MyDr po cyberataku: jeden błąd człowieka mógł otworzyć drogę do danych pacjentów

Incydent w MyDr pokazuje, że wrażliwe dane medyczne mogą być zagrożone nie tylko przez lukę techniczną, lecz także przez zwykłą pomyłkę użytkownika. Wiceminister cyfryzacji wskazał, że prawdopodobnym początkiem sprawy mógł być błąd człowieka, a firma równolegle potwierdziła zewnętrzne, celowe działanie przestępcze. Skala danych nadal wymaga pełnego ustalenia, ale pacjenci i placówki nie powinni czekać z podstawowymi zabezpieczeniami.

Najnowszy ton komunikatów przesuwa uwagę z samej skali wycieku na pytanie, jak atak mógł się zacząć. Publicznie pojawiła się hipoteza, że źródłem incydentu był błąd człowieka, prawdopodobnie kliknięcie w niewłaściwy element albo uruchomienie mechanizmu, który pozwolił przestępcom przejąć dostęp. To nie rozstrzyga jeszcze śledztwa, ale pokazuje kierunek, który powinny potraktować poważnie wszystkie placówki korzystające z systemów medycznych.

MyDr potwierdził, że doszło do zewnętrznego, celowego działania przestępczego. Firma jednocześnie zaznacza, że trwa ustalanie dokładnego zakresu incydentu, rodzaju danych oraz grupy klientów i pacjentów, których sprawa mogła dotyczyć. W przestrzeni publicznej funkcjonuje scenariusz obejmujący ogromną bazę, nawet blisko 19 mln osób i zasób liczony w terabajtach, ale ostateczne potwierdzenia nadal są kluczowe.

Najważniejsze jest połączenie tych dwóch informacji. Celowy cyberatak nie wyklucza błędu człowieka, a błąd człowieka nie oznacza, że winę można zrzucić na jedną osobę. W dojrzałym systemie bezpieczeństwa pojedyncze kliknięcie powinno być tylko pierwszą warstwą ryzyka, a nie prostą drogą do masowego incydentu.

Systemy medyczne łączą bardzo wrażliwe dane z presją czasu. Lekarz, rejestracja, pielęgniarka, księgowość i administrator pracują z dokumentacją, receptami, terminami wizyt, integracjami oraz danymi identyfikacyjnymi pacjentów. Każde opóźnienie wpływa na obsługę ludzi, więc personel często działa szybko i pod dużym obciążeniem.

To idealne środowisko dla phishingu i socjotechniki. Fałszywa wiadomość może udawać pilne powiadomienie o recepcie, problem z dokumentacją, fakturę, aktualizację systemu albo komunikat od dostawcy. Im bardziej wiadomość przypomina codzienną pracę placówki, tym większa szansa, że ktoś kliknie bez długiej analizy. Przestępcy nie muszą łamać każdego zabezpieczenia, jeżeli potrafią przekonać użytkownika do otwarcia drzwi.

Dane medyczne są przy tym znacznie bardziej wartościowe niż zwykły login do sklepu. Mogą zawierać PESEL, adres, numer telefonu, informacje o receptach, lekach, rozpoznaniach i wizytach. Takiego zestawu nie da się łatwo wymienić. Gdy trafi w niepowołane ręce, może być używany do oszustw, szantażu, podszywania się pod placówki albo budowania bardzo wiarygodnych wiadomości do pacjentów.

W cyberbezpieczeństwie łatwo powiedzieć, że ktoś kliknął. To prawda, ale tylko część prawdy. Pytanie brzmi, dlaczego jedno kliknięcie mogło doprowadzić do tak dużego ryzyka. Czy konto miało zbyt szerokie uprawnienia, czy działało uwierzytelnianie wieloskładnikowe, czy system wykrył nietypowe pobieranie danych, czy dostęp był segmentowany, czy zadziałały limity i alerty.

Dojrzała organizacja zakłada, że ludzie będą popełniać błędy. Dlatego buduje zabezpieczenia warstwowo: szkolenia, silne logowanie, ograniczone uprawnienia, oddzielne konta administracyjne, monitoring, kopie zapasowe, kontrolę eksportu danych i procedury szybkiego odcięcia dostępu. Jeżeli jedna pomyłka wystarcza do przejęcia szerokiej bazy, problem jest systemowy.

To szczególnie ważne w ochronie zdrowia, gdzie użytkownicy nie są zawodowymi specjalistami od bezpieczeństwa. Ich podstawową pracą jest leczenie i obsługa pacjenta. System powinien pomagać im działać bezpiecznie, a nie wymagać od każdego stałej czujności na poziomie analityka cyberzagrożeń. Bez tego każda placówka staje się miejscem, w którym presja pracy konkuruje z bezpieczeństwem danych.

Firma sygnalizuje, że incydent mógł dotyczyć części danych i że prawdopodobnie chodzi także o dane historyczne, w tym zasoby z 2024 r. lub wcześniejsze. Jednocześnie podkreślany jest brak pełnej pewności co do finalnej skali i kategorii informacji. Taka niepewność jest typowa w pierwszych dniach po poważnym ataku, ale dla pacjentów tworzy trudną sytuację: trzeba działać, choć nie każdy wie, czy jego dane są wśród zagrożonych.

Rządowy kanał weryfikacji ma być zasilany danymi sukcesywnie, więc wynik sprawdzenia nie musi od razu zamykać sprawy. Jeżeli baza jest duża, uporządkowanie rekordów i bezpieczne udostępnienie informacji osobom zainteresowanym może potrwać. To oznacza, że pacjent powinien wracać do oficjalnej weryfikacji i śledzić komunikaty swojej placówki, zwłaszcza jeśli korzystał z gabinetu obsługiwanego przez MyDr.

