To jeden z najpoważniejszych wycieków danych w historii Polski. Z systemów firmy MyDr wykradziono informacje dotyczące nawet 18,8 mln osób. Problem jest znacznie poważniejszy niż ujawnienie numerów PESEL – w ręce przestępców trafiły również dane medyczne.

Skala zdarzenia jest ogromna. Według informacji przekazanych przez Ministerstwo Cyfryzacji nieuprawniony dostęp dotyczył historycznych danych zgromadzonych do kwietnia 2024 roku, pochodzących z gabinetów korzystających z systemów MyDr. Incydent może obejmować około 18,8 mln osób i ponad 12 tys. placówek medycznych. 

Wykradziona baza ma mieć ponad 2 TB danych. Znajdowały się w niej m.in. imiona i nazwiska pacjentów, numery PESEL, numery telefonów, adresy e-mail, ale również informacje dotyczące zdrowia – treść notatek z wizyt lekarskich oraz dane o wystawianych receptach.

I właśnie dlatego nie jest to kolejny „zwykły wyciek danych”, po którym wystarczy zmienić hasło.

Przestępca może wiedzieć nie tylko, kim jesteś. Może wiedzieć, jak się leczysz

Numer telefonu można zmienić. Hasło można zastąpić nowym. Kartę płatniczą można zablokować.

Historii choroby, informacji o przyjmowanych lekach czy przebytych wizytach lekarskich zmienić się nie da.

W przypadku MyDr problem polega na połączeniu różnych informacji dotyczących tej samej osoby. Imię, nazwisko, PESEL, numer telefonu czy e-mail już same w sobie mogą być wykorzystywane przez oszustów. Jeżeli jednak przestępca dodatkowo zna szczegóły dotyczące leczenia, może przygotować wiadomość lub rozmowę telefoniczną, która będzie brzmiała niezwykle wiarygodnie.

Wyobraźmy sobie telefon:

„Dzwonię z przychodni w sprawie ostatniej recepty. Musimy potwierdzić dane pacjenta”.

Albo SMS:

„W związku z receptą wystawioną podczas ostatniej wizyty konieczna jest aktualizacja danych. Prosimy zalogować się pod poniższym adresem”.

Jeżeli odbiorca rzeczywiście był u lekarza albo przyjmuje wskazany lek, znacznie łatwiej może uwierzyć, że kontakt jest prawdziwy. To właśnie potencjalne wykorzystanie prawdziwych danych do bardzo precyzyjnego phishingu i socjotechniki jest jednym z największych zagrożeń po takim incydencie. UODO już ostrzega przed wiadomościami SMS, e-mailami i telefonami służącymi do zdobywania kolejnych informacji lub dostępu m.in. do bankowości internetowej. 

Zastrzeżenie PESEL jest ważne. Ale w tym przypadku nie rozwiązuje problemu

Po ujawnieniu skali wycieku minister cyfryzacji Krzysztof Gawkowski zaapelował o zastrzeganie numerów PESEL. Warto zrobić to natychmiast – nawet jeśli nie wiadomo jeszcze, czy nasze dane znalazły się w bazie.

Trzeba jednak jasno powiedzieć: zastrzeżenie PESEL chroni tylko przed częścią zagrożeń wynikających z tego wycieku.

Zastrzeżony PESEL znacząco utrudnia wykorzystanie naszej tożsamości m.in. do zaciągnięcia kredytu lub pożyczki, zakupu na raty, otwarcia rachunku bankowego czy wyrobienia duplikatu karty SIM. Banki, firmy pożyczkowe, operatorzy telekomunikacyjni i inne objęte przepisami instytucje muszą sprawdzać status numeru PESEL. 

Zastrzeżony PESEL nie sprawi jednak, że skradzione informacje medyczne znikną z rąk przestępców.

Nie zatrzyma również oszusta, który będzie próbował:

• podszyć się pod przychodnię, lekarza, aptekę, NFZ czy inną instytucję,
• wysłać spreparowanego SMS-a lub e-mail,
• wyłudzić login i hasło do bankowości,
• nakłonić do instalacji aplikacji albo otwarcia złośliwego załącznika,
• zdobyć kolejne informacje pozwalające jeszcze dokładniej podszyć się pod ofiarę.

Dlatego zastrzeżenie PESEL powinno być pierwszym krokiem, ale zdecydowanie nie ostatnim. Ministerstwo Zdrowia zaleca również używanie unikalnych haseł, włączenie uwierzytelniania wieloskładnikowego oraz szczególną ostrożność wobec telefonów, SMS-ów i e-maili nakłaniających do podania danych. 

Jak zastrzec PESEL w mObywatelu?

Najprościej zrobić to bezpłatnie w aplikacji mObywatel. Cała operacja zajmuje kilkanaście sekund.

