W wyniku jednego z największych w historii polskiej służby zdrowia incydentów cybernetycznych, doszło do masowego wycieku danych z systemów elektronicznej dokumentacji medycznej. Przestępcy uzyskali dostęp do ogromnej liczby rekordów, co wywołało niepokój zarówno wśród pacjentów, jak i specjalistów ds. bezpieczeństwa. Władze państwowe oraz eksperci podkreślają, że sytuacja wymaga natychmiastowych działań oraz wprowadzenia nowych zabezpieczeń.
Według lekarza reprezentującego Naczelną Izbę Lekarską, cyfrowa forma dokumentacji medycznej znacząco ułatwiła dostęp do informacji, jednak w warunkach chronicznego niedofinansowania sektora zdrowia, środki przeznaczane na ochronę informatyczną bywają niewystarczające. — Przejście na elektroniczną dokumentację sprawiło, że dostęp do danych jest znacznie łatwiejszy niż w czasach papierowych kartotek. W sytuacji niedoinwestowania ochrony zdrowia, środki na bezpieczeństwo informatyczne są często niewystarczające — komentuje w rozmowie z Medonetem lekarz, reprezentant Naczelnej Izby Lekarskiej. W związku z tym redakcja Medonetu zwróciła się do kilku specjalistów o ocenę skutków masowego wycieku danych z elektronicznych systemów medycznych.
Skala ataku, z jakim zmierzyła się polska ochrona zdrowia, jest bezprecedensowa. Przestępcy mogli wejść w posiadanie poufnych informacji dotyczących niemal połowy obywateli kraju, a liczba wykradzionych rekordów sięgnęła 19 milionów. — Wśród poszkodowanych mogą być zarówno pacjenci, jak i osoby publiczne — przekazał wicepremier i minister cyfryzacji Krzysztof Gawkowski, zapewniając jednocześnie, że państwo podejmuje nadzwyczajne działania w odpowiedzi na ten poważny incydent naruszenia bezpieczeństwa danych w sektorze zdrowia.
Atak dotknął systemy firmy MyDr, która należy do najważniejszych dostawców rozwiązań do prowadzenia elektronicznej dokumentacji medycznej w Polsce. Z usług tej firmy korzysta ponad 10 tysięcy placówek, zarówno prywatnych, jak i współpracujących z Narodowym Funduszem Zdrowia. Co miesiąc za pośrednictwem tej platformy realizowanych jest około 3 miliony wizyt, a lekarze wystawiają 2,7 miliona recept. Według oficjalnych komunikatów, przestępcy uzyskali dostęp do ponad 2 terabajtów danych. Dochodzenie prowadzą obecnie służby specjalne oraz Centralne Biuro Zwalczania Cyberprzestępczości.
Grzegorz Wrona, ekspert z Naczelnej Izby Lekarskiej, zwraca uwagę, że ochrona tajemnicy lekarskiej w erze cyfrowej staje się coraz trudniejsza. — Tajemnica lekarska właściwie już dzisiaj nie istnieje. Przejście na elektroniczną dokumentację sprawiło, że dostęp do danych jest znacznie łatwiejszy niż w czasach papierowych kartotek. W sytuacji niedoinwestowania ochrony zdrowia, środki na bezpieczeństwo informatyczne są często niewystarczające. Dyrektorzy placówek, mając ograniczone budżety, wybierają sprzęt medyczny, a nie inwestycje w cyberbezpieczeństwo. Ekspert podkreśla, że nawet rygorystyczne procedury nie zawsze są przestrzegane przez wszystkich użytkowników systemów. — Katastrofa nastąpiła. To pokazuje, jak istotne jest inwestowanie w ochronę danych medycznych — dodaje.
Jarosław Bartniczuk, prezes firmy Interguard oraz specjalista w dziedzinie cyberbezpieczeństwa, tłumaczy, że osoby korzystające z usług medycznych nie mają wpływu na poziom zabezpieczeń stosowanych przez firmę, która padła ofiarą ataku. — Pacjenci nie mają wpływu na zabezpieczenia w firmie, która padła ofiarą ataku. Jeśli nasze dane znalazły się wśród wykradzionych, powinniśmy przede wszystkim zastrzec numer PESEL i zwracać uwagę na próby wyłudzeń. To, czy doszło do ataku phishingowego, czy wykorzystano inne metody, wyjaśni szczegółowa analiza powłamaniowa. Bartniczuk ostrzega, że informacje medyczne są szczególnie cenne dla cyberprzestępców. — Często celem jest wymuszenie okupu, ale równie groźna jest druga fala ataków, np. phishing, próby przejęcia kont czy wyłudzenia pieniędzy pod pretekstem wizyt lekarskich — wyjaśnia.
Na chwilę obecną nie pojawiły się doniesienia o publicznym udostępnieniu wykradzionych danych. Najważniejsze pozostaje ustalenie, jak szeroki był zakres incydentu oraz czy zastosowane środki ochrony były adekwatne do istniejącego zagrożenia.
Rafał Dunal, prezes Polskiej Izby Informatyki Medycznej, ocenia, że rozmiar tego ataku jest wyjątkowy. — Skradzione 2,5 terabajta danych to ogromny wolumen. Taka ilość informacji nie znika z systemu w kilka minut, dlatego śledczy będą ustalać, jak długo trwał atak i jak został przeprowadzony. Zwraca on także uwagę na ryzyko związane z ujawnieniem danych osób publicznych, które mogą stać się celem szantażu lub presji. — Z perspektywy pacjenta najważniejsze są dziś trzy rzeczy: zwiększyć czujność, zastrzec numer PESEL i uważnie obserwować sytuację. Jeżeli w wyniku wycieku doszłoby do konkretnej szkody, a poszkodowany byłby w stanie wykazać związek między szkodą a incydentem, może pojawić się również kwestia dochodzenia roszczeń — podkreśla ekspert. — Na tym etapie najważniejsze jest jednak ustalenie dokładnego zakresu wycieku, sposobu uzyskania dostępu do danych oraz tego, jakie informacje faktycznie zostały skopiowane — dodaje.
