Szef firmy MyDr Piotr Miluski przeprosił pacjentów i użytkowników platformy po cyberataku, w wyniku którego wyciekły dane milionów osób. Firma prowadzi analizę zakresu wycieku i zapowiada rozpoczęcie informowania placówek medycznych. Jednocześnie podkreśla, że nie oznacza to, iż dane wszystkich osób zostały skradzione lub upublicznione.
- MyDr nie zakończył jeszcze analizy, która ma przesądzić, jakie konkretnie informacje znalazły się w zakresie cyberataku.
- Firma zdecydowała się na ostrożnościowy model informowania, dlatego potencjalnie może on objąć około 18 mln osób, choć nie oznacza to, że dane wszystkich tych osób zostały przejęte lub ujawnione.
- Sprawę badają służby i prokuratura, a UODO ma dodatkowo skontrolować zabezpieczenia stosowane przez spółkę.
Piotr Miluski, szef firmy MyDr, przeprosił pacjentów i użytkowników platformy w związku z cyberatakiem i wyciekiem danych. Jak poinformował w oświadczeniu opublikowanym na stronie firmy, zespół MyDr wraz z zewnętrznymi ekspertami kończy analizę, która ma dokładnie określić, jakie dane zostały objęte incydentem.
„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych” – podkreślił Miluski.
Cyberatak na MyDr. Wyciek danych milionów Polaków
W sierpniu Ministerstwo Cyfryzacji informowało, że w wyniku cyberataku na firmę MyDr wyciekły dane dotyczące 19 mln Polaków, w tym informacje dotyczące leków i recept.
MyDr jest dostawcą systemu wykorzystywanego m.in. do prowadzenia elektronicznej dokumentacji medycznej. Dane objęte incydentem dotyczą około 12 tys. podmiotów medycznych korzystających z platformy. Firma nadal analizuje zakres naruszenia.
Miluski poinformował, że w najbliższych dniach MyDr rozpocznie oficjalne informowanie placówek medycznych zgodnie z wymogami RODO. Firma ma również pomagać placówkom w komunikacji z pacjentami. „Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania” – przekazał szef MyDr.
Jak wyjaśnił, za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 mln osób, których danych na obecnym etapie nie można wykluczyć z zakresu incydentu. Miluski zaznaczył jednak, że liczba ta nie oznacza, że dane 18 mln osób zostały skradzione, odczytane lub upublicznione.
Według wyjaśnień firmy szeroka grupa została przyjęta ze względów ostrożności i obejmuje osoby, których dane, przede wszystkim historyczne, znajdowały się w środowisku objętym incydentem. Chodzi o informacje pochodzące z kwietnia 2024 r. lub wcześniejsze.
Dane nie zostały publicznie udostępnione?
Szef MyDr poinformował również, że zespoły firmy oraz zewnętrzni eksperci stale monitorują sytuację. Jak przekazał, nie wykryto, aby dane objęte incydentem zostały publicznie udostępnione.
Postępowanie dotyczące cyberataku nadal prowadzi Centralne Biuro Zwalczania Cyberprzestępczości. Sprawę nadzoruje Prokuratura Okręgowa w Warszawie.
Śledztwo dotyczy uzyskania przez nieustaloną i nieuprawnioną osobę dostępu do systemu informatycznego MyDr oraz informacji przechowywanych na serwerach spółki. Według prokuratury osoba ta wcześniej przełamała lub ominęła zabezpieczenia, a następnie ujawniła część pozyskanych informacji poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Za takie przestępstwo grozi kara do trzech lat pozbawienia wolności.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia współpracuje ze służbami zajmującymi się wyjaśnieniem incydentu i wspiera działania mające ograniczyć jego potencjalne skutki.
Resort podkreślił jednocześnie, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. „Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia” – zaznaczyło Ministerstwo Zdrowia.
Ministerstwo przypomina o bezpieczeństwie danych
Resort zdrowia zaleca, aby niezależnie od sytuacji związanej z cyberatakiem stosować podstawowe zasady bezpieczeństwa w internecie.
Wśród rekomendacji znalazło się m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel, używanie silnych i unikalnych haseł oraz korzystanie z uwierzytelniania wieloskładnikowego (MFA).
Ministerstwo apeluje również o szczególną ostrożność wobec wiadomości e-mail, SMS-ów oraz telefonów, których nadawcy próbują nakłonić odbiorców do przekazania danych.
Sprawa MyDr może doprowadzić również do zmian w prawie. Wiceminister cyfryzacji Dariusz Standerski zapowiedział zaostrzenie odpowiedzialności podmiotów przetwarzających dane medyczne. Resort ma przedstawić swoje propozycje legislacyjne w tej sprawie w tym tygodniu.
Kontrolę w firmie MyDr zapowiedział także Urząd Ochrony Danych Osobowych. Ma ona objąć zastosowane przez spółkę środki techniczne i organizacyjne, w tym przeprowadzoną analizę ryzyka.