Dane dotyczące zdrowia, które mogły zostać skradzione z systemów MyDr, mogą stać się narzędziem oszustów, złodziei tożsamości, a w skrajnych przypadkach także szantażystów – ocenia ekspert ds. cyberbezpieczeństwa Grzegorz Paszka. Jego zdaniem o bezpieczeństwie decydują nie tylko techniczne zabezpieczenia, ale także skuteczny monitoring i szybka reakcja na wykryte zagrożenia.
- Według opisu analizowanego przez eksperta atak miał przebiegać etapami – od wykorzystania podatności serwisu, przez dostęp do kodu źródłowego, po zasoby chmurowe z danymi.
- Paszka zastrzega, że przedstawiona ścieżka ataku nie została dotąd publicznie potwierdzona.
- Kluczowe pytanie dla trwającej kontroli UODO brzmi, czy zastosowane przez MyDr zabezpieczenia były adekwatne do skali i wrażliwości przetwarzanych danych.
Nawet skuteczny system monitoringu nie wystarczy, jeśli na generowane przez niego alarmy nikt odpowiednio nie reaguje.
PAP: Wiemy już, że doszło do cyberataku na systemy firmy MyDr i że z jej zasobów mogły zostać wykradzione dane dotyczące milionów Polaków. Jak technicznie mógł wyglądać taki atak?
Grzegorz Paszka, szef Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego w firmie Mediarecovery: Opis ścieżki ataku przedstawiła osoba, która skontaktowała się z branżowym serwisem zajmującym się cyberbezpieczeństwem. Trzeba jednak zaznaczyć, że nie mamy publicznie dostępnych informacji potwierdzających, że ta relacja jest prawdziwa.
Według tego opisu atakujący miał najpierw wykorzystać słabość albo błędną konfigurację serwisu internetowego MyDr. Dzięki temu uzyskał token umożliwiający dostęp do niepublicznych repozytoriów kodów źródłowych aplikacji wykorzystywanych przez firmę. Następnie pobrał i przeanalizował kod, a w nim znalazł kolejne informacje pozwalające dostać się do zasobów chmurowych firmy. Tam miał odnaleźć zbiór danych, który następnie pobrał.
„Nie wiemy natomiast, czy był to atak celowany”
To nie był więc jeden krok, tylko kilka kolejnych etapów. W cyberbezpieczeństwie nazywamy to łańcuchem ataku: atakujący przechodzi do kolejnych elementów systemu ofiary i wykorzystuje informacje znalezione po drodze.
PAP: Brzmi to trochę jak włamywacz, który otwiera jedne drzwi, a za nimi znajduje klucz do następnych.
G.P.: Dokładnie. Tylko w świecie cyfrowym tych drzwi i kluczy może być bardzo dużo.
Nie wiemy natomiast, czy był to atak celowany, czyli czy sprawca od początku zakładał, że chce zdobyć właśnie te dane, czy też działanie bardziej oportunistyczne: znalazł pierwszą słabość, wykorzystał ją, zobaczył, dokąd go to doprowadzi, i szedł dalej. W pewnym momencie mógł po prostu odkryć bardzo interesujący – oczywiście w cudzysłowie – zbiór danych zawierający ogromną ilość danych osobowych, w tym danych wrażliwych.
PAP: I właśnie to mnie przeraża. Skoro ktoś mógł przejść przez kilka kolejnych zabezpieczeń, to znaczy, że gdzieś po drodze musiało być ich za mało albo ktoś nie zauważył, co się dzieje?
G.P.: Z punktu widzenia RODO firma przetwarzająca dane dotyczące zdrowia na taką skalę powinna przeprowadzić analizę ryzyka i zastosować adekwatne środki bezpieczeństwa. Pytanie brzmi więc, czy środki zastosowane przez MyDr były adekwatne do krytyczności i poufności danych, które firma przetwarzała.
Można też zadać pytanie, czy zawiódł monitoring. Skoro atakujący nie zrobił wszystkiego jednym ruchem, tylko przechodził przez kolejne etapy, na każdym z nich mogły istnieć systemy, które wykryłyby nieuprawnioną albo podejrzaną aktywność.
Ale nawet tutaj jest kolejny poziom. Możemy mieć system monitoringu, który wykryje coś niepokojącego i wygeneruje alarm. Tylko pytanie brzmi: czy ktoś na ten alarm zareaguje? Można mieć świetny system bezpieczeństwa, a jeżeli nie ma człowieka albo automatu, która podejmie odpowiednie działanie, to sam alarm niewiele daje.
