Tego typu wiadomości dostali w ciągu ostatnich kilku dni pacjenci w całej Polsce:
"Naruszenie danych w [nazwa przychodni] może obejmować PESEL, dane o zdrowiu. Ryzyka: kredyt - Zastrzeż PESEL; bezprawne użycie danych, oszustwa, gorsze traktowanie - w razie nadużycia możesz dochodzić swoich praw wobec sprawców na podstawie KC (...)".
Z placówek medycznych, w całej Polsce rozesłano sms-y i maile z rozszerzoną wersją tych informacji. To pokłosie sierpniowego wycieku platformy MyDr, z której przychodnie korzystają w celu przetwarzania danych pacjentów. Chodzi między innymi o PESEL, numery telefonów czy informacje dotyczące leczenia.
- Informacje rozsyłają bezpośrednio gabinety i przychodnie, w których byliśmy zapisani jako pacjenci. To najczęściej nie jest bezpośrednio z MyDr, tylko właśnie za pośrednictwem tych przychodni czy gabinetów - powiedział wiceminister cyfryzacji Dariusz Standerski.
Wyciek danych a informowanie
- Z punktu widzenia prawa, administrator jest odpowiedzialny za to, żeby poinformować właściciela danych osobowych, że ich bezpieczeństwo mogło zostać naruszone. To oznacza, że to na gabinetach i na lekarzach spoczywa obowiązek prawny poinformowania Urzędu Ochrony Danych Osobowych, a później poinformowanie o wycieku - powiedział Piotr Pisula, rzecznik Naczelnej Izby Lekarskiej (NIL)
Wzory komunikatu dla placówek przygotowało MyDr. W wysłanej nam odpowiedzi czytamy, że placówki same mogą edytować ich treść, a wzór ten konsultowany był z organem nadzorczym.
19 milionów osób
Cyberatak na MyDr doprowadził do wycieku z około 12 tysięcy placówek - publicznych i prywatnych. Liczba potencjalnie poszkodowanych pacjentów sięgać ma 19 milionów osób. Pojawia się pytanie, dlaczego wiadomości pacjenci dostają dopiero teraz, niemal miesiąc po największym w historii Polski wycieku danych.
- Inny zakres informacji będzie dla rodzica dziecka, inny dla osoby która sama udała się do gabinetu, a inny dla kogoś kto upoważnił kogoś do odbioru swoich wyników. To są różne zakresy wycieków, różne zakresy danych, do tych potrzeb trzeba było dostosować komunikaty - stwierdził ekspert ds. cyberbezpieczeństwa Adam Haertle, redaktor portalu "Zaufana Trzecia Strona".
"Nie klikamy w ten link"
Po otrzymaniu takiej wiadomości, podstawą jest weryfikacja tej informacji w przychodni. Bo - jak zawsze w takiej sytuacji - musimy upewnić się, czy wiadomość którą dostajemy jest autentyczna.
- Jeżeli dostajemy wiadomość z linkiem od nieznanego numeru, nie klikamy w ten link, tylko zgłaszamy się do naszej przychodni po informacje, zachowujmy ostrożność także w takich sytuacjach - podkreślił Standerski.
Wiceszef resortu cyfryzacji przypomina o uruchomionej przez rząd stronie internetowej - bezpiecznedane.gov.pl.
- Najbezpieczniejszy sposób by sprawdzić, czy nasze dane były przedmiotem wycieku firmy MyDr jest wejście na stronę bezpiecznedane.gov.pl, zalogowanie się do każdej innej usługi - do mObywatela czy do IKP - i tam sprawdzimy, czy te dane są w incydencie MyDr - wyjaśnił wiceminister.
Kluczowe dla naszego bezpieczeństwa PESEL, co można zrobić za pomocą kilku kliknięć w aplikacji mObywatel.
- W przypadku tego wycieku i jego skutków - raczej już nie zmodyfikuje, natomiast na przyszłość będzie to duże utrudnienie dla przestępców, którzy będą chcieli w jakiś sposób się dobrać do naszych pieniędzy - powiedział Haertle.
W sprawie wycieku policja wciąż prowadzi działania operacyjne.