Adam Haertle, redaktor naczelny portalu Zaufana Trzecia Strona, w rozmowie z Rynkiem Zdrowia opisał informacje, które przekazali mu sprawcy cyberataku. Wynika z nich, że wykradziona baza zawiera m.in. numery PESEL, imiona i nazwiska, numery telefonów oraz dane dotyczące wystawionych recept.
W bazie znajdują się również informacje o tym, jaki lek został przepisany, w jakiej dawce i w jakim opakowaniu. – Twierdzą, że ukradli te dwa rodzaje informacji, choć prawdopodobnie jest ich więcej, ale o tych wiemy na pewno – powiedział Haertle.
Program, którego baza została wykradziona, jest wykorzystywany przez indywidualne placówki lekarskie, gabinety i przychodnie. Według deklaracji producenta korzysta z niego co najmniej 10 tys. placówek.
Czytaj więcej
Cyberatak na firmę MyDr mógł rozpocząć się od błędu człowieka – twierdzi wiceminister cyfryzacji Michał Gramatyka. Z bazy skradziono ponad 2 TB dan...
Czy państwo ma kontrolę nad prywatnymi aplikacjami medycznymi?
Zdaniem eksperta jednym z najważniejszych pytań po cyberataku jest to, w jaki sposób państwo nadzoruje prywatne systemy wykorzystywane w ochronie zdrowia. – Okazuje się, że najwyraźniej jest to obszar, który ustawodawca do tej pory pominął – ocenił Haertle.
Jak wyjaśnił, dane gromadzone przez prywatne firmy są niezwykle wrażliwe, a jednocześnie brakuje szczegółowych regulacji określających sposób ich zabezpieczenia. – Nie ma narzuconych metod weryfikacji, czy te wymagania są spełnione. Oczywiście mamy przepisy o ochronie danych osobowych, ale one są dosyć ogólne i jak widać co najmniej niewystarczające – powiedział.
To właśnie kwestia nadzoru nad prywatnymi dostawcami oprogramowania może być jednym z najważniejszych wniosków z całego incydentu. Według Haertlego sektor medyczny powinien pod tym względem zostać potraktowany podobnie jak sektor finansowy.
Czytaj więcej
Cyberatak na firmę MyDr ujawnił dane medyczne milionów Polaków, w tym osób ze świata polityki. Tomasz Siemoniak zapowiada analizę zabezpieczeń i ws...
Ekspert sprawdził dane. Hakerzy potwierdzili trzy z pięciu rekordów
Początkowo Haertle zachowywał ostrożność w ocenie, czy deklarowana przez przestępców skala wycieku jest prawdziwa. Nie chciał jednak otrzymywać całej bazy. Zdecydował się na kontrolowaną próbę.
Za zgodą kilku osób przekazał sprawcom swój numer PESEL oraz cztery inne numery. W przypadku trzech z pięciu osób hakerzy szybko odesłali rekordy znajdujące się w wykradzionej bazie. – To sugeruje, że jeżeli mają pokrycie na przypadkowej próbce 3:5, to na pewno mają istotny zakres danych – stwierdził.
Haertle ocenił również, że deklarowana liczba 18,8 mln rekordów jest realistyczna, biorąc pod uwagę skalę działalności firmy.
Hakerzy żądają pieniędzy? „Okup w białych rękawiczkach”
Sprawcy nie ograniczyli się do samego wykradzenia danych. Skontaktowali się również z firmą i zaproponowali jej zakup swoich usług. Zdaniem Haertlego jest to w praktyce forma szantażu. – Tak, to jest żądanie okupu w białych rękawiczkach. Zadeklarowani przestępcy po prostu kradną dane i mówią: płać albo je ujawnimy – powiedział.
Hakerzy twierdzą, że nie chcą publikować danych, jeśli firma zdecyduje się z nimi współpracować. Ekspert podkreśla jednak, że niezależnie od sposobu przedstawienia oferty nadal mamy do czynienia z przestępstwem. Cyberprzestępcy zwrócili się również do Zaufanej Trzeciej Strony, ponieważ firma nie odpowiedziała na ich wcześniejszą wiadomość.
Czytaj więcej
W przypadku wycieku danych zastrzeżenie numeru PESEL powinno być tylko jednym z pierwszych kroków. Trzeba też zmienić zagrożone hasła i przez kolej...
W bazie jest polityk. „Taka informacja byłaby jedynką”
Szczególnie poważny może być fakt, że wśród osób, których dane znalazły się w wykradzionej bazie, jest również jeden z ważnych polskich polityków.
Sprawcy przekazali Haertlemu jego konkretne imię i nazwisko. Ekspert nie zdecydował się jednak na ujawnienie tych informacji. – Taka informacja byłaby „jedynką” w każdej gazecie. Z uwagi na dobro państwa, nie chcę tego wątku rozwijać i mieszać do tego polityki – powiedział.
Sektor medyczny powinien być chroniony jak banki
Haertle uważa, że obecny incydent powinien doprowadzić do zmiany podejścia państwa do cyberbezpieczeństwa w ochronie zdrowia. – W mojej ocenie tego typu sektory jak medyczny, powinny być nadzorowane, traktowane wręcz jak sektor finansowy – ocenił.
Ekspert zwraca uwagę, że banki podlegają ścisłemu nadzorowi, są regularnie kontrolowane i testowane. Jego zdaniem podobnego poziomu wymagań brakuje w sektorze medycznym.
Cała rozmowa dostępna na stronie Rynekzdrowia.pl
