PESEL-e Polaków znowu wyciekły. Dorwali się do naszych danych medycznych
Tym razem problem dotyczy popularnego systemu dla placówek medycznych.
Doszło do cyberataku na oprogramowanie Medyc, wykorzystywane przez placówki medyczne w Polsce. Według opublikowanych informacji atakujący mieli wykorzystać podatność typu SQL injection, która pozwoliła na pozyskanie danych z systemu. O zdarzeniu poinformował serwis Sekurak.
Z opisu sprawy wynika, że cyberprzestępcy wykorzystali podatność SQL injection. To jedna z najstarszych i najlepiej znanych klas błędów w aplikacjach internetowych, która mimo upływu lat nadal regularnie pojawia się w raportach bezpieczeństwa. W największym uproszczeniu pozwala ona napastnikowi na wykonywanie nieautoryzowanych zapytań do bazy danych systemu.
Czytaj też:
Wystarczy jeden błąd w aplikacji i odpowiednio przygotowane zapytanie może otworzyć drogę do ogromnych zbiorów informacji przechowywanych przez organizację. Według informacji przytoczonych przez Sekuraka właśnie taki scenariusz miał wystąpić w przypadku systemu Medyc. Atakujący mieli uzyskać bazę danych dostawcy oprogramowania medycznego.
Niepokojące są nie tylko dane osobowe
Jak wynika z jednego z opublikowanych komunikatów imiona, nazwiska oraz numery PESEL były przechowywane w formie zaszyfrowanej. Jednocześnie dostawca miał zalecić przyjęcie założenia, że dane te były łatwe do odszyfrowania, a więc należy traktować je tak, jakby napastnicy uzyskali do nich dostęp w postaci jawnej.
Jeszcze większe obawy budzi informacja o możliwym dostępie do dokumentacji medycznej. Analiza przeprowadzona po incydencie miała wykazać uruchamianie skryptów skierowanych również do tabel zawierających właśnie dane medyczne. Zgodnie z przywołanym przez Sekuraka stanowiskiem istnieje wysokie prawdopodobieństwo, że przestępcy mogli przejąć także dokumenty związane z leczeniem pacjentów, w tym karty informacyjne leczenia szpitalnego. To właśnie ten element sprawia, że sprawa jest wyjątkowo poważna.
Dla cyberprzestępców numer telefonu czy adres e-mail mają określoną wartość. Jednak pełna dokumentacja medyczna może być znacznie cenniejsza. Takie dane bywają wykorzystywane do kradzieży tożsamości, ataków socjotechnicznych, prób szantażu czy budowania bardzo szczegółowych profili konkretnych osób.
Ilu Polaków może dotyczyć incydent?
Na to pytanie na razie nie ma jednoznacznej odpowiedzi. Sekurak przytacza informację dotyczącą firmy Centrum eZdrowia Sp. z o.o. Nie chodzi przy tym o państwowe Centrum e-Zdrowia odpowiedzialne za Internetowe Konto Pacjenta czy e-recepty, lecz o prywatną spółkę o podobnej nazwie. Według informacji dostępnych na stronie firmy obsługuje ona ponad 500 tys. pacjentów. Nie wiadomo jednak jaka część tych danych mogła zostać objęta incydentem.
Już sam fakt pojawienia się liczby przekraczającej pół miliona pacjentów pokazuje jednak skalę ekosystemu, w którym funkcjonuje tego typu oprogramowanie.
Systemy medyczne nie działają dziś w izolacji. Obsługują rejestracje, dokumentację, rozliczenia i komunikację z pacjentami. Gdy pojawia się problem po stronie dostawcy oprogramowania to konsekwencje mogą rozlewać się na wiele placówek jednocześnie.
Według cytowanego przez Sekuraka komunikatu przekazanego przez Odwykowo-Psychiatryczny Ośrodek Leczniczy Terapia w Inowrocławiu, wyciek miał obejmować dane pacjentów z okresu od 1 lipca 2024 r. do 23 sierpnia 2026 r. Powodem miał być fakt, że polecenia eksportu danych nie były ograniczone czasowo. Oznaczałoby to bardzo szeroki zakres potencjalnie dostępnych danych historycznych.
Zgodnie z komunikatem przywołanym przez Sekuraka dostawca oprogramowania, firma Qbusoft, miał rozpoznać lukę bezpieczeństwa i usunąć podatność SQL injection tego samego dnia, w którym wykryto atak. Dostęp sprawcy miał zostać całkowicie odcięty. Niestety, zbyt późno.
*ilustracja otwierająca wygenerowana za pomocą AI
Redaktor Spider's Web - ekspert w tematykach Microsoftu i RTV. Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.