– Jeżeli wszystkie informacje na temat sprawy się potwierdzą, będzie można mówić o największym wycieku danych medycznych w historii Polski – mówi w rozmowie z Zero.pl Kamil Porembiński, ekspert ds. cyberbezpieczeństwa, o kradzieży danych pacjentów z firmy MyDr. Ze spółki wyciekły informacje medyczne prawie 19 mln osób.
- Dane wykradziono firmie MyDr, jednej z największych polskich spółek zajmujących się prowadzeniem elektronicznej dokumentacji medycznej.
- Minister cyfryzacji Krzysztof Gawkowski po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa poinformował, że w cyberataku na firmę MyDr przestępcy wykradli bazę danych o wielkości ponad 2 terabajtów.
- – Wyciekły dane pacjentów, a także certyfikaty lekarzy. Do tego dokumenty ZUS, co może doprowadzić do wystawiania lewych e-recept i elektronicznych zwolnień na PWZ, czyli dokument uprawniający lekarzy do wykonywania zawodu – komentuje Kamil Porembinski, ekspert ds. cyberbezpieczeństwa, w rozmowie z Zero.pl.
Cyberprzestępcy wykradli około 2 terabajtów danych pochodzących z ponad 12 tys. placówek medycznych i gabinetów lekarskich z całej Polski. Wszystkie korzystały z oprogramowania MyDr, czyli platformy należącej do grupy ZnanyLekarz.
Hakerzy zdobyli historyczne dane medyczne blisko 19 milionów obywateli. To m.in. numery PESEL pacjentów, historia odbytych wizyt lekarskich, informacje o przepisanych i przyjmowanych lekach, czyli np. recepty oraz szczegóły dotyczące diagnoz i przebytych schorzeń, ale nie tylko.
– Dane poufne są w sieci. Wyciekły m.in. certyfikaty lekarzy, np. ZUS. p12 oraz P1, a także PWZ, czyli prawo do wykonywania zawodu. To powoduje ryzyko wystawiania fałszywych e-recept i zwolnień lekarskich – mówił Kamil Porembiński i tłumaczył, w jaki sposób cyberprzestępcy mogą wykorzystać wykradzione dane.
– Uważam, że branie na nie kredytów to mit. Raczej będą to ataki phishingowe tak jak po wycieku danych z ALAB. Przestępca wie, gdzie, na co i u kogo się leczyłeś. Może podać się za lekarza i np. powiedzieć, że konieczny jest zakup leku do pana choroby i w związku z tym prosi o przelanie 1000 zł na numer itp. Albo wyśle fikcyjny SMS, że jest wymagana opłata za receptę. Osoby nietechniczne, wykluczone cyfrowo, łapią się na takie oszustwa. Dalej: być może wyciekły certyfikaty lekarzy, więc przestępcy w imieniu lekarza mogą wystawiać recepty – wyliczył ekspert ds. cyberbezpieczeństwa.
Wyciek danych z MyDr. „Przestępca wie, czy chorujesz na intymną chorobę”
Jak stwierdzi, kradzież informacji z MyDr to jeden z największych, jeśli nie największy, wyciek danych medycznych w historii Polski. – Tak mówił też minister Gawkowski. Do niedawna największym wyciekiem był ALAB – podkreślił Porembiński.
Do ataku hakerskiego na ALAB doszło 19 listopada 2023 r. Atak miał charakter ransomware, czyli polegał na wymuszeniu okupu. Łączna waga skradzionych baz danych to ponad 200 gigabajtów. Po odmowie zapłacenia okupu hakerzy opublikowali później próbki i partie danych, przez co w publicznej bazie znalazło się ponad 200 tys. rekordów/numerów PESEL Polaków. Przestępcy przejęli i opublikowali pełne pakiety danych identyfikacyjnych połączone ze szczegółową dokumentacją medyczną z lat 2017–2023: dane osobowe i adresowe, dokumentację medyczną z ALAV i dane pracowników tej firmy.
Łączna waga wykradzionych danych z MyDr była prawie 10 razy większa niż w przypadku wycieku z ALAB. Ministerstwo zachęciło do tego, by w związku z ostatnim atakiem cyberprzestępców zastrzec swój nr PESEL. Na rządowym portalu można też sprawdzić, czy nasze dane zostały wykradzione.
– Zastrzeżenie numeru PESEL nie zmieni tego, że przestępca wie, że masz jakąś intymną chorobę. Do tej pory nie mamy informacji, jak doszło do kradzieży: czy to była wina człowieka, zaniedbanie czy po prostu przestępcy znaleźli luki, jakich nikt nie znał – powiedział Porembiński.
Wyciek danych z MyDr. Prokuratura bada cyberatak na firmę
Wyciek danych z MyDr. „Konsekwencje spadną na pacjentów”
Ekspert zastrzegł jednocześnie, że konsekwencje tego ataku w głównej mierze poniosą pacjenci, a nie MyDr, która odpowiadała za bezpieczeństwo danych osób chorych.
– Ciężko uwierzyć, że firma poniesie konsekwencje. Spójrzmy na duże wycieki danych jak z Morele.net czy ALAB. Dla tego ostatniego kara wyniosła 1,5 mln zł – stwierdził, odnosząc się do danych finansowych firmy. W 2025 r. przychody Alab wynosiły ok. 669 mln zł, a zysk netto ok. 8,79 mln zł.
Po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa minister Krzysztof Gawkowski poinformował, że mieliśmy do czynienia z „niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery”. Jak powiedział, dane, które wyciekły dotyczą blisko 19 milionów osób, które w różnych kategoriach korzystały ze wsparcia medycznego.