MyDr po ataku: duże sieci medyczne sprawdzają, czy pacjenci mogli zostać objęci incydentem

Po cyberataku na MyDr największe sieci medyczne zaczęły analizować, czy i w jakim zakresie dane ich pacjentów mogły znaleźć się w zagrożonej bazie. Medicover, Lux Med, enel-med i PZU Zdrowie komunikują różny stopień powiązania z platformą, ale wspólny problem jest jeden: pacjent musi dostać jasną informację, czy sprawa dotyczy jego dokumentacji. To nowy etap incydentu, bo ciężar przesuwa się z samego wycieku na odpowiedzialność dostawców usług zdrowotnych.

Cyberatak na MyDr nie jest już tylko problemem firmy dostarczającej system gabinetowy. Platforma była używana przez wiele placówek medycznych, dlatego skutki incydentu mogą dotyczyć pacjentów, którzy nawet nie kojarzą nazwy MyDr. Dla wielu osób rozpoznawalna jest przychodnia, gabinet, sieć medyczna albo lekarz, a nie system informatyczny działający w tle.

Właśnie dlatego reakcje dużych sieci są tak istotne. Medicover sprawdza wykorzystanie platformy w części placówek, Lux Med analizuje potencjalny wpływ i sygnalizuje ograniczony zakres, enel-med wskazuje użycie MyDr przy pacjentach korzystających ze świadczeń NFZ, a PZU Zdrowie podkreśla własny system obsługi. Każdy z tych komunikatów odpowiada na inne pytanie, ale wszystkie pokazują, jak rozproszony jest łańcuch danych w ochronie zdrowia.

Pacjent może więc stanąć przed trudną sytuacją. Korzystał z wizyty w znanej sieci albo w małej placówce partnerskiej, ale jego dane mogły być przetwarzane przez zewnętrzny system. W cyfrowej medycynie relacja nie kończy się na drzwiach gabinetu. Obejmuje także dostawcę oprogramowania, integracje z systemami państwowymi, rejestrację, dokumentację i e-recepty.

Medicover wskazuje, że MyDr był używany w kilku placówkach stomatologicznych i że trwa ustalanie, czy pacjenci mogli zostać objęci skutkami incydentu. To przykład sytuacji, w której duża marka nie musi używać jednego systemu w całej organizacji, ale nawet ograniczone wykorzystanie wymaga przeglądu danych, umów i procesów.

Lux Med analizuje sprawę i sygnalizuje, że potencjalny zakres oddziaływania jest ograniczony wobec skali ogólnopolskiego incydentu. Dla pacjentów taka informacja jest częściowo uspokajająca, ale nie zastępuje indywidualnego potwierdzenia. Jeśli ktoś korzystał z konkretnej placówki lub usługi, będzie oczekiwał odpowiedzi dotyczącej własnych danych, a nie tylko oceny całej grupy.

enel-med informuje o wykorzystaniu MyDr w obsłudze pacjentów NFZ i zaznacza, że na obecnym etapie nie ma potwierdzenia naruszenia danych pacjentów. PZU Zdrowie wskazuje na własny system, ale również prowadzi działania sprawdzające. Ten układ pokazuje, że po dużym cyberataku nawet podmioty mniej narażone muszą wykonać audyt powiązań i przygotować procedurę kontaktu.

W pierwszych dniach po dużym incydencie rzadko istnieje pełna, zamknięta lista osób objętych ryzykiem. Dane trzeba zweryfikować, oczyścić, powiązać z konkretnymi placówkami i ocenić, które rekordy rzeczywiście zostały ujawnione. To może potrwać, szczególnie gdy baza jest duża i obejmuje informacje historyczne.

Niepewność nie powinna jednak oznaczać bierności. Pacjent, który korzystał z placówki powiązanej z MyDr albo nie ma pewności, jak obsługiwano jego wizytę, powinien sprawdzać oficjalne komunikaty i korzystać z rządowego narzędzia do weryfikacji danych. Wynik kontroli może się zmieniać, jeśli kolejne rekordy są dodawane etapami, więc jednorazowe sprawdzenie nie zawsze kończy temat.

Największe ryzyko praktyczne dotyczy oszustw wtórnych. Jeśli przestępcy mają dane identyfikacyjne, kontaktowe lub medyczne, mogą tworzyć bardzo wiarygodne wiadomości. SMS o dopłacie do recepty, e-mail o aktualizacji konta pacjenta albo telefon z prośbą o potwierdzenie numeru PESEL mogą wyglądać realnie właśnie dlatego, że zawierają fragment prawdziwych informacji.

Hasło można zmienić, kartę płatniczą można zastrzec, ale historii leczenia, numeru PESEL czy informacji o lekach nie da się po prostu wymienić. To sprawia, że wyciek danych medycznych ma długi ogon ryzyka. Informacje mogą być wykorzystywane nie tylko od razu po incydencie, lecz także po miesiącach, gdy czujność pacjentów spadnie.

