Strach w Polsce iść do lekarza. PESEL może wrócić z wizyty z nowym właścicielem

To już robi się jakaś plaga, bo właśnie mamy do czynienia z kolejnym dużym wyciekiem danych medycznych Polaków, co nie najlepiej świadczy o zabezpieczeniach firm z tego, bądź co bądź, wrażliwego sektora. 

Kolejny dostawca oprogramowania dla sektora medycznego padł ofiarą cyberataku. Tym razem chodzi o FELG Dent, czyli system wykorzystywany przez gabinety stomatologiczne. Do redakcji portalu Niebezpiecznik zgłosiła się bowiem grupa określająca się jako „Horus”, która twierdzi, że uzyskała dostęp do ogromnej ilości danych pacjentów i personelu.

2,4 mln pacjentów i 1,2 mln recept?

Według napastników baza ma zawierać informacje dotyczące około 2,4 mln pacjentów, w tym numery PESEL, dane kontaktowe, adresy oraz informacje o gabinetach. Hakerzy twierdzą również, że przejęli dane 712 tys. pracowników, a także około 1,2 mln recept.

Według napastników baza ma zawierać informacje dotyczące około 2,4 mln pacjentów, a także około 1,2 mln recept.

Na tym jednak lista potencjalnie skompromitowanych informacji się nie kończy. Grupa wymienia dokumentację wizyt, e-ZLA, dane eWUŚ, pliki i zdjęcia oraz pełną historię leczenia. Jako dowód posiadania bazy przesłano zaś przykładowe rekordy pacjentów i recept ,a Niebezpiecznik podaje, że otrzymał nawet dane "na temat kilku pacjentów, w tym osób o nazwisku Braun, Ibisz, Mentzen, Palikot oraz przykłady kilku recept na leki psychotropowe kolejnych pacjentów". Na obecnym etapie trudno jednak potwierdzić autentyczności wszystkich przekazanych danych.

Hakerzy wskazują na podatność i żądają 100 tys. zł

„Horus” twierdzi, że dane zostały pobrane 9 września za pomocą podatności określanej jako IDOR Cross Tenant PID enum. Atakujący przekazali również listę endpointów, które ich zdaniem umożliwiały dostęp m.in. do recept, dokumentacji wizyt, danych pacjentów i personelu. Grupa twierdzi też, że próbowała uzyskać okup od FELG Dent i ponieważ nie doszło do porozumienia, zapowiada sprzedaż całej bazy za 100 tys. zł.

FELG Dent potwierdza incydent

Najważniejsze jest jednak to, że sam FELG Dent potwierdził wystąpienie incydentu oraz żądanie okupu. Firma podaje jednocześnie, że przejęty zbiór stanowi około 10% wszystkich danych. FELG Dent zaznacza, że na tym etapie nie jest jeszcze w stanie określić, czy incydent obejmuje dane powierzone przez konkretne gabinety i zaleca placówkom wstrzymanie się ze zgłaszaniem naruszeń do PUODO do czasu uzyskania formalnego potwierdzenia.

Co ciekawe, w komunikacie FELG Dent wskazano na grupę „Fingerprint”, choć ta zaprzecza odpowiedzialności za atak i miała zaoferować firmie pomoc w rozwiązaniu problemu.

Kolejny wyciek danych medycznych w Polsce

Incydent z FELG Dent wpisuje się w niepokojącą serię zdarzeń dotyczących danych medycznych. We wrześniu UODO informował o wycieku związanym z oprogramowaniem Medyc, obejmującym potencjalnie wrażliwe informacje o pacjentach. Jeszcze wcześniej głośno było o systemie MyDr. Według informacji ministra cyfryzacji z systemu miało zostać wykradzionych około 19 mln rekordów, a baza miała zajmować ponad 2 TB. i wśród danych znajdowały się m.in. informacje dotyczące wizyt, recept i leków.