Po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa, minister Krzysztof Gawkowski ogłosił, że wdrożono dodatkowe zabezpieczenia, a dane zostały przeniesione do specjalnej bazy Bezpieczne Dane. Każda osoba zainteresowana będzie mogła sprawdzić, czy jej dane zostały naruszone. Systemy firmy MyDr mają już funkcjonować w sposób bezpieczny, a lekarze są regularnie informowani o rozwoju sytuacji. Minister zapewnił także, że państwo jest gotowe udzielić wsparcia innym placówkom korzystającym z podobnych rozwiązań, a poszukiwania sprawców trwają. — Z dużą dozą pewności możemy powiedzieć, że to działanie cyberprzestępców nastawionych na zysk — powiedział Gawkowski.
Rafał Dunal zaznacza, że obecnie nie można jednoznacznie wskazać, kto stoi za atakiem, ponieważ takie informacje nie zostały ujawnione. Możliwe są zarówno scenariusze związane z atakiem z zewnątrz, w tym przez grupę spoza Polski, jak i działania motywowane wyłącznie korzyściami finansowymi. — Nie można też całkowicie wykluczyć udziału osoby mającej wcześniej dostęp do systemu. Bez znajomości szczegółów śledztwa trudno jednak przesądzać, który z tych scenariuszy jest prawdopodobny — mówi ekspert.
Z kolei Jarosław Bartniczuk wskazuje, że jednym z potencjalnych sposobów przeprowadzenia ataku mógł być phishing, polegający na zmanipulowaniu pracownika w taki sposób, aby nieświadomie umożliwił dostęp do systemu osobom nieuprawnionym. — To pokazuje, jak istotne są regularne szkolenia z cyberbezpieczeństwa. Metody stosowane przez cyberprzestępców nie zawsze są nowe, ale są coraz bardziej wiarygodne i trudniejsze do rozpoznania. Czasami jeden nieostrożny klik w link lub załącznik może otworzyć napastnikom drogę do systemu — przekonuje. Jego zdaniem nie można jednak całości winy przypisywać użytkownikowi, który mógł paść ofiarą phishingu. W przypadku firm przetwarzających tak duże ilości wrażliwych danych, zabezpieczenia muszą być odpowiednio zaawansowane zarówno pod względem technicznym, jak i organizacyjnym. Niezbędne są rozwiązania, które minimalizują skutki pojedynczego błędu ludzkiego.
Prezes Interguard podkreśla, że szczególnie niepokojące jest to, iż ofiarą ataku padła firma zarządzająca danymi medycznymi. Takie sytuacje miały już miejsce wcześniej, na przykład w przypadku laboratoriów ALAB. Informacje medyczne należą do najbardziej wrażliwych i mogą mieć dużą wartość dla przestępców działających w cyberprzestrzeni. — W tym kontekście znaczenie mają również nowe regulacje dotyczące cyberbezpieczeństwa, w tym krajowe przepisy oraz wymagania wynikające z europejskiej dyrektywy NIS2 — podkreśla Jarosław Bartniczuk. — Ich celem jest podniesienie poziomu ochrony podmiotów, które przetwarzają istotne informacje lub są ważne z punktu widzenia bezpieczeństwa i ciągłości działania — dodaje.
Rafał Dunal przypomina, że w kontekście cyberbezpieczeństwa najczęściej słyszy się o tych atakach, które zakończyły się sukcesem, podczas gdy prób włamań i innych incydentów jest znacznie więcej. Dotyczy to zarówno prywatnych dostawców systemów, jak i rozwiązań stosowanych w publicznej ochronie zdrowia. — Jeżeli z systemu korzysta bardzo duża liczba placówek, a tak jest w tym przypadku, poinformowanie wszystkich potencjalnie poszkodowanych osób może być także poważnym wyzwaniem organizacyjnym pomiotów medycznych. Szczególnie dotyczy to mniejszych praktyk lekarskich, które mogą nie dysponować własnymi, rozbudowanymi strukturami IT czy obsługą prawną — wyjaśnia.
Specjaliści podkreślają, że na ostateczne wnioski dotyczące przyczyn incydentu trzeba jeszcze poczekać. Tak poważne naruszenie wymaga zgłoszenia odpowiednim instytucjom oraz przeprowadzenia szczegółowej analizy, która pozwoli ustalić, czy głównym problemem były błędy ludzkie, niewystarczające procedury i szkolenia, czy też niedociągnięcia w zabezpieczeniach technicznych. — Pełna analiza takiego incydentu może potrwać wiele miesięcy. Najważniejsze jest jednak to, żeby nie ograniczyć się do wskazania pojedynczego błędu czy osoby, która mogła kliknąć w niewłaściwy link — uważa Dunal. — Przy takiej skali wycieku trzeba przeanalizować cały system bezpieczeństwa i wyciągnąć wnioski, które pozwolą uniknąć podobnego zdarzenia w przyszłości. Konsekwencje takiego ataku ponosi bowiem nie tylko zaatakowana firma, ale przede wszystkim miliony osób, których dane były przez nią przetwarzane — dodaje.
Na stronie internetowej firmy MyDr pojawiła się informacja, że śledztwo prowadzone jest przy udziale zewnętrznych ekspertów ds. cyberbezpieczeństwa oraz we współpracy z właściwymi organami państwowymi. Na obecnym etapie przedsiębiorstwo nie ujawnia szczegółów technicznych dotyczących incydentu.
źródło: medonet.pl
