Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób

„W 2024 fragment systemu MyDr był użyty do wykradania danych pacjentów z systemu EWUŚ. Choć liczba ofiar się (prawie) zgadza, to zdarzenia z 2024 i sprzed paru dni to zupełnie inne incydenty” – pisała kilka dni temu Zaufana Trzecia Strona na portalu X.

18 sierpnia Prokuratura Regionalna w Poznaniu wydała komunikat dotyczący sprawy sprzed dwóch lat, która również pośrednio dotyczy MyDr. Zanim go szczegółowo omówimy, pragniemy ponownie zacytować Z3S – mowa o innym zdarzeniu niż wyciek danych ok. 19 milionów Polek i Polaków.

Jeszcze raz, bo niektóre prawicowe media zmyślają rzeczy, których nie było. Wyciek z 2024 i z 2026 to zupełnie inne sprawy. Liczby są przypadkowo podobne, firma w tle ta sama, ale inna metoda działania sprawców, inni sprawcy, inny cel, inne źródło danych i inny przebieg zdarzeń.
Zaufana Trzecia Strona na X

Incydent z 2024 roku

Z komunikatu PR w Poznaniu wynika, że 8 kwietnia 2024 roku zostało wszczęte śledztwo w związku z zawiadomieniami Prezesa NFZ.

„Zebrane materiały potwierdziły, iż w sposób nieuprawniony uzyskano dostęp do kont pracowników ustalonych podmiotów medycznych, korzystających z platformy MyDr, a następnie przy wykorzystaniu struktury programu zaimplementowano skrypt, który umożliwił kierowanie masowych zapytań do usługi Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców (eWUŚ)” – czytamy w komunikacie.

Skutkiem opisanego działania sprawców było skierowanie około 18 milionów zapytań i uzyskanie z systemu eWUŚ danych osobowych ponad 13 milionów osób. W/w dane obejmowały imię, nazwisko, PESEL i prawo do ubezpieczenia bądź jego brak
Prokuratura Regionalna w Poznaniu

Oznacza to, że dwa lata temu doszło do masowego (nieuprawionego) odpytywania systemu eWUŚ (należącego do Narodowego Funduszu Zdrowia – przyp. red.) w oparciu o przejęte konta na platformie MyDr.

Zakres naruszenia jest inny od tego, o którym było głośno przez ostatnie kilka dni – nie obejmuje danych medycznych.

Złapano cyberprzestępców

W komunikacie poznańskiej prokuratury podkreślono, że dzięki współpracy z Centralnym Biurem Zwalczania Cyberprzestępczości udało się odzyskać całą bazę danych, które nielegalnie uzyskano z NFZ. Nie doszło również do jej dalszej odsprzedaży.

W sprawie zarzuty usłyszało łącznie 5 podejrzanych, którym grozi do 8 i 12 lat pozbawienia wolności. „Postępowanie znajduje się na końcowym etapie prowadzenia” – kwituje poznańska prokuratura.

Co dalej?

W 2024 roku doszło do nielegalnego pobrania danych ok. 13 milionów Polek i Polaków z wykorzystaniem przejętych kont w systemie MyDr. Prokuratura podkreśla, że udało się odzyskać bazę.

W 2026 roku miała miejsce kradzież danych ok. 19 milionów osób z systemu MyDr – również informacji o zdrowiu. Jest to inne zdarzenie.

Jednocześnie komunikat prokuratury każe stawiać pytania dotyczące tego, jak można było uzyskać dane tylu milionów osób z systemu eWUŚ. ”Informujemy, że od dzisiaj, tj. 12.04.2024, ze względów bezpieczeństwa, została wprowadzona dzienna granica zapytań w systemie eWUŚ dla podmiotów korzystających z dedykowanych usług” – stwierdzono w komunikacie dotyczącym systemu NFZ. Jest to o tyle zastanawiające, że limit wdrożono 4 dni po wszczęciu śledztwa przez prokuraturę dotyczącego masowych zapytań. Przypadek?

Na naszych łamach opisywaliśmy również przejmowanie kont lekarzy (innego systemu), które umożliwiło nielegalne wypisywanie recept.

Zaufana Trzecia Strona zapowiedziała kolejny artykuł dotyczący sprawy. Najprawdopodobniej za kilka bądź kilkanaście dni dowiemy się nowych ustaleń.

O sprawie dowiedzieliśmy się dzięki artykułowi na łamach zero.pl.