Piotr Miluski, szef firmy MyDr, z której wyciekły dane 19 mln Polaków napisał w oświadczeniu, iż zespół MyDr kończy analizę tego, jakie dane objął incydent. W najbliższych dniach firma zacznie informować placówki medyczne o skali wycieku.
W sierpniu Ministerstwo Cyfryzacji poinformowało, iż w wyniku cyberataku na firmę MyDr wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr.
„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych” – podkreślił w oświadczeniu opublikowanym na stronie firmy MyDr jej szef Piotr Miluski. Zaznaczył, iż postępowanie w sprawie cyberataku prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) przez cały czas trwa, a równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane objął incydent. „W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania” – poinformował.
Piotr Miluski zaznaczył, iż za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy firma nie może wykluczyć z zakresu incydentu. Wyjaśnił, iż tak szeroka grupa „została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem”. Podkreślił, iż liczba ta nie oznacza jednak, iż skradzione, odczytane lub upublicznione zostały dane 18 milionów osób. Dodał, iż zespoły MyDr i zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Szef MyDr zapewnił też, iż firma przez cały czas będzie współpracować z adekwatnymi organami i przekazywać im niezbędne informacje.
Dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości w sprawie wycieku danych z firmy MyDr nadzoruje Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, iż Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, iż nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. „Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia” – zaznaczyło MZ.
Ministerstwo zaleca, niezależnie od okoliczności incydentu, stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.
