Centralne Biuro Zwalczania Cyberprzestępczości prowadzi czynności w sprawie uzyskania nieuprawnionego dostępu do systemu informatycznego firmy MyDr. Służby ustalają okoliczności i skalę zdarzenia. W związku z możliwym naruszeniem ochrony danych osobowych pacjentów CBZC zaleca zachowanie szczególnej ostrożności i podjęcie działań zabezpieczających.

Nieuprawniony dostęp do systemu MyDr

Funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości prowadzą czynności pod nadzorem Prokuratury Okręgowej w Warszawie. Sprawa dotyczy uzyskania za pośrednictwem internetu nieuprawnionego dostępu do systemu informatycznego administrowanego przez firmę MyDr oraz informacji przechowywanych na serwerach spółki.

Policjanci przeprowadzili szereg czynności służbowych, w tym kompleksową analizę danych oraz ustalanie okoliczności i skali zdarzenia. Działania mają również doprowadzić do ustalenia osoby lub osób odpowiedzialnych za proceder.

Służby nie ujawniają szczegółów śledztwa

CBZC podkreśla, że ze względu na dobro postępowania i złożoność prowadzonych czynności nie ujawnia obecnie szczegółów śledztwa.

Policja poinformowała również, że na tym etapie nie publikuje numerów PESEL pacjentów obsługiwanych przez system MyDr na stronie bezpiecznedane.gov.pl. Jak wyjaśniono, publikacja takich danych mogłaby utrudnić prowadzone działania.

CBZC prowadzi jednocześnie czynności mające na celu maksymalne ograniczenie zakresu wycieku danych. O kolejnych ustaleniach służby mają informować opinię publiczną.

Możliwe naruszenie danych pacjentów

W komunikacie CBZC wskazano na możliwe naruszenie ochrony danych osobowych obejmujące dokumentację medyczną pacjentów. Służby nie podały jednak na tym etapie pełnego zakresu danych, które mogły zostać objęte zdarzeniem.

Dlatego pacjenci powinni zachować szczególną ostrożność wobec wiadomości SMS, e-maili oraz telefonów od osób podających się za przedstawicieli placówek medycznych, banków czy instytucji publicznych.

Znajomość prawdziwych danych osobowych może zostać wykorzystana przez oszustów do zwiększenia wiarygodności prób wyłudzenia kolejnych informacji lub danych dostępowych.

Co można zrobić, aby zwiększyć bezpieczeństwo?

CBZC zaleca podjęcie działań ograniczających ryzyko wykorzystania danych osobowych.

Zastrzeż numer PESEL

Jednym z podstawowych działań jest zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie za pośrednictwem aplikacji mObywatel, serwisu GOV.pl lub w urzędzie.

Uważaj na phishing

Należy zachować szczególną ostrożność wobec SMS-ów, e-maili i połączeń telefonicznych. Nie należy podawać przez telefon ani za pośrednictwem linków otrzymanych w wiadomościach haseł, kodów autoryzacyjnych czy danych logowania.

Zmień powtarzające się hasła

Jeżeli to samo hasło jest wykorzystywane w kilku serwisach, warto je niezwłocznie zmienić. CBZC zaleca także korzystanie z silnych haseł oraz włączenie uwierzytelniania dwuetapowego (2FA).

Podejrzane wiadomości zgłoś do CERT Polska

Podejrzane wiadomości SMS można przekazywać do CERT Polska pod bezpłatny numer 8080 lub za pośrednictwem serwisu incydent.cert.pl.

Jeżeli doszło do przestępstwa na szkodę obywatela, sprawę należy zgłosić w najbliższej jednostce Policji.

Incydent nie dotyczy centralnych usług e-zdrowia

Centrum e-Zdrowia poinformowało wcześniej, że incydent dotyczący firmy MyDr nie oznacza naruszenia bezpieczeństwa centralnych usług e-zdrowia. Według CeZ zdarzenie nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie zdrowia.

Centrum e-Zdrowia monitoruje sytuację i współpracuje z właściwymi służbami oraz instytucjami. Wcześniejsze ustalenia CeZ nie wskazywały również na naruszenie lub nieuprawnione wykorzystanie certyfikatów używanych do komunikacji z systemem P1.

CBZC zaleca, aby informacje dotyczące sprawy czerpać przede wszystkim z oficjalnych komunikatów Ministerstwa Cyfryzacji, prokuratury oraz służb.

Źródła: Centralne Biuro Zwalczania Cyberprzestępczości, Policja, Centrum e-Zdrowia.