Firma MyDr prowadzi postępowanie wyjaśniające po zgłoszeniu poważnego incydentu cyberbezpieczeństwa. Według hakerów z systemów firmy miały zostać wykradzione dane 18 814 422 unikatowych numerów PESEL.
MyDr dostarcza systemy elektronicznej dokumentacji medycznej tysiącom placówek w Polsce. Z jej rozwiązań korzystają zarówno przychodnie, jak i prywatne gabinety lekarskie. Firma deklaruje obsługę około 3 mln wizyt i 2,7 mln recept miesięcznie.
Sprawcy przedstawili dowody
Osoby twierdzące, że włamały się do systemów, przekazały materiały mające potwierdzać dostęp do baz danych. Wśród nich znalazły się m.in. dane osobowe konkretnych osób, informacje dotyczące recept oraz fragmenty wewnętrznych dokumentów firmy.
Część przekazanych informacji została niezależnie zweryfikowana i okazała się prawdziwa. Sprawcy mieli również przedstawić dane kilku osób w ramach próby potwierdzenia, że baza rzeczywiście zawiera informacje pochodzące z systemów medycznych.
Nie ma jednak obecnie niezależnego potwierdzenia, że wykradziono dokładnie 18,8 mln rekordów ani że skala incydentu obejmuje całą deklarowaną przez hakerów bazę.
Może dotyczyć każdego pacjenta
Sprawa jest szczególnie poważna, ponieważ MyDr nie jest przychodnią, do której pacjent musi świadomie „zapisać się” jako użytkownik systemu. Z jej oprogramowania korzystają placówki medyczne, w których lekarze zapisują informacje o wizytach, receptach i pacjentach.
Oznacza to, że potencjalnie zagrożone mogą być dane każdej osoby korzystającej z ochrony zdrowia — zarówno publicznej, jak i prywatnej — jeśli odwiedzana przez nią placówka korzystała z systemów MyDr.
Na razie nie ma jednak publicznej listy osób, których dane znalazły się w wycieku.
Firma bada sprawę
MyDr poinformowała o uruchomieniu procedur reagowania na incydent, zaangażowaniu zespołów bezpieczeństwa i infrastruktury oraz współpracy z zewnętrznymi ekspertami i właściwymi organami.
Firma podkreśla, że postępowanie wyjaśniające nadal trwa i zapowiada przekazywanie kolejnych informacji po potwierdzeniu ustaleń.
Na obecnym etapie pacjenci powinni przede wszystkim śledzić komunikaty swojej przychodni lub gabinetu oraz informacje dotyczące dalszego postępowania w sprawie incydentu.
