Po cyberataku na MyDr wykradziono bazę obejmującą dane blisko 19 mln osób. Ma ponad 2 TB. Teraz przestępcy mogą spróbować wykorzystać zdobyte informacje do phishingu i wyłudzeń. Minister cyfryzacji radzi zacząć od zastrzeżenia numeru PESEL.
Skala jest ogromna. Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował 12 sierpnia, że z firmy MyDr wykradziono bazę o rozmiarze ponad 2 TB, obejmującą dane blisko 19 mln osób. Firma dostarcza system elektronicznej dokumentacji medycznej używany przez placówki ochrony zdrowia. Według Gawkowskiego z oprogramowania korzystało około 12 tys. placówek. Bankier.pl opisywał szczegóły incydentu w środę.
Nie znamy jeszcze pełnego zakresu informacji dotyczących poszczególnych pacjentów. Wiadomo jednak, że sprawcy dysponują danymi, które można ze sobą łączyć. Gawkowski potwierdził w TVN24, że hakerzy, chcąc udowodnić kradzież, przedstawili dane jednego z polityków. Wśród nich znalazły się numer PESEL i informacje o receptach.
To zmienia charakter zagrożenia. Skradziona baza może posłużyć do przygotowania oszustwa skrojonego pod konkretną osobę.
„Proszę potwierdzić wizytę”
Beniamin Szczepankiewicz, analityk zagrożeń ESET, zwraca uwagę, że jeśli wykradzione informacje pozwalają powiązać osobę z placówką medyczną lub wizytą, przestępca dostaje materiał do stworzenia wiarygodnej wiadomości. Może podszyć się pod przychodnię i napisać o konieczności potwierdzenia wizyty. Innym scenariuszem jest wiadomość związana z receptą lub badaniem.
To na razie scenariusze wskazywane przez ekspertów, a nie potwierdzone kampanie prowadzone na danych z MyDr.
Problem polega na tym, że oszust może znać prawdziwe informacje. SMS zawierający nasze dane będzie wyglądał znacznie poważniej niż masowa wiadomość wysłana na chybił trafił.
ESET radzi, aby w takiej sytuacji nie korzystać z linku otrzymanego w SMS-ie lub e-mailu. Jeżeli wiadomość rzekomo pochodzi z przychodni, sprawę najlepiej potwierdzić bezpośrednio w placówce, korzystając z numeru znalezionego samodzielnie.
Ta sama zasada dotyczy telefonu. Fakt, że rozmówca zna PESEL albo informacje związane z leczeniem, nie dowodzi, że dzwoni z placówki medycznej.
Zastrzeż PESEL
Gawkowski po potwierdzeniu wycieku wskazał, co zrobić w pierwszej kolejności: zastrzec numer PESEL. Można to zrobić bezpłatnie w aplikacji lub serwisie mObywatel oraz w urzędzie gminy. Zastrzeżenie zaczyna obowiązywać od razu.
Banki i inne wskazane w przepisach instytucje mają obowiązek sprawdzać rejestr zastrzeżeń przed określonymi czynnościami, między innymi przed udzieleniem kredytu lub pożyczki. Zastrzeżenie PESEL utrudnia więc wykorzystanie skradzionych danych do zaciągnięcia zobowiązania finansowego.
Poważny wyciek danych milionów Polaków. Ekspert: Państwo zareagowało prawidłowo
Organy państwa zareagowały prawidłowo, sprawą zajął się zespół CERT Polska, policja i Urząd Ochrony Danych Osobowych - powiedział PAP redaktor naczelny serwisu ZaufanaTrzeciaStrona.pl Adam Haertle, odnosząc się do wycieku danych osobowych z firmy MyDr.
Nie zatrzyma jednak phishingu. Oszust nadal może zadzwonić, wysłać wiadomość albo próbować zdobyć kolejne dane.
Osoby obawiające się wyłudzenia kredytu mogą sprawdzić swój raport BIK. Dostępne są też Alerty BIK, które informują użytkownika, gdy do Biura wpłynie zapytanie związane z wnioskiem kredytowym.
Ministerstwo zapowiedziało również przeniesienie informacji o wykradzionych danych do rządowego serwisu Bezpieczne Dane. Ma on umożliwić obywatelom sprawdzenie, czy ich informacje znalazły się w bazie pochodzącej z ataku na MyDr. 12 sierpnia trwały jeszcze prace nad jej udostępnieniem.
Jeżeli po tym wycieku przyjdzie SMS o recepcie lub telefon z przychodni z prośbą o wykonanie płatności, rozmowę można przerwać i samodzielnie zadzwonić do placówki. Prawdziwe dane w wiadomości nie są już wystarczającym potwierdzeniem jej pochodzenia.
