Cyberatak na IQ Dental. Dane pacjentów 36 placówek mogły zostać wykradzione

Dane osobowe pacjentów oraz informacje dotyczące wizyt mogły zostać pozyskane w wyniku nieuprawnionego dostępu do systemu IQ Dental. Incydent, do którego doszło 1 października, dotyczy 36 placówek stomatologicznych. Firma nie podała, ilu pacjentów może być objętych zdarzeniem.

IQ Dental, dostawca systemu dla gabinetów i klinik stomatologicznych, poinformował swoich klientów o incydencie związanym z bezpieczeństwem danych. Jak wynika z informacji przekazanych placówkom, 1 października doszło do nieuprawnionego dostępu do konta administracyjnego systemu. Następnie utworzono dostęp API, który umożliwiał wykonywanie zapytań dotyczących danych wybranych klinik.

Firma wykryła incydent 5 października około południa. Według informacji przekazanych klientom nieuprawniony dostęp miał być możliwy 1 października w godzinach 4:00–12:00. Nie wiadomo, w jaki sposób osoba nieuprawniona uzyskała dostęp do konta administracyjnego.

Incydent dotyczy 36 placówek

Według informacji przekazanych serwisowi Niebezpiecznik.pl przez przedstawiciela zarządu IQ Dental incydent obejmuje 36 placówek. Firma współpracuje z około 6500 dentystami, ale nie oznacza to, iż dane wszystkich użytkowników systemu zostały objęte zdarzeniem. IQ Dental nie podało liczby pacjentów, których dane mogły zostać pozyskane. Na obecnym etapie nie można więc określić liczby osób potencjalnie objętych naruszeniem.

Ważne jest również rozróżnienie między możliwością dostępu do danych a potwierdzeniem ich pobrania lub dalszego wykorzystania. Z dotychczasowych informacji wynika, iż nieuprawniony dostęp dawał możliwość wykonywania zapytań do danych wybranych placówek. Nie ma natomiast publicznie dostępnych informacji pozwalających stwierdzić, ile danych faktycznie pobrano.

Jakie dane mogły być dostępne?

Zakres potencjalnie zagrożonych informacji obejmuje dane identyfikacyjne pacjentów, w tym imię i nazwisko, numer PESEL oraz dane adresowe. Zagrożone mogły być również informacje dotyczące wizyt, w tym zawartość pól tekstowych i notatek.

To właśnie otwarty charakter części pól sprawia, iż nie można wykluczyć obecności w nich informacji dotyczących leczenia lub stanu zdrowia pacjentów. Nie oznacza to jednak, iż takie informacje znajdowały się w każdym rekordzie ani iż wszystkie zostały pobrane. IQ Dental przekazało, iż dotychczasowa analiza techniczna nie wykazała dostępu do innych poufnych danych medycznych, takich jak informacje o receptach czy przepisanych lekach.

Co wiadomo o przyczynie incydentu?

Z dotychczasowych informacji wynika, iż punktem wyjścia był nieuprawniony dostęp do konta administracyjnego. Osoba, która uzyskała dostęp, wygenerowała następnie dostęp API pozwalający na wykonywanie zapytań dotyczących wybranych placówek.

Nie wiadomo natomiast, w jaki sposób przejęto konto administratora. Publicznie dostępne informacje nie pozwalają więc w tej chwili przesądzić, czy przyczyną było np. wyłudzenie danych logowania, wykorzystanie podatności czy inne działanie.
Nie ma również informacji o żądaniu okupu. Według przekazanych informacji IQ Dental nie odnotowało takiej próby.

Co powinni zrobić administratorzy gabinetów?

IQ Dental ma poinformować placówki, których dotyczy incydent, aby mogły podjąć odpowiednie działania wobec pacjentów. Firma zaleciła również klientom zgłoszenie incydentu do Urzędu Ochrony Danych Osobowych oraz włączenie w systemie uwierzytelniania dwuskładnikowego.

Dla gabinetów korzystających z IQ Dental pierwszym krokiem powinno być ustalenie, czy dana placówka znajduje się w grupie 36 podmiotów objętych incydentem. W przypadku potwierdzenia należy postępować zgodnie z informacjami przekazanymi przez dostawcę systemu i własnymi procedurami dotyczącymi naruszeń ochrony danych.

IQ Dental deklaruje, iż współpracuje z około 6500 dentystami, a na swojej stronie przedstawia system jako rozwiązanie chmurowe służące m.in. do zarządzania dokumentacją i pracą gabinetu. W swojej polityce prywatności firma wskazuje również na przetwarzanie danych osobowych oraz danych dotyczących zdrowia.

Nie każdy użytkownik systemu jest objęty incydentem

Informacja o 36 placówkach jest szczególnie istotna, ponieważ samo korzystanie z IQ Dental nie oznacza, iż dane każdego gabinetu i każdego pacjenta zostały objęte incydentem. Na obecnym etapie wiadomo jedynie, iż nieuprawniony dostęp umożliwiał wykonywanie zapytań dotyczących danych wybranych placówek.

Nie wiadomo jeszcze, ilu pacjentów dotyczy potencjalne naruszenie ani czy dane wszystkich osób z tych placówek rzeczywiście zostały pobrane. Te informacje mogą zostać doprecyzowane dopiero po zakończeniu analizy incydentu.

Dla gabinetów stomatologicznych zdarzenie jest jednak kolejnym przypomnieniem, iż bezpieczeństwo dokumentacji pacjentów nie ogranicza się do komputerów znajdujących się w recepcji czy gabinecie. Coraz większa część danych jest przechowywana i przetwarzana przez zewnętrzne systemy informatyczne. Dlatego bezpieczeństwo kont administracyjnych i odpowiednie zabezpieczenie dostępu do systemów informatycznych ma bezpośrednie znaczenie dla ochrony danych pacjentów.

Incydent w IQ Dental to kolejny w ostatnim czasie cyberatak dotyczący dostawcy systemu wykorzystywanego przez gabinety stomatologiczne. We wrześniu podobne zdarzenie dotknęło firmę Felg Software, dostawcę systemu FELG Dent, gdzie również pojawiło się ryzyko dostępu do danych pacjentów.

Źródło: https://niebezpiecznik.pl/