Szczególnie groźne są wiadomości personalizowane. Oszust, który zna nazwę placówki, typ wizyty albo dane kontaktowe, może łatwiej przekonać pacjenta do kliknięcia w link, pobrania pliku lub podania dodatkowych informacji. W przypadku osób starszych, przewlekle chorych albo regularnie korzystających z recept ryzyko jest większe, bo kontakt z ochroną zdrowia jest częsty i zwykle traktowany priorytetowo.

Dlatego komunikaty sieci medycznych powinny zawierać nie tylko informację o analizie, ale też instrukcję bezpiecznego kontaktu. Pacjent musi wiedzieć, z jakiego numeru lub adresu może dostać wiadomość, czego placówka nie będzie od niego wymagać, gdzie zgłosić podejrzany kontakt i czy powinien spodziewać się indywidualnego powiadomienia.

Jeżeli analiza potwierdzi, że dane pacjentów konkretnej placówki zostały naruszone, zaczynają działać obowiązki wynikające z ochrony danych osobowych. W praktyce chodzi o ocenę ryzyka, kontakt z właściwym organem, informowanie osób, których sprawa dotyczy, oraz wskazanie działań ograniczających skutki incydentu. To nie może być ogólny komunikat pisany językiem technicznym.

Pacjent potrzebuje odpowiedzi na kilka prostych pytań: jakie dane mogły zostać ujawnione, z jakiej usługi korzystał, kiedy doszło do ryzyka, co powinien zrobić i gdzie uzyska pomoc. Im bardziej precyzyjny komunikat, tym mniejsza przestrzeń dla paniki i dezinformacji. Ogólne zapewnienie, że trwa analiza, jest dobre na początku, ale z czasem musi zostać zastąpione konkretem.

Placówki powinny też pamiętać, że komunikacja po incydencie jest częścią bezpieczeństwa. Jeśli pacjent nie dostaje jasnej informacji, zaczyna szukać jej w mediach społecznościowych, na forach i w przypadkowych wiadomościach. Tam najłatwiej trafić na fałszywe instrukcje, linki do podszywających się stron albo oferty płatnej, pozornej ochrony.

Najpierw warto sprawdzić dane w oficjalnym serwisie bezpiecznedane.gov.pl, wpisując adres samodzielnie w przeglądarce. Nie należy przechodzić przez linki z wiadomości SMS, komunikatorów ani reklam. Jeśli system pokaże informację o naruszeniu, trzeba potraktować ją jako sygnał do uporządkowania zabezpieczeń i zwiększonej ostrożności.

Drugim krokiem jest zastrzeżenie numeru PESEL, zwłaszcza gdy istnieje ryzyko ujawnienia danych identyfikacyjnych. To rozwiązanie ogranicza część scenariuszy wyłudzeń finansowych, choć nie zastępuje czujności. Warto także zmienić hasła do kont medycznych i poczty e-mail, jeśli były używane w wielu miejscach lub mogły zostać powiązane z wyciekiem.

Trzecim krokiem jest higiena kontaktu z placówką. Jeśli pojawi się wiadomość o recepcie, dopłacie, dokumentacji albo konieczności potwierdzenia danych, najbezpieczniej zadzwonić na oficjalny numer placówki lub wejść do znanego portalu pacjenta. Nie należy podawać przez telefon kodów, pełnych danych logowania, numerów kart ani danych z dowodu osobistego.

Duże sieci mają działy prawne, bezpieczeństwa i komunikacji, ale mniejsze gabinety często zostają z problemem same. Powinny zacząć od ustalenia, czy korzystały z MyDr, w jakim okresie, dla jakich usług i jakie kategorie danych były przetwarzane. Bez tej mapy nie da się sensownie odpowiedzieć pacjentom.

Kolejny krok to przegląd dostępu. Trzeba sprawdzić konta pracowników, uprawnienia, logi, eksporty danych, integracje i procedury zamykania kont po odejściu personelu. W wielu placówkach największym ryzykiem są nie spektakularne luki, lecz stare konta, wspólne hasła, brak uwierzytelniania wieloskładnikowego i zbyt szerokie uprawnienia administracyjne.

Najważniejsza jest jednak jedna, spójna ścieżka komunikacji. Pacjent powinien wiedzieć, że placówka będzie kontaktować się konkretnym kanałem, nie poprosi o kliknięcie w podejrzany link i nie będzie żądać danych, które już posiada. Taka prosta zasada może ograniczyć liczbę udanych oszustw po incydencie.

Reakcje Medicover, Lux Med, enel-med i PZU Zdrowie pokazują, że cyberatak na dostawcę technologii medycznej uruchamia całą sieć odpowiedzialności. Pacjent widzi markę placówki, ale jego dane mogą przechodzić przez systemy, podwykonawców i integracje, których nie zna. Dlatego po takim incydencie najważniejsze są przejrzystość i szybkie ustalenie realnego zakresu ryzyka.

Dla pacjentów najlepsza strategia to korzystanie z oficjalnych kanałów, zastrzeżenie PESEL przy ryzyku ujawnienia danych i ostrożność wobec wiadomości podszywających się pod ochronę zdrowia. Dla placówek to moment na audyt dostawców, kont i procedur. W cyfrowej medycynie zaufanie do lekarza coraz mocniej zależy także od zaufania do systemu, który przechowuje dokumentację.