Hakerzy twierdzą, że ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr

[Przemyslaw]

Firma MyDr (jeden z największych dostawców systemów Elektronicznej Dokumentacji Medycznej w Polsce, obsługujący tysiące placówek, ok. 3 mln wizyt i 2,7 mln recept miesięcznie) potwierdziła prowadzenie postępowania wyjaśniającego w sprawie poważnego incydentu bezpieczeństwa.
Hakerzy skontaktowali się z serwisem Zaufana Trzecia Strona, twierdząc, że uzyskali dostęp do danych ponad 18,8 mln unikalnych numerów PESEL pacjentów (oraz powiązanych danych medycznych i osobowych).
Przekazali m.in.:
zrzuty ekranu rekordów z bazy (w tym dane wysokoprofilowych osób z prawidłowymi PESEL, datami urodzenia, numerami telefonów i regionami NFZ oraz przykładowymi receptami),
dostęp do wewnętrznych systemów (Jira, HubSpot CRM, GitHub, SMSApi),
wewnętrzną korespondencję firmową i fragmenty bazy lekarzy.

Według sprawców wektor ataku: podatność XXE przy obsłudze certyfikatów PKCS#12  klucz API GitHub  kod źródłowy  infrastruktura AWS.
Twierdzą o kradzieży ok. 2,5 TB danych.
Część informacji udało się niezależnie zweryfikować (m.in. dane wybranych osób, w tym z branży).
Pośrednie potwierdzenie pojawiło się też ze strony premiera Gawkowskiego.
Stanowisko MyDr: firma uruchomiła procedury reagowania, współpracuje z ekspertami zewnętrznymi, organami i klientami (placówkami).
Opublikowała FAQ na pro.mydr.pl/portal-info.
Na obecnym etapie nie potwierdzają jeszcze pełnego zakresu naruszenia.
Kluczowa kwestia dla placówek i pacjentów: MyDr jest podmiotem przetwarzającym.
Administratorami danych są poszczególne przychodnie/gabinety. Sprawdzenie, czy konkretny pacjent jest w wycieku, jest obecnie praktycznie niemożliwe bez informacji od administratora.
Pacjenci powinni oczekiwać powiadomień od swoich placówek (jeśli te otrzymają potwierdzenie od MyDr).
Incydent wymaga szczególnej uwagi w kontekście bezpieczeństwa EDM, RODO i zarządzania ryzykiem w ochronie zdrowia.

Więcej na:
https://zaufanatrzeciastrona.pl/post/hakerzy-twierdza-ze-ukradli-dane-ponad-18-milionow-polek-i-polakow-z-firmy-mydr/