MyDr po wycieku: sprawdzenie danych i PESEL stają się pierwszą linią obrony pacjenta

Po ataku na system MyDr państwo wskazuje pacjentom konkretną ścieżkę działania: sprawdzenie informacji w serwisie bezpiecznedane.gov.pl i zastrzeżenie numeru PESEL. Możliwy zakres incydentu jest wyjątkowo wrażliwy, bo obejmuje nie tylko dane identyfikacyjne, lecz także informacje o leczeniu, receptach i rozpoznaniach. To moment, w którym cyberbezpieczeństwo przestaje być tematem technicznym, a staje się sprawą zdrowia, pieniędzy i zaufania do cyfrowych usług publicznych.

Najważniejszą zmianą dla pacjentów jest przejście od samego ostrzeżenia do praktycznej weryfikacji. Osoby obawiające się, że ich dane mogły znaleźć się w przejętych zasobach, mają sprawdzać status w rządowym serwisie bezpiecznedane.gov.pl. Równolegle wicepremier i minister cyfryzacji Krzysztof Gawkowski zachęca do zastrzeżenia numeru PESEL, co można zrobić w aplikacji mObywatel albo w urzędzie.

Skala incydentu nadal wymaga potwierdzenia, ale w przestrzeni publicznej pojawił się scenariusz obejmujący nawet około 19 mln osób i zasób liczony w terabajtach. Taka liczba nie powinna być traktowana jak ostateczny komunikat do każdego pacjenta. Powinna jednak wystarczyć, aby nie czekać biernie na indywidualne powiadomienie.

W zwykłym wycieku użytkownik może zmienić hasło, kartę płatniczą albo adres e-mail używany w danym serwisie. Dane medyczne są inne. Numeru PESEL, historii chorób, diagnoz, recept czy informacji o przyjmowanych lekach nie da się wymienić. Raz ujawnione mogą wracać w różnych formach przez lata.

Taki zestaw informacji pozwala tworzyć bardzo wiarygodne oszustwa. Przestępca może podszyć się pod placówkę medyczną, przypomnieć o rzekomej recepcie, namawiać do dopłaty za dokumentację albo wywołać presję, używając prawdziwych szczegółów dotyczących leczenia. Najgroźniejsze jest właśnie to, że wiadomość z elementem prawdy wygląda dla pacjenta bardziej przekonująco niż typowy spam.

Pierwszy krok to sprawdzenie statusu w serwisie bezpiecznedane.gov.pl przez zaufany sposób logowania. Drugi to zastrzeżenie numeru PESEL, szczególnie jeśli pacjent korzystał z placówek obsługiwanych przez MyDr albo nie ma pewności, czy jego dane mogły znaleźć się w systemie. Zastrzeżenie nie blokuje leczenia, ale ogranicza możliwość wykorzystania PESEL do części operacji finansowych.

Warto przy tym pamiętać, że zastrzeżenie PESEL nie jest magiczną tarczą przed każdym oszustwem. Nie powstrzyma fałszywego SMS-a ani próby wyłudzenia kodu BLIK, ale utrudni wykorzystanie danych przy czynnościach, w których instytucja ma obowiązek sprawdzić status numeru. To jeden z elementów obrony, a nie zamiennik ostrożności.

Warto również przejrzeć Internetowe Konto Pacjenta, historię recept, wiadomości od placówek i nietypowe SMS-y lub e-maile. Podejrzanych linków nie należy otwierać z poziomu wiadomości. Bezpieczniej samodzielnie wejść na znany adres usługi, użyć aplikacji mObywatel albo zadzwonić do placówki na numer znaleziony niezależnie.

Pacjent może ograniczyć ryzyko, ale nie naprawi bezpieczeństwa systemu po stronie placówki ani dostawcy oprogramowania. Gabinety i przychodnie powinny sprawdzić, jakie dane realnie przetwarzały w MyDr, czy mają obowiązek indywidualnego powiadomienia pacjentów i czy ich lokalne konta, hasła oraz integracje nie wymagają natychmiastowej zmiany.

Dobra komunikacja placówki powinna być prosta: czy dana przychodnia korzystała z systemu, jakie kategorie danych mogły być przetwarzane, gdzie pacjent może potwierdzić informacje i czego placówka nigdy nie będzie wymagała przez SMS lub e-mail. Brak takiej informacji tworzy próżnię, którą bardzo łatwo wypełniają oszuści.

