Wyciekają dane pacjentów. Ekspert ostrzega: historia choroby może służyć do szantażu
Wyciek danych medycznych może dać oszustom wyjątkowo skuteczne narzędzie nacisku. Poza PESEL-em, adresem czy numerem telefonu otrzymują informacje o najbardziej prywatnej sferze życia człowieka - jego zdrowiu. Jak wskazuje Łukasz Ozimek, dyrektor operacyjny Exea Data Center, wykorzystanie historii choroby i szczegółów leczenia może mieć wyjątkowo dotkliwe konsekwencje dla pacjenta.
Z tego artykułu dowiesz się:
- Jakie konsekwencje dla pacjenta może mieć wyciek danych medycznych.
- Jak oszuści mogą wykorzystać dane o leczeniu pacjenta.
- Co pacjenci i placówki medyczne mogą zrobić, by lepiej chronić dane.
Cyberataki w ochronie zdrowia: wycieka nie tylko PESEL. Pacjenci tracą znacznie więcej
W ostatnich tygodniach o naruszeniach bezpieczeństwa informowali zarówno dostawcy oprogramowania medycznego, jak i placówki oraz firmy z sektora ochrony zdrowia. W sierpniu ujawniono wyciek z systemu MyDr, obejmujący według szacunków UODO dane ponad 18 mln osób i około 15 tys. placówek. We wrześniu włamanie do bazy pacjentów zgłosiła sieć przychodni NZOZ Śródmieście z Gdyni i Redy. Atak na serwer pocztowy potwierdził także SPZOZ Warszawa-Ursynów. Służby badają ponadto incydent dotyczący oprogramowania Medyc firmy Qbusoft. Enel-Med poinformował o dostępie nieuprawnionej osoby do części danych pacjentów, a Zdrowit S.A. - o nieuprawnionym dostępie do systemów i zaszyfrowaniu części zasobów.
Łukasz Ozimek, dyrektor operacyjny Exea Data Center, potwierdza, że cyberataków, w tym w ochronie zdrowia, jest ostatnio zauważalnie więcej. Mówi nawet o „czarnym kwartale”.
- Rzeczywiście widzieliśmy dużą intensywność tych działań. Na co dzień zajmujemy się w naszej firmie monitoringiem cyberzagrożeń i widzimy, jak lawinowo rośnie ich liczba. Z tygodnia na tydzień, z miesiąca na miesiąc przybywa zdarzeń, ataków i incydentów bezpieczeństwa informatycznego. Dotyczy to wielu branż, nie tylko medycznej - podkreśla w rozmowie z Radiem ZET.
Nie ulega wątpliwości, że dostęp do danych medycznych daje przestępcom szerokie możliwości działania ze względu na ich unikalny charakter. Obok PESEL-u, adresu czy numeru telefonu przestępcy otrzymują bowiem informacje dotyczące najbardziej prywatnej sfery życia człowieka.
- Historię choroby można wykorzystać do żądania okupu lub wymuszenia innych działań zgodnych z oczekiwaniami cyberprzestępcy, np. skompromitowania kogoś. W zaawansowanych przypadkach może dojść do sytuacji jak w jednym ze szpitali w Stanach Zjednoczonych, gdzie cyberprzestępcy zaatakowali oddział chorób wenerycznych. Istniały duże obawy, że bardzo osobiste i szczegółowe informacje na temat zdrowia pacjentów, w szczególności znanych osób, zostaną upublicznione - mówi ekspert.
Dodatkowo zwraca uwagę, że cyberataki na szpitale i przychodnie przyciągają szczególną uwagę mediów, a sprawcom często chodzi również o rozgłos takich akcji.
- To bardzo wrażliwy sektor. Informacja, że zaatakowano szpital czy przychodnię albo że wyciekają dane medyczne, przykuwa uwagę. Cyberprzestępcom też zależy na medialności i rozgłosie, żeby szybciej doprowadzić do zapłaty okupu lub innych oczekiwanych działań. Niektórzy atakują również po to, żeby budować swoją rozpoznawalność i pewien „prestiż” - twierdzi.
Za cyberatakami nie zawsze stoją zorganizowane grupy przestępcze. Bywają to również osoby, które chcą sprawdzić, czy potrafią przełamać zabezpieczenia i dostać się do cudzego systemu. - Dostępne dziś narzędzia, także te związane z AI, sprawiają, że nie trzeba być zaawansowanym inżynierem ani mieć rozległej wiedzy technicznej, żeby podejmować takie działania - wyjaśnia Łukasz Ozimek.
