Wyciekły dane nawet 19 mln Polaków. Pilny apel Gawkowskiego: zastrzeżcie PESEL

To może być jeden z największych incydentów cyberbezpieczeństwa w historii Polski. Po ataku na firmę MyDr w ręce przestępców mogły trafić dane powiązane z 18,8 mln numerów PESEL. Wicepremier i minister cyfryzacji Krzysztof Gawkowski apeluje do Polaków o zastrzeganie numerów PESEL. Służby sprawdzają skalę zdarzenia i ustalają, jakie dokładnie informacje zostały przejęte.

Sprawa jest wyjątkowo poważna ze względu na liczbę potencjalnie poszkodowanych oraz charakter informacji przechowywanych w systemach firmy. MyDr jest jednym z dużych dostawców rozwiązań wykorzystywanych do prowadzenia elektronicznej dokumentacji medycznej.

Po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa Krzysztof Gawkowski określił zdarzenie jako jeden z największych tego typu incydentów w historii kraju.

18,8 mln numerów PESEL. Skala ataku jest ogromna

Według informacji przekazanych po cyberataku domniemani sprawcy twierdzą, że zdobyli dane powiązane z 18,8 mln numerów PESEL.

To liczba, która pokazuje potencjalną skalę problemu. Obecnie polskie służby analizują przejęte informacje oraz próbują ustalić przebieg samego ataku.

Badane jest między innymi to, w jaki sposób napastnicy uzyskali dostęp do systemów MyDr oraz czy przyczyną była luka techniczna, błąd człowieka, zaniedbanie lub inne działanie.

Mogły wyciec nie tylko imię, nazwisko i PESEL

Największe obawy dotyczą zakresu informacji, które potencjalnie znalazły się w rękach przestępców.

MyDr dostarcza rozwiązania informatyczne wykorzystywane przez placówki medyczne między innymi do prowadzenia dokumentacji pacjentów oraz wystawiania recept.

Według informacji przekazanych przez wicepremiera wyprowadzone dane mogą łączyć imiona, nazwiska i miejsca zamieszkania z informacjami dotyczącymi recept, przyjmowanych leków oraz stanu zdrowia.

To szczególnie wrażliwa kombinacja danych. Krzysztof Gawkowski zwrócił uwagę na ryzyko wykorzystania takich informacji do szantażu.

Na obecnym etapie służby nadal ustalają jednak dokładny zakres wycieku.

Polacy będą mogli sprawdzić swoje dane

Państwo przygotowuje rozwiązanie, które ma pozwolić obywatelom ustalić, czy ich informacje znalazły się w wykradzionym zbiorze.

Dane pozyskane i przeanalizowane przez służby mają zostać udostępnione w serwisie **Bezpieczne Dane**. Po ich uporządkowaniu użytkownik będzie mógł zweryfikować, czy incydent dotyczy również jego informacji.

Po konferencji wicepremiera pojawiły się jednak doniesienia o problemach z działaniem strony. Internauci zgłaszali między innymi trudności z logowaniem.

Kolejne informacje dotyczące możliwości sprawdzania danych mają być przekazywane po zakończeniu odpowiednich analiz.

Gawkowski apeluje: zastrzeżcie PESEL

Minister cyfryzacji zwrócił uwagę na jeden z najprostszych sposobów ograniczenia ryzyka wykorzystania skradzionych danych.

Chodzi o zastrzeżenie numeru PESEL.

Można zrobić to elektronicznie w aplikacji mObywatel. Osoby, które z niej nie korzystają, mogą zastrzec PESEL w urzędzie gminy.

Zastrzeżenie numeru jest szczególnie istotne w sytuacji, gdy istnieje ryzyko, że dane identyfikacyjne dostały się w niepowołane ręce.

Sam PESEL to nie wszystko. Trzeba uważać na próby oszustwa

Przy wycieku obejmującym tak szeroki zakres informacji zagrożenie nie ogranicza się wyłącznie do prób wykorzystania numeru PESEL.

Przestępcy mogą wykorzystywać prawdziwe informacje o ofierze, aby przygotować bardziej wiarygodną wiadomość SMS, e-mail albo rozmowę telefoniczną.

Jeżeli oszust zna imię, nazwisko i inne informacje dotyczące konkretnej osoby, łatwiej może przekonać ją, że kontaktuje się z nią prawdziwa instytucja.

Dlatego w najbliższym czasie szczególną ostrożność powinny zachować osoby otrzymujące niespodziewane wiadomości dotyczące kont, płatności, recept, dokumentów czy konieczności potwierdzenia danych.

Państwo nie zapłaci okupu

Krzysztof Gawkowski przekazał również jednoznaczne stanowisko w sprawie ewentualnych żądań przestępców.

Państwo **nie zamierza płacić okupu ani negocjować w sprawie odzyskania skradzionych informacji**.

Służby koncentrują się na ustaleniu sprawców, zabezpieczeniu systemów oraz dokładnym określeniu skutków incydentu.

Na obecnym etapie, według informacji przekazanych przez wicepremiera, nic nie wskazuje również na to, aby za cyberatakiem stało obce państwo.

MyDr może ponieść konsekwencje

Badane są także okoliczności, które umożliwiły przeprowadzenie ataku.

Służby mają ustalić, czy doszło do błędu człowieka, wykorzystania podatności technicznej, sabotażu albo zaniedbań dotyczących zabezpieczeń.

Jeżeli kontrola wykaże, że firma nie zapewniła wymaganego poziomu bezpieczeństwa albo nie przeprowadziła koniecznych inwestycji w ochronę systemów, **MyDr może ponieść konsekwencje**.

Na ostateczne ustalenia trzeba jednak poczekać do zakończenia postępowania.

## Co to oznacza dla Ciebie?

Jeżeli korzystałaś lub korzystałeś z usług placówki medycznej obsługiwanej przez rozwiązania MyDr, nie należy automatycznie zakładać, że wszystkie Twoje dane zostały skradzione. **Służby dopiero ustalają dokładny zakres incydentu.**

Jednocześnie przy potencjalnej skali sięgającej **18,8 mln numerów PESEL** warto zastosować podstawowe środki bezpieczeństwa.

Przede wszystkim można zastrzec PESEL w aplikacji mObywatel albo w urzędzie gminy. Warto także uważnie obserwować nietypowe wiadomości i telefony. Nie należy podawać kodów BLIK, haseł, danych logowania ani instalować aplikacji na polecenie osoby dzwoniącej.

Trzeba również zachować szczególną ostrożność wobec wiadomości wykorzystujących temat samego wycieku. Tak duży incydent może zostać wykorzystany przez oszustów do rozsyłania fałszywych SMS-ów i e-maili z informacją w rodzaju „Twoje dane wyciekły, kliknij, aby je zabezpieczyć”.

Najważniejsze będzie oficjalne potwierdzenie, jakie informacje rzeczywiście zostały przejęte i których osób dotyczą.** Do tego czasu zastrzeżenie PESEL oraz wzmożona ostrożność mogą ograniczyć część potencjalnego ryzyka.