Imię, nazwisko, PESEL, numer telefonu, adres e-mail, a do tego informacje o stanie zdrowia, notatki z wizyt lekarskich i dane o wystawionych receptach. Takie informacje mogły znaleźć się w rękach osoby, która włamała się do systemów firmy MyDr. Z jej oprogramowania korzystają tysiące gabinetów i przychodni w całym kraju. Sprawa nie omija także północnego Mazowsza.
To nie jest zwykły wyciek loginów i haseł z internetowego sklepu. Tym razem chodzi o jedne z najbardziej wrażliwych informacji, jakie można zgromadzić o człowieku – dane medyczne.
Prokuratura Okręgowa w Warszawie ustaliła, że nieuprawniona osoba uzyskała dostęp do systemu informatycznego MyDr nie później niż 6 sierpnia 2026 r. Część zdobytych informacji miała następnie zostać przekazana redakcji serwisu Zaufana Trzecia Strona. Dochodzenie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem warszawskiej prokuratury.
Skala może być ogromna. W pierwszych informacjach podawano około 19 mln rekordów lub osób oraz ponad 2 terabajty danych. Później była mowa już o 31 mln, rekordów. Z rozwiązań MyDr korzysta około 12 tys. podmiotów medycznych. Trzeba jednak mocno podkreślić: nie oznacza to, że dane wszystkich tych placówek i wszystkich ich pacjentów zostały wykradzione. Urząd Ochrony Danych Osobowych informuje wprost, że pełna skala naruszenia nadal nie jest znana.
Nie tylko PESEL
To właśnie rodzaj danych sprawia, że sprawa jest szczególnie poważna. Prokuratura potwierdziła, że w systemach znajdowały się m.in. imiona i nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz informacje dotyczące stanu zdrowia – w tym treść notatek z wizyt lekarskich i dane o wystawionych receptach.
Nie ma natomiast podstaw, by twierdzić, że u każdego pacjenta przestępcy uzyskali kompletną historię leczenia. Zakres przejętych informacji może być różny w zależności od placówki i pacjenta, a służby nadal analizują zgromadzony materiał.
Ważna jest też inna informacja: nie doszło do włamania do centralnego systemu e-zdrowia. Ministerstwo Zdrowia i Centrum e-Zdrowia zapewniają, że incydent w MyDr nie naruszył bezpieczeństwa centralnych usług ani dostępu do recept i świadczeń.
Pierwsze sygnały z powiatu przasnyskiego
Sprawa ma już swój lokalny wymiar. Z informacji przekazanych redakcji wynika, że o naruszeniu poinformowała pacjentów Poradnia „Medicus” w Jednorożcu. Placówka wskazała, że incydent mógł objąć m.in. numery PESEL, dane kontaktowe, informacje o receptach i dokumentację związaną z wizytami.
Działania podjął również ortopeda, prowadzący prywatną praktykę w Przasnyszu. Zwrócił się do MyDr o jednoznaczne określenie, czy naruszenie objęło dane jego pacjentów, oraz podjął działania związane z obowiązkami wynikającymi z przepisów o ochronie danych.
Sam fakt korzystania przez lekarza lub przychodnię z oprogramowania MyDr nie przesądza jednak, że dane ich pacjentów zostały wykradzione. UODO podkreśla, że administrator powinien najpierw otrzymać od MyDr potwierdzenie, iż incydent dotyczył danych związanych właśnie z jego działalnością. Dopiero wtedy można ocenić zakres naruszenia i związane z nim ryzyko.
Co z Ciechanowem, Mławą, Płońskiem i pozostałymi powiatami północnego Mazowsza?
Na razie nie ma podstaw, aby sporządzić wiarygodną listę przychodni z powiatów ciechanowskiego, mławskiego, płońskiego, pułtuskiego, makowskiego czy żuromińskiego, których pacjenci zostali objęci wyciekiem.
Brak publicznego komunikatu placówki nie oznacza przy tym, że sprawa na pewno jej nie dotyczy. Ustalanie zakresu naruszenia trwa. UODO wszczął kontrolę spółki MyDr, podczas której ma zbadać zarówno zabezpieczenia techniczne, jak i sposób zarządzania ryzykiem oraz to, czy stosowane środki bezpieczeństwa były odpowiednio testowane.
