Po ataku na dane blisko 19 mln Polaków grupa zapowiada „coś jeszcze większego”. Warszawska prokuratura prowadzi śledztwo

Grupa używająca nazwy Fingerprint, która przypisuje sobie sierpniowy cyberatak na firmę MyDr, opublikowała nowy komunikat. Tym razem zapowiada ujawnienie informacji o czymś „jeszcze większym”, ale nie podaje, jakiej firmy, instytucji ani jakiej liczby osób miałaby dotyczyć kolejna sprawa. Wcześniejszy incydent związany z MyDr może obejmować dane nawet 18,8 mln osób, a postępowanie w tej sprawie nadzoruje Prokuratura Okręgowa w Warszawie.

Grupa po ataku na MyDr zapowiada kolejny, większy incydent. Na razie nie wiadomo, czego ma dotyczyć

Nowy wpis pojawił się w sobotę na platformie Infosec.Exchange, a jego treść nagłośnił serwis Zaufana Trzecia Strona. Informację opisał również Money.pl. Autorzy profilu działającego pod nazwą Fingerprint twierdzą, że dane przejęte w związku z MyDr nie zostaną opublikowane ani sprzedane, ponieważ firma po wykryciu problemu miała właściwie zareagować na incydent. Jednocześnie grupa zapowiedziała, że po kontakcie z Zaufaną Trzecią Stroną ma przekazać informacje o „czymś jeszcze większym”. Na tym etapie nie wiadomo jednak, co dokładnie oznacza ta deklaracja. Nie podano nazwy potencjalnej ofiary, rodzaju danych, liczby osób ani terminu, w którym nowe informacje miałyby zostać ujawnione.

To bardzo ważne zastrzeżenie, bo sam wpis nie jest dowodem na istnienie kolejnego potwierdzonego wycieku. Fingerprint jest grupą lub profilem przypisującym sobie odpowiedzialność za atak na MyDr, ale publiczne komunikaty polskich służb nie potwierdzają dotąd tożsamości sprawcy. Nie ma również oficjalnego komunikatu Ministerstwa Cyfryzacji, CBZC ani innej instytucji państwowej o nowym incydencie większym od sprawy MyDr. Na razie mamy więc zapowiedź pochodzącą od osób podających się za sprawców jednego z największych incydentów dotyczących danych medycznych w Polsce, ale bez twardych szczegółów pozwalających ocenić jej skalę.

Incydent MyDr może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych

Skala wcześniejszej sprawy jest ogromna. Ministerstwo Cyfryzacji poinformowało 12 sierpnia, że w systemach firmy MyDr doszło do nieuprawnionego dostępu do historycznych danych gabinetów lekarskich, przechowywanych do kwietnia 2024 r. Według informacji przekazanych przez resort incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Prokuratura Okręgowa w Warszawie później sprecyzowała, że w przejętych informacjach znajdowały się m.in. imiona i nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach.

Nie oznacza to jednak, że u każdej z 18,8 mln osób ujawniono dokładnie ten sam zestaw informacji. To jedna z rzeczy, które przy tak dużym incydencie łatwo zgubić w nagłówkach. MyDr obsługiwało wiele różnych placówek i dane pacjentów mogły mieć różny zakres. UODO przypominało ponadto, że administratorami danych są poszczególne przychodnie i gabinety korzystające z usług MyDr, a sama spółka pełniła rolę podmiotu przetwarzającego. To właśnie administrator powinien poinformować konkretną osobę o naruszeniu, jeżeli z analizy wynika wysokie ryzyko dla jej praw lub wolności.

Ministerstwo Zdrowia oraz Centrum e-Zdrowia podkreśliły przy tym, że incydent nie oznaczał włamania do centralnego systemu e-zdrowia. Nie naruszono działania publicznych usług związanych z receptami ani dostępu pacjentów do świadczeń. Centrum e-Zdrowia informowało później, że dotychczasowe ustalenia nie wskazywały również na wykorzystanie certyfikatów służących do komunikacji z systemem P1, ale profilaktycznie rozpoczęto ich stopniową wymianę we współpracy z MyDr.

