Gigantyczny wyciek danych 19 mln Polaków z rządowego systemu. Rząd pilnie apeluje: zastrzeż pesel

Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził dziś, 12 sierpnia, iż doszło do nadzwyczajnego wycieku danych sięgającego blisko 19 milionów polskich obywateli. Dane pochodzą z systemów firmy MyDr, dostawcy systemu do elektronicznej dokumentacji medycznej używanego przez lekarzy i przychodnie w całej Polsce, także w Warszawie. Mamy do czynienia z jednym z największych incydentów w historii Polski – powiedział Gawkowski podczas konferencji prasowej.

Ważna wiadomość dla wszystkich Czytelników zamieszkałych w Polsce | Fot. Warszawa w Pigułce.

Co się stało?

Pierwsze sygnały o incydencie w systemach MyDr Ministerstwo Cyfryzacji otrzymało w poniedziałek, 10 sierpnia. Sprawa stała się publiczna dwa dni później, w środę, gdy Gawkowski zwołał pilne posiedzenie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa z udziałem służb i przedstawicieli najważniejszych instytucji państwowych. Firma MyDr obsługuje miesięcznie około 3 milionów wizyt lekarskich i 2,7 miliona recept – to skala, która tłumaczy, dlaczego wyciek z jednego dostawcy mógł objąć tak ogromną liczbę osób. Z systemów miało wypłynąć od 2 do 2,5 terabajta danych. Sprawcy twierdzą, iż przejęli ponad 18,8 miliona unikatowych numerów PESEL – liczba zbliżona do oficjalnie podawanych przez rząd „blisko 19 milionów”.

Jakie dane mogły wyciec?

Wśród przejętych informacji mają się znajdować numery PESEL, imiona, nazwiska, daty urodzenia oraz numery telefonów, a w części przypadków także dokumentacja medyczna – dane o odbytych wizytach, wystawionych receptach, przyjmowanych lekach i diagnozowanych schorzeniach. Gawkowski zastrzegł jednak wyraźnie, iż nie każdy numer PESEL objęty wyciekiem wiąże się automatycznie z ujawnieniem recept czy informacji medycznych – skala samych danych wrażliwych może być więc mniejsza niż sugerowałaby sama liczba 19 milionów rekordów. Jako dowód wiarygodności swoich twierdzeń, sprawcy przesłali serwisowi Zaufana Trzecia Strona zrzut ekranu z danymi jednego z polskich polityków, zawierający prawidłową datę urodzenia, PESEL, imię, nazwisko, dwa numery telefonu oraz receptę z konkretnym przepisanym lekiem. Redakcja serwisu przyznała, iż w zakresie, w jakim mogła zweryfikować przekazane informacje, nie znalazła w nich żadnej niezgodności.

Kto prowadzi śledztwo

Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości. Jak podkreślił Gawkowski, pozostaje on w stałym kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Jolantą Sobierańską-Grendą oraz prezesem Urzędu Ochrony Danych Osobowych Mirosławem Wróblewskim. realizowane są działania mające ustalić dokładną metodę i skalę ataku, a zabezpieczone dane mają zostać przeniesione do specjalnej bazy, na podstawie której obywatele będą mogli sprawdzić, czy ich informacje rzeczywiście znalazły się w wycieku.

Zastrzeż PESEL już dziś, nie czekaj na potwierdzenie

Niezależnie od tego, czy korzystałeś z placówki medycznej używającej systemu MyDr, pierwszym krokiem powinno być zastrzeżenie numeru PESEL – jak podkreślał Gawkowski, w aplikacji mObywatel zajmuje to około pięciu sekund i jest dziś podstawowym elementem cyfrowej higieny. Zastrzeżenie można też załatwić w urzędzie, choć zajmie to więcej czasu niż przez aplikację. Warto też na bieżąco sprawdzać serwis bezpiecznedane.gov.pl, gdzie po zakończeniu weryfikacji ma pojawić się możliwość sprawdzenia, czy konkretne dane trafiły do wycieku.

Eksperci ostrzegają przed tak zwaną drugą falą tego typu incydentów – wiadomości phishingowe podszywające się pod placówki medyczne czy urzędy stają się znacznie bardziej przekonujące, gdy zawierają prawdziwe dane odbiorcy, takie jak imię, nazwisko czy informacja o konkretnej wizycie. Zachowaj szczególną ostrożność wobec SMS-ów i e-maili z prośbą o potwierdzenie wizyty, dopłatę do badania, odbiór recepty czy aktualizację danych osobowych w najbliższych tygodniach – choćby jeżeli wiadomość wygląda wiarygodnie i zawiera Twoje prawdziwe dane, nie klikaj w linki ani nie podawaj dodatkowych informacji bez samodzielnego zweryfikowania nadawcy bezpośrednio w placówce lub urzędzie.