Pacjenci w całej Polsce otrzymują wiadomości dotyczące możliwego naruszenia ich danych osobowych w związku z cyberatakiem na platformę MyDr. Ostrzeżenia mogą dotyczyć również osób korzystających z placówek medycznych na Podlasiu i Mazurach. Wśród potencjalnie zagrożonych informacji znajdują się m.in. dane identyfikacyjne, numer PESEL, a w niektórych przypadkach także informacje dotyczące zdrowia. Jednocześnie pojawia się ważne ostrzeżenie: nie należy bezrefleksyjnie klikać w linki znajdujące się w otrzymanych SMS-ach.
Sprawa, która początkowo może wydawać się problemem dotyczącym jednej firmy, ma znacznie szerszy zasięg. MyDr dostarczało rozwiązania informatyczne wykorzystywane przez dużą liczbę podmiotów medycznych w Polsce. W związku z incydentem pacjenci kolejnych placówek są informowani o możliwości naruszenia bezpieczeństwa ich danych.
Dotyczy to również mieszkańców województw podlaskiego i warmińsko-mazurskiego. Sam fakt otrzymania wiadomości nie oznacza jednak, że wszystkie dane konkretnej osoby zostały ujawnione. Zakres incydentu może różnić się w zależności od placówki oraz konkretnego pacjenta.
SMS z ostrzeżeniem. Uwaga na linki
W ostatnich dniach do pacjentów trafiają wiadomości SMS informujące o możliwym naruszeniu danych. W niektórych przypadkach wiadomość wskazuje placówkę medyczną, której dane mogły zostać objęte incydentem, i zawiera informacje o dalszym postępowaniu.
Problem w tym, że część takich wiadomości zawiera również odnośniki internetowe.
Ministerstwo Cyfryzacji ostrzega, aby nie klikać w linki otrzymywane z nieznanych numerów ani nie traktować wiadomości SMS jako jedynego źródła informacji o wycieku. Resort podkreśla, że komunikaty zawierające linki nie były z nim konsultowane.
To szczególnie istotne, ponieważ w sytuacji dużego wycieku danych oszuści mogą próbować wykorzystać zamieszanie i podszywać się pod instytucje publiczne, placówki medyczne czy firmy zajmujące się ochroną danych.
Jak sprawdzić, czy nasze dane są zagrożone?
Najbezpieczniejszym rozwiązaniem jest skorzystanie z oficjalnych kanałów administracji publicznej oraz bezpośredni kontakt z placówką medyczną.
Jeżeli informacja wskazuje, że dane pacjenta mogły zostać objęte incydentem, warto skontaktować się z przychodnią, gabinetem lub inną placówką, w której korzystaliśmy ze świadczeń.
To placówka będąca administratorem danych powinna przekazać pacjentowi informacje dotyczące charakteru naruszenia i jego zakresu.
Warto również sprawdzić informacje dostępne w rządowym serwisie Bezpieczne Dane. Jeśli potwierdzi się, że nasze dane znalazły się wśród informacji objętych incydentem, należy zachować szczególną ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących naszego zdrowia.
PESEL może być szczególnie cenny dla oszustów
Jednym z najpoważniejszych zagrożeń jest możliwość ujawnienia numeru PESEL. W przypadku otrzymania potwierdzenia, że PESEL został objęty naruszeniem, warto go zastrzec.
Przestępcy mogą próbować wykorzystać dane osobowe m.in. do wyłudzeń, prób zawierania umów czy innych działań na cudze dane.
Szczególnie niebezpieczne jest jednak połączenie danych identyfikacyjnych z informacjami dotyczącymi zdrowia.
Jeżeli oszust zna nazwę placówki, z której korzystaliśmy, albo posiada informacje o leczeniu czy wystawionych receptach, jego kontakt może brzmieć znacznie bardziej wiarygodnie. Może próbować podszyć się pod pracownika przychodni i przekonywać np. o konieczności uregulowania opłaty, potwierdzenia wizyty czy kontynuowania leczenia.
Dlatego informacji dotyczących naszego leczenia nie należy potwierdzać osobie dzwoniącej, nawet jeśli zna ona pewne prawdziwe dane na nasz temat. W razie wątpliwości najlepiej samodzielnie znaleźć numer placówki i skontaktować się z nią bezpośrednio.
