Trwa dochodzenie w sprawie cyberataku na MyDr, dostawcę systemu elektronicznej dokumentacji medycznej dla placówek ochrony zdrowia. Hakerzy twierdzą, że wykradli numery PESEL i dane medyczne blisko 19 mln Polaków.

MyDr: „nie jesteśmy w stanie potwierdzić ilości i rodzaju danych”

MyDr przyznał, iż „staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych”.

Według firmy dane objęte incydentem najprawdopodobniej pochodzą z 2024 roku i lat wcześniejszych. „Mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów” – utrzymuje firma. Jednak, jak zastrzegła, „na dziś [12.08] nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji”.

„Ponieważ dochodzenie jest wciąż w toku, na tym etapie nie możemy udostępnić dalszych szczegółów technicznych ani spekulować na temat kolejnych ustaleń” – oświadczył MyDr.

Według firmy trwa dochodzenie z udziałem zewnętrznych ekspertów, a zespoły „pracują dzień i noc”.

Jednocześnie MyDr zapewnia, iż jego systemy są obecnie w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy.

NFZ: bezpieczeństwo centralnych usług e-zdrowia nienaruszone

MyDr poinformował w kolejnym komunikacie, iż we współpracy z Centrum e-Zdrowia przeanalizował bezpieczeństwo certyfikatów P1 i nie stwierdzono ich naruszenia. Jednocześnie w porozumieniu z CEZ rekomenduje stopniową rotację certyfikatów P1 i zapowiada kontakt bezpośrednio z placówkami w tej sprawie.

Certyfikaty P1 umożliwiają placówkom medycznym bezpieczne połączenie z platformą P1, czyli z centralnym systemem informatycznym służby zdrowia. (Elektroniczna Platforma Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach Medycznych). P1 obsługuje m.in. e-recepty, e-skierowania, Internetowe Konto Pacjenta.

NFZ zapewnił również, iż nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.

„Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia” – uspokaja Narodowy Fundusz Zdrowia.

Jak dodaje, Centrum e-Zdrowia zwiększyło poziom monitoringu i pozostaje w stanie wyższej gotowości. Współpracuje ze służbami w sprawie zdarzenia.

Ekspert: to placówki medyczne odpowiadają za bezpieczeństwo danych

Jak podaje MyDr, oprogramowanie firmy wykorzystuje ponad 12 tys. placówek w całej Polsce.

„Powierzenie przetwarzania nie przenosi odpowiedzialności na dostawcę. Przychodnia pozostaje administratorem i sama odpowiada za wybór podmiotu przetwarzającego oraz nadzór nad nim” – twierdzi dla „Rzeczpospolitej” prof. Dominik Lubasz. Jest to ekspert ds. aspektów prawnych AI i ochrony danych osobowych.

Wynika z tego, że to administrator danych, a zatem placówki medyczne, odpowiadają za bezpieczeństwo danych, a nie dostawca software’u.

Każdy pacjent, którego dane wyciekły, musi zostać poinformowany

Paweł Litwiński, prawnik i członek Społecznego Zespołu Ekspertów przy prezesie UODO, twierdzi, iż zgodnie z RODO MyDr jest podmiotem przetwarzającym dane osobowe. Dlatego ma obowiązek poinformowania placówek ochrony zdrowia i lekarzy o wycieku tych danych, podając których pacjentów i jakie dane wyciekły.

Następnie placówka medyczna ma 72 godz. na powiadomienie UODO. Musi też „bez zbędnej zwłoki” poinformować każdego pacjenta o wycieku, choć terminu ściśle nie określono np. w godzinach – wyjaśnił ekspert UODO dla PAP.

Placówki ochrony zdrowia badają sprawę

Spośród dużych sieci placówek medycznych enel-med poinformował, iż system MyDr jest wykorzystwany do obsługi pacjentów korzystających ze świadczeń NFZ. Dane osób korzystających z usług komercyjnych nie są przetwarzane w systemie MyDr. „Na obecnym etapie nie otrzymaliśmy potwierdzenia, że zdarzenie objęło dane pacjentów enel-med” – podała firma.

Medicover wyjaśnia sprawę. Rzecznik firmy poinformował PAP, iż trwa wewnętrzna analiza w celu ustalenia czy incydent z My Dr miał wpływ na dane przetwarzane przez placówkę.

LuxMed również prowadzi działania wyjaśniające. Ze wstępnych ustaleń wynika, że incydent może dotyczyć części danych pacjentów. Jego zakres jest jednak ograniczony – wynika z informacji przedstawiciela firmy dla PAP.

Uwaga na SMS-y i maile rzekomo w sprawie leczenia

NFZ zaleca zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel. Sugeruje też stosowanie silnych i unikalnych haseł do poszczególnych usług i korzystanie z uwierzytelniania wieloskładnikowego (MFA). Radzi ponadto zachować ostrożność wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych. Sugeruje też sprawdzanie aktywności na kontach internetowych.

Zdaniem ekspertów ryzyko polega m.in, na tym, iż przestępcy mając dane medyczne konkretnych osób mogą podszywać się pod przychodnie czy szpitale. Trzeba liczyć się z tym, iż będą wysyłać spersonalizowane wiadomości ze złośliwymi linkami, nawiązujące do rzeczywistej wizyty u lekarza, zabiegu czy choroby. Inne zagrożenie to telefony od ludzi udających pracowników placówki służby zdrowia.