Oszust zna szczegóły leczenia. Łatwiej mu zdobyć zaufanie pacjenta
Ponadto znajomość szczegółów leczenia może pomóc oszustowi zdobyć zaufanie pacjenta. Jak podkreśla ekspert, kluczowa jest manipulacja człowiekiem i jego emocjami.
- Cyberprzestępcy nie muszą łamać zaawansowanych zabezpieczeń informatycznych. Atakują przede wszystkim człowieka, bo w całym tym łańcuchu technologii to my jesteśmy najsłabszym ogniwem. Mamy emocje, chwile słabości, którym ulegamy. Przestępcy wykorzystują więc socjotechnikę: budują scenariusze i historie, które nas wciągają, żeby doprowadzić do momentu, w którym nasza czujność zostanie całkowicie uśpiona i klikniemy w jakiś załącznik albo link. To kliknięcie uruchamia dalszą sekwencję zdarzeń, która może doprowadzić do kradzieży danych -wyjaśnia Łukasz Ozimek.
Sztuczna inteligencja pozwala dodatkowo uwiarygodnić oszustwo przez wykorzystanie cudzego wizerunku i głosu. Jak przekonujące mogą być takie oszustwa, pokazują fałszywe reklamy, w których wykorzystano wizerunki znanych specjalistów.
- Mieliśmy przykłady autorytetów ze świata medycznego, profesorów i doktorów nauk medycznych z Polski, którzy nagle w internecie reklamują jakiś suplement diety za określoną kwotę. Potem okazuje się, że ta osoba nigdy nie brała udziału w takiej kampanii. Jej tożsamość została wykorzystana - wskazuje dyrektor operacyjny Exea Data Center.
Warto pamiętać, że nawet jeśli rozmówca zna nasze dane i szczegóły leczenia, nie oznacza to, że rzeczywiście dzwoni z placówki medycznej. Jeśli wywiera presję i domaga się natychmiastowego działania, powinna zapalić się czerwona lampka. W takiej sytuacji najlepiej przerwać rozmowę i samodzielnie skontaktować się z placówką, korzystając z numeru telefonu lub adresu e-mail podanego na jej oficjalnej stronie. Warto również zastrzec numer PESEL w aplikacji mObywatel i sprawdzić w serwisie bezpiecznedane.gov.pl, czy nasze dane znalazły się w wyciekach uwzględnionych w jego bazie.
Ekspert: Musimy nauczyć się cyberhigieny
Zdaniem Łukasza Ozimka podobnych cyberataków będzie więcej, dlatego na zagrożenia muszą być przygotowane zarówno instytucje, jak i obywatele. To, co musimy zrobić, to przyswoić sobie zasady higieny cyfrowej, czyli codzienne nawyki, które pomagają chronić nasze dane.
- Jesteśmy przyzwyczajeni, że przed posiłkiem myjemy ręce. To naturalne. Tak samo powinniśmy być przyzwyczajeni do cyberhigieny. Musimy mieć zasadę ograniczonego zaufania do każdej rzeczy, którą widzimy w cyberprzestrzeni, żeby ją zweryfikować i mieć pewność, że jest tym, za co się podaje - mówi.
Placówki powinny natomiast zadbać nie tylko o zabezpieczenia techniczne, ale również o codzienny sposób pracy z danymi. - Nie wystarczy zainstalować jednego urządzenia i uznać, że już jesteśmy chronieni. To tak, jakbyśmy zamontowali świetny zamek w drzwiach, ale przecież mamy jeszcze okna, drzwi balkonowe i inne wejścia. Powinniśmy też co jakiś czas próbnie odtwarzać kopie zapasowe i sprawdzać, czy dane rzeczywiście można odzyskać - wyjaśnia Łukasz Ozimek.
Ekspert zwraca uwagę na rolę państwa w ochronie danych obywateli. W Polsce ramy prawne tej ochrony tworzą m.in. RODO oraz przepisy wdrażające unijną dyrektywę NIS2. Te ostatnie nakładają na objęte nimi podmioty, także prywatne, obowiązki związane z zarządzaniem ryzykiem cyberbezpieczeństwa i zwiększaniem odporności na ataki. Wyzwaniem pozostaje jednak tempo rozwoju technologii. - Regulacje prawne nie nadążają za tym, co dzieje się w świecie technologii. Ona postępuje tak szybko, że jej nie zatrzymamy. Musimy myśleć i rozmawiać o tym, jak nad nią zapanować. To również rola państwa - ocenia.
Źródło: Radio ZET
Byłeś świadkiem czegoś niespodziewanego? Masz temat, którym powinniśmy się zająć?
Zgłoś sprawę przez Czerwony telefon Radia ZET
