Dane medyczne i PESEL-e Polaków wyciekają. Czarna seria trwa
Plaga - tylko tak skomentować można fakt, że doszło do kolejnego wycieku medycznych danych Polaków. Tym razem na cel wzięto gabinety stomatologiczne.
Firma stojąca za aplikacją, z której korzystają gabinety stomatologiczne, potwierdziła atak.
Z przykrością informujemy, że również i my padliśmy ofiarą ataku hackerskiego w wyniku, którego hacker podający się za członka grupy „fingerprint” mógł uzyskać dostęp do danych osobowych Państwa pacjentów, które powierzyliście Państwo FELG Software sp. z o.o. do przetwarzania - czytamy w oficjalnym komunikacie.
Wyjaśniono, że osoba podająca się za sprawcę ataku uzyskała dostęp do ok. 10 proc. danych z bazy i żąda okupu za ich nieujawnianie.
Firma ustala "rzeczywistą skalę ataku" oraz pacjentów, których dane mogły zostać ujawnione. W oświadczeniu zaznaczyła, że nie jest w stanie obecnie potwierdzić, czy incydent dotyczy danych osobowych powierzonych do przetwarzania z konkretnego gabinetu.
W związku z tym prosimy o niepodejmowanie żadnych kroków związanych ze zgłaszaniem naruszenia do PUODO do czasu formalnego potwierdzenia przez nas, że naruszenie dotyczy Państwa gabinetu. W ciągu najbliższych dni poinformujemy Państwa o tym, czy naruszenie dotyczy danych osobowych, których są Państwo administratorem i prześlemy wskazówki do dalszego działania wraz z darmowym mechanizmem powiadamiania Pacjentów - dodano, zwracając się do gabinetów stomatologicznych.
Choć w oświadczeniu padła sugestia, że sprawca jest członkiem grupy fingerprint - tej samej, która stoi za atakami na MyDr i Medyc - to w rozmowie z portalem Zaufana Trzecia Strona osoba odpowiedzialna za zdarzenie wyjaśniła tę kwestię. Jak przyznała, chodziło o zrobienie "większego wrażenia na ofierze w procesie wymuszenia okupu". Sama grupa fingerprint zaprzecza, jakoby stała za atakiem i nawet zaoferowała pomoc firmie, jak donosi serwis Zaufana Trzecia Strona.
Z punktu widzenia potencjalnych ofiar mniej ważne jest, komu udało się złamać zabezpieczenia, a bardziej liczy się to, co wyciekło. Portal, powołując się na potwierdzenie przez firmę Felg, informuje, że wyciek może dotyczyć danych nawet ponad 2 milionów osób. Mowa tutaj o takich informacjach jak imię, nazwisko, numer PESEL, adres, dane medyczne czy szczegóły związane z e-receptami, e-ZLA i weryfikacją w systemie eWUŚ.
Sprawca podesłał nam także dane recept na leki takie jak Xanax czy Ozempic, twierdząc, że znalazł wiele recept wystawianych przez stomatologów na leki, które nie są związane z leczeniem w takich gabinetach. Nie byliśmy w stanie zweryfikować tych informacji - opisuje Zaufana Trzecia Strona.
Osoba odpowiedzialna za atak twierdzi, że planuje wystawić wykradzioną bazę danych na sprzedaż oraz że nie planuje kolejnych "publicznych działań".
Czarna seria trwa
- W ostatnich tygodniach obserwujemy coraz większą aktywność cyberprzestępców w sektorze medycznym. Kolejne podmioty prywatne padają ofiarą ataków i dlatego cały sektor musi ze zdwojoną siłą podejmować działania zabezpieczające - pisał szef resortu cyfryzacji Krzysztof Gawkowski.
W przypadku ataku na MyDr i Medyc osoby stojące za atakiem deklarowały, że dane nie zostały wystawione na sprzedaż i ujawnione. W programie "Tłit" Wirtualnej Polski Michał Gramatyka, wiceminister cyfryzacji, zapewnił, że to samo potwierdzają służby.
Ci hakerzy nie traktują tych ataków jako okoliczność do zdobywania danych, które potem można zniszczyć albo wystawić gdzieś na sprzedaż (...) Natomiast w tej sprawie oni wręcz piszą o tym, że poziom zabezpieczeń tych firm był zbyt niski, że oni chcą na to zwrócić uwagę - wyjaśnił.
Na mizerny poziom zabezpieczeń zwracał również uwagę szef resortu cyfryzacji:
Cyberbezpieczeństwo systemu ochrony zdrowia jest wspólną odpowiedzialnością instytucji publicznych, podmiotów leczniczych oraz dostawców technologii, dlatego kluczowe jest wzmacnianiu ochrony danych medycznych oraz budowanie odpornych usług cyfrowych. Ministerstwo Cyfryzacji pracuje obecnie nad nowymi przepisami, które wzmocnią ochronę i bezpieczeństwo danych medycznych, to między innymi obowiązkowa certyfikacja i limity przetwarzania danych medycznych przez podmioty prywatne - zapowiedział.
Ataków jest więcej
Firma Fakturownia potwierdziła naruszenie ochrony danych osobowych. Jak opisano w komunikacie, osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dużą część bazy danych na własne serwery. Incydent dotyczy każdego konta w Fakturowni, a od 1 października rozpoczęła się wysyłka indywidualnych zawiadomień do właścicieli wszystkich kont oraz do pozostałych użytkowników kont.
- Służby odpowiedzialne za bezpieczeństwo reagują natychmiast, wspierają każdy podmiot, które zgłasza tego typu incydenty. Sprawcy są ścigani i poniosą surowe konsekwencje. Ostatnie ataki pokazują, że sektor prywatny musi zwiększyć nakłady i wysiłki na rzecz ochrony cyberbezpieczeństwa - skomentował incydent Krzysztof Gawkowski.
W Spider’s Web od kwietnia 2021 zajmuje się tematami związanymi z ekologią, przyrodą, ochroną środowiska, architekturą, miastami przyszłości, transportem publicznym z pociągami na czele i, rzecz jasna, wpływem technologii na nasze zwykłe życie. Zaczynał od pisania o grach – przede wszystkim w serwisie gamezilla.pl, z przerwą na gram.pl. Następnie zajął się opisywaniem technologii, robiąc to w takich portalach jak next.gazeta.pl, a potem serwisach technologicznych grupy WP (tech.wp.pl, dobreprogramy.pl, gadżetomania.pl – będąc redaktorem prowadzącym – czy polygamia.pl). Prywatnie fan Morrisseya, morza, bloków z wielkiej płyty i dziwnych budynków, o których zdarza mu się zresztą pisać.