W rządowym serwisie Bezpieczne Dane można sprawdzić, czy dane wyciekły z MyDr. Przy czym jak zastrzeżono, wskazanie danych w tym serwisie nie oznacza z automatu, że zostały one ujawnione w sieci.

O problemie poinformowano w sierpniu br. Hakerzy utrzymują, że wykradli dane osobowe i medyczne blisko 19 mln Polaków.

Hakerzy: „Dane nie zostały upublicznione, podzielimy się wkrótce czymś jeszcze większym”

Jednocześnie ponownie odezwali się hakerzy, którzy – tak przynajmniej utrzymują – włamali się do MyDr. Według ich zapewnień, skradzione dane nie zostały upublicznione.

„Firma MyDr popełniła błąd, ale bardzo dobrze sobie z tym poradziła, dlatego dane nie zostaną upublicznione ani sprzedane dalej” – napisali hakerzy na profilu pod nazwą Fingerprint. Wpis przekazała dalej na X Zaufana Trzecia Strona.

„Dostaliśmy propozycje i podzielimy się nimi z polskimi władzami. Nie oznacza to jednak, iż MyDr była jedyną firmą, która gromadzi tego typu dane. Po kontakcie z Zaufaną Trzecią Stroną podzielimy się wkrótce czymś jeszcze większym. Mamy nadzieję, że uda się zapobiec temu, by ten przeciek trafił w ręce złych szpiegów” – napisali.

„Nie nazywajcie nas przestępcami. Naszą misją jest poprawa słabego poziomu cyberbezpieczeństwa w Europie, zwłaszcza w czasie cyberwojny z Rosją” – oznajmiono we wpisie.

Słowa hakerów to jedno, tym niemniej nadal nie jest jasne, co przestępcy zrobili ze skradzionymi danymi i czy zostały wykorzystane. Co więcej, z oświadczenia MyDr wynika, iż nie można być również pewnym, czy to co pokazuje serwis Bezpieczne Dane, pochodzi ze wspomnianego megawycieku.

MyDr nie może potwierdzić, czy na Bezpieczne Dane są PESEL-e objęte wyciekiem

„Rozumiemy, że numery PESEL udostępnione za pośrednictwem serwisu Bezpieczne Dane zostały przekazane CERT NASK przez organy ścigania w ramach toczącego się postępowania karnego. Współpracujemy z właściwymi organami w celu zrozumienia i zweryfikowania tych informacji. Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako objęte z incydentem MyDr w pełni odpowiadają numerom zidentyfikowanym w ramach naszego postępowania wyjaśniającego. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr został wskazany jako źródło wycieku, rzeczywiście pochodzą z systemów MyDr” – oświadczyła firma.

Zapewniła o ścisłej współpracy z UODO i wsparciu placówek medycznych w wypełnianiu ich obowiązków wynikających z RODO. „Obejmuje to zawiadamianie pacjentów i potwierdzanie, że ich dane mogły zostać objęte incydentem, a także pomoc w zrozumieniu, co incydent może dla nich oznaczać”.

„Naszym priorytetem pozostaje ochrona pacjentów i klientów, jak najdokładniejsze ustalenie faktów oraz wspieranie organów w toczącym się postępowaniu” – oświadczyła firma i zapowiada przekazywanie kolejnych istotnych informacji, gdy się pojawią.

Prokuratura: grozi kara do 3 lat

Dochodzenie w sprawie wycieku prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie.

Dochodzenie jest prowadzone w sprawie uzyskania przez nieustaloną osobę, nie później niż 6 sierpnia 2026 roku, dostępu bez uprawnienia przez internet do całości lub części systemu informatycznego administrowanego przez MyDr i informacji przechowywanych na serwerach firmy. Obejmowały one dane osobowe pacjentów podmiotów świadczących usługi medyczne, będących klientami MyDr. W tym zawierały według prokuratury: imiona, nazwiska, numery PESEL, numery telefonów, adresy e-mail oraz dane dotyczące stanu zdrowia, takie jak treść notatek z wizyt lekarskich i informacje o wystawionych receptach.

Czyn objęty dochodzeniem – art. 267 [bezprawne uzyskanie informacji] § 1, § 2 i § 4 k.k. w zb. z art. 107 ust. 1 i 2 ustawy o ochronie danych osobowych w zw. z art. 11 § 2 k.k – jest zagrożony karą pozbawienia wolności do lat 3.

Prezes UODO skontroluje MyDr

Urząd Ochrony Danych Osobowych skontroluje zastosowane w MyDr środki techniczne i organizacyjne. Będzie ustalać m.in., czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Przedmiotem kontroli będzie też sprawdzenie czy analiza ryzyka uwzględniała możliwe zagrożenia dla przetwarzanych danych, a jej wyniki zostały zastosowane w praktyce.