Gigantyczny wyciek danych medycznych. Hakerzy twierdzą, że mają 18 milionów numerów PESEL
Jeśli w ostatnich latach korzystałeś z przychodni wykorzystującej systemy MyDr, twoje wrażliwe informacje mogą znajdować się w rękach cyberprzestępców.
Grupa hakerów twierdzi, że wykradła potężną bazę danych pacjentów polskich przychodni. Sprawa jest bezprecedensowa, bo łupem złodziei miały paść nie tylko podstawowe dane kontaktowe, ale również historie wystawianych e-recept.
Czym jest MyDr i dlaczego ma twoje dane?
Nawet jeśli nazwa MyDr nic ci nie mówi, możesz korzystać z przychodni, która wykorzystuje jej oprogramowanie. To jeden z największych w Polsce dostawców systemów do Elektronicznej Dokumentacji Medycznej. Z ich platformy na co dzień korzystają tysiące lekarzy, a sama firma chwali się obsługą około 3 milionów wizyt i 2,7 miliona recept miesięcznie.
Według informacji przekazanych przez włamywaczy portalowi Zaufana Trzecia Strona (Z3S), z serwerów rzekomo pobrano aż 2,5 TB plików. Wśród nich ma znajdować się ponad 18,8 miliona unikalnych numerów PESEL Polaków. Hakerzy twierdzą, że dostali się do infrastruktury dzięki luce w zabezpieczeniach certyfikatów. Według ich relacji miało to pozwolić na uzyskanie dostępu do kodu źródłowego i dalszej penetracji infrastruktury AWS.
Dane polityka i próba wymuszenia pieniędzy od prezesa
Część przekazanych przez hakerów próbek udało się zweryfikować. Dane dotyczące kilku weryfikowanych osób zgadzały się z rzeczywistością. Przestępcy przekazali również listę 25 numerów recept, które według nich były przypisane w bazie do danych jednego z czołowych polskich polityków.
Włamywacze wykazali się przy tym niezwykłą zuchwałością. Przesłali prezesowi zaatakowanej spółki „ofertę zakupu wyników audytu bezpieczeństwa”, co w praktyce wyglądało na próbę uzyskania zapłaty za nieujawnienie lub przekazanie wyników włamania. Żądanie wysłano w pliku PDF, który zabezpieczono hasłem, którym był… wykradziony z bazy numer PESEL samego prezesa. Dodatkowo hakerzy wysyłali wiadomości SMS do pracowników, swobodnie korzystając z firmowych narzędzi komunikacyjnych spółki.
Czy można sprawdzić, czy moje dane wyciekły?
Na ten moment nie ma publicznego sposobu, aby sprawdzić, czy nasze dane znalazły się w tym konkretnym wycieku. Sytuacja jest tutaj mocno skomplikowana. Jak zwraca uwagę Zaufana Trzecia Strona, sytuację komplikuje fakt, że MyDr występuje jako podmiot przetwarzający, podczas gdy administratorami danych są poszczególne placówki medyczne.
Oznacza to, że MyDr musi najpierw ustalić dokładny zakres incydentu i poinformować o nim poszczególne przychodnie czy gabinety. Dopiero po ustaleniu zakresu incydentu administratorzy danych — czyli poszczególne placówki medyczne — będą musieli ocenić, czy i które osoby należy powiadomić o naruszeniu. Ten biurokratyczny łańcuszek sprawia, że na oficjalne powiadomienia poczekamy prawdopodobnie jeszcze wiele dni.
Firma prowadzi śledztwo. Co możesz zrobić już teraz?
Przedstawiciele spółki MyDr potwierdzili, że prowadzą postępowanie wyjaśniające dotyczące zgłoszonego incydentu bezpieczeństwa. W sprawę zaangażowano zewnętrzne zespoły śledcze, doradców prawnych oraz odpowiednie organy państwowe.
To doskonały moment, aby nie czekać na rozwój wydarzeń i wziąć sprawy we własne ręce. Zastrzeżenie PESEL znacząco ogranicza możliwość wykorzystania go m.in. do zaciągnięcia kredytu lub pożyczki czy zawarcia niektórych umów. To darmowy i błyskawiczny proces, który zrealizujesz w aplikacji mObywatel. Co najważniejsze, zastrzeżenie nie blokuje możliwości realizacji recept w aptekach czy wizyt u lekarza, więc zrobisz to bez jakichkolwiek obaw o swoje leczenie.
Cichy wyciek danych w chmurze. Technika bucket hijacking zagraża firmom