Sprawę prowadzą CBZC i Prokuratura Okręgowa w Warszawie

Lokalny, warszawski wątek tej sprawy jest bardzo konkretny. Dochodzenie prowadzą funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości, a nadzoruje je Prokuratura Okręgowa w Warszawie. Postępowanie dotyczy uzyskania przez nieustaloną osobę nieuprawnionego dostępu do systemu informatycznego MyDr, przełamania lub ominięcia zabezpieczeń oraz dalszego przetwarzania zdobytych danych. Prokuratura podała, że część informacji została następnie ujawniona innym osobom poprzez przekazanie wycinka danych redakcji Zaufanej Trzeciej Strony. Pierwsze czynności CBZC Zarządu w Warszawie zostały podjęte 10 sierpnia, natomiast formalne dochodzenie wszczęto 12 sierpnia.

Śledczy na obecnym etapie nie ujawniają szczegółów ustaleń ani informacji pozwalających wskazać konkretną osobę lub grupę odpowiedzialną za włamanie. Prokuratura zakwalifikowała sprawę m.in. na podstawie art. 267 Kodeksu karnego oraz przepisów ustawy o ochronie danych osobowych. Czyn objęty dochodzeniem jest zagrożony karą do 3 lat pozbawienia wolności. Równolegle Prezes Urzędu Ochrony Danych Osobowych zdecydował o przeprowadzeniu kontroli w spółce MyDr. Kontrolerzy mają sprawdzić środki techniczne i organizacyjne stosowane do ochrony danych, analizę ryzyka oraz to, czy zabezpieczenia były odpowiednio testowane wobec zmieniających się zagrożeń.

Dane z MyDr można już sprawdzić w rządowym serwisie

Od 29 sierpnia osoby zainteresowane mogą sprawdzić w serwisie bezpiecznedane.gov.pl, czy ich numer PESEL znalazł się w bazie objętej incydentem MyDr. Serwis nie pokazuje pełnej dokumentacji medycznej ani szczegółowego zestawu danych związanych z konkretną osobą. Jeżeli numer PESEL znajduje się w danych związanych z incydentem, szczegółowych informacji o zakresie naruszenia powinna udzielić placówka medyczna będąca administratorem danych, czyli np. przychodnia lub gabinet korzystający wcześniej z systemu MyDr.

To również zmiana względem pierwszych dni po ujawnieniu sprawy. Jeszcze 18 sierpnia CBZC informowało, że z uwagi na prowadzone czynności nie było zasadne publikowanie informacji o numerach PESEL w rządowym serwisie. Po analizie danych możliwość sprawdzenia została jednak uruchomiona pod koniec miesiąca. Zainteresowanie było tak duże, że w pierwszych godzinach działania użytkownicy trafiali na kolejkę oczekujących. Dla osób, które korzystały przez lata z różnych przychodni, możliwość sprawdzenia numeru PESEL jest obecnie najprostszym pierwszym krokiem do ustalenia, czy incydent może ich dotyczyć.

Deklaracja Fingerprint nie daje gwarancji, że dane nie zostaną wykorzystane

Osoby stojące za profilem Fingerprint twierdzą obecnie, że danych z MyDr nie zamierzają sprzedawać ani publikować. Taką deklarację należy jednak traktować wyłącznie jako oświadczenie strony, która przypisuje sobie udział w ataku. Nie jest to prawne ani techniczne zabezpieczenie przed wykorzystaniem informacji, nie potwierdza również, że kopie danych nie znalazły się wcześniej w innych miejscach. Polskie służby w oficjalnych komunikatach informowały, że nie stwierdziły publicznego udostępnienia całej bazy, ale przy danych tej wrażliwości ostrożność pozostaje uzasadniona.