Także CBZC jeszcze 18 sierpnia informowało, że prowadzi analizę danych oraz ustala okoliczności i skalę zdarzenia.
Kto powinien zawiadomić pacjenta?
To ważne: pacjent nie powinien oczekiwać indywidualnego zawiadomienia od firmy MyDr.
Administratorem danych jest zazwyczaj konkretna przychodnia, gabinet lub inny podmiot medyczny, który korzystał z usług MyDr. To na nim spoczywa obowiązek przeanalizowania ryzyka, zgłoszenia naruszenia do UODO, jeśli wymagają tego przepisy, a w przypadku wysokiego ryzyka dla praw i wolności osoby – także poinformowania pacjenta.
Nie każda placówka korzystająca z MyDr musi więc automatycznie wysłać tysiące listów czy SMS-ów. Najpierw musi ustalić, czy jej dane rzeczywiście znalazły się w przejętym zbiorze.
W rządowym serwisie tego jeszcze nie sprawdzimy
Po pierwszych doniesieniach wiele osób próbowało sprawdzić swój PESEL w serwisie bezpiecznedane.gov.pl. W przypadku tego wycieku taki test obecnie jednak niczego nie rozstrzyga.
CBZC poinformowało 18 sierpnia, że na obecnym etapie postępowania nie jest zasadne publikowanie w tym serwisie numerów PESEL pacjentów obsługiwanych przez MyDr. Brak informacji na stronie Bezpieczne Dane nie jest więc potwierdzeniem, że nasze dane nie wyciekły.
Co przestępca może zrobić z takimi informacjami?
Sam numer PESEL jest niebezpieczny w rękach oszusta. Połączenie go z numerem telefonu, adresem e-mail i informacjami o leczeniu daje jednak znacznie większe możliwości manipulacji.
Przestępca może zadzwonić, podszywając się pod pracownika przychodni, banku, urzędu czy innej instytucji. Jeżeli przy okazji zna nazwę leku, termin wizyty albo szczegół dotyczący leczenia, może zabrzmieć znacznie bardziej wiarygodnie niż zwykły telefoniczny oszust.
UODO ostrzega właśnie przed takimi konsekwencjami – phishingiem, próbami wyłudzenia kolejnych danych i kradzieżą tożsamości.
PESEL najlepiej zastrzec
Ministerstwo Zdrowia i UODO rekomendują osobom zaniepokojonym wyciekiem zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, przez internet lub w urzędzie gminy.
Od czerwca 2024 r. banki i inne instytucje finansowe muszą sprawdzać rejestr zastrzeżeń przed udzieleniem m.in. kredytu lub pożyczki. Zastrzeżenie znacznie ogranicza więc możliwość wykorzystania skradzionych danych do zaciągania zobowiązań finansowych.
Warto także szczególnie uważać na telefony, SMS-y i e-maile. Jeśli ktoś przedstawia się jako pracownik banku, przychodni czy urzędu i prosi o hasło, kod autoryzacyjny albo inne dane, najlepiej zakończyć rozmowę i samodzielnie zadzwonić na oficjalny numer danej instytucji.
Można również zapytać swoją przychodnię, czy korzystała z oprogramowania MyDr oraz czy otrzymała od dostawcy informację o objęciu jej danych incydentem.
Sprawa jeszcze się nie skończyła
Na dziś najważniejsza jest jedna rzecz: nie wiadomo jeszcze dokładnie, ilu ludzi rzeczywiście dotyczy wyciek i jakie dane każdego z nich zostały przejęte.
Wiadomo za to, że doszło do nieuprawnionego dostępu do systemów zawierających wyjątkowo wrażliwe informacje medyczne, sprawą zajmują się policja i prokuratura, a UODO rozpoczął kontrolę MyDr.
Dlatego cisza ze strony naszej przychodni nie jest jeszcze ani powodem do paniki, ani gwarancją bezpieczeństwa.
W tej sprawie jedno jest pewne: lepiej zastrzec PESEL i zachować ostrożność, niż za kilka miesięcy przekonać się, do czego komuś przydała się wiedza nie tylko o naszym numerze telefonu, ale również o tym, z czym chodziliśmy do lekarza.
Komentarze obsługiwane przez CComment