Wyciek danych 19 mln Polaków. Od sześciu dni nie można sprawdzić, czy jesteś w bazie

"Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu. Zostaną udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem. O fakcie zasilenia danymi poinformujemy w osobnym komunikacie" - można przeczytać od sześciu dni na stronie BezpieczneDane.gov.pl.

Niestety jak dotąd nie ma informacji na temat zagrożonych wyciekiem danych. Nie ma również ani informacji o tym kiedy takie dane zostaną uzupełnione, ani obiecanego komunikatu.

Wyciek danych 19 milionów Polaków

„Niestety z przykrością muszę poinformować, że doszło do nadzwyczajnego wycieku danych blisko 19 milionów obywateli Polski, którzy w różnych kategoriach korzystali z wsparcia medycznego” – poinformował w środę po południu wicepremier i minister cyfryzacji Krzysztof Gawkowski. Wykradziona baza ma ponad 2 TB danych. 

Jednym z kluczowych działań, które zapowiadał, miało być stworzenie możliwości sprawdzenia, czy konkretna osoba znalazła się w wykradzionej bazie.

Została wdrożona procedura mająca zabezpieczyć wszystkie dane, które wyciekły po to, żeby zostały one przeniesione do bazy Bezpieczne Dane, w której każdy obywatel będzie mógł sprawdzić, czy jego dane wyciekły 

– powiedział minister cyfryzacji i zapowiedział, że informacje o kolejnych krokach będą przekazywane obywatelom na bieżąco. Kilka dni później okazało się, że wyciek danych blisko 19 mln Polaków z systemu MyDr miał mieć swój początek znacznie wcześniej, niż mogło wynikać z ostatnich publicznych informacji. Jak ustaliła Niezależna.pl, do masowego pozyskania danych miało dojść już w marcu 2024 roku, a w tej sprawie od dawna prowadzone było postępowanie.

BezpieczneDane.gov.pl

Bezpiecznedane.gov.pl to oficjalny polski serwis publiczny służący przede wszystkim do sprawdzania, czy dane osobowe zostały ujawnione w internecie w wyniku wycieku lub cyberincydentu. Portal ma kilka funkcji: pozwala sprawdzać informacje dotyczące wycieków, zawiera historię wycieków, umożliwia zgłoszenie wycieku oraz prowadzi bazę wiedzy dotyczącą reagowania na kradzież danych i zabezpieczania kont. 

W dniu poinformowania o wycieku serwis zwracał komunikat „503 Service Temporarily Unavailable”. Błąd 503 oznacza czasową niedostępność usługi, ale sam w sobie nie pozwala przesądzić, że przyczyną było przeciążenie serwera. Obecnie strona działa, ale nadal nie zawiera danych na temat ostatniego wycieku danych 19 milionów Polaków.

Co powinny zrobić osoby, których dane mogły zostać przejęte?

Do czasu udostępnienia danych dotyczących incydentu MyDr w serwisie BezpieczneDane.gov.pl nie można w ten sposób potwierdzić, czy dane konkretnej osoby znalazły się w wykradzionej bazie. Nie oznacza to jednak, że trzeba czekać z podstawowymi działaniami zabezpieczającymi. Przede wszystkim warto zastrzec swój numer PESEL

• Należy ustalić, jakie dane mogły zostać ujawnione. UODO wskazuje, że od zakresu wycieku zależą dalsze działania. W przypadku MyDr szczególnie istotne jest więc śledzenie oficjalnych komunikatów dotyczących rodzaju danych, które znalazły się w rękach osób nieuprawnionych. Jeżeli osoba otrzyma indywidualne zawiadomienie o naruszeniu, powinna zwrócić uwagę właśnie na wskazany w nim zakres danych i zalecane środki bezpieczeństwa.
• Jeżeli wśród ujawnionych informacji znajduje się numer PESEL, należy szczególnie chronić się przed próbami wykorzystania danych do oszustwa lub zaciągania zobowiązań. UODO rekomenduje w przypadku wycieku danych zawierających PESEL sprawdzenie, czy ktoś nie próbował już wykorzystać tych informacji, oraz rozważenie monitorowania aktywności kredytowej związanej z numerem PESEL.
• Jeśli wyciek obejmuje dane logowania, trzeba zmienić hasło. Dotyczy to przede wszystkim konta, którego dane zostały ujawnione. Jeżeli takie samo hasło było wykorzystywane również w innych serwisach, powinno zostać zmienione także tam. Każde konto powinno mieć unikalne hasło.
• Trzeba również zachować szczególną ostrożność wobec wiadomości e-mail, SMS-ów i telefonów wykorzystujących informacje o pacjencie. Dane pochodzące z wycieku mogą posłużyć przestępcom do przygotowania bardziej wiarygodnych prób phishingu i podszywania się pod znane użytkownikowi instytucje. Nie należy podawać kodów, haseł ani innych danych uwierzytelniających osobom kontaktującym się telefonicznie lub przez wiadomości ani logować się do usług za pomocą linków otrzymanych w podejrzanej korespondencji.
• Warto także regularnie sprawdzać oficjalne komunikaty dotyczące incydentu. Ministerstwo Cyfryzacji zapowiedziało, że dane związane z wyciekiem MyDr mają zostać udostępnione w serwisie BezpieczneDane.gov.pl po ich przekazaniu do bazy. Do tego czasu brak wyniku dotyczącego tego incydentu w serwisie nie powinien być interpretowany jako potwierdzenie, że dane danej osoby nie wyciekły.