Wyciek danych medycznych niemal 19 milionów Polaków z prywatnej platformy medycznej MyDr to bezprecedensowy kryzys bezpieczeństwa cyfrowego w historii Polski. Od oficjalnego potwierdzenia tego incydentu przez Ministerstwo Cyfryzacji minął miesiąc, a wiedzy nie przybyło.
Rządzący podkreślają, że infrastruktura państwowa pozostała bezpieczna, a zawiodły zabezpieczenia prywatnej firmy, ale to państwo narzuciło cyfryzację służby zdrowia, nie zapewniając realnej kontroli nad tym, jak komercyjni pośrednicy chronią dane medyczne Polaków.
Prezes Urzędu Ochrony Danych Osobowych nakreślił niewesołą przyszłość osób, których dane skradziono. Czego mogą się spodziewać? Poważnych problemów.
Fala niepokoju po indywidualnych zawiadomieniach. Przestępcy wyłudzają kolejne dane
Aby ustalić swój obecny status, warto na początek skorzystać z oficjalnego rządowego portalu „Bezpieczne Dane” (bezpiecznedane.gov.pl). Co prawda pozwala on jedynie zweryfikować, czy dany PESEL był w bazie, którą przejeli hakerzy czy nie, ale to już coś. Może się okazać, że problemu nie ma.
Jeżeli numer PESEL zaświeci się w systemie na czerwowo, problem jest poważny. Między innymi dlatego, że nadal nie wiadomo jakie dokładnie dane medyczne skradziono i skąd. W grę wchodzą nie tylko dane osobowe, PESEL i adres, ale także historie wizyt u lekarza, diagnozy, skierowania i e-recepty.
Od którego lekarza? Z której przychodni? Z którego szpitala? Tego nadal nie wiadomo. W tej sprawie Polacy zostali pozostawieni sami sobie.
Co oszuści zrobią ze skardzionymi danymi? Możliwości jest wiele
Czy jest sie czego obawiać? Tak. Przestępcy mogą wykorzystać skradzione dane do szantażu, precyzyjnych oszustw, kradzieży tożsamości, do nielegalnego wyłudzania świadczeń i leków na cudze konto.
Kto zagwarantuje, że mając w garści konkretne informacje o placówce, chorobie czy przyjmowanych lekach, oszuści nie posuną się do wysyłania niezwykle realistycznych wiadomości SMS lub e-mail z wezwaniem do zapłaty za rzekome leczenie lub zaległe procedury? Nikt.
Podobnie jak nikt nie zagwarantuje, że skradzione dane osobowe połączone z numerem PESEL nie posłużą do zakładania fałszywych profili pacjentów w systemach ochrony zdrowia. Po co? Po to, żeby wystawiać i wykupywać na koszt ofiary refundowane, drogie leki lub korzystać z kosztownych procedur medycznych.
Prezes UODO uczula Polaków. Zainfekowane linki i „weryfikacja” kont
Niektóre przychodnie już zaczęły zawiadamiać pacjentów o wycieku, co wywołało falę niepokoju wśród Polaków i dodatkowy chaos. Dla przestępców to jest właśnie okazja do rozsyłania fałszywych SMS-ów podszywających się pod oficjalne zawiadomienia o wycieku danych. Za pomocą zainfekowanych linków próbują wyłudzić kolejne dane.
Mirosław Wróblewski, prezes UODO zaapelował do Polaków o czujność i ostrożność. – Ktoś może podszywać się pod daną placówkę, próbując wyciągnąć dodatkowe dane. Bądźmy ostrożni – powiedział w wywiadzie dla portalu Interia.
Uwaga – oficjalne powiadomienia wysyłane przez przychodnie lub Ministerstwo Cyfryzacji nie zawierają żadnych odnośników! E-mail lub SMS z linkiem wzywającym do zalogowania się czy „weryfikacji konta” należy uznać za próbę oszustwa i nie podejmować takich działań.
Resort cyfryzacji zapowiedział wdrożenie tzw. Cyberpiątku – pakietu nowych przepisów, które mają radykalnie podnieść standardy ochrony danych w sektorze medycznym. Planowane jest też zautomatyzowanie powiadomień o wyciekach bezpośrednio w aplikacjach rządowych.
