Bank Spółdzielczy w Miliczu opublikował ostrzeżenie dotyczące możliwego wycieku danych z firmy MyDr, która obsługuje elektroniczną dokumentację medyczną tysięcy placówek. W komunikacie pojawia się liczba blisko 19 mln Polek i Polaków. Problem w tym, że tej skali incydentu nie potwierdzają na razie publicznie ani UODO, ani CERT Polska.
Bank Spółdzielczy w Miliczu zaapelował do klientów o zachowanie szczególnej ostrożności i zastrzeżenie numeru PESEL. Powodem ma być atak na firmę MyDr.
W opublikowanym komunikacie bank napisał, że podczas ataku „mogło dojść do wycieku danych blisko 19 mln Polek i Polaków”.
To liczba ogromna. Oznaczałaby potencjalnie dane niemal co drugiego mieszkańca kraju.
I właśnie dlatego warto oddzielić to, co już wiadomo, od tego, czego nadal nie udało się potwierdzić.
MyDr to nie jest niewielki dostawca oprogramowania
MyDr działa na rynku systemów dla ochrony zdrowia i oferuje rozwiązania do prowadzenia elektronicznej dokumentacji medycznej.
Na swojej stronie firma przedstawia system jako narzędzie zapewniające pacjentom dostęp do danych medycznych, historii leczenia, wyników badań, e-recept czy umawiania wizyt.
Mamy więc do czynienia z infrastrukturą, w której mogą być przetwarzane informacje znacznie bardziej wrażliwe niż sam adres e-mail czy numer telefonu.
Dane dotyczące zdrowia należą do kategorii szczególnie chronionych. Rzecznik Praw Pacjenta przypomina, że podmioty lecznicze muszą stosować adekwatne i aktualne zabezpieczenia systemów teleinformatycznych, a naruszenia bezpieczeństwa takich danych mogą mieć poważne konsekwencje dla pacjentów.
Bank mówi o ataku. Nie ma jednak oficjalnego potwierdzenia 19 mln poszkodowanych
W komunikacie Banku Spółdzielczego w Miliczu są tak naprawdę dwie informacje.
Pierwsza brzmi: doszło do ataku na firmę MyDr.
Druga jest już sformułowana ostrożniej: mogło dojść do wycieku danych blisko 19 mln osób.
To ważne rozróżnienie.
Na moment przygotowywania tego materiału nie znaleźliśmy publicznego komunikatu Urzędu Ochrony Danych Osobowych ani CERT Polska, który potwierdzałby, że dane 19 mln osób rzeczywiście zostały przejęte przez przestępców.
Nie ma więc obecnie podstaw, aby pisać, że „wyciekły dane 19 mln Polaków”.
Możemy natomiast napisać, że bank publicznie ostrzega przed takim ryzykiem.
Skąd zatem liczba 19 mln?
I to jest obecnie najważniejsze pytanie.
Bank nie podał w swoim wpisie źródła tej informacji.
Nie wiadomo, czy otrzymał ostrzeżenie z systemu wymiany informacji sektora finansowego, od instytucji odpowiedzialnych za cyberbezpieczeństwo, od samego MyDr, czy też oparł komunikat na innych doniesieniach.
To istotne także dlatego, że bank nie ograniczył się do udostępnienia obcego wpisu. Przygotował własną grafikę z ostrzeżeniem:
„Uwaga! Ryzyko wycieku danych!”
i zalecił klientom zastrzeżenie numeru PESEL.
Tak zdecydowany komunikat rodzi więc naturalne pytanie o jego źródło.
Dlaczego zastrzeżenie PESEL ma sens?
Niezależnie od tego, jaka ostatecznie okaże się skala incydentu, samo zalecenie banku jest rozsądne.
Wyciek danych osobowych może prowadzić do prób podszywania się pod poszkodowanych, wyłudzania kredytów, pożyczek albo prowadzenia bardziej zaawansowanych ataków phishingowych.
UODO wskazuje, że osoby, których dane zostały naruszone, powinny otrzymać informację o zdarzeniu i możliwych konsekwencjach. Urząd zwraca również uwagę na zagrożenia związane z kradzieżą tożsamości i stratami finansowymi.
Historia pokazuje, że ataki na sektor medyczny nie są problemem teoretycznym.
W jednym z wcześniejszych postępowań UODO dotyczącym spółki medycznej przestępcy uzyskali dostęp m.in. do danych dotyczących zdrowia, numerów PESEL, danych dokumentów tożsamości, adresów, numerów rachunków bankowych i danych kontaktowych. Sprawa zakończyła się karą blisko 1,5 mln zł.
Nie była to jednak sprawa MyDr.
Szczególnie niebezpieczny może być phishing
Jeśli napastnicy rzeczywiście weszli w posiadanie danych pacjentów, nie muszą nawet natychmiast próbować zaciągać kredytów.
Znacznie skuteczniejszy może być telefon:
„Dzwonimy z przychodni”.
Albo wiadomość:
„Proszę potwierdzić swoją e-receptę”.
Im więcej prawdziwych informacji posiada przestępca, tym bardziej wiarygodna może wyglądać próba oszustwa.
Dlatego nie należy klikać w linki przesyłane w nieoczekiwanych SMS-ach i wiadomościach e-mail ani podawać przez telefon haseł, kodów autoryzacyjnych czy danych bankowych.
Najważniejsze pytania pozostają bez odpowiedzi
Jeżeli atak na MyDr zostanie oficjalnie potwierdzony, trzeba będzie ustalić przede wszystkim:
jaki system został zaatakowany,
czy atakujący rzeczywiście pobrali dane,
jakiego rodzaju informacje znalazły się w zagrożonym zbiorze,
czy znajdowały się tam numery PESEL,
czy mogła zostać ujawniona dokumentacja medyczna,
ile osób rzeczywiście dotyczy zdarzenie
oraz
skąd pochodzi liczba blisko 19 mln osób podana przez Bank Spółdzielczy w Miliczu.
W przypadku danych medycznych samo włamanie do systemu nie musi automatycznie oznaczać ich skopiowania. Z drugiej strony brak dowodu na pobranie danych również nie oznacza, że do niego nie doszło. UODO zwracało już uwagę na taki problem przy wcześniejszych atakach ransomware na placówki medyczne.
Nie ma powodów do paniki. Jest powód do ostrożności
Na tym etapie nie można potwierdzić informacji, że dane 19 mln osób zostały wykradzione.
Nie należy jednak również lekceważyć ostrzeżenia.
Mamy bowiem do czynienia z systemem związanym z dokumentacją medyczną oraz publicznym komunikatem banku, który zaleca klientom podjęcie konkretnych działań zabezpieczających.
Najważniejsze jest teraz ustalenie źródła informacji o skali incydentu.
Radio DTR będzie sprawdzać sprawę i aktualizować materiał po pojawieniu się oficjalnych informacji MyDr, UODO lub instytucji odpowiedzialnych za cyberbezpieczeństwo.
Czytaj dalej
Ten temat ma ciąg dalszy
Wybraliśmy teksty, które naturalnie prowadzą czytelnika dalej.
