Dostrzegam ogromne zagrożenie płynące z nieuprawnionego dostępu do systemów informatycznych firmy MyDr, która dostarcza oprogramowanie dla placówek ochrony zdrowia. Atakownikom udało się uzyskać dostęp do historii danych gabinetów lekarskich obejmujących okres aż do kwietnia 2024 roku. Jest to sytuacja, w której każdy obywatel musi podjąć natychmiastowe działania ochronne przed potencjalnym wykorzystaniem jego prywatności.
Skala incydentu i zakres utraconych danych
Sprawdzam szczegóły ujawnione przez rząd i doszedłem do wniosku, że wykradziona baza liczy ponad dwa terabajty informacji. Obejmuje ona imiona, nazwiska oraz numery telefonów setek tysięcy pacjentów z całej Polski. Dane te są niezwykle cenne na czarnym rynku cyberprzestępczości i mogą być wykorzystywane do różnych celów nielegalnych.
Wśród kradzionych informacji znajdują się również szczegółowe notatki lekarskie oraz dane o wystawionych receptach. Oznacza to, że przestępca może znać historię choroby pacjenta, przyjmowane leki oraz wyniki badań laboratoryjnych. Taka wiedza jest kluczowa dla skutecznej przeprowadzki oszustw telefonicznych i internetowych.
Ministerstwo Cyfryzacji potwierdziło, że systemy te obsługują placówki medyczne w całej Polsce, co czyni incydent tak rozległym. Każdy pacjent korzystający z tych usług mógł mieć swoje dane zawarte w wykradzionej bazie. To sprawia, że zagrożenie jest realne dla niemal każdego obywatela kraju.
Dlaczego zastrzeżenie PESEL jest kluczowe?
Analizując dostępne metody ochrony, dochodzę do wniosku, że najważniejszym krokiem jest niezwłoczne zastrzeżenie numeru PESEL. Można to zrobić elektronicznie poprzez aplikację mObywatel lub osobiście wizytując urząd gminy w swoim mieście. Zastrzeżony numer utrudnia przestępcom zaciągnięcie kredytu na cudze nazwisko, co jest częstym rodzajem oszustwa.
Jednakże samo zastrzeżenie nie eliminuje wszystkich zagrożeń związanych ze znalezieniem się w bazie danych. Oszuści mogą posiadać pełne dane pacjenta i próbować podszywać się pod uprawnione instytucje medyczne. Wiarygodność rozmówcy może być udawana dzięki posiadaniu prawdziwych danych zdrowotnych.
Jak rozpoznać próby oszustwa?
Każdy niespodziewany telefon lub SMS dotyczący zdrowia, płatności czy potwierdzenia danych wymaga szczególnej ostrożności. Przestępca może znać nie tylko imię i nazwisko, ale także szczegóły leczenia pacjenta z wykradzionej bazy. Nie należy podawać kodów BLIK ani haseł do bankowości w trakcie rozmowy telefonicznej.
Należy również unikać instalowania aplikacji wskazanych przez nieznanego rozmówcę, który twierdzi, że reprezentuje instytucję medyczną. W razie wątpliwości najbezpieczniej jest zakończyć połączenie i samodzielnie skontaktować się z placówką za pomocą znanej numeru telefonu.
Rola prokuratury w śledztwie
Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości, które prowadzi postępowanie pod nadzorem Prokuratury Okręgowej w Warszawie. Śledczy badają nieuprawniony dostęp do systemu oraz sposób przechowywania wykradzionych informacji przez hakerów. Motywem działania sprawców jest prawdopodobnie próba uzyskania pieniędzy poprzez okuszenie firmy lub pacjentów.
Pierwszy minister Donald Tusk przekazał, że wiele wskazuje na próbę wyłudzenia okupu od dostawcy oprogramowania MyDr. Jest to typowy scenariusz ataków ransomware, gdzie cyberprzestępcy żądają pieniędzy za zwrot danych lub ich usunięcie z publicznej domeny.
Obowiązki administratorów danych
Po ujawnieniu ataku Urząd Ochrony Danych Osobowych przypomniał o obowiązkach administratorów korzystających z systemów MyDr. Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności pacjentów, osoby dotknięte wyciekiem powinny zostać bezpośrednio poinformowane. Administracja musi działać transparentnie i szybko reagować na takie incydenty.
Każda placówka medyczna korzystająca z systemu powinna przeanalizować swoje procedury bezpieczeństwa po tym wydarzeniu. Należy sprawdzić, czy dane pacjentów są szyfrowane oraz jak chronione przed nieuprawnionym dostępem zewnętrznych stron internetowych lub firm trzecich.
W obliczu tak poważnego zagrożenia każdy z nas musi być świadom swoich praw i możliwości ochronnych. Zastrzeżenie PESEL to podstawowy krok, ale wymaga się również ostrożności w codziennej komunikacji cyfrowej. Pamiętajmy, że nasze dane zdrowotne są szczególnie chronione przez prawo i ich naruszenie jest przestępstwem.
- Zastrzygaj numer PESEL niezwłocznie po przeczytaniu tej wiadomości.
Uważaj na nieznane numery telefonów proszące o potwierdzenie danych.
Nie udostępniaj kodów BLIK ani haseł nikomu oprócz banku.