Szczególnie ważny jest przegląd uprawnień. W systemach medycznych często pracuje wiele osób: lekarze, rejestracja, administracja, księgowość i podwykonawcy IT. Jeżeli konta mają szerszy dostęp niż potrzebny do pracy, skutki jednego włamania mogą być większe. Po takim incydencie trzeba ograniczać dostęp do minimum i kontrolować logi, a nie tylko czekać na komunikat centralny.

W sprawie pracują instytucje odpowiedzialne za cyberbezpieczeństwo, ściganie przestępczości i ochronę infrastruktury państwa. Wstępnie nie wskazano publicznie jednoznacznych śladów operacji państwowej, a motyw finansowy wydaje się bardziej prawdopodobny. To ważne rozróżnienie, bo inaczej wygląda reakcja na grupę szantażową, a inaczej na zaplanowaną operację obcego wywiadu.

Dla obywatela motyw napastnika ma znaczenie drugorzędne, ale dla państwa jest kluczowy. Grupa nastawiona na zysk może sprzedawać bazę, szantażować administratora albo budować kampanie phishingowe. Operacja państwowa byłaby z kolei częścią szerszego rozpoznania społecznego i instytucjonalnego. W obu wariantach liczy się szybka izolacja skutków i twarde ustalenie, co dokładnie wyciekło.

Szybkie uruchomienie kanału weryfikacji jest potrzebne, ale nie kończy sprawy. Drugi etap będzie trudniejszy: potwierdzenie zakresu danych, wskazanie administratorów, przejrzysta komunikacja do pacjentów, ocena obowiązków placówek i ewentualne decyzje organów ochrony danych. Największe ryzyko pojawia się wtedy, gdy komunikaty są zbyt ogólne, a pacjent nie wie, czy ma działać już, czy czekać.

MyDr jest systemem używanym do obsługi elektronicznej dokumentacji medycznej, wizyt, e-recept, rozliczeń i integracji z usługami zdrowotnymi. Publiczne informacje o produkcie wskazują na bardzo dużą skalę obsługi wizyt i recept miesięcznie. To sprawia, że bezpieczeństwo takiego dostawcy ma znaczenie dużo większe niż bezpieczeństwo zwykłej aplikacji biurowej.

Cyfrowe zdrowie ma realne zalety: krótszą ścieżkę do recepty, lepszą organizację wizyt, łatwiejszy dostęp do dokumentacji i sprawniejszą pracę gabinetów. Warunkiem jest jednak zaufanie. Jeżeli pacjent zaczyna się bać, że każda e-recepta może kiedyś stać się elementem szantażu albo oszustwa, cały system traci społeczną legitymację.

Najbardziej prawdopodobna fala problemów nie musi przyjść od razu. Dane mogą być wykorzystywane stopniowo, w kampaniach podszywających się pod przychodnie, laboratoria, apteki, ubezpieczycieli albo banki. Szczególnie niebezpieczne będą wiadomości wymagające szybkiej płatności, potwierdzenia recepty, pobrania dokumentacji albo wpisania danych logowania.

Drugim ryzykiem jest wykorzystanie danych do presji psychologicznej. Informacje o chorobach, lekach, adresie i rodzinie mogą być użyte w próbie wyłudzenia pieniędzy albo zastraszenia. Dlatego najrozsądniejsza reakcja to połączenie spokoju z procedurą: weryfikacja w oficjalnym serwisie, PESEL zastrzeżony, komunikacja tylko znanymi kanałami i zgłaszanie podejrzanych wiadomości.

Wyciek związany z MyDr jest testem dojrzałości cyfrowego państwa i rynku medycznego. Pacjent potrzebuje prostych narzędzi, jasnych komunikatów i pewności, że nie zostaje sam z konsekwencjami technicznej awarii lub przestępstwa. Serwis bezpiecznedane.gov.pl i zastrzeżenie PESEL są ważnym początkiem, ale nie zastąpią pełnego wyjaśnienia skali incydentu.

Najważniejsza lekcja jest prosta: dane zdrowotne muszą być chronione jak element leczenia, a nie jak zwykły rekord w bazie. Gdy system medyczny działa cyfrowo, bezpieczeństwo informacji staje się częścią bezpieczeństwa pacjenta. Każda placówka i każdy dostawca technologii powinien potraktować tę sprawę jako alarm, nie jako jednorazowy kryzys w cudzej firmie.