PAP: Czyli bezpieczeństwo techniczne to jedno, a organizacja pracy – drugie.
G.P.: Tak. I oba elementy muszą działać razem.
PAP: Czy za takie zaniedbania grozi firmie odpowiedzialność?
G.P.: Za samo naruszenie ochrony danych osobowych odpowiedzialność może być związana przede wszystkim z przepisami o ochronie danych. Tę kwestię bada Urząd Ochrony Danych Osobowych. Jeżeli stwierdzi naruszenia, ma uprawnienia do nałożenia administracyjnej kary pieniężnej.
UODO już zapowiedział kontrolę MyDr. Ma ona obejmować m.in. zastosowane przez spółkę środki techniczne i organizacyjne, analizę ryzyka oraz sprawdzenie, czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń.
PAP: Haker, który przedziera się przez system, zostawia po sobie ślady, tzw. logi. Czy na ich podstawie można go namierzyć?
G.P.: Wiele działań w systemie komputerowym zostawia różnego rodzaju ślady. W przypadku incydentu na taką skalę zaangażowanych jest wiele podmiotów: policja, Centralne Biuro Zwalczania Cyberprzestępczości, CERT Polska, UODO. Można też korzystać z informacji od operatorów telekomunikacyjnych czy operatorów chmury, w której znajdowały się dane.
„Nie potrafimy nawet powiedzieć, skąd ta osoba czy grupa pochodzi”
To daje spore możliwości. Natomiast wiele zależy od tego, jaki poziom techniczny prezentował sprawca i czy mamy do czynienia z jedną osobą czy grupą.
PAP: A gdyby miał pan obstawiać: jedna osoba czy grupa?
G.P.: Nie podejmuję się takiego obstawiania. Na podstawie publicznie dostępnych informacji nie potrafimy nawet powiedzieć, skąd ta osoba czy grupa pochodzi ani jakiej jest narodowości.
PAP: Jest jeszcze jedna rzecz, która może być myląca. Te dane nie „wyciekły” wczoraj czy przedwczoraj. Dotyczą głównie 2024 roku i lat wcześniejszych.
G.P.: Trzeba rozdzielić dwie kwestie: z jakiego okresu pochodzą dane i kiedy zostały wykradzione w obecnym incydencie. To nie jest to samo.
To nie był pierwszy wyciek z MyDr. Prokuratura oficjalnie potwierdza
Z dostępnych informacji wynika, że dane obejmują 2024 rok i lata wcześniejsze, ale prawdopodobnie były przechowywane w systemach MyDr jako dane archiwalne. Sam atakujący miał uzyskać do nich dostęp nie później niż 6 sierpnia 2026 roku. Czyli nie mamy do czynienia z tym, że te dane z 2024 roku wyciekły w 2024 roku. Najprawdopodobniej zostały skradzione w ramach obecnego incydentu, z zasobów, w których były przechowywane, natomiast incydent z 2024 roku dotyczył masowego odpytywania systemu eWUŚ i pozyskania danych z systemu NFZ. Prokuratura Regionalna w Poznaniu potwierdza, że w zdarzeniu z 2024 r. przejęto konta pracowników placówek korzystających z MyDr, a następnie wykorzystano MyDr do kierowania około 18 mln zapytań do eWUŚ; a z systemu eWUŚ pozyskano dane ponad 13 mln osób.
W toku śledztwa ustalono sprawcę opisanego czynu, któremu prokurator zarzucił wytworzenie programów komputerowych służących do przełamywania informatycznych zabezpieczeń systemów oraz umożliwiających nieuprawniony dostęp do informacji przechowywanych w tych systemach, a także przełamanie zabezpieczeń danych. Podejrzany przyznał się do stawianych mu zarzutów i złożył szczegółowe wyjaśnienia.
PAP: Czy dopuszcza pan, że ten atak może być elementem wojny hybrydowej wymierzonej w Polskę?
G.P.: Na podstawie obecnie dostępnych informacji nie ma podstaw, żeby potwierdzić taki scenariusz. Natomiast gdyby dane dotyczące zdrowia Polaków dostały się w ręce nieprzyjaznej Polsce - organizacji czy państwa - mogłyby zostać wykorzystane jako element działań hybrydowych.
PAP: Co można zrobić z takimi danymi? Jaki byłby najgorszy scenariusz?
G.P.: Scenariuszy jest kilka. Jeżeli mamy wiedzę o chorobach czy leczeniu konkretnej osoby, można próbować wykorzystać te informacje do wywierania na nią presji. W skrajnym przypadku może chodzić o szantaż.