Problem dotyczy całej Polski
Choć dla mieszkańców Podlasia i Mazur najważniejsze jest ustalenie, czy incydent dotyczy ich konkretnej przychodni lub gabinetu, nie jest to problem ograniczony do jednego regionu.
MyDr obsługiwało podmioty medyczne w różnych częściach kraju, dlatego informacje o możliwym naruszeniu trafiają do pacjentów z całej Polski.
Według przedstawianych przez administrację danych incydent związany z MyDr miał objąć informacje dotyczące około 19 milionów osób oraz około 12 tysięcy podmiotów medycznych. Nie oznacza to jednak, że w każdym przypadku ujawniony został identyczny zestaw informacji.
To również pokazuje skalę problemu: dane medyczne są jednymi z najbardziej wrażliwych informacji, jakie przechowują systemy informatyczne.
Państwo planuje zmiany w ochronie danych medycznych
Incydent związany z MyDr stał się również impulsem do prac nad zmianami w przepisach dotyczących bezpieczeństwa danych pacjentów.
Resort cyfryzacji przygotowuje rozwiązania określane jako Cyber Tarcza. Jednym z założeń jest zwiększenie wymagań wobec firm zewnętrznych, które przetwarzają dane medyczne.
Planowane rozwiązania mają również zwiększyć przejrzystość. Pacjent powinien mieć większą wiedzę o tym, jakie podmioty zewnętrzne przetwarzają jego dane oraz w jakim zakresie.
Rozważane jest także przekazywanie informacji o zdarzeniach związanych z danymi medycznymi za pośrednictwem państwowych aplikacji, w tym mObywatela i mojeIKP.
Cyberataki na ochronę zdrowia to coraz większy problem
Przypadek MyDr wpisuje się w szersze zjawisko. Placówki medyczne są atrakcyjnym celem cyberataków, ponieważ przechowują ogromne ilości wartościowych informacji.
Dane Centrum e-Zdrowia pokazują, że liczba odnotowywanych incydentów cyberbezpieczeństwa w sektorze zdrowia rośnie. W 2024 roku zarejestrowano ich ponad tysiąc, a już w pierwszych ośmiu miesiącach 2025 roku liczba zgłoszonych incydentów zbliżyła się do tysiąca.
Problemem pozostają również różnice w poziomie przygotowania placówek do cyberzagrożeń. Nie wszystkie mają odpowiednie procedury, zabezpieczenia i regularnie testowane mechanizmy odtwarzania danych.
Dla pacjenta oznacza to, że bezpieczeństwo informacji o zdrowiu jest dziś nie tylko kwestią ochrony dokumentacji w przychodni. Coraz większe znaczenie ma również bezpieczeństwo firm technologicznych, którym placówki zlecają przetwarzanie danych.
Co zrobić po otrzymaniu SMS-a?
Jeżeli otrzymaliśmy wiadomość dotyczącą wycieku danych:
1. Nie klikajmy w link znajdujący się w SMS-ie.
Zwłaszcza jeśli wiadomość pochodzi z nieznanego numeru lub wywołuje presję na natychmiastowe działanie.
2. Skontaktujmy się bezpośrednio z placówką medyczną.
Najlepiej korzystając z numeru telefonu znalezionego samodzielnie na oficjalnej stronie placówki.
3. Sprawdźmy status swoich danych w oficjalnych serwisach państwowych.
4. Jeżeli potwierdzi się zagrożenie numeru PESEL – zastrzeżmy go.
5. Zachowajmy szczególną ostrożność wobec telefonów i wiadomości dotyczących naszego leczenia.
Oszuści mogą próbować wykorzystać informacje medyczne do uwiarygodnienia swojej historii.
6. Nie przekazujmy przez telefon kodów autoryzacyjnych, danych logowania ani informacji finansowych.
Warto również pamiętać, że otrzymanie SMS-a nie jest równoznaczne z tym, że ktoś już wykorzystał nasze dane. Jest to jednak sygnał, by sprawdzić sytuację i przez najbliższy czas zachować szczególną ostrożność.
Wyciek danych z systemu wykorzystywanego przez placówki medyczne pokazuje, że cyberbezpieczeństwo nie jest już wyłącznie problemem informatyków. Dotyczy każdego pacjenta – również mieszkańców Podlasia i Mazur.
