Hakerzy zdobyli dane ponad 13 milionów osób z systemu NFZ. Finał śledztwa w Poznaniu

Prokuratura Regionalna w Poznaniu poinformowała o zbliżającym się do końca śledztwie dotyczącym kradzieży danych z systemów firmy MyDr. Postępowanie zostało wszczęte 8 kwietnia 2024 roku na podstawie zawiadomień prezesa Narodowego Funduszu Zdrowia. Sprawą zajmuje się Samodzielny Dział do Spraw Cyberprzestępczości i Informatyzacji. Zebrane materiały potwierdziły, że sprawcy w sposób nieuprawniony uzyskali dostęp do kont pracowników ustalonych podmiotów medycznych korzystających z platformy MyDr.

Następnie, przy wykorzystaniu struktury programu, zaimplementowano skrypt umożliwiający kierowanie masowych zapytań do usługi Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców, czyli systemu eWUŚ. W komunikacie poznańskiej prokuratury podkreślono, że dzięki współpracy z Centralnym Biurem Zwalczania Cyberprzestępczości udało się odzyskać całą bazę danych, które nielegalnie uzyskano z NFZ, i nie doszło do jej dalszej odsprzedaży.

Skala procederu i pozyskane informacje

Około 18 milionów zapytań wysłanych do systemu eWUŚ pozwoliło sprawcom pozyskać dane dotyczące ponad 13 milionów osób. Informacje te obejmują imiona, nazwiska, numery PESEL oraz informacje o posiadaniu bądź braku prawa do ubezpieczenia. Podejrzany główny sprawca usłyszał zarzut wytworzenia programów komputerowych służących do przełamywania zabezpieczeń informatycznych oraz samego przełamania zabezpieczeń danych. Podejrzany przyznał się do stawianych mu zarzutów i złożył szczegółowe wyjaśnienia.

Zarzuty usłyszały łącznie cztery kolejne osoby, co daje pięciu podejrzanych w całej sprawie. Na wcześniejszym etapie śledztwa dwie osoby były tymczasowo aresztowane, a obecnie stosowane są wobec nich środki zapobiegawcze niewiążące się z pozbawieniem wolności. Podejrzanym grożą kary sięgające 8 lub 12 lat pozbawienia wolności.

Rozróżnienie incydentów z 2024 i 2026 roku

Przedstawiciele organów ścigania oraz eksperci zwracają uwagę, że opisywana sprawa z 2024 roku nie jest tożsama z tegorocznym, głośnym incydentem. Liczby ofiar są podobne i w obu przypadkach w tle występuje system MyDr, jednak metody, sprawcy, cele oraz źródła danych różnią się. Tegoroczny atak, badany przez Prokuraturę Okręgową w Warszawie oraz Centralne Biuro Zwalczania Cyberprzestępczości, dotyczy kradzieży danych blisko 19 milionów Polaków.

W tym przypadku z zaatakowanych systemów wyciekły również informacje dotyczące przebiegu leczenia, recept i leków, a skradziona baza zajmuje ponad 2 terabajty. Wiceminister Dariusz Standerski potwierdził, że dane z tegorocznego incydentu nie zostały upublicznione i znajdują się wyłącznie w zasobach hakerów, a resort pracuje nad przygotowaniem kompleksowej informacji dla wszystkich poszkodowanych.