„Tania sensacja”? Publikacja luki w systemie Ministerstwa Zdrowia na X

„Po założeniu konta w systemie Programów Naprawczych Ministerstwa Zdrowia można podejrzeć dane innych zarejestrowanych użytkowników — imiona, nazwiska i adresy e-mail. To nie „funkcja”, tylko poważna luka w ochronie danych” – przekazał na początku sierpnia użytkownik Marekitlab za pośrednictwem portalu X.

„Program naprawczy to dokument obowiązkowy dla samodzielnych publicznych zakładów opieki zdrowotnej (SPZOZ), służący poprawie sytuacji finansowej podmiotu, jeżeli w jego sprawozdaniu finansowym wystąpiła strata netto, której wartość bezwzględna jest wyższa niż 1 % sumy wykazanych w tym samym sprawozdaniu finansowym przychodów netto ze sprzedaży produktów, przychodów netto ze sprzedaży towarów, pozostałych przychodów operacyjnych oraz przychodów finansowych” – czytamy na stronie MZ.

Widząc wpis badacza niezwłocznie zapytaliśmy Centrum e-Zdrowia o sprawę.

Podatność w Programach Naprawczych MZ

Centrum Operacji Bezpieczeństwa Centrum e-Zdrowia potwierdziło, że widoczność danych (imię, nazwisko, mail) nie było funkcją „świadomie ani celowo udostępnioną”.

(Widoczność danych – przyp. red.) wynikała z błędu w mechanizmie tworzenia nowej organizacji, dostępnym wyłącznie dla użytkowników posiadających uprawnienia administratora lokalnego. Funkcja ta miała charakter awaryjny i nie była wykorzystywana w bieżącej pracy z aplikacją
COB CeZ

Co wiemy o zdarzeniu?

W ocenie inspektora ochrony danych Centrum e-Zdrowia zdarzenie faktycznie stanowiło naruszenie ochrony danych (w rozumieniu art. 4 pkt 12 RODO) z racji na nieuprawniony dostęp do danych użytkowników.

„Ryzyko dla praw i wolności osób fizycznych zostało jednocześnie ocenione jako niskie” – podkreśla CeZ, wskazując na m.in.:

• ograniczony zakres danych;
•  brak możliwości eksportu, pobrania bądź modyfikacji danych;
•  brak potwierdzonego wykorzystania błędu przez innych użytkowników;
•  anonimizację publicznie dostępnego zrzutu ekranu z systemów.

5 sierpnia informacje o zdarzeniu zostały przekazane do IOD Ministerstwa Zdrowia (resort jest administratorem danych). CeZ zaznacza, że decyzja dotyczące ew. zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych leży po stronie MZ.

Dostępność i zakres

Omawiana podatność występowała w systemie od 2 lipca do 4 sierpnia br.

„Po otrzymaniu informacji o zdarzeniu rozpoczęto niezwłoczną weryfikację. Poprawka została wdrożona na środowisku produkcyjnym 4 sierpnia 2026 r. o godz. 13:56” – przekazało nam COB CeZ. Oznacza to, że luka została załatana nieco ponad 3 godziny po wpisie na portalu X.

Zdarzenie obejmuje dane 401 użytkowników. Ewentualna komunikacja naruszenia leży w gestii Ministerstwa Zdrowia.

Potencjalny dostęp do tej listy miało 83 użytkowników posiadających uprawnienia administratora lokalnego. (...) System nie rejestrował liczby wyświetlonych rekordów, dlatego nie jest możliwe ustalenie, ilu administratorów faktycznie otworzyło listę. Analiza logów nie wykazała nietypowej aktywności ani wielokrotnego korzystania z tej funkcji.
COB CeZ

Zgłoszenie przez X

Centrum Operacji Bezpieczeństwa CeZ podkreśliło w odpowiedzi na nasze pytania prasowe, że „sposób postępowania użytkownika „Marekitlab”, polegający na publicznym ujawnieniu informacji o błędzie przed zgłoszeniem go właścicielowi systemu i umożliwieniem wdrożenia poprawki, oceniamy jako nieetyczny i niezgodny z zasadami CVD, czyli skoordynowanego ujawniania podatności”.

COB Centrum e-Zdrowia zaznaczyło, że według polityk CVD (ang. Coordinated Vulnerability Disclosure, pol. zgłaszanie i obsługa podatności) informację o takim zdarzeniu najpierw powinien otrzymać właściciel systemu, dzięki czemu będzie miał „odpowiedni czas na analizę i usunięcie błędu”.

Publiczne ujawnienie podatności bez wcześniejszej koordynacji może zwiększać ryzyko jej wykorzystania i nie służy odpowiedzialnemu podnoszeniu poziomu cyberbezpieczeństwa.
COB CeZ

Odpowiedzialność

Pismo od COB CeZ zawiera bardzo mocne stwierdzenie, dlatego pragniemy zacytować je w całości:

„Szczególnej świadomości tych zasad należy oczekiwać od twórcy publikującego materiały poświęcone cyberbezpieczeństwu, który powinien promować odpowiedzialne ujawnianie podatności, zamiast wykorzystywać podobne zdarzenia do budowania taniej sensacji” – przekazano nam w ramach odpowiedzi na pytania prasowe.

To jak zgłaszać podatności?

Dobrą praktyką jest nieinformowanie publicznie o podatności przed jej załataniem.

Czasami może jednak dochodzić do sytuacji, gdy badacz obawia się, że luka w oprogramowaniu nie zostanie szybko załatana. W takim przypadku można stosować zasady podobne do Project Zero od Google, czyli poinformowaniu o 90-dniowym „oknie na wdrożenie poprawek” od zgłoszenia luki oraz publicznym informowaniem o szczegółach podatności dopiero po 30 dniach od jej załatania (jeśli stosowna poprawka zostanie wdrożona – jeśli nie, badacz może opisać ją po 90 dniach od zgłoszenia).

Niedawnym przykładem odpowiedzialnego zgłoszenia i nagłośnienia podatności dotyczyło systemu OKE Warszawa. „(…) podatności, które tutaj pokażemy, zostały już zgłoszone do właściciela platformy i w momencie publikacji tego materiału wszystko powinno być załatane” – stwierdził badacz. OKE również uznało działalność badacza za etyczną, co szerzej opisywaliśmy na naszych łamach.

Należy przy tym dodać, że zawsze powinniśmy działać zgodnie z prawem. Artykuł 267 Kodeksu karnego penalizuje nieuprawniony dostęp do informacji – grozi nam za to do 2 lat więzienia.

Choć kontratyp z art. 269c KK wyłącza karalność w niektórych przypadkach (udowadaniających etyczne działanie), zawsze najlepiej spróbować swoich sił w programach bug bounty, które umożliwiają „legalne hackowanie” wraz z ewentualnym zarobkiem.

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.