- Bezprawnik -
- Prywatność i bezpieczeństwo -
- Cyberprzestępcy już wiedzą, na co się leczysz. Dane z wycieku MyDr trafiły do serwisu Bezpieczne Dane, można sprawdzić, czy mają twój PESEL
Cyberprzestępcy już wiedzą, na co się leczysz. Dane z wycieku MyDr trafiły do serwisu Bezpieczne Dane, można sprawdzić, czy mają twój PESEL
W nocy do rządowego serwisu Bezpieczne Dane trafił zbiór z sierpniowego wycieku z firmy MyDr. Po ponad dwóch tygodniach czekania każdy może się zalogować i w kilka minut sprawdzić, czy w bazie znalazł się jego numer PESEL, telefon, adres e-mail albo login. Stawka jest tu wyższa niż przy zwykłym wycieku ze sklepu internetowego. W rękach przestępców znalazły się bowiem nie tylko dane pozwalające podszyć się pod ofiarę, ale też informacje o tym, u jakiego lekarza i na co leczą się miliony Polaków.
Dlaczego wyciek z MyDr jest groźniejszy od typowego wycieku danych
MyDr to jeden z największych w Polsce dostawców oprogramowania do elektronicznej dokumentacji medycznej. Firma sama nie jest przychodnią, ale to w jej systemach placówki prowadzą kartoteki pacjentów, wystawiają e-recepty i rejestrują wizyty. Według danych podawanych przez samą spółkę z jej narzędzi korzystało ponad 12 tysięcy placówek, a co miesiąc realizowano za ich pośrednictwem około 3 milionów wizyt i 2,7 miliona recept. To dlatego incydent u jednego usługodawcy dotknął pacjentów w całym kraju, także tych, którzy nigdy nie słyszeli nazwy MyDr.
Zakres tego, co wypłynęło, opisała Prokuratura Okręgowa w Warszawie. Wśród przejętych informacji mają być imiona i nazwiska, numery PESEL, numery telefonów, adresy e-mail, a także dane o stanie zdrowia, w tym treść notatek z wizyt i informacje o wystawionych receptach. Skala to według szacunków Ministerstwa Cyfryzacji nawet blisko 19 milionów osób, choć jest to wciąż liczba wstępna. Sam wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o skradzionej bazie liczącej ponad 2 terabajty i ocenił, że Polska ma "do czynienia z niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery".
Różnica między tym a klasycznym wyciekiem numeru karty czy adresu e-mail polega na charakterze skradzionych informacji. Dane o zdrowiu to w świetle RODO dane pacjenta należące do kategorii szczególnie chronionej. Informacja, że ktoś korzysta z poradni psychiatrycznej, onkologicznej czy leczenia uzależnień, nadaje się do szantażu i do bardzo wiarygodnych oszustw. Telefon od rzekomej przychodni albo apteki, który powołuje się na prawdziwą receptę lub prawdziwą wizytę, jest znacznie trudniejszy do rozpoznania niż standardowy spam. Każdy wyciek danych osobowych daje przestępcom materiał do wyłudzeń, ale ten daje im dodatkowo wiedzę, na którą normalnie nie mieliby prawa.
Kto i kiedy dostał się do systemu
Z ustaleń prokuratury wynika, że do nieuprawnionego dostępu doszło najpóźniej 6 sierpnia 2026 roku. Część mediów, w tym Niezależna.pl, wskazuje jednak, że masowe pozyskiwanie danych mogło zacząć się znacznie wcześniej, bo już w marcu 2024 roku. Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie, a czyn objęty dochodzeniem zagrożony jest karą do 3 lat pozbawienia wolności. Osobno prezes Urzędu Ochrony Danych Osobowych wszczął w połowie sierpnia kontrolę w spółce, obejmującą jej zabezpieczenia techniczne i organizacyjne.