W aplikacji należy:

1. uruchomić mObywatela,
2. wejść w zakładkę „Usługi”,
3. wybrać „Zastrzeż PESEL”,
4. nacisnąć „Zastrzeż”,
5. potwierdzić operację.

Zastrzeżenie zaczyna działać od razu. W tej samej usłudze można również sprawdzić, kto i kiedy weryfikował nasz PESEL. Jeżeli pojawi się tam instytucja, z którą nie mieliśmy żadnego kontaktu, warto ustalić powód sprawdzenia numeru. 

Zastrzeżony PESEL nie blokuje wizyty u lekarza, realizacji recepty, korzystania z Profilu Zaufanego czy załatwiania większości spraw urzędowych. 

PESEL można też zastrzec przez internet lub osobiście w urzędzie gminy. 

Chcesz sprawdzić, czy wyciekły Twoje dane? Na razie trzeba uważać na wynik

Rząd zapowiedział, że informacje pozwalające ustalić, czy dana osoba została objęta incydentem MyDr, zostaną umieszczone w państwowym serwisie Bezpieczne Dane.

Jest jednak bardzo ważne zastrzeżenie.

Wieczorem 13 sierpnia dane pochodzące z wycieku MyDr nie znajdowały się jeszcze w bazie tego serwisu. Oficjalny komunikat wskazuje, że zostaną udostępnione po ich przekazaniu przez podmioty dotknięte cyberatakiem. Ministerstwo Cyfryzacji zaznaczyło wcześniej, że proces może potrwać kilka dni. 

Oznacza to, że brak informacji o swoim PESEL w serwisie w tej chwili nie może być traktowany jako potwierdzenie, że dane nie wyciekły.

UODO wchodzi do MyDr. Prokuratura prowadzi postępowanie

Sprawa ma już kolejny etap. 13 sierpnia Prezes Urzędu Ochrony Danych Osobowych zapowiedział kontrolę spółki MyDr. Kontrolerzy mają sprawdzić zastosowane zabezpieczenia techniczne i organizacyjne, sposób przeprowadzania analizy ryzyka oraz to, czy zabezpieczenia były regularnie testowane pod kątem nowych zagrożeń. 

Postępowanie prowadzi również Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Według prokuratury do nieuprawnionego dostępu doszło nie później niż 6 sierpnia, a sprawca miał dostać się do informacji przechowywanych na serwerach po przełamaniu lub ominięciu zabezpieczeń. Fragment danych został następnie przesłany redakcji serwisu Zaufana Trzecia Strona. 

Premier Donald Tusk przekazał 13 sierpnia, że wiele wskazuje na motywację kryminalną i próbę wyłudzenia okupu od firmy. Według aktualnych ustaleń nie ma przesłanek wskazujących, że za atakiem stoi obce państwo. 

Jednocześnie minister cyfryzacji poinformował, że skradzione dane nie zostały dotąd publicznie wystawione na sprzedaż i nie są obecnie dostępne w przestrzeni publicznej. Sytuację monitorują służby. 

System państwowych e-recept nie został zaatakowany

Warto również doprecyzować jedną rzecz. Nie doszło do włamania do centralnego państwowego systemu e-zdrowia.

Ministerstwo Zdrowia potwierdziło, że incydent dotyczy systemów firmy MyDr i nie wpływa na możliwość korzystania ze świadczeń zdrowotnych czy wystawiania i realizowania recept. Centrum e-Zdrowia zwiększyło jednak monitoring swoich systemów.

Największe zagrożenie może pojawić się dopiero później

W przypadku tak dużego wycieku niebezpieczeństwo nie kończy się po kilku dniach od ataku. Dane osobowe i medyczne mogą zachować swoją wartość dla przestępców przez lata.

Dlatego w najbliższym czasie szczególną podejrzliwość powinny wzbudzać telefony i wiadomości od osób powołujących się na przychodnie, lekarzy, NFZ, banki, policję czy urzędy – zwłaszcza jeśli rozmówca zna nasze prawdziwe dane.

Sam fakt, że ktoś zna nasze imię, nazwisko, PESEL, numer telefonu, nazwę przychodni czy nawet szczegół dotyczący leczenia, nie jest już dowodem, że naprawdę reprezentuje daną instytucję.

Po tym wycieku może być wręcz odwrotnie.

To właśnie znajomość prawdziwych informacji może stać się dla oszustów najskuteczniejszym narzędziem do zdobycia naszego zaufania.

PESEL warto więc zastrzec już teraz. Ale równie ważne jest coś jeszcze: przez kolejne miesiące nie ufać rozmówcy tylko dlatego, że wie o nas rzeczy, których – jak sądziliśmy – obca osoba nie powinna wiedzieć.