Dane medyczne i osobowe wielu Polaków mogły trafić w niepowołane ręce po tym, jak powodzeniem zakończył się cyberatak wymierzony w dostawcę oprogramowania Medyc, firmę Qbusoft z Olsztyna.
Medyc zaatakowany. Kolejny wyciek danych Polaków
Medyc to popularne oprogramowanie do zarządzania ośrodkami i gabinetami lekarskimi, przez samego producenta określane jako cyfrowy krwiobieg placówki medycznej. W jego bazach przechowywane są dane osobowe i medyczne setek tysięcy, jeśli nie milionów pacjentów w Polsce – dokładne liczby nie są znane.
Serwis Sekurak poinformował, że sprawcy wykorzystali podatność SQL Injection, która umożliwia uzyskanie nieautoryzowanego dostępu do bazy danych. W ten sposób w ich ręce trafiły zbiory informacji, zawierające imiona, nazwiska, numery telefonu, adresy zamieszkania i numery PESEL, jak również karty informacyjne leczenia szpitalnego (czyli wypisy).
Medyczne i osobowe dane Polaków w niepowołanych rękach
Dobra wiadomość jest taka, że dane te były przechowywane w formie zaszyfrowanej. Zła zaś – że (jak wynika z oświadczenia opublikowanego przez Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, będący jedną z ofiar ataku) ze względu na strukturę zastosowanego kodu, dostawca nakazał przyjąć scenariusz, że dane te były łatwe do odszyfrowania i należy założyć, że atakujący uzyskali dostęp do danych w formie jawnej.
Mówiąc wprost: nie zostało to jeszcze potwierdzone, ale nie można wykluczyć, że w niepowołane ręce trafiły pełne dane osobowe i medyczne pacjentów. Jak wielu? Skala incydentu pozostaje nieznana. Wiadomo jedynie, że wśród ofiar, poza wspomnianym ośrodkiem z Inowrocławia, było też między warszawskie Centrum eZdrowia, a już ono samo obsługuje ponad 500 tysięcy osób (oczywiście – ponownie – nie oznacza to od razu, że dane wszystkich tych pacjentów wyciekły). Szacunki wskazują na ponad milion.
Producent zareagował, ale czarna passa trwa
Do sprawy nie odniosła się na razie firma Qbusoft – ani na oficjalnej stronie, ani w mediach społecznościowych. Z przesłanych oświadczeń podmiotów medycznych wynika jednak, że to ona rozpoznała lukę bezpieczeństwa i trwale usunęła podatność jeszcze tego samego dnia, w którym wykryto atak. Oznacza to, że dostęp sprawcy został odcięty. Jak jednak informuje minister cyfryzacji Krzysztof Gawkowski, firma nie dokonała formalnego zgłoszenia incydentu.
Zaufana Trzecia Strona podała, że za atakiem na Medyc stoi dokładnie ten sprawca czy też sprawcy, którzy byli odpowiedzialni za głośny, opisywany w sierpniu atak na systemy MyDr, w wyniku którego doszło do wycieku danych (w tym numerów PESEL) ponad 18 milionów Polaków.
To może być dobra wiadomość, bo grupa podpisująca się jako Fingeprint przekonuje, że nie prowadzi działalności cyberprzestępczej, lecz hakerską – nie zamierza wykorzystywać danych, lecz obnażać dziurawe zabezpieczenia i tym samym przyczyniać się do poprawy na tym polu.
Co robić? Jak żyć?
To, czy Twoje dane trafiły w ręce cyberprzestępców, okaże się pewnie dopiero za jakiś czas. Już teraz jednak najlepszym, co możesz zrobić, jest zastrzeżenie numeru PESEL, aby uniemożliwić jego wykorzystanie przez osoby trzecie.
Zawsze też warto – a w nadchodzących miesiącach szczególnie – zachować ostrożność wobec niespodziewanych połączeń telefonicznych i wiadomości dotyczących zdrowia. W przypadku podejrzenia zaś, należy zawiadomić policję.
Aktualizacja, godz. 13:00:
Zaufana Trzecia Strona podzieliła się kolejnymi ustaleniami w sprawie opisywanego wycieku. Powołując się na informacje pochodzące od grupy Fingerprint, ofiar jest około 5 milionów, co znacząco przewyższa dotychczasowe szacunki, wskazujące na okolice 1 miliona. Dane mają pochodzić nawet z ostatnich siedmiu lat.
To nie koniec złych wiadomości, ponieważ sprawcy deklarują, że poza danymi osobowymi i medycznymi wykradli również 8 milionów zdjęć dołączonych do dokumentacji (wśród nich mogą być fotografie w negliżu). Sama grupa określają je mianem bardzo prywatnych.
