Wyciek danych medycznych pacjentów z oprogramowania Medyc

Niezależne ustalenia serwisów CyberDefence24 oraz Zaufana Trzecia Strona potwierdzają wystąpienie dużego wycieku danych pacjentów korzystających z placówek medycznych. Incydent dotyczy firmy Qbusoft z Olsztyna, która jest producentem oprogramowania Medyc. O problemach poinformował jako pierwszy Odwykowo-Psychiatryczny Ośrodek Leczniczy z Inowrocławia, którego systemy przetwarzania danych zostały objęte atakiem.

Przebieg ataku i zakres danych

Atakujący uzyskali nieuprawniony dostęp do zaszyfrowanego archiwum bazy danych, wykorzystując podatność typu SQL Injection. W przypadku placówki z Inowrocławia ustalono, że incydent obejmował dane z okresu między 1 lipca 2024 roku a 23 sierpnia 2026 roku. Istnieje wysokie prawdopodobieństwo, że dane pacjentów, w tym imiona, nazwiska oraz numery PESEL, zostały odszyfrowane przez sprawców.

Według informacji przekazanych przez serwis CyberDefence24, skala incydentu wykracza poza jedną placówkę i dotyczy setek ośrodków ochrony zdrowia korzystających z oprogramowania Medyc. Szacuje się, że liczba poszkodowanych osób może wynosić co najmniej milion, biorąc pod uwagę fakt, że system obsługiwał ponad 10 tysięcy wizyt dziennie.

Powiązania z poprzednim wyciekiem

Z ustaleń Zaufanej Trzeciej Strony wynika, że za cyberatakiem stoi ta sama osoba co w przypadku niedawnego wycieku danych z platformy MyDr. Sprawca posługuje się pseudonimem „fingerprint”. Informację tę nieoficjalnie potwierdziła również redakcja portalu CyberDefence24.

Działania służb i Ministerstwa Cyfryzacji

Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził, że sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości. Służby prowadzą działania w ramach szerszego śledztwa dotyczącego incydentu w firmie Qbusoft. Z kolei przedstawiciele CSIRT Centrum e-Zdrowia wskazali, że biorą udział w pracach naprawczych, jednak ze względu na dobro postępowania nie udzielają obecnie szczegółowych informacji o przebiegu ataku.