Bezpieczne Dane, czyli gdzie sprawdzić, czy twoje dane wyciekły
Bezpieczne Dane to rządowy serwis dostępny pod adresem bezpiecznedane.gov.pl, prowadzony przez zespół CERT Polska działający w strukturach NASK. Korzystanie z wyszukiwarki jest bezpłatne. Po zalogowaniu profilem zaufanym lub przez aplikację mObywatel można zweryfikować cztery kategorie danych: numer telefonu, adres e-mail, login oraz numer PESEL. Poza samą wyszukiwarką portal prowadzi historię głośnych wycieków i bazę wiedzy o tym, jak reagować na kradzież danych i zabezpieczać konta.
Do tej pory sprawa MyDr obnażała słabość tego narzędzia. Przez ponad dwa tygodnie serwis wyświetlał komunikat, że dane z wycieku jeszcze do niego nie trafiły, a najnowsza pozycja w historii wycieków pochodziła z lipca i dotyczyła zupełnie innej firmy. Rząd wskazywał portal jako miejsce do sprawdzenia się już 12 sierpnia, po czym strona najpierw padła pod naporem wejść, a potem przez kolejne dni nie zawierała żadnych rekordów z MyDr. Wraz z nocnym zasileniem bazy sytuacja się zmienia i weryfikacja wreszcie jest możliwa.
Dlaczego zbiór pojawił się dopiero teraz
Opóźnienie miało dwa źródła. Pierwsze to praca służb, które musiały zabezpieczyć materiał dowodowy, zanim dane zostały udostępnione obywatelom. Drugie jest natury prawnej i dobrze pokazuje, jak skomplikowany jest to incydent. MyDr występuje tu jako podmiot przetwarzający, a administratorami danych pozostają poszczególne placówki medyczne, których są tysiące. To one, a nie dostawca oprogramowania, mają formalny obowiązek zawiadamiania pacjentów o naruszeniu i to od nich zależało przekazanie informacji do systemu. Ta konstrukcja z RODO utrudniała szybkie zasilenie serwisu jednym zbiorem.
Co zrobić, żeby ograniczyć skutki wycieku
Sprawdzenie się w Bezpiecznych Danych to pierwszy krok, ale nie jedyny. Warto pamiętać, że nawet brak wyniku nie daje stuprocentowej pewności, dopóki nie wiadomo, czy do bazy trafił komplet rekordów.
Niezależnie od wyniku wyszukiwania sensowne jest zastrzeżenie PESEL. Zajmuje kilka minut w aplikacji mObywatel i blokuje między innymi zaciągnięcie kredytu czy pożyczki, założenie rachunku w banku oraz dokonanie czynności u notariusza. Zastrzeżenie można w razie potrzeby czasowo cofnąć. Uzupełnieniem jest zastrzeganie dokumentów w bankowym Systemie Dokumenty Zastrzeżone, który ogranicza posługiwanie się cudzym dowodem.
Ze względu na wrażliwy charakter tego wycieku szczególną czujność warto zachować wobec telefonów, SMS-ów i e-maili, które powołują się na wizyty lekarskie, recepty albo wyniki badań. Osoba dzwoniąca, która zna prawdziwe szczegóły leczenia, brzmi wiarygodnie, dlatego zasada pozostaje prosta: nie podawać haseł ani kodów w połączeniu przychodzącym i samodzielnie wybierać numer z oficjalnej strony placówki.
Wyciek otwiera też drogę do dochodzenia roszczeń. Zgodnie z art. 82 RODO poszkodowani mogą ubiegać się o odszkodowanie za wyciek danych osobowych. Trybunał Sprawiedliwości UE uznał już, że atak hakerski sam w sobie nie zwalnia administratora z odpowiedzialności, a szkodą niemajątkową może być nawet zwykła utrata kontroli nad własnymi danymi. Ostateczna ocena należy jednak do sądu, a odpowiedzialność spoczywa na administratorach, czyli na konkretnych placówkach medycznych. Dlatego warto też wprost zapytać swoją przychodnię, czy korzysta z systemu MyDr i czy zgłosiła naruszenie do UODO.
