Wyciekły dane o ponad 18 mln polskich pacjentów
Firma MyDr, jeden z największych dostawców oprogramowania do Elektronicznej Dokumentacji Medycznej w Polsce, bada poważny incydent bezpieczeństwa IT. Platforma obsługuje miesięcznie ok. 3 mln wizyt i 2,7 mln recept.
Według informacji przekazanych redakcji serwisu Zaufana Trzecia Strona, rzekomi sprawcy twierdzą, że uzyskali dostęp do 18 814 422 unikatowych numerów PESEL oraz innych danych pacjentów. Serwis podkreśla, że w zakresie możliwym do weryfikacji nie wykryto niezgodności w przedstawionych dowodach włamania.
Sprawcy przekazali redakcji ZTS m.in. zrzut ekranu wpisów z bazy dotyczących jednego z kluczowych polskich polityków – z prawidłową datą urodzenia, numerem PESEL, imieniem i nazwiskiem oraz dwoma numerami telefonów (jeden potwierdzony w niezależnych źródłach), a także listę 25 numerów recept wystawionych rzekomo na tego polityka. Przekazano również dane autora artykułu w serwisie ZTS – PESEL i region NFZ były prawidłowe; numer telefonu zastąpiono wartością „111111111”, co jest częstą praktyką w placówkach, które nie wpisują pełnych danych.
Włamywacze zaprezentowali również zrzuty ekranu z systemów Jira i Hubspot CRM, które miały potwierdzać pełny dostęp do wewnętrznych narzędzi firmy, oraz zrzut SMS-a wysłanego do pracowników z konta MyDr w SMSApi. Sprawcy przesłali również plik PDF skierowany rzekomo do prezesa firmy, zabezpieczony hasłem będącym jego numerem PESEL. Dokument zawierał m.in. wewnętrzną korespondencję, dane nowych pracowników, raport sygnalisty oraz fragment bazy lekarzy współpracujących z MyDr (zgodny z publicznymi rejestrami). W wiadomości do prezesa przedstawili włamanie jako „ofertę zakupu wyników audytu bezpieczeństwa”.
Jak informuje CyberDefence24: MyDr uruchomił procedury reagowania i współpracuje z zespołami bezpieczeństwa oraz zewnętrznymi ekspertami, firma zgłosiła incydent odpowiednim służbom, trwa ustalanie zakresu zdarzenia:. MyDr nie potwierdza na razie, jakie dane mogły zostać wykradzione. Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, że: „odpowiednie służby pracują intensywnie” nad ustaleniem okoliczności incydentu, udzielają wsparcia firmie. Na obecnym etapie nie można ostatecznie potwierdzić wycieku danych, ale „wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich dostęp” – powiedział Gawkowski. Placówki medyczne korzystające z MyDr zostały poinformowane o zdarzeniu.
Na swojej stronie MyDr informuje o incydencie. „Obecnie prowadzimy postępowanie wyjaśniające w sprawie incydentu związanego z danymi, który dotyczy części naszych systemów MyDr. Niezwłocznie po uzyskaniu informacji o potencjalnym incydencie uruchomiliśmy nasze procedury reagowania na incydenty. Nad wyjaśnieniem sytuacji pracują nasze zespoły ds. Bezpieczeństwa, Inżynierii i Infrastruktury, we współpracy z zewnętrznymi ekspertami ds. cyberbezpieczeństwa oraz doradcami prawnymi. Powiadomiliśmy właściwe organy ścigania i ściśle z nimi współpracujemy w celu wyjaśnienia tej sprawy”.
Pod adresem pro.mydr.pl/portal-info MyDr zamieszcza również FAQ z bieżącymi aktualizacjami oraz formularz kontaktowy. Założony w 2017 roku MyDr jest jednym z największych dostawców oprogramowania EDM w Polsce. Firma chwali się, że flagowy produkt – MyDr EDM – wykorzystywany jest w ponad 10 tys. przychodni działających komercyjnie oraz mających kontrakty z NFZ. Lekarze korzystają z jego systemów do: prowadzenia dokumentacji medycznej, wystawiania recept, obsługi wizyt i rozliczeń. Pacjenci często nie wiedzą, że ich dane trafiają do tej platformy: są tam wprowadzane przez lekarzy i placówki.
