Mieszkańcy powiatów lwóweckiego, zgorzeleckiego i lubańskiego otrzymują wiadomości SMS dotyczące naruszenia danych pacjentów.

Nadawcą jest „Twoje Dane”, a w treści pojawia się informacja o konkretnej placówce medycznej oraz ostrzeżenie, iż naruszenie może obejmować numer PESEL i dane dotyczące zdrowia.

Wiadomość, którą otrzymali mieszkańcy regionu, dosłownie brzmi:

„Naruszenie danych w WZOZ Boleslawiec-Zgorzelec moze obejmowac PESEL, dane o zdrowiu. Ryzyka: kredyt-zastrzez PESEL; bezprawne uzycie danych, oszustwa, gorsze traktowanie-w razie naduzycia mozesz dochodzic ochrony swoich praw wobec sprawcow na podstawie KC.Wiecej: [email protected] 571334972”.

Nie oznacza to jednak, iż każda wiadomość dotycząca wycieku jest próbą oszustwa. Problem jest bardziej złożony. Jak wynika z informacji UODO, doszło do rzeczywistego incydentu bezpieczeństwa dotyczącego systemów firmy MyDr, wykorzystywanych przez placówki medyczne.

Sprawa jest poważna, ponieważ wśród informacji znajdujących się w systemach MyDr były nie tylko podstawowe dane identyfikacyjne. Wcześniejsze informacje dotyczące incydentu wskazywały m.in. na imiona, nazwiska, numery PESEL, numery telefonów, adresy e-mail oraz informacje dotyczące zdrowia, w tym dane związane z wizytami lekarskimi i receptami.

TVN24 podaje, iż cyberatak na MyDr objął około 12 tysięcy publicznych i prywatnych placówek, a liczba potencjalnie poszkodowanych może sięgać 19 milionów osób. Pacjenci zaczęli otrzymywać wiadomości dotyczące incydentu dopiero po kilku tygodniach od wycieku.

Prezes Urzędu Ochrony Danych Osobowych wszczął kontrolę w spółce MyDr. UODO ma sprawdzić m.in. stosowane przez firmę zabezpieczenia techniczne i organizacyjne oraz to, czy były one odpowiednio testowane pod kątem zmieniających się zagrożeń.

Eksperci nie wykluczają, iż teraz ktoś może wykorzystać wyciek jako punkt wyjścia do kolejnego ataku. Dlatego wiadomość należy traktować przede wszystkim jako sygnał do zwiększenia ostrożności.

9 września do sprawy odniosło się Ministerstwo Cyfryzacji. Wiceminister Dariusz Standerski zwrócił uwagę, iż pacjenci są w tej chwili informowani przez placówki o incydencie dotyczącym MyDr, ale jednocześnie przestrzegł przed wiadomościami zawierającymi odnośniki.

„Takie SMS-y nie powinny zawierać linków w żadnej formie” – przekazał wiceminister, podkreślając, iż tego rodzaju wiadomości nie były konsultowane z Ministerstwem Cyfryzacji ani, według jego wiedzy, z Prezesem UODO. Resort zaapelował, aby nie otwierać linków otrzymanych z nieznanych numerów.

Redakcja Lwówecki.info w ubiegły czwartek (10 września) zwróciła się telefonicznie do dyrekcji połączonych szpitali z prośbą o wyjaśnienia, czy rzeczywiście z placówki wyciekły dane pacjentów. Mimo zapewnień sekretariatu, nikt nie odpowiedział. Wieczorem wystosowaliśmy maila do władz placówki, z prośbą o ustosunkowanie się do treści otrzymywanych SMS-ów, o wyjaśnienie, czy faktycznie ze szpitala wyciekły dane i jaka jest skala tego wycieku?

Niestety, mimo upływu czasu władze szpitala nie udzieliły żadnej odpowiedzi. Do chwili publikacji materiału nie otrzymaliśmy wyjaśnień.

Natomiast na stronie internetowej szpitali, w zakładce RODO można doszukać się komunikatu, w którym placówka informuje, iż placówka padła ofiarą cyberataku.

„Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia i ubezpieczenia społecznego oraz, jeżeli zostały podane, informacje dotyczące pracodawcy lub inne dane identyfikacyjne. Nie można jednak wykluczyć, iż ze względu na charakter incydentu, w określonych okolicznościach, może on wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane”. – czytamy na stronie Szpitala św. Łukasza w Bolesławcu

Co zrobić po otrzymaniu SMS-a?

Najważniejszym krokiem jest zastrzeżenie numeru PESEL. UODO wprost wskazuje tę czynność jako jeden ze sposobów ograniczenia możliwych negatywnych skutków wycieku. Urząd zaleca również zachowanie szczególnej ostrożności przy podawaniu danych przez internet i telefon oraz dokładne analizowanie otrzymywanych SMS-ów i e-maili.

Warto też osobiście skontaktować się z placówką (np. telefonicznie – 75 73 80 200) i dowiedzieć o nasze dane, czy były i są bezpieczne.