Wyciek danych Polaków to żyła złota dla obcych służb. Właśnie zyskały potężną broń

12 sierpnia wicepremier Krzysztof Gawkowski poinformował po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa, że doszło do wycieku danych blisko 19 mln Polek i Polaków, którzy w różnych formach korzystali ze świadczeń medycznych. 

Jak podawaliśmy na naszych łamach, wykradziona baza ma ponad 2 TB danych. Przedstawiciel rządu na konferencji zaznaczył, że obecne ustalenia nie wskazują na operację obcego państwa.

Nie oznacza to jednak, że skradzione dane nie przedstawiają dla takich służb wartości. Sprawca włamania i późniejszy użytkownik zdobytych informacji nie muszą być tą samą osobą ani tym samym podmiotem.

Wyciek z MyDr to doskonała okazja dla obcych służb

To właśnie skala nadaje temu zbiorowi szczególne znaczenie. Obca służba nie musi analizować historii leczenia milionów ludzi. Może posiadać własną listę osób ją interesujących: żołnierzy, funkcjonariuszy służb, policjantów, dyplomatów, urzędników, pracowników przemysłu zbrojeniowego, naukowców czy specjalistów związanych z infrastrukturą krytyczną. Następnie wystarczy porównać tę listę ze skradzioną bazą.

W jednej operacji można ustalić, które z poszukiwanych osób występują w zbiorze i jakie dodatkowe informacje są z nimi związane. 

To, co dawniej mogło wymagać obserwacji, źródła osobowego albo włamania do konkretnej placówki, dzisiaj może zostać wykonane przez automatyczne przeszukanie milionów rekordów.

Nie jest to czysta spekulacja. Amerykańskie Narodowe Centrum Kontrwywiadu i Wywiadu (NCSC) określamasowe dane osobowe, w tym informacje medyczne, jako zasób o znaczeniu strategicznym. 

Zwraca uwagę, że połączenie skradzionych danych identyfikacyjnych z informacjami zdrowotnymi stwarza możliwość precyzyjnego typowania konkretnych osób do obserwacji, manipulacji lub nacisku. 

Na tym polega potencjalna wartość wartości wywiadowcza wycieku z MyDr. Nie chodzi o pytanie: „na co chorują Polacy?”, ale „na co choruje człowiek, którym wywiad już wcześniej się interesował?”.

Jedna recepta zazwyczaj nie wystarczy do postawienia diagnozy. Ale ciąg recept, rodzaj przyjmowanych leków, częstotliwość wizyt, specjalizacja lekarzy i inne informacje mogą tworzyć znacznie pełniejszy obraz. 

Po zestawieniu ich z danymi finansowymi, zawodowymi czy pochodzącymi z mediów społecznościowych można budować profil podatności konkretnego człowieka. 

NCSC wskazuje wprost, że informacje zdrowotne ujawniające osobiste problemy mogą zwiększać możliwości wywierania nacisku, szczególnie gdy zostaną połączone np. z danymi świadczącymi o zadłużeniu lub innych trudnościach życiowych.

Najcenniejsza jest możliwość łączenia baz

Wywiad nie patrzy na poszczególne wycieki jak na niezależne zdarzenia. Ich wartość rośnie wraz z możliwością korelowania danych.

PESEL + telefon + e-mail + miejsce pracy + dane finansowe + informacje medyczne + aktywność internetowa tworzą zupełnie inną wartość niż każdy z tych elementów oddzielnie. 

Człowiek przestaje być nazwiskiem w kartotece. Staje się rozbudowanym profilem: wiadomo, kim jest, gdzie pracuje, jak się z nim skontaktować, z jakimi problemami może się zmagać i jakie wiadomości mogą być dla niego wiarygodne.

Amerykański kontrwywiad zna ten problem bardzo dobrze. NCSC przypomina, że podmioty chińskie lub działające z Chin uzyskały w przeszłości dostęp do gigantycznych zbiorów danych Amerykanów, w tym około 78 mln rekordów Anthem (jednego z największych amerykańskich ubezpieczycieli zdrowotnych). 

Ten przypadek jest szczególnie pouczający. Departament Sprawiedliwości USA w oficjalnym komunikaciepodał, że z systemów Anthem skradziono dane około 78,8 mln osób. Obejmowały: nazwiska, identyfikatory medyczne, daty urodzenia, numery Social Security, adresy, telefony, e-maile, a także informacje dotyczące zatrudnienia i dochodów. 

Dane miały być następnie przesyłane do systemów znajdujących się w Chinach. 

Nie oznacza to oczywiście, że przypadek MyDr jest odpowiednikiem operacji Anthem. Pokazuje natomiast, że masowe zbiory dotyczące zdrowia i tożsamości obywateli od dawna znajdują się w polu zainteresowania podmiotów działających w środowisku wywiadowczym i państwowym.

Od profilu medycznego do werbunku

Największa wartość takich danych ujawnia się przy przygotowaniu operacji HUMINT. 

Oficer wywiadu przed próbą pozyskania człowieka chce wiedzieć o nim możliwie dużo: sytuację zawodową, ambicje, kontakty, problemy finansowe, rodzinne i osobiste. Dane medyczne mogą być kolejnym elementem tego obrazu — czasem mało istotnym, czasem niezwykle cennym.

Co ważne, współczesne typowanie potencjalnych źródeł coraz częściej odbywa się bez fizycznego kontaktu. 

FBI opisuje, jak obce służby wykorzystują portale zawodowe, media społecznościowe i platformy internetowe do identyfikowania oraz pozyskiwania ludzi posiadających dostęp do informacji wrażliwych. 

