Cyberatak na MyDr: 19 mln Polaków zagrożonych, rząd musi działać natychmiast

W wyniku cyberataku na firmę MyDr doszło do wycieku danych 19 mln Polaków. To jedna z największych katastrof bezpieczeństwa w historii naszego kraju. Dane medyczne, numery PESEL, telefony i informacje o lekach trafiły w niepowołane ręce. Służby badają sprawę, ale eksperci nie mają wątpliwości: to sytuacja bez precedensu, która wymaga natychmiastowej reakcji państwa.

Dlaczego wyciek danych medycznych jest tak groźny?

Dane medyczne to najbardziej wrażliwe informacje o człowieku. Ujawniają nie tylko tożsamość, ale także choroby, leczenie i prywatne wydarzenia z życia. Jak podkreśla ekspert Marek Wojciechowski, dla przestępców to zwykły biznes, ale dla pacjentów to katastrofa. Skradzione dane mogą posłużyć do kradzieży tożsamości, oszustw, szantaży, a nawet szpiegostwa. W przypadku polityków, wojskowych czy sędziów informacje zdrowotne mają dodatkową wartość wywiadowczą.

Jak doszło do wycieku i kto ponosi odpowiedzialność?

MyDr obsługiwało tysiące placówek medycznych, gromadząc dane połowy narodu. Problem polega na tym, że prawo nie przewidziało automatycznego mechanizmu traktowania takiej firmy jako punktu ryzyka o znaczeniu państwowym. Jak zauważa Wojciechowski, wszystko zadziałało tak, jak zaprojektowano w Polsce tego rodzaju przedsięwzięcia. Brakuje obowiązku informowania o przetwarzaniu danych wrażliwych, a podejście oparte na ryzyku pozostawia ocenę bezpieczeństwa samym firmom.

Co powinien zrobić rząd w najbliższych dniach?

Najpilniejsze jest ustalenie zakresu wycieku i poinformowanie poszkodowanych. Ekspert postuluje automatyczne zastrzeżenie numerów PESEL dla wszystkich dotkniętych osób. To jednak tylko proteza, bo nie chroni przed ujawnieniem informacji. Państwo powinno przyspieszyć wdrożenie dyrektywy NIS2, skracając okres przejściowy, oraz wyciągnąć wnioski z incydentu. Wojciechowski proponuje błyskawiczną specustawę, która umożliwi automatyczne zastrzeżenie PESEL-i.

Czy podobne ataki zdarzały się w innych krajach?

Tak. W Singapurze w 2018 roku wykradziono dane 1,5 mln pacjentów, w tym informacje o lekach premiera. W Irlandii w 2021 roku ransomware Conti sparaliżował publiczny system ochrony zdrowia HSE. Te przykłady pokazują, że problem jest globalny, ale Polska stała się szczególnie atrakcyjnym celem.

Co zrobić, aby ograniczyć skutki wycieku?

MyDr powinno pilnie ustalić pełen zakres incydentu i współpracować ze służbami. Placówki medyczne muszą sprawdzić, których pacjentów dotyczy wyciek. Państwo powinno zapewnić jeden spójny kanał informacji i ochrony. Wojciechowski podkreśla, że bezpieczeństwo jednej firmy, która ma dane połowy narodu, przestaje być jej prywatną sprawą, a staje się sprawą wagi państwowej.

Jakie wymagania powinni spełniać dostawcy usług medycznych?

Korzystanie z zewnętrznych dostawców nie jest problemem, ale wymagania muszą rosnąć wraz z ilością i wrażliwością danych. Standardem minimum powinny być regularne, niezależne audyty bezpieczeństwa, testy odporności, ścisła kontrola dostępu i ciągłe monitorowanie. Państwo musi nauczyć się rozpoznawać koncentrację ryzyka, zanim dojdzie do katastrofy.

Czy minister Gawkowski ma rację mówiąc, że Polska jest najbardziej atakowanym krajem?

Niektórzy ministrowie dużo mówią, ale faktem jest, że państwo nie uchwaliło możliwości automatycznego zastrzegania PESEL-u. Skoro minister zaleca, to dlaczego nie zrobić tego z automatu? Technicznie to proste, brakuje tylko podstawy prawnej. Wojciechowski apeluje o błyskawiczne działanie: specustawa, głosowanie jutro, szybki podpis prezydenta.

FAQ

Czy moje dane są bezpieczne?

Jeśli korzystałeś z placówek obsługiwanych przez MyDr, Twoje dane mogły wyciec. Sprawdź komunikaty firmy i służb, zastrzeż PESEL i monitoruj swoją korespondencję.

Czy zastrzeżenie PESEL wystarczy?

Nie. To tylko ogranicza ryzyko kradzieży tożsamości, ale nie chroni przed ujawnieniem informacji medycznych. Państwo musi działać systemowo.

Kiedy rząd wprowadzi automatyczne zastrzeganie PESEL?

Na razie brak podstawy prawnej. Eksperci apelują o specustawę, ale decyzja należy do parlamentu i prezydenta.