Szef BBN Bartosz Grodecki poinformował w piątek, że zwrócił się do „właściwych instytucji” o informacje ws. incydentów związanych z wyciekami danych pacjentów z firmy MyDr. Dodał, że trzeba ustalić rzeczywistą skalę sierpniowego wycieku oraz „co państwo zrobiło z wiedzą” o incydencie z 2024 r.
W piątkowym wpisie na platformie X Grodecki przywołał dwa incydenty związane z prywatną firmą MyDr, dostarczającą system elektronicznej dokumentacji medycznej dla gabinetów lekarskich i przychodni w Polsce. Jedna ze spraw dotyczy cyberataku na firmę z połowy sierpnia, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Dane, które wyciekły dotyczą 12 tys. podmiotów medycznych, które korzystały z platformy MyDr. O drugim, wcześniejszym incydencie z 2024 r., informował w poniedziałek portal Niezależna.pl. Jak podano, między 18 a 27 marca 2024 roku za pośrednictwem systemu MyDr „nielegalnie pozyskano dane milionów osób".
Prokuratura Regionalna w Poznaniu potwierdziła we wtorkowym w komunikacie, że Samodzielny Dział do Spraw Cyberprzestępczości i Informatyzacji tej jednostki nadzoruje śledztwo w tej sprawie.
ReklamaZobacz także
Grodecki podkreślił w piątkowym wpisie, że „przy takiej skali nie wystarczy skuteczna reakcja służb” i że „trzeba również ustalić, co państwo zrobiło z wiedzą zdobytą po incydencie z 2024 roku i jakie działania podjęto przed sierpniem 2026 roku”. „Dlatego zwróciłem się do właściwych instytucji o informacje dotyczące obu zdarzeń” – napisał Grodecki.
PAP dowiedziała się ze źródeł zbliżonych do BBN, że Grodecki zwrócił się w tej sprawie z pismem do Ministerstwa Cyfryzacji.
W piątkowym wpisie szef BBN zapytał o to, kto został poinformowany o incydencie z 2024 roku, jakie wnioski wtedy wyciągnięto i jakie zalecenia wydano, a także - kto odpowiadał za ich wdrożenie, co zostało zrealizowane przed sierpniem 2026 roku i kto zweryfikował skuteczność tych działań.
Według niego trzeba również ustalić „rzeczywistą skalę obecnego incydentu i wskazać, kiedy osoby objęte naruszeniem będą mogły jednoznacznie sprawdzić, czy dotyczy ono właśnie ich”. „Jeśli po ponad dwóch latach państwo nie potrafi dziś wskazać, co faktycznie zmieniono i z jakim skutkiem, trudno mówić o poważnej i właściwej reakcji na masowe naruszenie bezpieczeństwa” – ocenił.
Prowadzone przez Prokuraturę Regionalną w Poznaniu śledztwo w sprawie incydentu z 2024 r. jest na końcowym etapie, a – jak informowała w komunikacie prokuratura – podjęte działania doprowadziły do odzyskania całej bazy danych nielegalnie uzyskanych z Narodowego Funduszu Zdrowia.
Dochodzenie w sprawie sierpniowego incydentu, prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości, nadzoruje z kolei Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.
Zalecenia Ministerstwa Zdrowia po ataku
Informacje, które wyciekły, obejmują dane osobowe pacjentów podmiotów świadczących usługi medyczne i będących klientami MyDr – w tym imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące stanu zdrowia, jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. „Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia" - zaznaczyło MZ.
Ministerstwo zaleca, niezależnie od okoliczności incydentu, stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.
Wiceminister cyfryzacji Dariusz Standerski zapowiedział, że przyszłym tygodniu zaproponowane zostaną konkretne rozwiązania ustawowe dotyczące nowych obowiązków dla podmiotów masowo przetwarzających dane. (PAP)
(planujemy kontynuację tematu)
from/ sdd/ ktl/
