Jak informuje Prokuratura Okręgowa w Warszawie, nieustalona osoba miała najpóźniej 6 sierpnia uzyskać bez uprawnienia dostęp do całości lub części infrastruktury informatycznej MyDr po przełamaniu albo ominięciu zabezpieczeń. W systemach znajdowały się dane pacjentów placówek korzystających z usług spółki.

Śledczy wymieniają wśród potencjalnie przejętych informacji imiona i nazwiska, numery PESEL, telefony, adresy e-mail oraz dane dotyczące zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach. Prokuratura potwierdziła również, że wycinek zdobytych danych został przesłany do redakcji serwisu Zaufana Trzecia Strona.

Nawet 18,8 mln osób

Pierwotnie to osoby przedstawiające się jako sprawcy twierdziły, że posiadają dane 18 814 422 unikalnych numerów PESEL. Zaufana Trzecia Strona zaznaczała, że nie była w stanie niezależnie potwierdzić całej deklarowanej skali zbioru.

12 sierpnia pojawiło się jednak oficjalne stanowisko po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Jak podaje Ministerstwo Cyfryzacji na portalu gov.pl, MyDr potwierdziło nieuprawniony dostęp do historycznych danych – obejmujących okres do kwietnia 2024 roku. Według rządowego komunikatu incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.

Nie oznacza to jednak, że potwierdzono już wyciek danych dokładnie 18,8 mln konkretnych pacjentów. Trwa identyfikowanie osób, których informacje rzeczywiście zostały przejęte. Dane mają być sukcesywnie przekazywane do państwowego serwisu bezpiecznedane.gov.pl, gdzie będzie można sprawdzić, czy dana osoba została objęta incydentem.

Sprawą zajmuje się także UODO

Dochodzenie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Pierwsze czynności podjęto 10 sierpnia, a formalne dochodzenie wszczęto 12 sierpnia. Postępowanie dotyczy m.in. bezprawnego uzyskania informacji i przetwarzania danych osobowych, w tym danych dotyczących zdrowia.

Urząd Ochrony Danych Osobowych zapowiedział natomiast kontrolę w MyDr. Kontrolerzy mają sprawdzić m.in. stosowane przez firmę zabezpieczenia techniczne i organizacyjne oraz sposób przeprowadzania analiz ryzyka. UODO przypomina również, że placówki medyczne korzystające z MyDr mogą mieć obowiązek powiadomienia pacjentów, jeśli naruszenie ich danych będzie wiązało się z wysokim ryzykiem.

Według rządowego komunikatu incydent nie wpłynął na bieżące funkcjonowanie placówek ochrony zdrowia, w tym możliwość wystawiania recept pacjentom.