Szef MyDr Piotr Miluski przeprosił wszystkich pacjentów i użytkowników firmy w związku z cyberatakiem. Jak poinformował w poniedziałkowym oświadczeniu, zespół spółki kończy analizę, która ma ustalić, jakie dane zostały objęte incydentem.
W sierpniu Ministerstwo Cyfryzacji poinformowało, że w wyniku cyberataku na firmę MyDr wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr.
„Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych” - podkreślił w oświadczeniu opublikowanym na stronie firmy MyDr jej szef Piotr Miluski.
Zaznaczył, że postępowanie w sprawie cyberataku prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa, a równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane objął incydent.
„W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania” - poinformował.
Wyciek danych z MyDr. Nawet 18 mln osób może zostać poinformowanych
Miluski zaznaczył, że za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy firma nie może wykluczyć z zakresu incydentu. Wyjaśnił, że tak szeroka grupa „została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem”.
Podkreślił, że liczba ta nie oznacza jednak, że skradzione, odczytane lub upublicznione zostały dane 18 milionów osób. Dodał, że zespoły MyDr i zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.
Szef MyDr zapewnił też, że firma nadal będzie współpracować z właściwymi organami i przekazywać im niezbędne informacje.
Cyberatak na MyDr. Trwa śledztwo i analiza zakresu wycieku
Dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości w sprawie wycieku danych z firmy MyDr nadzoruje Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.
Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. „Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia" - zaznaczyło MZ.
Ministerstwo zaleca, niezależnie od okoliczności incydentu, stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.
Wiceminister cyfryzacji Dariusz Standerski zapowiedział zmiany legislacyjne dotyczące zaostrzenia odpowiedzialności podmiotów przetwarzających dane medyczne. Resort w tym tygodniu ma zamiar podzielić się swoimi propozycjami w tej sprawie.
Kontrolę w spółce MyDr zapowiedział również Urząd Ochrony Danych Osobowych (UODO). Jej przedmiotem będą zastosowane środki techniczne i organizacyjne, w tym analiza ryzyka. (PAP)
kblu/ kcz/
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.
Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu