Wyciek danych medycznych MyDr. Ustalanie skali incydentu wchodzi w decydującą fazę

Sprawa wycieku danych z systemu MyDr pozostaje jednym z najpoważniejszych tematów cyberbezpieczeństwa w Polsce. Firma deklaruje, że kończy ustalanie, których klientów i pacjentów mógł objąć incydent. Równolegle państwowe instytucje i śledczy próbują określić pełną skalę ryzyka dla osób, których dane medyczne mogły zostać przejęte.

MyDr, dostawca systemu do elektronicznej dokumentacji medycznej dla placówek ochrony zdrowia, poinformował, że jest na końcowym etapie ustalania zakresu incydentu. Kluczowe pytania dotyczą tego, jakie dane zostały objęte naruszeniem, których klientów firmy to dotyczy i ilu pacjentów może wymagać bezpośredniego powiadomienia.

To ważny etap, bo bez precyzyjnego określenia zakresu trudno przygotować rzetelne komunikaty dla placówek i pacjentów. Wyciek danych medycznych nie jest zwykłym incydentem technicznym. Dotyczy informacji, które mogą łączyć dane identyfikacyjne z historią wizyt, dokumentacją leczenia albo informacjami o receptach.

Minister cyfryzacji Krzysztof Gawkowski wcześniej ocenił, że skala sprawy może być ogromna i może dotyczyć danych medycznych blisko 19 milionów osób. Ta liczba wymaga jednak przełożenia na konkretne listy podmiotów i rekordów, bo dopiero wtedy pacjenci będą mogli realnie sprawdzić własne ryzyko.

W takich naruszeniach największe znaczenie ma nie tylko liczba osób, lecz rodzaj informacji. Dane osobowe, takie jak imię, nazwisko, PESEL, adres e-mail czy numer telefonu, już same w sobie mogą zostać użyte do podszywania się pod ofiarę, wyłudzeń lub prób kontaktu z fałszywym pretekstem.

Jeszcze poważniejszy problem zaczyna się wtedy, gdy obok danych identyfikacyjnych pojawiają się informacje zdrowotne. Notatki z wizyt, dane o leczeniu, receptach lub rozpoznaniach są szczególnie chronione, bo dotyczą prywatności człowieka w najbardziej osobistym obszarze. Takie dane nie zmieniają się tak łatwo jak hasło do konta.

Dlatego poszkodowany pacjent potrzebuje konkretnej informacji, a nie ogólnego uspokojenia. Powinien wiedzieć, czy naruszenie objęło jego dane, jaki typ danych mógł zostać ujawniony i jakie działania ochronne mają sens w jego sytuacji.

MyDr zapowiada bezpośredni kontakt z klientami, których incydent może dotyczyć. Chodzi przede wszystkim o placówki korzystające z systemu, bo to one będą musiały podjąć część formalnych i informacyjnych działań wobec pacjentów. Firma ma przekazać im wskazówki dotyczące zgłoszeń do organu ochrony danych, komunikacji z pacjentami i harmonogramu działań.

Ten model jest zrozumiały organizacyjnie, ale dla pacjentów może oznaczać okres niepewności. Osoba, która korzystała z przychodni pracującej na danym systemie, nie zawsze wie, czy jej dane znajdowały się w bazie objętej incydentem. Właśnie dlatego tak ważne jest szybkie i jasne powiadomienie ze strony placówek.

Firma utrzymuje też, że jej systemy działają i są bezpieczne dla lekarzy oraz pacjentów. Taka deklaracja nie kończy jednak sprawy. Nawet gdy bieżące działanie systemu jest stabilne, pozostaje pytanie o dane, które mogły zostać skopiowane wcześniej.

Sprawą zajmują się organy ścigania, w tym wyspecjalizowane jednostki do walki z cyberprzestępczością. Śledczy badają nieuprawniony dostęp do systemów i będą musieli ustalić, kto odpowiada za atak, jaką metodą go przeprowadzono oraz czy skradzione dane trafiły do dalszego obiegu.

Publiczne wypowiedzi przedstawicieli rządu wskazywały dotąd przede wszystkim na motyw kryminalny, a nie na działanie obcych służb. To rozróżnienie ma znaczenie polityczne, ale z perspektywy pacjenta nie zmienia podstawowej potrzeby: trzeba wiedzieć, czy dane są zagrożone i jak ograniczyć możliwe szkody.

