W połowie sierpnia tego roku doszło do jednego z największych cyberataków na polskie instytucje medyczne. Ministerstwo Cyfryzacji poinformowało o naruszeniu bezpieczeństwa w firmie MyDr, która dostarcza systemy do prowadzenia elektronicznej dokumentacji medycznej dla tysięcy placówek na terenie kraju. W wyniku tego incydentu wyciekły dane dotyczące leków, recept i innych informacji medycznych należących do milionów obywateli.
Przeprosiny szefa firmy MyDr
Piotr Miluski, kierownik MyDr, wydał oficjalne oświadczenie, w którym wyraził głębokie przeprosiny za całą sytuację. W swoim komunikacie podkreślił odpowiedzialność firmy za powodowany stres i niepewność wśród pacjentów.
„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych” – czytamy w oświadczeniu.
Skala naruszenia: jakie dane wyciekły?
Incydent bezpośrednio dotknął 12 tysięcy podmiotów medycznych korzystających z platformy MyDr. Wśród wycieków znalazły się informacje o:
- lekach i receptach pacjentów
- historycznych danych medycznych (pochodzących z kwietnia 2024 roku lub wcześniej)
- danych przechowywanych na serwerach spółki
Obecnie przeprowadzana jest szczegółowa analiza celem precyzyjnego ustalenia, w jakim dokładnie zakresie naruszenie miało miejsce. MyDr, wspólnie z zewnętrznymi ekspertami cyberbezpieczeństwa, kontynuuje badania mające na celu całkowite mapowanie incydentu.
18 milionów osób będzie powiadomione
Szef MyDr wyjaśnił, że za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób. Ta liczba została określona ze względów ostrożności i obejmuje osoby, których dane mogły znaleźć się w środowisku objętym cyberatakiem.
Warto zaznaczyć, że liczba ta nie oznacza automatycznie, że wszystkie dane zostały skradzione lub ujawnione publicznie. Miluski podkreślił, że zespoły MyDr i zewnętrzni specjaliści stale monitorują sytuację i jak dotąd nie stwierdzili publicznego upublicznienia danych z incydentu.
W najbliższych dniach placówki medyczne będą oficjalnie informować pacjentów zgodnie z wymogami RODO, a MyDr zapewni im wsparcie w tym procesie komunikacji.
Postępowanie prowadzone przez organy ścigania
Dochodzenie w sprawie wycieku danych prowadzi Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) pod nadzorem warszawskiej prokuratury okręgowej. Postępowanie dotyczy:
- Nieautoryzowanego dostępu do systemu informatycznego MyDr
- Przełamania zabezpieczeń bezpieczeństwa informatycznego
- Ujawnienia części uzyskanych danych innym osobom poprzez serwis „Zaufana Trzecia Strona”
Za działania związane z tym incydentem grozi odpowiedzialność karna do trzech lat więzienia.
Centralne usługi e-zdrowia pozostają bezpieczne
Ministerstwo Zdrowia wydało oficjalne potwierdzenie, że incydent dotyczący MyDr nie wpłynął na bezpieczeństwo centralnych usług e-zdrowia. Resort zaznaczył:
„Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia.”
Centrum e-Zdrowia aktywnie współpracuje z organami koordynującymi wyjaśnienie incydentu i wspiera działania mające na celu minimalizację jego potencjalnych skutków.
Kontrola UODO i rekomendacje bezpieczeństwa
Urząd Ochrony Danych Osobowych (UODO) zapowiedział przeprowadzenie kontroli w spółce MyDr. Badanie będzie obejmować zastosowane środki techniczne i organizacyjne oraz analizę ryzyka związaną z przetwarzaniem danych.
Ministerstwo Cyfryzacji rekomenduje wszystkim obywatelom, niezależnie od tego, czy byli dotknięci incydentem, zastosowanie podstawowych zasad cyberbezpieczeństwa:
- Zastrzeżenie numeru PESEL – można tego dokonać przez aplikację mObywatel
- Silne i unikalne hasła – dla każdej usługi internetowej
- Uwierzytelnianie wieloskładnikowe (MFA) – dodatkowa warstwa ochrony kont
- Ostrożność wobec podejrzanych wiadomości – e-maili, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych osobowych
Rządowe plany zmian legislacyjnych
Incydent w MyDr przyspieszył prace nad zmianami w przepisach dotyczących przetwarzania danych. Wiceminister cyfryzacji Dariusz Standerski zapowiedział projekt nowych regulacji legislacyjnych.
Problem, na który wskazuje wiceminister, dotyczy struktury odpowiedzialności za dane. Według jego oceny, 12 tysięcy podmiotów medycznych podpisywało umowy z MyDr, przekazując dane pacjentów, jednocześnie zachowując status administratora danych. To stwarzało pewną szarą strefę odpowiedzialności w przypadku naruszenia.
Planowane zmiany mają polegać na rozszerzeniu odpowiedzialności na wszystkie podmioty, które masowo przetwarzają dane, niezależnie od tego, jaki mają formalny status prawny. Każda organizacja, która przetwarza określoną ilość danych w określonej liczbie użytkowników, powinna spełniać wszystkie wymogi krajowego systemu cyberbezpieczeństwa, niezależnie od swojej ustawowej roli.
Zmiana ta ma za cel uszczelnienie całego systemu ochrony danych w Polsce i zapobiegnie podobnym sytuacjom w przyszłości, zapewniając wszechstronną odpowiedzialność wszystkich podmiotów zaangażowanych w przetwarzanie informacji medycznych.