Poważny incydent u polskiego dostawcy systemu dla placówek medycznych. Co z naszymi danymi?

Firma MyDr poinformowała o „incydencie związanym z danymi”, który dotyczy części jej systemów. Dlaczego to takie istotne?

Mówimy bowiem o przedsiębiorstwie, które dostarcza system Elektronicznej Dokumentacji Medycznej placówkom ochrony zdrowia w Polsce. 

W praktyce oznacza to, że platforma może przetwarzać również wasze dane: lekarze wprowadzają je tam np. po wizytach czy wystawiając recepty. A skala jest znacząca (bazując na danych przedstawionych przez MyDr: 3 mln wizyt miesięcznie i 2,7 mln recept w skali miesiąca. 

Gawkowski: służby pomagają firmie

MyDr zapewnia, że gdy tylko dowiedziało się o sytuacji, „niezwłocznie” podjęło działania i uruchomiono stosowne procedury reagowania.

Obecnie prowadzone jest postępowanie wyjaśniające. Zaangażowano zespoły ds. Bezpieczeństwa, Inżynierii i Infrastruktury oraz zewnętrznych ekspertów zajmujących cyberbezpieczeństwem. 

O sprawie zawiadomiono też organy ścigania. 

Do incydentu odniósł się wicepremier i minister cyfryzacji Krzysztof Gawkowski. We wpisie w mediach społecznościowych przekazał, że „odpowiednie służby” pracują „intensywnie” w celu ustalenia wszystkich okoliczności. Udzielają też wsparcia polskiemu dostawcy. 

Wyciekły dane milionów Polek i Polaków?

Na ten moment firma nie odnosi się do tego, czy – a jeśli tak, to jakie dane wyciekły i w jakiej skali. Podkreśla jedynie, że „nadal prowadzimy postępowanie mające na celu ustalenie potencjalnego zakresu oraz wpływu incydentu”. 

Krzysztof Gawkowski podał jednak, że „wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich dostęp”, dodając, iż placówki medyczne i lekarze (będący klientami MyDr) zostali poinformowani o zdarzeniu. 

Więcej o sprawie pisze Zaufana Trzecia Strona, z którym skontaktowali się rzekomi sprawcy. Ci twierdzą, że posiadają ponad 18,8 mln unikatowych numerów PESEL Polek i Polaków. 

W wiadomości znajdował się screen z danymi jednego z polityków w naszym kraju. Okazało się, były prawdziwe:  

Zawierały jego prawidłową datę urodzenia, jego PESEL, imię i nazwisko i dwa różne numery telefonów. Jeden z numerów mogliśmy potwierdzić w kilku innych źródłach i faktycznie, ten polityk z niego korzystał. Wpisom towarzyszyła także recepta na pewien lek - tych informacji oczywiście nie jesteśmy w stanie potwierdzić. Zgadzał się za to wymieniony w bazie region NFZ.
Zaufana Trzecia Strona

Sprawcy twierdzą, że wykorzystali lukę

Rzekomi atakujący przekazali portalowi, że dostali się do systemów firmy po tym jak wykorzystali podatność typu XXE przy obsłudze certyfikatów PKCS#12, umożliwiającą zdalne wykonanie kodu, a następnie „pozyskali klucz API do Githuba, gdzie znaleźli kod źródłowy serwisu”. 

„W takim zakresie, w jakim mogliśmy je (przekazane przez rzekomych sprawców informacje – red.) zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie” – wskazuje Zaufana Trzecia Strona. 

Należy jednak mieć na uwadze, że portal nie miał możliwości do przeprowadzenia weryfikacji pełnej bazy danych (2,5 TB). 

Pozostaje zatem czekać na kolejne komunikaty.