MyDr poinformowała swoich klientów – placówki medyczne i lekarzy – o wykryciu potencjalnego nieuprawnionego dostępu do części systemów. Sprawa może mieć poważne konsekwencje ze względu na charakter informacji przetwarzanych przez oprogramowanie medyczne.

Do sytuacji odniósł się wicepremier i minister cyfryzacji Krzysztof Gawkowski. Jak przekazał, odpowiednie instytucje prowadzą działania zmierzające do ustalenia wszystkich okoliczności zdarzenia.

– Ważna informacja dotycząca incydentu cyberbezpieczeństwa, do którego doszło w systemach i danych firmy MyDr. O zdarzeniu zostały poinformowane odpowiednie służby, które prowadzą intensywne działania związane z ustaleniem wszystkich okoliczności sprawy oraz wspierają firmę w realizowanych działaniach. Firma na bieżąco przekazuje służbom potwierdzone informacje związane z prowadzonymi działaniami – poinformował Krzysztof Gawkowski.

Czym jest MyDr?

MyDr to polska firma dostarczająca oprogramowanie do prowadzenia placówek medycznych. Jej system łączy elektroniczną dokumentację medyczną, obsługę pacjentów, zarządzanie wizytami oraz narzędzia wykorzystywane w codziennej pracy lekarzy i personelu przychodni.

Oprogramowanie umożliwia między innymi prowadzenie dokumentacji pacjentów, wystawianie e-recept, e-skierowań i e-zwolnień, rozliczanie świadczeń z Narodowym Funduszem Zdrowia oraz raportowanie zdarzeń medycznych do systemu P1. Rozwiązanie jest wykorzystywane przez liczne gabinety i placówki ochrony zdrowia w całej Polsce.

Według danych podawanych przez firmę za pośrednictwem jej systemów realizowanych jest około 3 mln wizyt oraz wystawianych około 2,7 mln recept miesięcznie. Skala działalności sprawia, że wszelkie podejrzenia dotyczące nieuprawnionego dostępu do systemów budzą szczególne obawy.

Hakerzy mówią o milionach numerów PESEL

Osoby podające się za sprawców twierdzą, że zdobyły 18 814 422 unikatowe numery PESEL. Według ich deklaracji przejęty zbiór może obejmować także inne dane osobowe i informacje związane z obsługą medyczną pacjentów. O sprawie i skali działania hakerów informuje portal zaufanatrzeciastrona.pl.

Na obecnym etapie są to jednak wyłącznie twierdzenia hakerów. Nie przeprowadzono niezależnej weryfikacji całego rzekomo przejętego zbioru, a MyDr nie potwierdziła, że dane zostały wyprowadzone z jej systemów.

Firma przyznała, że bada potencjalny nieuprawniony dostęp, uruchomiła procedury reagowania i zaangażowała specjalistów zajmujących się bezpieczeństwem, infrastrukturą oraz inżynierią systemów. Do działań włączono także zewnętrznych ekspertów, a o sprawie zawiadomiono organy ścigania.

– Klienci firmy, czyli placówki medyczne i lekarze zostali poinformowani o identyfikacji potencjalnego nieuprawnionego dostępu do systemów. Na tym etapie postępowania nie można ostatecznie potwierdzić wycieku danych, jednak wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich dostęp – zaznaczył minister cyfryzacji.

Firma nie potwierdza wycieku

MyDr nie przedstawiła dotychczas szczegółowych informacji, które potwierdzałyby wyciek danych, jego zakres lub liczbę osób, których mogłaby dotyczyć sprawa. Nie wiadomo również, jakie konkretnie kategorie informacji mogły zostać objęte potencjalnym dostępem.

Rozróżnienie pomiędzy dostępem do systemu a wyprowadzeniem danych ma kluczowe znaczenie. Sam fakt wykrycia nieuprawnionej aktywności nie przesądza jeszcze, że informacje zostały skopiowane i znalazły się poza kontrolą administratora. Ostateczne wnioski będzie można wyciągnąć dopiero po zakończeniu analizy technicznej.

– W związku z powyższym będziemy na bieżąco informować opinię publiczną o dalszych działaniach – zapowiedział Krzysztof Gawkowski.

Minister apeluje o ochronę danych

W związku z możliwym zagrożeniem minister przypomniał o zasadach ograniczających ryzyko wykorzystania danych do oszustw, przejęcia kont lub prób wyłudzenia pieniędzy.

– Przypominam także o podstawowych zasadach bezpieczeństwa i higieny cyfrowej, szczególnie zastrzeganiu swojego numeru PESEL (na przykład w aplikacji mObywatel), stosowaniu trudnych haseł i dwuskładnikowej weryfikacji logowania. Każdy z nas powinien dbać o swoją własną ochronę w przestrzeni cyfrowej – podkreślił minister cyfryzacji.

Do czasu przedstawienia wyników postępowania należy zachować ostrożność wobec wiadomości, telefonów i próśb o podanie danych, zwłaszcza gdy nadawca powołuje się na przychodnię, lekarza, receptę albo dokumentację medyczną.