Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent dotyczy jego danych - podkreślił w poniedziałkowym oświadczeniu w sprawie cyberataku na firmę MyDr, jej szef Piotr Miluski. Dodał, że zespół MyDr kończy analizę tego, jakie dane objął incydent.
Dane 19 mln Polaków
W sierpniu Ministerstwo Cyfryzacji poinformowało, że w wyniku cyberataku na firmę MyDr wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr.
„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych” - podkreślił w oświadczeniu opublikowanym na stronie firmy MyDr jej szef Piotr Miluski.
Zaznaczył, że postępowanie w sprawie cyberataku prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa, a równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane objął incydent.
"Rozpoczniemy oficjalne informowanie placówek medycznych"
„W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania” - poinformował.
Miluski zaznaczył, że za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy firma nie może wykluczyć z zakresu incydentu. Wyjaśnił, że tak szeroka grupa „została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem”.
Podkreślił, że liczba ta nie oznacza jednak, że skradzione, odczytane lub upublicznione zostały dane 18 milionów osób. Dodał, że zespoły MyDr i zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.
Szef MyDr zapewnił też, że firma nadal będzie współpracować z właściwymi organami i przekazywać im niezbędne informacje.
Organy państwa pracują nad tą sprawą
Dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości w sprawie wycieku danych z firmy MyDr nadzoruje Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. „Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia" - zaznaczyło MZ.
Ministerstwo zaleca, niezależnie od okoliczności incydentu, stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.
Wiceminister cyfryzacji Dariusz Standerski zapowiedział zmiany legislacyjne dotyczące zaostrzenia odpowiedzialności podmiotów przetwarzających dane medyczne. Resort w tym tygodniu ma zamiar podzielić się swoimi propozycjami w tej sprawie.
Kontrolę w spółce MyDr zapowiedział również Urząd Ochrony Danych Osobowych (UODO). Jej przedmiotem będą zastosowane środki techniczne i organizacyjne, w tym analiza ryzyka. (PAP)
kblu/ kcz/