Postępowanie karne może potrwać, bo analiza śladów cyfrowych, logów, kopii danych i komunikacji sprawców zwykle wymaga czasu. Tymczasem działania ochronne wobec pacjentów muszą być podejmowane wcześniej, gdy tylko lista objętych naruszeniem osób stanie się wystarczająco pewna.

Państwowa usługa Bezpieczne Dane pozwala sprawdzić, czy dane użytkownika pojawiły się w znanych wyciekach. W tej sprawie jej skuteczność będzie zależała od tego, kiedy i w jakim zakresie baza z incydentu zostanie przekazana do systemu. Brak wyniku nie zawsze musi więc oznaczać, że ryzyko nie istnieje.

To narzędzie jest przydatne, ale nie zastępuje indywidualnego zawiadomienia od placówki medycznej lub administratora danych. Pacjent powinien traktować je jako jedno z kilku źródeł ostrzegania. Drugim powinien być komunikat od podmiotu, który wie, czy konkretna dokumentacja była przetwarzana w systemie objętym incydentem.

Warto też pamiętać, że baza wycieku może pojawić się w obiegu z opóźnieniem. Monitoring dark webu i forów cyberprzestępczych zmniejsza niepewność, ale nie daje gwarancji, że dane nie zostaną wykorzystane później.

Najrozsądniejszy pierwszy krok to sprawdzenie, czy placówka, z której korzystał pacjent, wydała własny komunikat. Jeżeli tak, trzeba zachować jego treść i stosować się do wskazówek dotyczących dalszego kontaktu. W przypadku braku informacji warto skontaktować się z rejestracją lub inspektorem ochrony danych placówki.

Osoby obawiające się nadużyć powinny rozważyć zastrzeżenie numeru PESEL, szczególnie jeżeli w wycieku mogły znaleźć się dane identyfikacyjne. Taki krok utrudnia wykorzystanie danych do części czynności finansowych, choć nie chroni przed każdym rodzajem oszustwa.

Praktyczna ostrożność obejmuje też uważność na telefony, wiadomości SMS i e-maile. Dane medyczne mogą być użyte do bardzo przekonujących prób wyłudzenia: ktoś może powoływać się na przychodnię, wizytę, receptę albo rzekome ubezpieczenie. W takich sytuacjach nie należy podawać dodatkowych danych ani klikać linków z wiadomości.

Placówki medyczne muszą przygotować komunikację, która będzie jednocześnie precyzyjna i zrozumiała. Pacjent nie powinien dostawać ogólnej informacji o cyberincydencie bez odpowiedzi na podstawowe pytania: czy jego dane były w systemie, jaki zakres danych mógł zostać naruszony i gdzie może uzyskać dalszą pomoc.

Równie ważne jest dokumentowanie działań. Administratorzy danych muszą ocenić ryzyko, przygotować zgłoszenia, prowadzić rejestr naruszeń i wskazać środki ograniczające skutki incydentu. Przy tak dużej potencjalnej skali każdy dzień zwłoki zwiększa presję na infolinie, rejestracje i inspektorów ochrony danych.

Dobra reakcja nie polega wyłącznie na spełnieniu obowiązku prawnego. Chodzi też o odbudowanie zaufania. Pacjenci powierzają placówkom informacje, których nie chcą ujawniać nawet bliskim. Po takim incydencie liczy się język prosty, szybki i pozbawiony przerzucania odpowiedzialności.

Wyciek danych z MyDr może stać się jednym z najważniejszych sprawdzianów odporności cyfrowej polskiej ochrony zdrowia. Nie chodzi już tylko o to, czy system działa po incydencie. Chodzi o pełną odpowiedź: ustalenie skali, powiadomienie poszkodowanych, wsparcie placówek i realną ochronę pacjentów przed wtórnymi nadużyciami.

Dopóki nie ma pełnej listy objętych naruszeniem osób, pacjenci powinni działać ostrożnie, ale bez paniki. Najbardziej racjonalna ścieżka to monitorowanie komunikatów własnej placówki, korzystanie z dostępnych usług sprawdzania wycieków, rozważenie zastrzeżenia PESEL i wyjątkowa nieufność wobec kontaktów, które wykorzystują informacje o leczeniu jako pretekst do wyłudzenia.