także dane przetwarzane na jej rzecz. 9 września rozpoczęła elektroniczne powiadamianie pacjentów za pomocą e-maili i SMS-ów. Proces nadal trwa, a część osób może zostać poinformowana również listownie.

W praktyce pacjent może więc dostać wiadomość wysłaną technicznie za pośrednictwem systemu MyDr, ale odnoszącą się do konkretnej placówki, w której był leczony.

Jakie dane mogły znaleźć się w rękach osoby nieuprawnionej?

Zakres zależy od tego, jakie informacje dana placówka przechowywała w systemie.

Z komunikatów placówek wynika, że incydent mógł obejmować między innymi:

• imię i nazwisko,
• adres zamieszkania,
• numer telefonu i adres e-mail,
• numer PESEL,
• dane dotyczące zdrowia,
• dane dotyczące ubezpieczenia społecznego.

W niektórych przypadkach zakres mógł być jeszcze szerszy.

MyDr przekazywał placówkom, że napastnik uzyskał dostęp i skopiował część danych znajdujących się w środowisku firmy. Jedna z placówek poinformowała, że chodziło przede wszystkim o kopię bazy z 12 kwietnia 2024 roku, a w ograniczonej liczbie przypadków także o informacje dotyczące anulowanych skierowań utworzonych później.

Państwo potwierdziło ogromną skalę incydentu

Ministerstwo Cyfryzacji informowało 12 sierpnia, że nieuprawniony dostęp mógł dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Dane miały być sukcesywnie przekazywane także do serwisu bezpiecznedane.gov.pl, aby obywatele mogli sprawdzać, czy incydent dotyczy ich bezpośrednio.

Ważne jest jednak rozróżnienie dwóch kwestii.

Ministerstwo Zdrowia podkreśliło, że nie doszło do naruszenia centralnych systemów e-zdrowia. Incydent po stronie MyDr nie wpłynął też na wystawianie recept ani bieżący dostęp pacjentów do świadczeń medycznych.

Czy dane trafiły do internetu?

Na razie nie ma potwierdzenia, że przejęte informacje zostały publicznie opublikowane.

Jedna z placówek, powołując się na dane przekazane przez MyDr, wskazała, że na moment otrzymania informacji nie stwierdzono dowodów, aby dane zostały opublikowane w internecie lub publicznie udostępnione. Nie oznacza to jednak, że ryzyko zniknęło – samo skopiowanie danych przez osobę nieuprawnioną może prowadzić do prób oszustw, phishingu czy podszywania się pod instytucje.

Podobnie wiceminister cyfryzacji Dariusz Standerski mówił, że służby nie obserwują obecnie powszechnego obiegu tych danych w sieci.

Dostałeś maila? Nie klikaj odruchowo w linki

Paradoksalnie sama akcja informowania pacjentów może zostać wykorzystana przez oszustów.

Ministerstwo Zdrowia zaleca między innymi zastrzeżenie numeru PESEL, stosowanie silnych i unikalnych haseł, włączenie uwierzytelniania wieloskładnikowego oraz szczególną ostrożność wobec niespodziewanych e-maili, SMS-ów i telefonów.

Jeśli więc ktoś otrzyma wiadomość dotyczącą incydentu MyDr, powinien przede wszystkim dokładnie sprawdzić nadawcę i nie podawać żadnych kodów BLIK, haseł, kodów SMS ani danych logowania.

Zawiadomienia mogą przychodzić jeszcze przez jakiś czas

Proces informowania nie został zakończony jednocześnie dla wszystkich pacjentów i placówek. Poszczególne gabinety najpierw muszą otrzymać od MyDr odpowiednie zestawienia, następnie ustalić osoby objęte naruszeniem i dopiero potem skutecznie je zawiadomić.

Część pacjentów może więc dostać wiadomości dopiero teraz albo w kolejnych dniach.

Najważniejsza zmiana jest taka, że sprawa przechodzi z poziomu ogólnych komunikatów o milionach rekordów do indywidualnych zawiadomień. Pacjent może już dowiedzieć się nie tylko, że doszło do cyberataku, ale również z jaką konkretną placówką medyczną związane były jego dane i jaki zakres informacji mógł zostać naruszony.