Chodzi o program do obsługi gabinetów i przychodni o nazwie Medyc, który stworzyła olsztyńska firma Qbusoft. Do ataku doszło 22–23 sierpnia, a producent dowiedział się o nim dopiero w nocy z 8 na 9 września. Sprawa wyszła na jaw, gdy pierwsze placówki zaczęły zawiadamiać pacjentów. Jedną z nich był Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu.
W rękach przestępców dane PESEL, telefony, maile
Atakujący wykorzystali lukę w zabezpieczeniach typu SQL Injection i skopiowali zaszyfrowane archiwum bazy danych. Szyfrowanie okazało się jednak słabe. W rękach przestępców mogły znaleźć się imiona i nazwiska, numery PESEL, adresy, numery telefonów i adresy e-mail. Mogła też wyciec dokumentacja medyczna, np. wypisy ze szpitala. W ośrodku w Inowrocławiu chodzi o dane pacjentów z okresu od 1 lipca 2024 r. do 23 sierpnia 2026 r.
Serwis Zaufana Trzecia Strona szacuje, że wyciek może dotyczyć ponad miliona pacjentów z setek placówek. Sprawcy twierdzą, że mają dane 5 mln osób i 8 mln zdjęć medycznych. Na razie nikt tego nie potwierdził.
Ci sami sprawcy co przy MyDr
Według Zaufanej Trzeciej Strony za atakiem stoi ta sama osoba lub grupa, która podpisywała się pseudonimem „fingerprint”. Odpowiada ona za sierpniowy wyciek z systemu MyDr, który objął dane ok. 19 mln Polaków.
Wyciek potwierdził Minister Cyfryzacji Krzysztof Gawkowski. Sprawą zajęło się Centralne Biuro Zwalczania Cyberprzestępczości. Minister Cyfryzacji Krzysztof Gawkowski zapowiedział, że jeśli prywatna firma naruszyła procedury bezpieczeństwa, „będą wyciągnięte bezwzględne konsekwencje”.
Według resortu Qbusoft nie zgłosił incydentu do CERT Polska ani do zespołu CSIRT Centrum e-Zdrowia. Producent poinformował, że usunął już lukę, wymusił zmianę haseł i wzmocnił zabezpieczenia.
Czy na wyciek z Medyca każdy z nas może jakoś zareagować?
Eksperci radzą zastrzec numer PESEL. Trzeba też uważać na telefony, SMS-y i maile, w których ktoś powołuje się na leczenie, recepty albo „weryfikację danych”. O wycieku powinna poinformować pacjenta placówka, w której się leczył.
Źródła: CyberDefence24, Zaufana Trzecia Strona, GeekWeek, Forsal, MC