Wyciekły dane blisko 19 mln Polaków. Tak możesz zadbać o swoje bezpieczeństwo

Atak na firmę MyDr może dotyczyć nawet 18,8 mln Polaków. Najlepiej w takiej sytuacji, która dot. naszych danych osobowych, nie czekać z założonymi rękoma i samemu zadbać o własne bezpieczeństwo. Co jednak należy zrobić?

Zacznijmy więc od sprawdzenia, czy nas to dotyczy. Wystarczy wejść na stronę bezpiecznedane.gov.pl, zalogować się na tej platformie i zerwyfikować, czy jesteśmy bezpieczni. Tak przynajmniej powinno to wyglądać. Tyle że samo Ministerstwo Cyfryzacji przekazało, że informacje o tym, kogo dane przejęto, będą dodawane do systemu etapami. Polecam więc codziennie sprawdzać na wskazanej wyżej stronie, czy nasze dane nie pojawiły się już w systemie. Dziś "Bezpieczne Dane" mogą zasugerować, że nic nam nie grozi, jutro "powiedzą" coś zgoła innego.

Administratorami danych są poszczególne gabinety i placówki medyczne korzystające z systemu MyDr. Nie jest to sieć gabinetów czy przychodni. Nikt z nas nie korzysta z usług zaatakowanej firmy bezpośrednio. Wielu z nas jest jednak niejako jej klientami. Chodzi o to, że spółka jest dostawcą oprogramowania dla placówek medycznych. Głównym produktem firmy jest MyDr EDM, czyli system informatyczny do prowadzenia Elektronicznej Dokumentacji Medycznej oraz zarządzania pracą gabinetów i przychodni. Jak podaje firma, korzysta z niego ponad 10 tys. przychodni. Władze podały liczbę nieco większą: 12 tysięcy.

Kolejne liczby, które powinny nas martwić: za pomocą systemu MtDr EDM realizowanych jest około 3 mln wizyt u lekarza i wystawianych ok. 2,7 mln recept. I to nie rocznie, ale w skali jednego miesiąca. Innymi słowy, to rdzeń polskiego systemu zdrowia. Teraz cyberprzestępcy mieli ukraść dane historyczne do kwietnia 2024 roku.

Warto przypomnieć, że podobny scenariusz przerabialiśmy już wcześniej. Jak pisaliśmy na InnPoland przy okazji sprawy, jaką był wyciek bazy PESEL z ALAB.

Oznacza to, że o swoje bezpieczeństwo musimy zadbać sami. Jak to zrobić?

Obecnie zalecałbym zastrzeżenie numeru PESEL (np. za pośrednictwem aplikacji mObywatel), do tego stosowania silnych i unikalnych haseł do poszczególnych usług (to zresztą stała zasada higieny w sieci) i dodatkowe zabezpieczenie tychże uwierzytelnianiem wieloskładnikowym (MFA).

To ostatnie to dodatkowe zabezpieczenie konta, które wymaga potwierdzenia tożsamości na więcej niż jeden sposób. Nie wystarczy więc samo podanie hasła. Przykładowo po wpisaniu hasła użytkownik może zostać poproszony o kod wysłany SMS-em lub wygenerowany w aplikacji czy potwierdzenie logowania na telefonie. W ten sposób zabezpieczysz się przed sytuacją, w której ktoś posiada twój login i hasło do ważnej usługi i konta e-mail.

To jednak nie koniec. Należy także zachować ostrożność, gdy otrzymujemy wiadomości e-mail, SMS-y czy odbieramy połączenia telefoniczne nakłaniające nas do podawania danych.

W przypadku wiadomości tekstowych chodzi szczególnie o linki phishingowe (mogące pomóc przestępcom przejąć kontrolę nad naszym urządzeniem czy usługami). O tym szerzej za chwilę.

Warto też pomyśleć o regularnym monitorowaniu naszej aktywności na swoich kontach w social mediach: sprawdzaniu, czy nagle nie pojawiły się na nich posty, których sami nie napisaliśmy, lub czy ktoś nie napisał do naszych znajomych prośby o pożyczkę.

Jak pisaliśmy na InnPoland, zastrzeż swój numer PESEL – jeden "klik" w aplikacji może uratować Twoje pieniądze.

Warto również zachować szczególną ostrożność wobec wiadomości SMS, e-maili i telefonów od osób podających się za pracowników banków (niektóre banki umożliwiają weryfikację tego, czy osoba dzwoniąca to faktyczny telemarketer, a nie oszust), lekarzy czy przedstawicieli instytucji publicznych. Po dużym wycieku danych cyberprzestępcy mogą próbować wykorzystać pozyskane informacje do przeprowadzania kolejnych oszustw, w tym ataków phishingowych.

Jeśli nie wiesz, czym dokładnie jest ta metoda, warto zapoznać się z naszym poradnikiem na InnPoland: phishing – co to jest i jak się przed nim ustrzec. Termin nieprzypadkowo brzmi podobnie do angielskiego słowa "fishing" – przestępca "zarzuca haczyk", wysyłając masowo wiadomości podszywające się pod zaufane instytucje.

"Jeżeli wyciek obejmuje dane pozwalające powiązać konkretną osobę z placówką medyczną, wizytą czy innym elementem korzystania z ochrony zdrowia, przestępca dostaje bardzo silne narzędzie do stworzenia wiarygodnego oszustwa. Wiadomość o konieczności potwierdzenia wizyty, dopłacie do badania, recepty czy aktualizacji danych może wyglądać znacznie bardziej przekonująco, jeżeli zawiera prawdziwe informacje o odbiorcy", tłumaczył portalowi Money.pl Beniamin Szczepankiewicz, analityk zagrożeń z ESET.

"Jeśli przed kwietniem 2024 byliście u lekarza, to przypomnijcie sobie u którego. Możecie zapytać, go czy korzystał z systemu MyDr. A jeśli tak, to przypomnijcie sobie jakie dane mu podawaliście," dodaje swoją radę portal Niebezpiecznik.

Do tego nie wiemy, kto stał za atakiem. Jeżeli grupa ta zrobiła to dla zysku (np. wcześniej żądając od MrDr okupu, którego nie otrzymała), może teraz starać się sprzedać dane ok. 19 mln Polaków w darknecie. Jeżeli ktoś je kupi, będzie mógł wykorzystać je w kolejnej fali ataków, wspomnianych już akcjach phishingowych.

Dlatego w najbliższym okresie warto mieć się szczególnie na baczności. Z drugiej strony, może być to też dobry powód do wyrobienia sobie nowych nawyków związanych z cyberbezpieczeństwem, które opisałem powyżej.