Wielki wyciek danych medycznych z MyDr. Co musisz wiedzieć i jak chronić swój PESEL?

Imiona, nazwiska, numery PESEL, a nawet historia leczenia i e-recepty – dane z milionów kartotek medycznych w Polsce mogły wpaść w ręce cyberprzestępców po ataku na popularnego dostawcę oprogramowania medycznego. Zobacz, jak sprawdzić, czy twoje dane wyciekły, a także w jaki sposób w kilka sekund zablokować oszustom możliwość wzięcia kredytu na twoje nazwisko.

MyDr to nie jest aplikacja czy przychodnia, do której sam(-a) wprowadzasz swoje dane. To firma dostarczająca oprogramowanie medyczne – specjalny system komputerowy dla gabinetów lekarskich, prywatnych klinik, centrów medycznych i przychodni (zarówno prywatnych, jak i tych działających na NFZ).

Kiedy idziesz do lekarza, a rejestratorka lub medyk wpisuje twoje dane w komputerze, wystawia e-receptę, e-skierowanie lub prowadzi twoją kartotekę – bardzo często korzysta właśnie z programu MyDr.

Dlaczego MyDr ma twoje dane? Twoja przychodnia jako administrator twoich danych osobowych powierzyła je MyDr w ramach obsługi systemu komputerowego. Nawet jeśli nigdy nie słyszałeś nazwy tej firmy, twój PESEL i dane medyczne mogły trafić do ich bazy automatycznie w chwili, gdy zarejestrowałeś się na wizytę u lekarza korzystającego z tego oprogramowania.

Zakres danych o pacjencie przetwarzanych przez systemy medyczne tego typu jest bardzo szeroki. W skrajnym przypadku w bazie dostawcy oprogramowania mogą znajdować się:

To właśnie połączenie numeru PESEL z danymi kontaktowymi oraz historią medyczną czyni ten wyciek szczególnie niebezpiecznym w rękach cyberprzestępców.

Doszło do nieuprawnionego dostępu do baz danych MyDr – czyli ataku hakerskiego. Cyberprzestępcy przełamali zabezpieczenia i uzyskali dostęp do danych przechowywanych w systemie, a następnie przejęli ogromną paczkę informacji dotyczących pacjentów z całej Polski.

Opisywaliśmy już ten atak hakerski na MyDr, w którym niemal 19 milionów Polaków znalazło się na celowniku – sprawcy twierdzą, że dysponują ponad 18,8 mln unikatowych numerów PESEL, a minister cyfryzacji Krzysztof Gawkowski ocenił, że przy takiej skali byłby to jeden z największych wycieków danych w historii.

Wiceminister cyfryzacji Michał Gramatyka w programie WP Tłit wyjawił, że u źródeł cyberataku był najprawdopodobniej ludzki błąd. Sam atak mógł zaś zostać przeprowadzony przez kogoś z Indii.

Firma i odpowiednie służby (w tym CERT Polska, Urząd Ochrony Danych Osobowych oraz prokuratura) zostały powiadomione o incydencie, a placówki medyczne korzystające z tego systemu zaczęły procedurę informowania swoich pacjentów o naruszeniu ich danych. To scenariusz znany już z innych branż – zaledwie kilka dni wcześniej pisaliśmy o cyberataku na systemy Żabki, którym również zajęła się prokuratura.

Większość z nas nie ma pojęcia, jakiego programu komputerowego używa nasz dentysta, kardiolog czy lokalna przychodnia POZ. Jak więc ustalić, czy wyciek dotyczy właśnie nas?

Niezależnie od oficjalnych komunikatów warto pamiętać, że twoje dane mogą być w dark webie i lepiej sprawdzić to, zanim będzie za późno – istnieją darmowe narzędzia, które weryfikują to w kilka sekund na podstawie adresu e-mail lub numeru telefonu.

Nawet jeśli nie masz pewności, czy twoje dane uległy wyciekowi, warto od razu wdrożyć środki ochronne. Oto najważniejsze kroki, które wyeliminują większość zagrożeń.

To absolutny fundament. Zastrzeżony PESEL blokuje możliwość wzięcia kredytu, pożyczki ratalnej, wyrobienia duplikatu karty SIM czy podpisania umowy u notariusza na twoje nazwisko.

Jak to zrobić? Wejdź do aplikacji mObywatel na telefonie, wybierz zakładkę PESEL i kliknij "Zastrzeż PESEL". Możesz to zrobić również na stronie mobywatel.gov.pl lub osobiście w urzędzie gminy. Zajmuje to kilkanaście sekund i jest całkowicie bezpłatne. Nic dziwnego, że po ostatnich incydentach padły rekordowe statystyki mObywatela, a Polacy rzucili się do ochrony swoich danych.

Uruchomienie usługi Alertów w Biurze Informacji Kredytowej sprawi, że dostaniesz natychmiastowy SMS oraz e-mail za każdym razem, gdy jakikolwiek bank lub firma pożyczkowa zapyta o twój PESEL w celu wydania kredytu. Uwaga: usługa jest niestety płatna.

Wyciek danych osobowych i kontaktowych sprawia, że oszuści mogą do ciebie zadzwonić lub napisać SMS-a. Mogą podawać za komorników, policjantów, prokuratorów i przedstawicieli wielu innych zawodów zaufania publicznego.

Pamiętaj: jeśli dzwoniący zna twoje imię, PESEL i wie, do jakiej przychodni chodzisz, to nie znaczy, że jest prawdziwym konsultantem. Jeśli ktoś dzwoni z pytaniem o bankowość, prosi o podanie kodu BLIK, zainstalowanie jakiejś aplikacji (np. do ochrony konta) lub kliknięcie w link – rozłącz się i zadzwoń sam do danej instytucji.

Schemat oszustw jest zawsze podobny: gdy zwrot podatku stał się wabikiem oszustów, CERT Polska bił na alarm przed identycznymi wiadomościami podszywającymi się pod skarbówkę.

Mając twój PESEL, oszust może próbować wyrobić duplikat twojej karty SIM (tzw. SIM swap), by przejmować kody SMS z banku. Zadzwoń do swojego operatora i ustaw dodatkowe hasło lub PIN autoryzacyjny do zarządzania kontem.