I nie mówimy wyłącznie o politykach czy urzędnikach. Mogą to być także wojskowi albo osoby pracujące w podmiotach infrastruktury krytycznej.
PAP: Czyli ktoś może wiedzieć o człowieku coś, czego ten bardzo nie chce ujawniać. Np., że pułkownik X kilkukrotnie leczył kiłę, o czym nie powinni wiedzieć jego podwładni.
G.P.: Ani przełożeni. I tak, jeśli taka informacja znajdowałaby się w przejętych danych, to może być wykorzystane przeciwko niemu.
Cyfrowa klęska żywiołowa. Co wyciek z MyDr oznacza dla 19 mln osób
Drugi scenariusz jest bardziej powszechny: oszustwa. Wyobraźmy sobie, że ktoś dzwoni do nas i zna nasze imię i nazwisko, PESEL, numer telefonu, a dodatkowo wie, że leczyliśmy się w konkretnej przychodni. Taki telefon od razu brzmi bardziej wiarygodnie.
„Oszuści bazują na budowaniu zaufania”
PAP: Bo dzwoniący wie o mnie rzeczy, których przypadkowy oszust raczej nie powinien wiedzieć.
G.P.: Właśnie. A oszuści bazują na budowaniu zaufania. Jeżeli ktoś zwraca się do nas po imieniu i zna informacje dotyczące naszego zdrowia, automatycznie możemy uznać go za bardziej wiarygodnego. Potem próbuje nakłonić nas do wykonania określonej czynności, co może zakończyć się kradzieżą pieniędzy.
Możliwe są też próby kradzieży tożsamości, szczególnie jeżeli dane z tego wycieku zostaną połączone z innymi informacjami.
PAP: To co nam właściwie mogą zrobić, przejmując naszą tożsamość?
G.P.: Teoretycznie mogą na przykład próbować coś kupić na nasze dane, wziąć to na raty czy wykorzystać dane w jakiejś usłudze, w której procedura potwierdzania tożsamości jest słabsza.
Nie dotyczy to jednak w prosty sposób banków. Banki stosują dodatkowe zabezpieczenia i wieloetapowe potwierdzanie tożsamości. Dlatego scenariusz wykorzystania tych danych do ataku na bank jest zdecydowanie mniej prawdopodobny.
PAP: Rząd zaleca w tej sytuacji zastrzeżenie numeru PESEL. Po co?
G.P.: Zastrzeżenie PESEL jest bardzo dobrą praktyką, niezależnie od tego konkretnego incydentu. Osoby, które nie planują w najbliższym czasie zaciągać kredytu czy innego zobowiązania, powinny z tego rozwiązania korzystać.
Jeżeli natomiast planujemy kredyt, możemy PESEL odblokować, załatwić potrzebną sprawę i ponownie go zastrzec. Samo odblokowanie jest bardzo szybkie dosłownie trwa dwie minuty w aplikacji.
Instytucje finansowe są zobowiązane sprawdzać, czy PESEL jest zastrzeżony. Jeżeli jest, jest to sygnał, że dana osoba nie planuje zaciągać zobowiązania. Dlatego zdecydowanie popieram to zalecenie. To nie jest zabezpieczenie przed samym wyciekiem, ale ogranicza możliwość wykorzystania danych do określonych oszustw.
PAP: Jest jeszcze jeden problem. Ludzie chcą wiedzieć, czy ich dane znalazły się w wycieku. Rząd zapowiadał możliwość sprawdzenia tego w serwisie Bezpieczne Dane.
G.P.: Z informacji, które były przekazywane, wynikało, że po zakończeniu weryfikacji danych każdy obywatel będzie mógł sprawdzić, czy jego dane znalazły się w wycieku.
Trzeba jednak pamiętać, że przy tak ogromnym zainteresowaniu sam serwis miał problemy z dostępnością. Po pierwszych zapowiedziach możliwości sprawdzania danych zainteresowanie było tak duże, że serwery zostały przeciążone i padły.
PAP: Powinniśmy panikować?
G.P.: Nie. Na tę chwilę, bazując na publicznie dostępnych komunikatach, wiadomo, że internet i Dark Web są monitorowane pod kątem pojawienia się tych danych. Na razie nie ma publicznego potwierdzenia, żeby zostały tam opublikowane.
Ale nie wiemy, kto jest w ich posiadaniu i czy - poza próbką przekazaną ekspertom zajmującym się cyberbezpieczeństwem - nie zostały już komuś przekazane albo sprzedane. Dlatego trudno przewidzieć, który scenariusz się zrealizuje.
