Bezprecedensowy wyciek danych milionów Polaków. Potwierdzenie z rządu

12 sierpnia br. o godzinie 12:00 odbyło się posiedzenie Połączonego Centrum Operacji Cyberbezpieczeństwa. Wicepremier Gawkowski w programie Onet Rano podkreślił, że mamy ”prawdopodobieństwo bardzo dużego wycieku danych związanego z jedną z firm obsługujących lekarzy i gabinety lekarskie”, który były jednym z największych wycieków danych w historii. Sprawę szerzej opisywaliśmy na naszych łamach.

Podczas konferencji prasowej po posiedzeniu PCOC wicepremier Gawkowski stwierdził:

”Z przykrością muszę poinformować, że doszło do nadzwyczajnego wycieku danych, sięgającego blisko 19 milionów obywateli Polski, które w różnych kategoriach korzystały z wsparcia medycznego”.

Specjalna procedura dla poszkodowanych

Kluczowe staje się pytanie o to, jak każdy z nas może sprawdzić, czy padł ofiarą wycieku danych. Obowiązek poinformowania osób oraz UODO o naruszeniu dotyczy administratora (a nie procesora), o czym mówią wprost art. 33 i 34 RODO. Oznacza to, że do rzetelnego informowania o zdarzeniu zobowiązane są poszczególne placówki ochrony zdrowia (przychodnie, gabinety itd.).

Jednocześnie wicepremier Krzysztof Gawkowski zapowiedział bardzo ważną specjalną procedurę, która ma umożliwić sprawdzenie tego, czy nasze dane zostały wykradzione. Skradzione dane mają zostać zamieszczone w rządowym portalu „Bezpieczne Dane”, który agreguje wycieki danych Polek i Polaków. Zachęcamy do skorzystania z portalu w niedalekiej przyszłości.

Każdy obywatel będzie mógł sprawdzić, czy jego dane wyciekły
Wicepremier i minister cyfryzacji Krzysztof Gawkowski

Incydent w MyDr

”Na tym etapie postępowania nie można ostatecznie potwierdzić wycieku danych, jednak wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich dostęp” – informował w ubiegły piątek na portalu X wicepremier i minister cyfryzacji Krzysztof Gawkowski.

Incydent został przeanalizowany przez Zaufaną Trzecią Stronę. ”W takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie” – stwierdzono w artykule Adama Haertlé, zaznaczając, że możliwości weryfikacji twierdzeń cyberprzestępców są ograniczone.

Portal nawiązał kontakt z włamywaczami, podając numery PESEL czterech ochotników, aby sprawdzić, czy występują w bazie. Połowa z nich faktycznie miała w niej rekordy (linijki z danymi). Oznacza to, że dane powiązane z 3 z 5 sprawdzanych PESEL-i (łącznie z autorem artykułu Z3S) zostały wykradzione przez cyberprzestępców.

Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, że są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL.
Adam Haertlé, Z3S

Cyberataki na polską ochronę zdrowia

W ostatnim czasie ofiarami poważnych cyberataków padło wiele obiektów związanych z ochroną zdrowia – m.in. przychodni czy szpitali. Na celowniku cyberprzestępców znajdowały się m.in. poniższe obiekty:

• Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie (7/8 marca);
• Bonifraterskie Centrum Medyczne (odpowiada za funkcjonowanie trzech szpitali oraz ośmiu innych placówek medycznych, 13 marca);
• Centrum Medyczne „Eskulap" w Raciborzu (26 marca);
• Świętokrzyskie Centrum Rehabilitacji w Czarnieckiej Górze (31 marca);
• Laboratoria Optimed (11 maja);
• Wielkopolskie Centrum Medyczne (28 maja);
• PaKK-Med (21 lipca).

Na naszych łamach informowaliśmy również o włamaniu na maila krakowskiego szpitala oraz manipulowaniu parametrami innego szpitala. W przypadku drugiego incydentu wiemy, że zarzuty związane m.in. z tym atakiem usłyszało dwóch obywateli Rosji.

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.