Artur Kolibski

Od kilku dni wiemy, że dane 19 milionów obywateli zostały ukradzione z systemów firmy MyDr. Dane dotyczyły numerów PESEL, danych adresowych, numerów telefonów, recept, notatek z wizyt lekarskich i tym podobnych zdarzeń. Minister Cyfryzacji tłumaczył się publicznie, obiecywał przeprowadzenie szeroko zakrojonego śledztwa i wyciągnięcie wniosków i konsekwencji oraz obiecał wprowadzenie lepszych zabezpieczeń.

Niestety do chwili obecnej nie ma szansy sprawdzenia nawet, czyje dane zostały narażone, pomimo obietnic, że strona umożliwiająca takie sprawdzenie zostanie natychmiast uruchomiona. Wiadomo jednak było, że z tego samego systemu, jakieś dwa lata temu „wyciekły” dane około 13 milionów pacjentów. No i co zrobiono w tej sprawie? Jak widać niewiele.

Nie mówię, że nic nie zrobiono aby uniknąć podobnych incydentów. Ale wiem, że wprowadzanie skutecznych zabezpieczeń, wymaga naprawdę kosztownych analiz, testów, oraz bardzo specjalistycznej wiedzy i co tu dużo mówić – wymaga nakładów finansowych.

Chwilowo trwa śledztwo, a więc nawet nie zdradzono, w jaki sposób doszło do wycieku i kto mógłby stać za tym cyberatakiem. A ponieważ nie jestem specjalistą od bezpieczeństwa informatycznego, nie będę więc nawet próbował dywagować na ten temat. Oczywiście hakerzy (ci dobrzy) domyślają się, że mogło to być spowodowane – i tu przepraszam za niezrozumiałą mowę – podatnością XXE (XML External Entity) przy obsłudze certyfikatów PKCS#12. Ten błąd w parserze XML pozwala w dużym skrócie na uzyskanie dostępu do plików systemowych, wyciek kluczy API i tokenów autoryzacyjnych.

Jednym z możliwych sposobów uniknięcia tego typu ataków jest korzystanie z aktualnych bibliotek, parserów XML i wykorzystywanych komponentów kryptograficznych.

Być może jednak organom śledczym uda się ustalić dokładnie, co było przyczyną tak spektakularnego „sukcesu” tego cyberataku.

Dobrze jednak byłoby wiedzieć, dlaczego dane tak wielu pacjentów znalazły się w tym systemie, co to jest MyDr i jak właściwie działa. Przyznaję, że jako pacjent kilku przychodni prywatnych i tych NFZ nie zastanawiałem się nad oprogramowaniem używanym przez moich lekarzy i podmioty wykonujące specjalistyczne badania.Teraz dopiero, po tym zdarzeniu, zajrzałem do internetu i dowiedziałem się nieco więcej.

Okazuje się, że MyDr jest dostawcą oprogramowania dla placówek medycznych, obsługującym tysiące gabinetów lekarskich, przychodni i innych podmiotów związanych z ochroną zdrowia i to zarówno prywatnych, jak i współpracujących z NFZ. Ich sztandarowym produktem jest MyDr EDM. I tu pozwolę sobie zacytować stronę pro.mdr.pl:

„MyDr to nowoczesne oprogramowanie medyczne, które łączy elektroniczną dokumentację (EDM), zarządzanie wizytami oraz obsługę placówki w jednym systemie”.

Według danych ze strony, miesięcznie w tym systemie jest realizowanych i zapisywanych 3 miliony wizyt, wystawiane jest 2,7 miliona recept, a rocznie migruje na ten system 250 podmiotów medycznych.

Imponujące. MInisterstwo Cyfryzacji podaje, że z tego systemu korzysta już około 12 tysięcy przychodni i gabinetów. Jednak my jako pacjenci nie mamy pojęcia z jakiego oprogramowania korzysta nasz lekarz, stukając mozolnie w klawiaturę podczas prowadzenia wywiadu lub wypisywania recepty.

Wszystkie te dane znajdują się natychmiast w systemie MyDr. Dlatego takie systemy są tak łakomym kąskiem dla cyberprzestępców – żeby uzyskać dane milionów pacjentów, nie muszą włamywać się do tysięcy przychodni – wystarczy uzyskać dostęp do jednego miejsca.

Czekam niecierpliwie na ustalenia śledczych. A tymczasem pozostaje nam chronić się przed wykorzystaniem naszych danych, tak jak potrafimy.

PRZYPOMINAM – W TAKICH WYPADKACH PRZEDE WSZYSTKIM:

1. Należy zastrzec numer PESEL – jest to możliwe w prosty sposób w aplikacji mObywatel (dwa kliknięcia) lub w Urzędzie Gminy (co już jest bardziej czasochłonne). W dodatku takie zastrzeżenie utrudni nam samym korzystanie z naszego numeru w trakcie ubiegania się o kredyt, czy dokonywania czynności, do dokonania których konieczne jest sprawdzenie naszego PESEL. Jeśli mamy mObywatela, zdjęcie zastrzeżenia jest również banalnie proste – można nawet usunąć zastrzeżenie tylko na krótki okres czasu, np. 30 minut – po to żeby można było dokonać weryfikacji. Po upływie czasu, na jaki udostępnimy nasze dane, numer PESEL zostanie automatycznie znów zastrzeżony.
2. Musimy uważać szczególnie na SMS-y, maile, telefony, w których osoby przedstawiają się jako reprezentanci przychodni lub innych instytucji. Pamiętajcie, że taki przestępca może posiadać dane o wielu szczegółach naszego leczenia, historię choroby, dane z recept i temu podobne, co pozwoli mu przygotować oszustwo w znacznie bardziej wiarygodny sposób. Lepiej więc w takich wypadkach kontaktować się bezpośrednio z bankiem, urzędem, przychodnią lub lekarzem, dzwoniąc na znany nam już numer telefonu.

Bądźmy ostrożni i sprawdzajmy, nawet jeśli jesteśmy pewni, że rozmawiamy z właściwymi osobami. Od tego zależy nasze własne bezpieczeństwo.