Wyciek danych z MyDr: jak sprawdzić swój PESEL w rządowym serwisie

Od 29 sierpnia obywatele mogą sprawdzić w rządowym serwisie bezpiecznedane.gov.pl, czy ich numer PESEL znalazł się w bazie danych przejętej przez nieuprawnione osoby podczas cyberataku na firmę MyDr. Weryfikacja w serwisie wymaga logowania m.in. przez mObywatel, profil zaufany, e-dowód lub bankowość elektroniczną. Po zalogowaniu użytkownicy mogą potwierdzić, czy ich dane zostały objęte naruszeniem.

Ze względu na ogromne zainteresowanie użytkowników, system został wyposażony w mechanizm kolejkowania. Przed godziną 11:00 w sobotę liczba chętnych przekraczała tysiąc osób w jednym momencie, a system informował użytkowników o oczekiwaniu na dostęp do strony logowania.

Pod koniec sierpnia platforma rządowa została uzupełniona o rejestry dotyczące 19 mln Polaków, których poufne informacje ucierpły w wyniku naruszenia bezpieczeństwa systemów dostawcy oprogramowania medycznego na początku miesiąca. Portal wyświetla potwierdzenie, czy dany numer PESEL figurował w zbiorze powiązanym z incydentem, choć w komunikacie zaznaczono, że służby nie stwierdziły dotąd publicznego upublicznienia danych. Serwis bezpiecznedane.gov.pl nie udostępnia informacji o konkretnych placówkach medycznych, z których pochodziły dane.

Ministerstwo Zdrowia oraz Urząd Ochrony Danych Osobowych przypominają, że administratorami danych pacjentów są poszczególne przychodnie, gabinety lub inne podmioty medyczne korzystające z systemu MyDr, dlatego to one powinny informować o szczegółowym zakresie naruszenia. Strona rządowa podkreśla, że w sprawach szczegółowych informacji o rodzaju danych objętych wyciekiem właściwym podmiotem pozostaje administrator, czyli przychodnia lub gabinet lekarza. Wyjaśniono również, że szczegółowe zbiory informacji nie są przechowywane bezpośrednio na stronie bezpiecznedane.gov.pl.

Skala incydentu i zagrożone dane w systemie MyDr

Cyberatak dotyczył systemów firmy MyDr, dostarczającego oprogramowanie do elektronicznej dokumentacji medycznej. Incydent z systemów firmy MyDr dotyczy około 12 tysięcy placówek medycznych, a przez platformę realizowanych jest miesięcznie około 3 miliony wizyt oraz 2,7 miliona recept. Według ustaleń Ministerstwa Cyfryzacji, wyciek dotyczy historycznych danych zgromadzonych w systemach do kwietnia 2024 roku i może obejmować blisko 19 milionów rekordów.

Zgromadzone w zautomatyzowanych bazach rejestry obejmowały osobiste oznaczenia tożsamości, telefony kontaktowe oraz elektroniczne adresy doręczeń. Wśród potencjalnie zagrożonych zasobów znajdowały się także poufne wzmianki o kondycji pacjentów, opisy odbytych konsultacji lekarskich oraz wygenerowane druki recept. Resort zdrowia oraz instytucja zarządzająca siecią informatyczną zasygnalizowały, że zdarzenie ominęło ogólnokrajową platformę obsługującą cyfrowe usługi medyczne i e-recepty.

Firma MyDr podkreśla, że objęcie danymi środowiska, w którym doszło do incydentu, nie jest równoznaczne z faktycznym wykradzeniem, odczytaniem lub upublicznieniem informacji przez sprawców. Szef spółki, Piotr Miluski, przeprosił pacjentów za stres i niepewność, zaznaczając, że firma nie wykryła publicznego udostępnienia tych danych.

Postępowanie prokuratorskie i kontrola UODO

Dochodzenie w sprawie nieuprawnionego dostępu do systemów MyDr nadzoruje Prokuratura Okręgowa w Warszawie. Centralne Biuro Zwalczania Cyberprzestępczości bada okoliczności przełamania zabezpieczeń oraz ujawnienia części danych w serwisie „Zaufana Trzecia Strona”. Czyn ten jest zagrożony karą do trzech lat pozbawienia wolności. Równolegle własną kontrolę w spółce MyDr wszczął Urząd Ochrony Danych Osobowych, sprawdzając zastosowane środki techniczne i analizę ryzyka.

Zalecenia dotyczące cyberbezpieczeństwa i ochrony przed oszustwami

Resort zdrowia oraz eksperci ds. bezpieczeństwa podkreślają, że samo pojawienie się numeru PESEL w bazie nie oznacza automatycznego wycieku pełnej dokumentacji medycznej ani nie świadczy o tym, że dane zostały już wykorzystane przez oszustów. Pacjenci powinni jednak zachować szczególną ostrożność w przypadku otrzymania podejrzanych wiadomości lub telefonów nawiązujących do zdrowia, ponieważ przestępcy mogą wykorzystać wykradzione numery telefonów lub maile do prób wyłudzenia danych.

Eksperci zalecają zastrzeżenie numeru PESEL w aplikacji mObywatel, unikanie podawania wrażliwych informacji oraz weryfikowanie kontaktów z przychodniami. W związku z incydentem wiceminister cyfryzacji Dariusz Standerski zapowiedział wprowadzenie zaostrzonych przepisów dla podmiotów przetwarzających dane medyczne, a resort planuje w tym tygodniu przedstawić swoje propozycje w tej sprawie.