Wyciek danych 19 milionów Polaków z MyDr: Wiceminister uważa, że hakerzy mogą blefować

O cyberataku na firmę MyDr, która dostarcza systemy do obsługi dokumentacji medycznej, opinii publicznej poinformowano 12 sierpnia. Minister cyfryzacji Krzysztof Gawkowski określił incydent jako jeden z największych w historii Polski, wskazując, że wyciek dotknął blisko 19 milionów obywateli. Firma MyDr obsługuje około 12 tysięcy placówek medycznych, realizując miesięcznie 3 miliony wizyt i wystawiając 2,7 miliona recept.

Przejęte dane mogą obejmować numery PESEL, imiona, nazwiska, adresy e-mail, numery telefonów oraz szczegółowe informacje o stanie zdrowia i notatki lekarskie. Służby potwierdziły fakt przełamania zabezpieczeń firmy, jednak obecnie nie ma dowodów na to, by wykradzione dane zostały publicznie udostępnione w internecie. Centralne Biuro Zwalczania Cyberprzestępczości zabezpieczyło dane, przypuszczalnie bezpośrednio na serwerach przestępców.

Wiceminister o białych kapeluszach i groźbach hakerów

Michał Gramatyka, wiceminister cyfryzacji, w rozmowie z Radiem RMF24 ocenił zachowanie sprawców wycieku. Polityk stwierdził, że w tej niebezpiecznej sytuacji pozytywne jest to, że wygląda na to, iż mamy do czynienia z tzw. białymi kapeluszami.

Gramatyka wyjaśnił, że hakerzy dzielą się na grupy, a ci odpowiedzialni za atak na MyDr sprawiają wrażenie, jakby jedynie testowali odporność systemów. Grupa ta nawiązała korespondencję z portalem Zaufana Trzecia Strona, za pośrednictwem którego zapowiedziała coś większego. Wiceminister odniósł się do tych gróźb sceptycznie, oceniając, że może to być blef.

Odpowiedzialność firm komercyjnych i zmiany w prawie

Resort cyfryzacji przyznał, że system firmy MyDr był dziurawy. Wiceminister podkreślił, że nie ma na świecie firmy odpornej na wszystkie próby ataków, jednak konieczne jest wymuszenie wyższych standardów bezpieczeństwa na podmiotach komercyjnych.

Odpowiedzią rządu ma być pakiet cyfrowej piątki, zaprezentowany pod koniec sierpnia. Przepisy mają zmusić firmy koncentrujące dane powyżej 100 tysięcy Polaków do spełniania norm bezpieczeństwa przewidzianych w dyrektywie NIS2.

Nowe regulacje mają wprowadzić obowiązkową certyfikację dla firm przetwarzających dane medyczne. Dzięki nim obywatele mieliby otrzymywać powiadomienia o wyciekach w aplikacji mObywatel oraz Internetowym Koncie Pacjenta.