Cyberatak na firmę MyDr, dostawcę systemów wykorzystywanych przez placówki medyczne, wywołał poważne pytania o bezpieczeństwo danych osobowych i medycznych. W przestrzeni publicznej pojawia się informacja o potencjalnym zakresie sięgającym blisko 19 mln osób. Nie oznacza to jednak, że dane wszystkich tych osób zostały skradzione lub opublikowane.
Co wiadomo o sprawie?
MyDr dostarcza rozwiązania informatyczne wykorzystywane przez lekarzy, przychodnie i gabinety medyczne. W związku z cyberatakiem pojawiły się informacje o możliwym nieuprawnionym dostępie do danych znajdujących się w systemach firmy.
Skala potencjalnego incydentu jest bardzo duża, ponieważ z usług tego typu korzystają placówki obsługujące znaczną liczbę pacjentów.
Właśnie dlatego sprawa wzbudziła zainteresowanie instytucji odpowiedzialnych za bezpieczeństwo danych oraz cyberbezpieczeństwo.
19 mln osób – co naprawdę oznacza ta liczba?
To najważniejsza kwestia, którą trzeba wyjaśnić.
W mediach pojawiła się informacja o blisko 19 mln Polaków, których dane potencjalnie mogą być związane z incydentem. Nie należy jednak pisać, że „wyciekły dane 19 mln Polaków” jako ostatecznie potwierdzonym fakcie.
Liczba ta odnosi się do potencjalnego zakresu danych, a nie do potwierdzenia, że informacje wszystkich tych osób zostały wykradzione i trafiły do internetu.
To bardzo istotne rozróżnienie z punktu widzenia rzetelności dziennikarskiej.
Czy chodzi tylko o numery PESEL?
Nie należy zakładać, że incydent dotyczy wyłącznie numerów PESEL.
Systemy wykorzystywane przez placówki medyczne mogą przetwarzać znacznie szerszy zakres informacji. W zależności od konkretnego administratora i zakresu wykorzystywanego systemu mogą to być dane identyfikacyjne pacjenta oraz informacje związane z korzystaniem ze świadczeń medycznych.
Nie oznacza to jednak, że każdy pacjent miał w systemie dokładnie taki sam zestaw danych.
Dlatego w przypadku konkretnej osoby najważniejsza jest informacja od administratora jej danych, np. placówki medycznej.
Szczególnie wrażliwe są dane dotyczące zdrowia
Jeżeli w wyniku cyberataku doszłoby do ujawnienia danych medycznych, konsekwencje byłyby poważniejsze niż w przypadku zwykłych danych kontaktowych.
Informacje o stanie zdrowia należą do szczególnie chronionej kategorii danych osobowych.
Ich wykorzystanie przez osoby nieuprawnione może prowadzić nie tylko do naruszenia prywatności, ale również do prób oszustw wykorzystujących wiedzę o sytuacji konkretnej osoby.
PESEL może zostać wykorzystany do kradzieży tożsamości
Numer PESEL jest szczególnie istotny z punktu widzenia bezpieczeństwa.
W połączeniu z innymi danymi osobowymi może zostać wykorzystany przez przestępców do prób podszywania się pod inną osobę.
Dlatego osoby, które otrzymają informację o objęciu ich danych incydentem, powinny potraktować sprawę poważnie i rozważyć zastrzeżenie numeru PESEL.
Uwaga na fałszywe wiadomości
Cyberatak może mieć również drugi etap.
Przestępcy mogą próbować wykorzystać informacje związane z incydentem do przeprowadzenia kolejnych ataków, np. wysyłając wiadomości podszywające się pod:
- przychodnię,
- lekarza,
- bank,
- urząd,
- firmę zajmującą się cyberbezpieczeństwem.
Dlatego nie należy klikać w przypadkowe linki ani podawać przez telefon kodów autoryzacyjnych, haseł czy danych bankowych.
Sama informacja o wycieku powinna być powodem do zwiększenia czujności, a nie do działania pod wpływem presji.
Co powinien zrobić pacjent?
Jeżeli ktoś otrzyma informację, że jego dane mogły zostać objęte incydentem, powinien przede wszystkim:
sprawdzić informacje w oficjalnych źródłach, skontaktować się ze swoją placówką medyczną, rozważyć zastrzeżenie PESEL oraz zachować szczególną ostrożność wobec podejrzanych wiadomości i telefonów.
Nie należy natomiast korzystać z przypadkowych stron internetowych oferujących „sprawdzenie wycieku”.
Odpowiedzialność spoczywa również na firmach
Sprawa MyDr jest ważną lekcją nie tylko dla pacjentów.
Placówki medyczne i przedsiębiorstwa przetwarzające dane osobowe muszą odpowiednio zabezpieczać informacje, również wtedy, gdy korzystają z usług zewnętrznego dostawcy technologii.
Cyberbezpieczeństwo dostawcy systemu staje się więc częścią bezpieczeństwa całego łańcucha – od oprogramowania, przez placówkę medyczną, aż po pacjenta.
Nie każdy „wyciek” oznacza publikację danych
To najważniejszy wniosek z całej sprawy.
Nie należy utożsamiać nieuprawnionego dostępu do systemu z potwierdzeniem, że wszystkie dane zostały opublikowane w internecie.
W przypadku MyDr mówimy o poważnym incydencie cyberbezpieczeństwa i potencjalnie bardzo dużej liczbie osób, których dane mogą być związane ze sprawą. Natomiast dokładny zakres danych dotyczących poszczególnych osób powinien być ustalany na podstawie informacji przekazywanych przez właściwych administratorów.
Miliony danych, ale nadal wiele niewiadomych
Cyberatak na MyDr pokazuje, jak dużym wyzwaniem staje się bezpieczeństwo danych medycznych. Najważniejsze jest obecnie ustalenie rzeczywistego zakresu incydentu i tego, jakie informacje dotyczą konkretnych osób.
Dlatego zamiast powielać hasło „wyciek PESEL-i 19 mln Polaków”, warto trzymać się faktów: doszło do poważnego incydentu, jego potencjalna skala jest bardzo duża, a dokładny zakres naruszenia danych wymaga dalszego ustalenia.
