Seria cyberataków na sektor zdrowia. Wyciekły dane milionów osób

Seria cyberataków na sektor zdrowia

„Sektor medyczny jest obszarem szczególnie narażonym na działania cyberprzestępców - głównie ze względu na wrażliwe dane przechowywane w systemach dostawców usług oraz podmiotów świadczących usługi pacjentom. Aktualnie trwa analiza trzech zdarzeń z tego obszaru, które miały miejsce w ostatnich tygodniach" - przekazała PAP Daria Tomczuk z NASK w odpowiedzi na pytania dotyczące ataków na MyDr, Qbusof i Enel-Med. NASK zaznaczył jednocześnie, że szczegółowych informacji o poszczególnych incydentach mogą udzielać wyłącznie podmioty, których systemy zostały zaatakowane.

W piątek po południu Centrum Medyczne Enel-Med poinformowało, że 24 września wykryło cyberatak, w wyniku którego przestępcy uzyskali dostęp do części danych pacjentów. Spółka zabezpieczyła sieć i systemy oraz zawiadomiła Centralne Biuro Zwalczania Cyberprzestępczości (CBZC), CSIRT prowadzony przez Centrum e-Zdrowia, CERT Polska oraz Prezesa UODO.

W niedzielę Enel-Med przekazał, że wyciek może dotyczyć około 3 proc. całej bazy pacjentów. „Zdarzenie zostało szybko wykryte, a cyberatak przerwany" - podkreślili przedstawiciele firmy. Dodali, że nie zaobserwowano obecnie nieprawidłowości wskazujących na dalsze zagrożenie dla systemów. Placówki działają standardowo, a pacjenci nadal mogą korzystać z usług oraz umawiać wizyty przez aplikację i call center. Firma Enel-Med uruchomiła wszystkie procedury bezpieczeństwa i niezwłocznie zgłosiła sprawę do CERT Polska. Trwają prace związane z ustaleniem zakresu tego incydentu - przekazał w poniedziałek PAP Marek Gieorgica z Ministerstwa Cyfryzacji.

Cyberataki na Enel-Med, Qbusoft i MyDr

Atak na Enel-Med jest kolejnym incydentem w sektorze zdrowia w ostatnich tygodniach. 24 września CyberDefence24 i Zaufana Trzecia Strona poinformowały o wycieku danych osobowych, w tym medycznych, w związku z atakiem na aplikację Medyc firmy Qbusoft. Według portali skala incydentu może obejmować około 5 milionów osób. Tego samego dnia Krzysztof Gawkowski przekazał na platformie X, że sprawą zajmuje się CBZC. Wskazał też, że Qbusoft nie zgłosił incydentu do CERT Polska ani CSIRT CeZ, mimo że zgodnie z przepisami podmioty te powinny otrzymać takie zgłoszenie. Prezes UODO Mirosław Wróblewski zapowiedział natomiast kontrolę firmy Qbusoft.

Qbusoft, założony w 2018 roku, jest producentem aplikacji Medyc przeznaczonej dla lekarzy i osób zarządzających placówkami medycznymi. System umożliwia m.in. rejestrację pacjentów, wystawianie e-recept i faktur oraz generowanie raportów. Medyc znajduje się również na Mapie Innowacji Ministerstwa Zdrowia.

Pierwsze informacje o ataku na Qbusoft pojawiły się w komunikacie Odwykowo-Psychiatrycznego Ośrodka Leczniczego w Inowrocławiu. „Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. Qbusoft Sp. z o.o. z siedzibą w Olsztynie (producenta oprogramowania Medyc), padł ofiarą cyberataku" - podała placówka na swojej stronie internetowej. Wśród danych objętych incydentem mogły znaleźć się m.in. dane kontaktowe i numery PESEL pacjentów. Według redaktora naczelnego Zaufanej Trzeciej Strony Adama Haertle za wyciek danych z Medyc odpowiadają te same osoby, które wcześniej zaatakowały systemy MyDr, skąd wykradziono dane prawie 19 milionów Polaków.

Redakcja poleca

Kolejny cyberatak. Przestępcy uzyskali dostęp do danych pacjentów

Małe firmy nie są przygotowane na takie cyberataki. Okup może kosztować krocie

O ataku na MyDr Ministerstwo Cyfryzacji poinformowało 13 sierpnia. W wyniku incydentu wyciekły m.in. informacje dotyczące leków i recept. MyDr dostarcza system wykorzystywany do prowadzenia elektronicznej dokumentacji medycznej, z którego korzysta około 12 tys. podmiotów medycznych. Postępowanie w sprawie wycieku prowadzi CBZC pod nadzorem Prokuratury Okręgowej w Warszawie. Śledztwo dotyczy nieuprawnionego dostępu do systemu MyDr i znajdujących się tam informacji, a następnie ujawnienia części danych innym osobom. Za takie działanie grozi do trzech lat pozbawienia wolności. MyDr została założona w 2017 roku, a w styczniu 2023 roku przejęta przez DocPlanner, właściciela serwisu ZnanyLekarz. Pod koniec sierpnia szef firmy Piotr Miluski odniósł się do incydentu. „Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent dotyczy jego danych" - pisał w oświadczeniu.

Minister cyfryzacji Krzysztof Gawkowski podkreślił, że wobec rosnącej aktywności cyberprzestępców w sektorze medycznym podmioty działające w tej branży powinny intensyfikować działania zabezpieczające. Dodał, że „instytucje odpowiedzialne za cyberbezpieczeństwo państwa regularnie przekazują wytyczne i zalecenia w zakresie zabezpieczeń infrastruktury sieciowej oraz oprogramowania". Przypomniał, że 16 września zalecenia dotyczące bezpieczeństwa dla podmiotów medycznych przygotował CSIRT CeZ.

Po ataku na MyDr prezes UODO zapowiedział również przeprowadzenie jeszcze w tym roku szerszych kontroli w sektorze ochrony zdrowia. Urząd chce sprawdzić, w jaki sposób placówki zabezpieczają dane pacjentów.

Źródło: Radio ZET/PAP