Reakcja opozycji na cyberatak i żądanie raportu
Posłowie Prawa i Sprawiedliwości domagają się od ministra cyfryzacji Krzysztofa Gawkowskiego szczegółowego raportu na temat sytuacji w resorcie. Zapowiedzieli oni składanie wniosków o zwołanie nadzwyczajnego posiedzenia Komisji Cyfryzacji. Sprawa ma związek z potwierdzonym przez Ministerstwo Cyfryzacji cyberatakiem na firmę MyDr. Dostawca ten odpowiada za system do prowadzenia elektronicznej dokumentacji medycznej.
Podczas konferencji prasowej przed resortem cyfryzacji politycy opozycji nawiązali do wcześniejszego ataku na tę samą platformę, do którego doszło dwa lata wcześniej. Poseł Radosław Fogiel zaznaczył, że nikogo o tym nie informowano, a z ministerstwa nikt nie wspominał o wcześniejszym incydencie. Poseł Sebastian Łukaszewicz podkreślił konieczność rozliczenia działań rządu. Posłowie pytali, czy mieliśmy do czynienia z systemową podatnością oraz czy sprawa była nadzorowana przez Agencję Bezpieczeństwa Wewnętrznego.
Zastanawiali się również nad przeprowadzeniem audytów bezpieczeństwa. Wiceprzewodniczący komisji cyfryzacji Dariusz Stefaniuk poinformował, że wnioski o posiedzenie komisji zostaną złożone na najbliższym posiedzeniu Sejmu zaplanowanym na początek września. Rozmawiał o tym z przewodniczącym Bartłomiejem Pejo.
Kulisy śledztwa Prokuratury Regionalnej w Poznaniu
Portal Niezalezna.pl podał, że między 18 a 27 marca 2024 roku za pośrednictwem systemu MyDr nielegalnie pozyskano dane milionów osób. Śledztwo w tej sprawie wszczęła Prokuratura Regionalna w Poznaniu. Samodzielny Dział do Spraw Cyberprzestępczości nadzoruje postępowanie dotyczące nieuprawnionego dostępu do informacji poprzez przełamanie zabezpieczeń. Sprawę wszczęto w kwietniu 2024 roku na podstawie zawiadomień Prezesa Narodowego Funduszu Zdrowia.
Zawiadomienia dotyczyły nadmiarowych zapytań do usługi Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców za pośrednictwem podmiotów medycznych. W toku śledztwa potwierdzono uzyskanie dostępu do kont pracowników medycznych korzystających z platformy MyDr. Sprawcy zaimplementowali skrypt umożliwiający masowe zapytania do usługi eWUŚ. Skierowano około 18 milionów zapytań, uzyskując dane osobowe ponad 13 milionów osób, w tym numery PESEL i informacje o ubezpieczeniu.
Prokuratura przekazała, że odzyskano całą nielegalnie uzyskaną bazę danych i zapobiegł jej dalszej odsprzedaży. Ustalono głównego sprawcę, który usłyszał zarzuty i przyznał się do winy. Zarzuty postawiono łącznie pięciu osobom.