Najważniejsze
- •MyDr kończy analizę skutków cyberataku i w najbliższych dniach zacznie oficjalnie informować placówki medyczne o skali incydentu.
- •Firma szacuje ostrożnościowo, że potencjalnie objęte incydentem mogły być dane nawet około 18 mln osób, ale nie oznacza to potwierdzonego wycieku wszystkich tych danych.
- •Sprawę badają Centralne Biuro Zwalczania Cyberprzestępczości, Prokuratura Okręgowa w Warszawie oraz UODO, który zapowiedział kontrolę zabezpieczeń i analizy ryzyka.
- •Ministerstwo Zdrowia zapewnia, że incydent nie wpływa na dostęp pacjentów do świadczeń, recept ani usług w publicznym systemie zdrowia.
- •Kluczowe jest rozróżnienie między potwierdzonym zakresem incydentu a ostrożnościowymi szacunkami — dopiero komunikaty do placówek mają wskazać, kto realnie musi poinformować pacjentów.
MyDr kończy analizę cyberataku i w najbliższych dniach zacznie informować placówki medyczne o skali wycieku danych pacjentów.
25 sierpnia Piotr Miluski, szef MyDr, poinformował, że firma kończy analizę cyberataku, w wyniku którego doszło do wycieku danych pacjentów. W najbliższych dniach spółka zacznie przekazywać placówkom medycznym informacje o skali incydentu. Sprawę badają Centralne Biuro Zwalczania Cyberprzestępczości oraz Prokuratura Okręgowa w Warszawie.
Miluski napisał w oświadczeniu, że zespół MyDr wraz z zewnętrznymi ekspertami domyka ustalanie, jakie dane objął incydent. Zapowiedział, że firma rozpocznie oficjalne informowanie placówek medycznych zgodnie z RODO i pomoże im w komunikacji z pacjentami. Dodał też, że na tym etapie spółka celowo przyjmuje szerokie podejście do procesu powiadamiania.
Skala incydentu i ostrożnościowe szacunki
Według szefa MyDr za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych firma nie może obecnie wykluczyć z zakresu incydentu. Miluski podkreślił jednak, że jest to ostrożnościowy szacunek i nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione. Zaznaczył także, że zespoły MyDr nie wykryły dotąd publicznego ujawnienia danych objętych incydentem.
Wcześniej Ministerstwo Cyfryzacji podawało liczbę 19 mln Polaków jako skalę danych, które mogły wyciec po cyberataku na MyDr. Firma jest dostawcą systemu do prowadzenia elektronicznej dokumentacji medycznej, z którego korzystają tysiące podmiotów medycznych. Jak wynika z materiałów źródłowych, incydent dotyczy około 12 tys. placówek korzystających z platformy.
Śledztwo i działania po incydencie
Postępowanie dotyczy uzyskania dostępu do systemu informatycznego MyDr oraz informacji przechowywanych na serwerach spółki przez nieustaloną, nieuprawnioną osobę, która wcześniej przełamała albo ominęła zabezpieczenia. Część danych miała trafić do serwisu „Zaufana Trzecia Strona”. Za taki czyn grozi do trzech lat więzienia.
Ministerstwo Zdrowia informowało wcześniej, że incydent nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług w publicznym systemie ochrony zdrowia. Resort wskazywał też, że Centrum e-Zdrowia współpracuje ze służbami przy wyjaśnianiu sprawy. UODO zapowiedział kontrolę w MyDr, obejmującą zastosowane środki techniczne i organizacyjne oraz analizę ryzyka.
W praktyce oznacza to dalsze ustalanie, jakie dokładnie dane mogły znaleźć się w zasięgu ataku i które placówki będą musiały poinformować swoich pacjentów. Na obecnym etapie kluczowe pozostaje rozdzielenie potwierdzonych ustaleń od ostrożnościowych szacunków firmy.
Jak przebiega reakcja na incydent w MyDr
Na podstawie informacji z artykułu i komunikatów instytucji publicznych.
@CowZdrowiu
Cyberprzestępcy atakują szpitale. Rząd publikuje zalecenia https://t.co/7r5dWCIiay
Kluczowe liczby dotyczące incydentu MyDr
| Liczba / zakres | Opis | Status w artykule |
|---|---|---|
| 18 mln osób | ostrożnościowy szacunek osób, których danych nie można obecnie wykluczyć z zakresu incydentu | szacunek firmy |
| 19 mln Polaków | wcześniejsza liczba podawana przez Ministerstwo Cyfryzacji jako skala danych, które miały wyciec | wcześniejszy szacunek resortu |
| 12 tys. placówek | liczba podmiotów medycznych korzystających z platformy MyDr | dane z materiałów źródłowych |
| 3 lata | maksymalna kara pozbawienia wolności za opisany czyn | kwalifikacja prawna czynu |
| 25 sierpnia | data oświadczenia szefa MyDr | data komunikatu |
Na podstawie treści artykułu oraz przytoczonych komunikatów MyDr i instytucji publicznych.
Słownik pojęć
- RODO
- Rozporządzenie o ochronie danych osobowych obowiązujące w UE; określa m.in. zasady zgłaszania naruszeń danych i informowania osób, których dane dotyczą.
- incydent bezpieczeństwa
- Zdarzenie naruszające poufność, integralność lub dostępność danych albo systemów informatycznych.
- dane pacjentów
- Informacje pozwalające identyfikować pacjenta lub dotyczące jego zdrowia, leczenia i kontaktu z placówką medyczną.
- elektroniczna dokumentacja medyczna
- Cyfrowy zapis informacji o stanie zdrowia pacjenta, świadczeniach i przebiegu leczenia.
- analiza ryzyka
- Ocena prawdopodobieństwa i skutków zdarzenia dla bezpieczeństwa danych oraz systemów.
- UODO
- Urząd Ochrony Danych Osobowych; organ nadzorczy zajmujący się przestrzeganiem przepisów o ochronie danych osobowych.
- CBZC
- Centralne Biuro Zwalczania Cyberprzestępczości; jednostka policji zajmująca się przestępczością cybernetyczną.
