Wyciekły PESEL-e 19 mln Polaków. Potężny cyberatak

Jeszcze dwa dni temu nie było pewności, czy włamywacze rzeczywiście wynieśli dane z systemów MyDr. Teraz sytuacja jest zupełnie inna. Minister cyfryzacji Krzysztof Gawkowski potwierdził, że doszło do nadzwyczajnego wycieku sięgającego blisko 19 mln Polaków. Skradziona baza ma ponad 2 TB. W środku są nie tylko zwykłe dane kontaktowe, ale informacje związane z korzystaniem z ochrony zdrowia.

Skala robi jeszcze większe wrażenie po zejściu do konkretów. Osoby podające się za sprawców twierdzą, że w przejętych danych znajduje się dokładnie 18 814 422 unikatowych numerów PESEL. Początkowo była to wyłącznie deklaracja cyberprzestępców. Po środowym posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa rząd potwierdził jednak, że wyciek rzeczywiście sięga blisko 19 mln obywateli.

To nie oznacza, że każdej z tych osób wykradziono dokładnie taki sam komplet informacji. Sam Gawkowski mówi o milionach rekordów zawierających różne dane, które można ze sobą łączyć. Dlatego dopiero analiza bazy pokaże, co konkretnie zostało ujawnione w przypadku poszczególnych pacjentów. Wiemy jednak, że nie chodzi wyłącznie o listę numerów PESEL.

Próbka przekazana wcześniej do weryfikacji zawierała imię i nazwisko, datę urodzenia, PESEL, dwa numery telefonu oraz region NFZ konkretnej osoby. Do rekordu przypisana była również informacja o recepcie. Część tych danych udało się niezależnie zweryfikować jako prawdziwe. Na razie nie można powiedzieć, że do sieci trafiła pełna historia leczenia każdego z 19 mln Polaków. Można natomiast powiedzieć, że wyciek obejmuje dane osobowe oraz informacje związane ze zdrowiem, a to znacznie poważniejszy zestaw, niż sam adres e-mail czy hasło.

Skala bierze się z tego, czym właściwie zajmuje się zaatakowana firma. MyDr dostarcza placówkom oprogramowanie do prowadzenia Elektronicznej Dokumentacji Medycznej. Przez system można prowadzić wizyty, wystawiać e-recepty i e-zwolnienia, raportować zdarzenia medyczne do systemu P1 oraz rozliczać świadczenia z NFZ.

Według informacji podanych po ataku z systemów firmy korzysta około 12 tys. placówek, a platforma obsługuje około 3 mln wizyt i 2,7 mln recept miesięcznie. To wyjaśnia, dlaczego jeden skuteczny atak mógł stworzyć bazę obejmującą niemal połowę mieszkańców kraju. Cyberprzestępca nie musiał włamywać się osobno do tysięcy gabinetów. Wystarczyło trafić w dostawcę oprogramowania, przez który przechodzą dane ogromnej liczby placówek.

Jak pisaliśmy przy okazji ataku na Laboratoria Medyczne Optimed, sektor ochrony zdrowia jest wyjątkowo atrakcyjnym celem właśnie dlatego, że znajdują się w nim informacje, których nie da się później po prostu zmienić. Hasło możemy wymienić. Numeru PESEL, historii leczenia czy informacji o przyjmowanych lekach już nie.

Według osób podających się za sprawców początek ataku miał prowadzić przez podatność typu XXE związaną z obsługą certyfikatów PKCS#12. Miało to umożliwić wykonanie kodu, a później zdobycie klucza API do GitHuba, gdzie znajdował się kod źródłowy systemu. Pamiętajmy jednak, że jest to relacja samych napastników, a nie ustalenie służb lub MyDr. Nie została publicznie potwierdzona.

Firma w swoim komunikacie ograniczyła się dotąd do potwierdzenia incydentu dotyczącego danych i części systemów oraz poinformowała o zaangażowaniu własnych zespołów, zewnętrznych ekspertów i organów ścigania. Ostatnia publiczna aktualizacja MyDr pochodzi z 10 sierpnia.

Sprawę prowadzi Centralne Biuro Zwalczania Cyberprzestępczości we współpracy z prokuraturą. Zaangażowane są również resort cyfryzacji, Ministerstwo Zdrowia, służby specjalne i UODO.

Na obecnym etapie nic nie wskazuje, by za atakiem stało obce państwo. Według Gawkowskiego najbardziej prawdopodobny jest scenariusz klasycznej działalności cyberprzestępczej nastawionej na zdobycie pieniędzy. Rząd deklaruje jednocześnie, że okup nie będzie płacony.

To zdecydowanie odróżnia incydent od części ataków na polską infrastrukturę, które mają charakter sabotażowy lub są przypisywane grupom działającym z inspiracji państw. Nie czyni go jednak mniej groźnym dla zwykłego człowieka.

Dane medyczne można wykorzystywać do bardzo precyzyjnego phishingu. Telefon od oszusta staje się znacznie bardziej wiarygodny, kiedy rozmówca zna nasze dane, placówkę, z której korzystaliśmy, region NFZ albo informacje o lekach.

Najbardziej konkretne działanie, które można wykonać już teraz, to zastrzeżenie numeru PESEL. Minister cyfryzacji przypomniał o tym jeszcze przed ostatecznym potwierdzeniem skali wycieku. Można zrobić to bezpłatnie w aplikacji lub serwisie mObywatel.

Jak pisaliśmy w poradniku: Jak zastrzec PESEL? Jedno kliknięcie i włączysz blokadę, takie zastrzeżenie utrudnia wykorzystanie skradzionych danych m.in. do zaciągnięcia kredytu czy pożyczki.

Przeczytaj także:

Państwo przygotowuje też rozwiązanie specjalnie dla tego incydentu. Dane z wycieku mają zostać wprowadzone do rządowej usługi Bezpieczne Dane, dzięki czemu każdy będzie mógł sprawdzić, czy informacje na jego temat znajdują się w przejętej bazie. Na razie zapowiedziano uruchomienie tej procedury. Nie należy zakładać, że pełna baza MyDr jest już dostępna do sprawdzenia. Placówki medyczne działają normalnie, więc na ten moment nie mamy do czynienia z paraliżem ochrony zdrowia. Katastrofa wydarzyła się gdzie indziej: w poufności danych.

*Źródło grafiki wprowadzającej: sciencephotolibrary, Canva Pro / Canva Pro