Jedna informacja jest uspokajająca tylko częściowo: systemy mają działać operacyjnie, a bieżące usługi ochrony zdrowia nie powinny być sparaliżowane. To jednak nie likwiduje ryzyka wtórnego. Najgroźniejsze konsekwencje wycieku danych często pojawiają się później, gdy przestępcy zaczynają wykorzystywać informacje w kampaniach podszywania się pod znane instytucje.

Pierwszym krokiem jest sprawdzenie danych w oficjalnym serwisie bezpiecznedane.gov.pl. Warto korzystać tylko z samodzielnie wpisanego adresu i z zaufanego logowania, bez przechodzenia przez linki z SMS-ów lub wiadomości e-mail. Jeżeli pojawi się informacja o naruszeniu, trzeba potraktować ją jako sygnał do uporządkowania kont, haseł i zabezpieczeń.

Drugim krokiem jest zastrzeżenie numeru PESEL, szczególnie gdy istnieje ryzyko ujawnienia danych identyfikacyjnych. To zabezpieczenie nie zatrzyma wszystkich oszustw, ale utrudnia wykorzystanie numeru przy części czynności finansowych. Dla wielu osób to szybka decyzja, która ogranicza najbardziej oczywisty scenariusz nadużycia po wycieku.

Trzeci krok to czujność wobec wiadomości medycznych. Podejrzane SMS-y o dopłacie do recepty, pobraniu dokumentacji, aktualizacji konta pacjenta albo konieczności potwierdzenia danych powinny zapalać czerwone światło. Najbezpieczniej kontaktować się z placówką samodzielnie, przez znany numer telefonu lub oficjalny portal, a podejrzane wiadomości zgłaszać właściwym zespołom reagowania.

Przychodnie i gabinety korzystające z zewnętrznych systemów powinny ustalić, jakie dane faktycznie przetwarzały, kto miał do nich dostęp i jakie obowiązki informacyjne mogą ich dotyczyć. Pacjent nie powinien dowiadywać się o sprawie wyłącznie z mediów. Nawet krótki komunikat placówki może ograniczyć chaos, pod warunkiem że jasno mówi, z jakich kanałów kontaktu korzysta placówka i czego nigdy nie będzie żądać przez SMS.

Potrzebny jest także przegląd kont i uprawnień. Warto usunąć nieaktywne konta, zmienić hasła, wymusić uwierzytelnianie wieloskładnikowe, sprawdzić logi dostępu i ograniczyć eksport danych do osób, które naprawdę go potrzebują. Placówki medyczne często działają latami na kontach tworzonych doraźnie, a po incydencie taka wygoda staje się poważnym obciążeniem.

Najważniejsza lekcja dla rynku jest organizacyjna. Szkolenie personelu ma sens tylko wtedy, gdy idzie w parze z procedurą. Pracownik musi wiedzieć, gdzie zgłosić podejrzaną wiadomość, jak zatrzymać podejrzany proces i kto podejmuje decyzję o odcięciu dostępu. Bez prostych ścieżek reakcji ludzie ukrywają pomyłki albo zgłaszają je zbyt późno.

Cyfryzacja ochrony zdrowia działa, gdy pacjent wierzy, że e-recepta, elektroniczna dokumentacja i rejestracja online są wygodne oraz bezpieczne. Gdy pojawia się duży incydent, zaufanie zaczyna pękać nie tylko wobec jednej firmy, lecz wobec całego modelu. Pacjent może pytać, czy warto korzystać z cyfrowych usług, skoro dane zdrowotne mogą wrócić do niego w postaci oszustwa.

Dlatego komunikacja po ataku musi być konkretna. Ludzie potrzebują wiedzieć, czy sprawa ich dotyczy, jakie dane mogły być ujawnione, jakie działania są zalecane i gdzie można zweryfikować status. Zbyt ogólne komunikaty tworzą przestrzeń dla paniki, fałszywych porad i kolejnych prób phishingu. W przypadku danych medycznych cisza jest dla przestępców sprzymierzeńcem.

W dłuższej perspektywie takie incydenty będą wymuszać wyższy standard dla dostawców technologii medycznych. Nie wystarczy oferować sprawnego terminarza, recept i dokumentacji. Potrzebne będą audyty, ograniczenia dostępu, segmentacja danych, procedury reagowania i przejrzyste zasady współpracy z placówkami. Bez tego e-zdrowie będzie rosnąć szybciej niż jego odporność.

Sprawa MyDr pokazuje, że najpoważniejszy incydent może zacząć się od zwykłego zachowania człowieka, ale kończy się testem całej organizacji. Pojedyncze kliknięcie jest ryzykiem przewidywalnym, więc system powinien być zbudowany tak, aby ograniczyć jego skutki. W ochronie zdrowia takie podejście jest szczególnie ważne, bo konsekwencje dotykają prywatności, pieniędzy i bezpieczeństwa pacjentów.

Pacjenci powinni sprawdzić dane, zastrzec PESEL i uważać na wiadomości podszywające się pod placówki. Placówki powinny uporządkować konta, dostęp i komunikację. Największa lekcja nie brzmi technicznie: dane medyczne trzeba chronić tak, jak chroni się pacjenta, bo w cyfrowym systemie to już ta sama odpowiedzialność.