Cyberatak na MyDr może dotknąć miliony pacjentów. Dane medyczne są groźniejsze niż zwykły wyciek

Po cyberataku na systemy MyDr zwołano pilne spotkanie służb odpowiedzialnych za cyberbezpieczeństwo. Najpoważniejszy scenariusz mówi o możliwym wycieku danych nawet około 19 mln osób, choć sama skala incydentu nadal wymaga potwierdzenia. Sprawa jest szczególnie wrażliwa, bo dane medyczne pozwalają nie tylko podszyć się pod pacjenta, lecz także wykorzystać jego historię leczenia, recepty, skierowania i dane kontaktowe.

Cyberatak dotyczy systemów i danych związanych z platformą MyDr, używaną w obsłudze pacjentów oraz gabinetów medycznych. Wicepremier i minister cyfryzacji Krzysztof Gawkowski zwołał na środę, 12 sierpnia, pilne spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. W rozmowach mają brać udział instytucje odpowiedzialne za bezpieczeństwo państwa, sprawy wewnętrzne i ochronę zdrowia.

Na tym etapie kluczowe jest rozróżnienie między samym incydentem a potwierdzonym wyciekiem. Publicznie wskazywana liczba około 19 mln osób pokazuje możliwą skalę ryzyka, ale nie przesądza jeszcze, ile rekordów rzeczywiście zostało skopiowanych, jakie kategorie danych objął atak i czy przestępcy dysponują kompletnymi zestawami informacji.

Wyciek z systemu medycznego jest bardziej niebezpieczny niż utrata samego adresu e-mail albo numeru telefonu. Dokumentacja pacjenta może obejmować dane identyfikacyjne, dane kontaktowe, historię wizyt, informacje o leczeniu, specjalizacji lekarza, wystawionych receptach, skierowaniach i rozpoznaniach. Taki zestaw tworzy profil człowieka, którego nie da się łatwo wymienić jak hasła do konta.

Dane medyczne mogą być użyte do szantażu, precyzyjnego phishingu, oszustw na refundację, prób podszywania się pod placówkę albo pacjenta oraz do budowania fałszywego zaufania w rozmowie telefonicznej. Jeżeli przestępca zna nazwę lekarza, termin wizyty i fragment historii leczenia, jego wiadomość wygląda znacznie wiarygodniej niż zwykły masowy spam.

Największą różnicą wobec wielu innych wycieków jest trwałość szkody. Numer telefonu można zmienić, kartę płatniczą zastrzec, a hasło wymienić w kilka minut. Informacji o chorobie, leczeniu albo konsultacji specjalistycznej nie da się cofnąć. Raz ujawniona może wracać w kolejnych próbach oszustwa, także długo po zakończeniu samego dochodzenia technicznego.

Pacjenci nie muszą zakładać, że ich dane na pewno trafiły w ręce przestępców. Powinni jednak zachowywać się tak, jak przy podwyższonym ryzyku wykorzystania danych osobowych. Najbliższe dni mogą przynieść fałszywe SMS-y, telefony i e-maile podszywające się pod przychodnie, lekarzy, laboratoria, NFZ albo serwisy umawiania wizyt.

Najbardziej podejrzane będą wiadomości wymagające szybkiej płatności, podania kodu BLIK, kliknięcia linku, potwierdzenia PESEL-u, zalogowania się do fałszywego konta pacjenta albo pobrania pliku z rzekomą dokumentacją. W prawdziwej komunikacji medycznej nie powinno być presji na natychmiastowe działanie poza oficjalnymi kanałami.

Najrozsądniejszy pierwszy krok to uporządkowanie własnych zabezpieczeń. Warto zmienić hasło do konta używanego w serwisie medycznym, szczególnie jeżeli to samo hasło było używane w innych miejscach. Jeżeli serwis lub poczta obsługuje uwierzytelnianie dwuskładnikowe, powinno zostać włączone. Osobno warto sprawdzić, czy skrzynka e-mail nie ma ustawionych podejrzanych reguł przekazywania wiadomości.

