Atak na MyDr: jak chronić swoje dane medyczne w Polsce

Cyberatak na infrastrukturę medyczną stanowi zagrożenie dla milionów Polaków, których dane przechowywane są w systemach placówek zdrowotnych.

Co się stało z platformą MyDr?

Firma MyDr, zajmująca się dostarczaniem rozwiązań informatycznych dla sektora opieki zdrowotnej, doświadczyła incydentu bezpieczeństwa. Incydent obejmował potencjalny dostęp osób nieuprawnionych do systemów przechowujących dane pacjentów. Krzysztof Gawkowski, pełniący funkcję wicepremiera i ministra cyfryzacji, ogłosił, że służby zajmujące się cyberbezpieczeństwem podjęły intensywne działania mające na celu wyjaśnienie przebiegu zdarzenia.

Placówki medyczne i gabinety lekarskie korzystające z oprogramowania MyDr otrzymały zawiadomienia o wykryciu potencjalnego dostępu nieautoryzowanego. Chociaż na etapie wstępnych badań nie potwierdzono ostatecznie wycieku danych, dostępne informacje sugerują, że do naruszenia mogło dojść. Służby bezpieczeństwa współpracują z firmą MyDr, aby ustalić dokładny zakres incydentu i zidentyfikować wszystkie dane, które mogły być zagrożone.

Jakie dane mogły być zagrożone?

Systemy medyczne przechowują szczególnie wrażliwe informacje. W przypadku MyDr mogą to być:

• Imiona i nazwiska pacjentów
• Numery PESEL
• Adresy zamieszkania
• Historia medyczna i diagnozy
• Informacje o leczeniu i receptach
• Dane kontaktowe

Minister cyfryzacji szczególnie podkreślił konieczność ochrony numeru PESEL, co sugeruje, że ta informacja mogła znaleźć się w zasięgu atakujących. PESEL to jeden z najbardziej wartościowych identyfikatorów w Polsce — umożliwia założenie kont bankowych, zaciągnięcie kredytów czy dokonanie transakcji finansowych w imieniu ofiary.

Co to oznacza dla Ciebie jako pacjenta?

Jeśli korzystasz z usług lekarza lub placówki medycznej, która wykorzystuje system MyDr, powinieneś wiedzieć, że Twoje dane mogły być zagrożone. Oto praktyczne kroki, które warto podjąć:

Zweryfikuj, czy Twoja placówka medyczna używa MyDr. Skontaktuj się z gabinetem lub kliniką, w której się leczysz, i zapytaj, jaki system informatyczny wykorzystuje do przechowywania dokumentacji pacjentów. Pracownicy placówki powinni wiedzieć o incydencie i móc Ci udzielić informacji.

Monitoruj swoją tożsamość finansową. Sprawdzaj regularnie wyciągi z kont bankowych i kart kredytowych. Jeśli zauważysz nieznane transakcje, natychmiast powiadom bank. Warto także sprawdzić raport kredytowy, aby upewnić się, że nikt nie zaciągnął kredytu w Twoim imieniu. Większość banków oferuje bezpłatny dostęp do raportów kredytowych.

Bądź czujny wobec prób phishingu. Cyberprzestępcy mogą próbować skontaktować się z Tobą, podając się za bank lub placówkę medyczną. Nigdy nie klikaj linków z wiadomości e-mail ani SMS-ów, które Cię proszą o potwierdzenie danych. Zawsze sam zainicjuj kontakt z instytucją, dzwoniąc na znany numer.

Zmień hasła do systemów medycznych. Jeśli masz dostęp do portalu pacjenta swojej placówki medycznej, zmień hasło na silne, składające się z kombinacji wielkich i małych liter, cyfr oraz znaków specjalnych.

Rozważ monitoring tożsamości. Niektórzy operatorzy telekomunikacyjni oferują usługę monitorowania tożsamości, która alertuje Cię o podejrzanych próbach założenia nowych umów w Twoim imieniu.

Dlaczego dane medyczne są szczególnie cenne dla cyberprzestępców?

Informacje medyczne są warte znacznie więcej na czarnym rynku niż numery kart kredytowych. Kompletny profil medyczny pacjenta — zawierający historię chorób, leczenia, diagnozy i dane osobowe — może być sprzedany za setki lub tysiące złotych. Cyberprzestępcy mogą wykorzystać te dane do:

• Kradzieży tożsamości i założenia nowych kont bankowych
• Oszustw ubezpieczeniowych
• Szantażu (szczególnie w przypadku wrażliwych informacji medycznych)
• Sprzedaży na czarnym rynku
• Targetowania kampanii phishingowych
• Fałszowania recept

Odpowiedzialność placówek medycznych

Zgodnie z Rozporządzeniem Ogólnym o Ochronie Danych (RODO), każda placówka medyczna jest odpowiedzialna za bezpieczeństwo danych pacjentów. Oznacza to, że muszą:

• Wdrażać odpowiednie środki techniczne i organizacyjne
• Regularnie testować bezpieczeństwo systemów
• Szybko reagować na incydenty
• Informować pacjentów o naruszeniach

Jeśli placówka nie spełnia tych obowiązków, może zostać ukarana przez Prezesa Urzędu Ochrony Danych Osobowych. Pacjenci mogą również żądać odszkodowania za szkody wynikające z naruszenia ich danych.

Jak chronić się przed podobnymi incydentami w przyszłości?

Choć nie możesz w pełni kontrolować bezpieczeństwo systemów placówek medycznych, możesz zmniejszyć ryzyko poprzez:

• Ograniczanie informacji, które ujawniasz lekarzowi — podaj tylko to, co jest niezbędne dla diagnozy
• Pytanie o bezpieczeństwo danych podczas pierwszej wizyty
• Wybieranie nowoczesnych placówek, które inwestują w cyberbezpieczeństwo
• Regularną zmianę haseł do portali pacjentów
• Korzystanie z dwuetapowej weryfikacji, jeśli placówka ją oferuje

Co robią służby?

Ministerstwo Cyfryzacji, wspólnie z Agencją Bezpieczeństwa Wewnętrznego i innymi służbami, prowadzi śledztwo dotyczące incydentu. Celem jest ustalenie, czy doszło do rzeczywistego wycieku danych, jaki był jego zakres i czy można zidentyfikować sprawców. Firma MyDr współpracuje z władzami i przekazuje wszystkie dostępne informacje.

Publiczność będzie na bieżąco informowana o postępach śledztwa. Takie podejście jest ważne, ponieważ pozwala pacjentom podjąć odpowiednie kroki ochronne, zanim skradzione dane będą aktywnie wykorzystywane.