Nowy cyberatak na wrażliwe dane
Pierwsze sygnały o incydencie zaczęły spływać bezpośrednio od poszkodowanych placówek. Jedną z nich jest Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, który oficjalnie powiadomił swoich pacjentów o naruszeniu poufności danych na Oddziale Dziennym Leczenia Uzależnień. Wkrótce potem okazało się, że skompromitowane zostało również warszawskie Centrum eZdrowia Sp. z o.o. (nieprowadzące działalności rządowej), które w samej swojej bazie posiada ponad pół miliona pacjentów.
Wzór ataku okazał się wręcz banalny. Sprawcy użyli podręcznikowej i znanej od dziesięcioleci podatności typu SQL Injection (wstrzyknięcie zapytań SQL do bazy danych), co pozwoliło im ominąć mechanizmy uwierzytelniania i uzyskać pełen dostęp do tabel systemowych. Bazy danych zawierały imiona, nazwiska, numery telefonów, adresy zamieszkania, numery PESEL oraz szczegółowe karty informacyjne z leczenia szpitalnego.
Czytaj też: Już nigdy nie przeoczysz znaku STOP. Mapy Google uchronią przed mandatem
Początkowo pojawiły się uspokajające komunikaty o tym, że dane osobowe w bazie danych były szyfrowane. Czar szybko jednak prysł. Z oświadczeń dostawcy przekazanych placówkom wynika bowiem jednoznacznie, że ze względu na błędną i dziurawą strukturę kodu, zastosowane szyfrowanie było niezwykle łatwe do złamania. Dostawca sam nakazał przyjąć scenariusz, że hakerzy uzyskali dostęp do wszystkich danych w pełnej, jawnej postaci. Co gorsza, z ustaleń wynika, że polecenia eksportu danych z systemu nie miały jakichkolwiek ograniczeń czasowych, co oznacza, że wyciekły informacje pacjentów gromadzone nawet od lipca 2024 roku do końca sierpnia 2026 roku.
Nawet 5 milionów poszkodowanych
Początkowe szacunki mówiły skromnie o około milionie poszkodowanych pacjentów. Rzeczywistość okazała się jednak znacznie bardziej brutalna. Z ustaleń serwisu Zaufana Trzecia Strona wynika, że za atakiem stoi dokładnie ta sama grupa podpisująca się jako Fingerprint, która zaledwie miesiąc wcześniej obnażyła luki w systemie MyDr (gdzie ucierpiało ponad 18 milionów osób).
Czytaj też: Większe bezpieczeństwo i nowe funkcje dla biegaczy. Twój Garmin stanie się lepszy
Według deklaracji samych hakerów, skala wycieku z oprogramowania Medyc obejmuje aż 5 milionów pacjentów, a przejęte dane pochodzą z ostatnich siedmiu lat funkcjonowania systemów. Najbardziej przerażający w tym wszystkim jest jednak fakt, iż przestępcy twierdzą, że oprócz suchych baz tekstowych i kart leczenia, wykradli również ponad 8 milionów zdjęć dołączonych do dokumentacji medycznej – w tym fotografie kliniczne, na których pacjenci nierzadko znajdują się w negliżu. Grupa Fingerprint deklaruje wprawdzie, że nie prowadzi typowej działalności przestępczej i nie zamierza handlować danymi, lecz jedynie pokazywać “dziurawe zabezpieczenia”, ale dla samych ofiar ataku to marne pocieszenie.
Lukę szybko załatano, ale…
Olsztyńska firma Qbusoft, producent oprogramowania Medyc, usunęła podatność SQL Injection i odcięła dostęp sprawcom dokładnie tego samego dnia, w którym wykryto nieautoryzowaną aktywność. Szybka reakcja zasługuje na pochwałę. Niestety, nie jest tak dobrze, bo firma jak dotąd nie wydała jednak żadnego oficjalnego oświadczenia w mediach społecznościowych ani na swojej stronie internetowej. Co więcej, jak poinformował minister cyfryzacji Krzysztof Gawkowski, podmiot ten nie dokonał nawet wymaganego prawem, formalnego zgłoszenia incydentu do odpowiednich służb.
Dla pacjentów, których dane wyciekły, kluczowe staje się natychmiastowe podjęcie kroków ochronnych. W zaistniałej sytuacji podstawowym zadaniem każdego z nas powinno być zastrzeżenie numeru PESEL (np. za pomocą aplikacji mObywatel lub w serwisie Obywatel.gov.pl), co skutecznie zablokuje przestępcom możliwość zaciągnięcia kredytu czy wyłudzenia pożyczki na nasze dane.
Warto również zachować szczególną czujność wobec przychodzących połączeń telefonicznych, e-maili czy wiadomości SMS nawiązujących do tematów zdrowotnych lub leków. Oszuści mogą próbować wykorzystać skompromitowane informacje do bardzo wiarygodnego phishingu. Jeśli zauważycie coś takiego, najlepiej natychmiast zgłaszać sprawę na policję.
Źródło: Zaufana Trzecia Strona, Sekurak