Może być przecież tak, że sprawca zostanie stosunkowo szybko namierzony, dane zostaną zabezpieczone i nie trafią do kolejnych osób trzecich. Wtedy wiele z tych zagrożeń, o których mówimy, się nie zrealizuje.
PAP: Niemniej jednak powinniśmy zachować czujność?
G.P.: Zdecydowanie. Powinniśmy być wyczuleni na różnego rodzaju niepokojące sygnały. Telefon może być z banku, z policji, z przychodni, a teraz również ktoś może próbować podszyć się pod placówkę medyczną.
To, że dzwoniący zna nasze imię, nazwisko czy informacje dotyczące leczenia, nie oznacza, że jest osobą, za którą się podaje. Nie powinniśmy podawać mu kolejnych danych ani wykonywać pochopnie poleceń.
PAP: Czyli jeśli ktoś zadzwoni i powie: „dzień dobry, pani Miro, dzwonię z przychodni, wiemy, że leczyła się pani…” – to właśnie powinno nam się zapalić czerwone światło?
G.P.: Tak. Tym bardziej że tego rodzaju dane mogą być wykorzystywane przez oszustów nie tylko teraz. One mogą być używane przez lata. Może się więc zdarzyć, że za pół roku czy rok ktoś zadzwoni i powie, że dzwoni z przychodni albo z NFZ. My już zapomnimy o obecnym wycieku, a sprawca nadal będzie miał te informacje.
„Nie ma systemów całkowicie odpornych na włamanie”
Dlatego powinniśmy zachowywać ostrożność nie tylko przez kilka tygodni po incydencie. Powinniśmy ją zachować cały czas.
PAP: Internet nie jest bezpiecznym miejscem?
G.P.: Nie ma systemów całkowicie odpornych na włamanie. To jest chyba najważniejsza lekcja z takich incydentów. Nie możemy zakładać, że skoro system działa i przez kilka lat nic się nie wydarzyło, to już zawsze będzie bezpieczny.
Trzeba być przygotowanym i przewidywać różne scenariusze. Najpierw przeprowadzić analizę ryzyka, odpowiednio zaplanować system bezpieczeństwa i zadbać o to, żeby jego elementy działały jako całość. Bezpieczeństwo nie jest czymś, co robi się raz, a potem można o nim zapomnieć.
PAP: Co w takim razie powinno się zmienić w systemach ochrony zdrowia? Czy po prostu trzeba więcej płacić informatykom?
G.P.: To miła propozycja, ale nie zagwarantuje, że nagle systemy będą lepiej projektowane. Lekcja jest inna: trzeba przyjąć, że zagrożenia będą się pojawiały przez cały czas.
Bezpieczeństwo to cykl: pojawiają się nowe zagrożenia, więc trzeba ponownie przeprowadzać analizę ryzyka, sprawdzać, czy zabezpieczenia i procedury są nadal adekwatne, i jeżeli trzeba – je zmieniać. Potrzebne jest też regularne testowanie zabezpieczeń. To nie jest coś, co wynika wyłącznie z tego konkretnego incydentu. Tak po prostu wygląda dobra praktyka dbania o bezpieczeństwo.
PAP: Czyli największym błędem byłoby teraz naprawić to, co zawiodło, i uznać, że sprawa jest załatwiona?
G.P.: Dokładnie. Bo za chwilę pojawi się nowe zagrożenie i znowu będziemy musieli sprawdzić, czy jesteśmy na nie przygotowani.
PAP: I jeszcze jedno: czy fakt, że dane nie pojawiły się dotąd publicznie, powinien nas uspokajać?
G.P.: Powinien nas uspokajać o tyle, że na razie nie mamy potwierdzenia, że zostały upublicznione. Ale nie możemy na tej podstawie powiedzieć, że zagrożenie zniknęło.
Najważniejsze jest teraz zachowanie ostrożności. Nie podawajmy przez telefon dodatkowych danych tylko dlatego, że ktoś zna nasze imię, nazwisko czy numer PESEL. Nie klikajmy w podejrzane linki, nie instalujmy aplikacji na polecenie osoby dzwoniącej i przede wszystkim nie przekazujmy pieniędzy.
PAP: Czyli nie musimy panikować, ale musimy pamiętać, że ta historia może mieć bardzo długi ogon.
G.P.: I, niestety, może być tak, że wykorzystanie tych danych nastąpi dopiero wtedy, kiedy wszyscy zapomnimy o obecnym incydencie.