Biuro podkreśla, że pozwala to kontaktować się z setkami potencjalnych celów szybko i niewielkim kosztem, a zainteresowanie obejmuje m.in. obecnych i byłych pracowników administracji, żołnierzy, kontraktorów oraz ludzi posiadających wiedzę technologiczną i gospodarczą.

Znacznie poważniejszy jest potencjał wykorzystania informacji medycznych do profilowania konkretnych osób. 

NCSC wprost ostrzega, że obce państwa mogą łączyć dane zdrowotne z innymi przejętymi zbiorami informacji osobowych i na tej podstawie budować profile ludzi przydatne do obserwacji, wywierania nacisku lub manipulacji. 

Dane medyczne należy więc traktować jako kategorię informacji posiadającą bezpośrednią wartość wywiadowczą. 

W 2024 roku ówczesny dyrektor NCSC Michael C. Casey zaalarmował, że sztuczna inteligencja może służyć do łączenia zbiorów informacji i zwiększania skuteczności działalności hakerskiej oraz szpiegowskiej. 

W przypadku wycieku z MyDr oznacza to, że najważniejszą wartością dla obcej służby nie byłaby wiedza o zdrowiu milionów przypadkowych Polaków, lecz możliwość odnalezienia w tej masie danych konkretnych żołnierzy, funkcjonariuszy, urzędników, dyplomatów czy pracowników przemysłu obronnego, a następnie połączenia informacji o nich z innymi bazami.

Nie jest to zagrożenie teoretyczne. 

„Los Angeles Times” już w 2015 roku opisał jak zagraniczne służby łączyły skradzione amerykańskie bazy obejmujące informacje o poświadczeniach bezpieczeństwa, podróżach i ubezpieczeniach zdrowotnych, aby identyfikować osoby związane z wywiadem i wyszukiwać ich podatności. 

Ówczesny szef amerykańskiego kontrwywiadu William Evanina mówił, że analiza takich danych pozwala ustalać m.in. kto jest oficerem wywiadu, gdzie podróżuje oraz kto ma problemy finansowe lub zdrowotne. 

Według urzędników USA, chińskie Ministerstwo Bezpieczeństwa Państwowego łączyło m.in. dane medyczne przejęte od ubezpieczyciela Anthem z informacjami z Office of Personnel Management i danymi pasażerów United Airlines. 

Trzy lata później agencja Reutera ujawniła, że służby USA dostrzegły korelację pomiędzy osobami typowanymi przez chiński wywiad poprzez LinkedIn a rekordami skradzionymi z OPM, obejmującymi również informacje medyczne i finansowe.

Nie dowodzi to, że konkretna diagnoza przesądziła o werbunku konkretnego człowieka. Pokazuje jednak coś równie istotnego: masowe dane medyczne były elementem rzeczywistych zbiorów wykorzystywanych do kontrwywiadowczego profilowania i typowania potencjalnych celów.

Wyciek z MyDr. Do czego mogą posłużyć dane?

Baza taka jak ta skradziona z MyDr mogłaby więc pełnić funkcję dodatkowej warstwy selekcji. 

Najpierw identyfikuje się człowieka ważnego z punktu widzenia dostępu do informacji. Potem sprawdza, jakie wiadomości na jego temat znajdują się w przejętych zbiorach. Następnie buduje się dokładniejszy profil i wybiera najlepszy sposób podejścia.

Dane medyczne mogą być również użyte do stworzenia wyjątkowo wiarygodnego phishingu. 

Wiadomość odwołująca się do prawdziwej placówki, recepty czy konsultacji ma większą szansę skłonić odbiorcę do kliknięcia niż przypadkowy e-mail o paczce. 

Dla przestępcy celem będzie konto bankowe. Dla wywiadu może nim być telefon wojskowego, komputer urzędnika albo skrzynka pocztowa pracownika przedsiębiorstwa zbrojeniowego.

Dlatego po wycieku z MyDr pytanie kontrwywiadowcze powinno brzmieć nie tylko „kto włamał się do systemu?”, lecz „które rekordy mają szczególną wartość dla przeciwnika?”.

Jeżeli możliwe jest ustalenie osób dotkniętych wyciekiem, szczególnej analizy wymagają dane żołnierzy, funkcjonariuszy służb, osób posiadających dostęp do informacji niejawnych, pracowników administracji centralnej, infrastruktury krytycznej oraz przemysłu obronnego. 

To nie jest dowód, że którakolwiek obca służba posiada dziś te informacje, ale ocena potencjalnej wartości łupu. I w tym tkwi największe zagrożenie.

Kartę kredytową można zastrzec. Hasło można zmienić. Numer rachunku można zamknąć. Historii leczenia zmienić się nie da.

Dzisiejszy młody oficer za dziesięć lat może zostać dowódcą, a inżynier — kierownikiem strategicznego programu. 

FBI zwraca zresztą uwagę, że obce służby interesują się także ludźmi, którzy jeszcze nie mają dostępu do szczególnie wartościowych informacji, jeżeli ich kariera może taki dostęp przynieść w przyszłości.

Z tej racji dane skradzione w 2026 roku mogą mieć wartość także wiele lat później.

Cyberprzestępcy mogli ukraść bazę MyDr dla pieniędzy. Z punktu widzenia obcego wywiadu najważniejsze jest jednak coś innego: ktoś stworzył możliwość przeszukania ogromnego fragmentu polskiego społeczeństwa według nazwisk ludzi, którymi służba może już być zainteresowana.

Jeżeli taka baza kiedykolwiek trafi w ręce obcego wywiadu, nie będzie dla niego stertą 19 milionów przypadkowych rekordów. Będzie wyszukiwarką potencjalnych celów.