Szczególnie niebezpieczne jest połączenie danych identyfikacyjnych z informacjami medycznymi. Znajomość imienia, nazwiska, numeru PESEL, numeru telefonu, adresu e-mail oraz szczegółów dotyczących wizyty czy recepty może pozwolić przygotować bardzo wiarygodny phishing. Oszust nie musi nawet próbować bezpośrednio wykorzystać pełnej dokumentacji. Wystarczy, że zadzwoni lub napisze do pacjenta, podając kilka prawdziwych szczegółów, żeby zwiększyć wiarygodność fałszywej wiadomości dotyczącej przychodni, recepty, refundacji albo rzekomej konieczności potwierdzenia danych.

Po komunikacie o „czymś większym” najważniejsze jest czekanie na potwierdzenie, nie na kolejne pogłoski

Na razie nie ma podstaw, żeby łączyć zapowiedź Fingerprint z konkretną polską firmą lub instytucją. Nie wiadomo nawet, czy zapowiadane informacje rzeczywiście dotyczą nowego włamania, czy może wcześniej zdobytej bazy, o której grupa dopiero chce poinformować. Po skali MyDr taka deklaracja naturalnie budzi zainteresowanie, ale właśnie dlatego każda kolejna informacja wymaga weryfikacji. W momencie publikacji tego tekstu państwowe służby nie potwierdziły drugiego incydentu o większej skali.

Jeżeli Fingerprint rzeczywiście przekaże nowe materiały Zaufanej Trzeciej Stronie albo polskim instytucjom, dopiero ich analiza pozwoli ustalić, czy chodzi o realne dane i czy doszło do kolejnego naruszenia. W sprawie MyDr podobna weryfikacja zajęła kilka dni i wymagała zaangażowania Ministerstwa Cyfryzacji, Ministerstwa Zdrowia, UODO, CBZC, Prokuratury Krajowej oraz Prokuratury Okręgowej w Warszawie. Dlatego sama zapowiedź – nawet pochodząca od profilu, który wcześniej pokazał próbkę prawdziwych danych – nie powinna być traktowana jak potwierdzony nowy wyciek.

Co zrobić po wycieku danych MyDr i jak zmniejszyć ryzyko?

• Sprawdź numer PESEL w serwisie bezpiecznedane.gov.pl. Jeżeli pojawia się informacja o incydencie MyDr, skontaktuj się z placówką, która była administratorem danych. To właśnie przychodnia albo gabinet może przekazać dokładniejsze informacje o tym, jaki zakres danych był przetwarzany i czego mogło dotyczyć naruszenie.
• Zastrzeż numer PESEL. Ministerstwo Zdrowia i UODO rekomendują ten krok jako jedno z podstawowych działań po wycieku danych. Można zrobić to w aplikacji mObywatel albo w urzędzie. Zastrzeżenie ogranicza możliwość wykorzystania numeru PESEL m.in. przy zaciąganiu części zobowiązań finansowych na cudze dane.
• Uważaj na wiadomości związane z leczeniem i receptami. Po takim incydencie szczególnie podejrzane powinny być SMS-y, e-maile i telefony z prośbą o logowanie przez link, podanie kodu, numeru karty albo potwierdzenie danych. Oszust może znać prawdziwe informacje o pacjencie, dlatego sama znajomość nazwiska czy wcześniejszej wizyty nie potwierdza, że kontaktuje się prawdziwa placówka.
• Nie reaguj na niepotwierdzone informacje o kolejnym ataku. Zapowiedź „czegoś jeszcze większego” nie zawiera obecnie żadnych danych pozwalających wskazać nową ofiarę. Dopóki pojawi się oficjalne potwierdzenie albo zweryfikowane materiały, nie ma podstaw do podejmowania działań wobec konkretnej firmy czy instytucji tylko na podstawie spekulacji.