Pacjent powinien też uważniej obserwować Internetowe Konto Pacjenta, historię recept i komunikaty z placówek, z których korzysta. W przypadku podejrzenia kradzieży tożsamości przydatne może być zastrzeżenie numeru PESEL, kontakt z bankiem oraz zgłoszenie podejrzanej wiadomości do CERT Polska. Ważne jest, aby nie odpowiadać na wiadomości z linków, tylko samodzielnie wejść na znany adres strony albo zadzwonić pod numer placówki znaleziony niezależnie.

Dla gabinetów i przychodni incydent oznacza konieczność szybkiego sprawdzenia, jakie konta personelu miały dostęp do systemu, czy nie używano współdzielonych haseł i czy uprawnienia były ograniczone tylko do realnych obowiązków. W praktyce najgroźniejsze bywają nie tylko same luki techniczne, ale także stare konta pracowników, brak dwuskładnikowego logowania i zbyt szerokie dostępy administracyjne.

Placówki powinny przygotować spójny sposób kontaktu z pacjentami. Chaos komunikacyjny ułatwia działanie oszustom, bo pacjent nie wie, która wiadomość jest prawdziwa. Dobre minimum to krótki komunikat na stronie, informacja o oficjalnym numerze telefonu i jasne wskazanie, że placówka nie prosi o hasła, kody płatnicze ani skany dokumentów przez linki z wiadomości.

W dużych incydentach medycznych sama odpowiedź na pytanie, czy doszło do wycieku, bywa dopiero początkiem. Trzeba ustalić, kiedy rozpoczął się nieuprawniony dostęp, które bazy były osiągalne, czy dane były szyfrowane, czy skopiowano pełne rekordy, czy tylko fragmenty oraz czy atakujący mogli modyfikować informacje. Od tych ustaleń zależy skala powiadomień, obowiązki wobec pacjentów i ryzyko kolejnych ataków.

Znaczenie ma też to, czy wśród danych znalazły się wyłącznie informacje rejestracyjne, czy również dane o leczeniu. W pierwszym wariancie głównym ryzykiem są oszustwa i podszywanie się pod pacjenta. W drugim dochodzi cięższy problem prywatności, bo historia zdrowia może być używana latami i nie da się jej po prostu unieważnić.

Dopiero pełna analiza powinna przesądzić, kogo trzeba powiadomić bezpośrednio i jakie zalecenia będą najważniejsze. Inaczej wygląda komunikat dla osoby, której ujawniono adres e-mail, a inaczej dla pacjenta, którego dokumentacja zawiera szczegółowe informacje zdrowotne. Precyzja jest tu ważniejsza niż szybkość liczona w godzinach, ale zwłoka bez jasnego planu zwiększa koszty społeczne.

Polska ochrona zdrowia coraz mocniej opiera się na rejestracji online, e-receptach, elektronicznej dokumentacji i integracjach między placówkami. To ułatwia życie pacjentom, ale jednocześnie zwiększa wagę bezpieczeństwa po stronie dostawców technologii. Im większa baza użytkowników, tym większa odpowiedzialność za segmentację danych, kopie zapasowe, monitoring dostępu i gotowość do jasnej komunikacji po incydencie.

Największym błędem byłoby potraktowanie tej sprawy wyłącznie jako problemu jednej firmy. Jeżeli potwierdzi się wysoka skala naruszenia, konsekwencje odczują pacjenci, lekarze, prywatne placówki i instytucje publiczne. Każdy kolejny dzień bez precyzyjnych informacji zwiększa przestrzeń dla plotek i oszustw.

Cyberatak na MyDr pokazuje, że dane medyczne stały się jednym z najbardziej wrażliwych zasobów cyfrowych. Do czasu pełnego potwierdzenia zakresu incydentu pacjenci powinni ograniczać ryzyko praktycznie: zmienić hasła, uważać na wiadomości podszywające się pod ochronę zdrowia i sprawdzać komunikaty tylko w zaufanych kanałach. Dla placówek i dostawców systemów to sygnał, że bezpieczeństwo w e-zdrowiu musi być traktowane jak element ciągłości leczenia, a nie techniczny dodatek.