Gigantyczny wyciek danych MyDR. Dane medyczne 19 milionów Polaków w niebezpieczeństwie
Polska stoi w obliczu bezprecedensowego kryzysu bezpieczeństwa narodowego i prywatności obywateli. Z bazy prywatnego dostawcy oprogramowania medycznego MyDR wyciekły wrażliwe informacje dotyczące 19 milionów Polaków.
W programie „Świat, w którym żyjemy” publicysta i ekspert IT Jakub Krysiewicz dokonuje drobiazgowej „sekcji zwłok” tego incydentu. Analiza obnaża nie tylko rażące zaniedbania po stronie prywatnego dostawcy oprogramowania, ale też systemową bezradność organów państwowych, które po raz kolejny zawiodły w obszarze cyberbezpieczeństwa.
Kulisy włamania do MyDR i model biznesowy kosztem pacjenta
Jakub Krysiewicz zwraca uwagę na fundamentalny problem tkwiący w modelu biznesowym aplikacji MyDR. Narzędzie oferowane lekarzom bezpłatnie w zamian za wyświetlanie reklam leków doprowadziło do gigantycznej koncentracji wrażliwych danych w chmurze SaaS poza granicami Polski i polską jurysdykcją. Według doniesień, hakerzy wykorzystali rażące luki bezpieczeństwa (w tym hasła zapisane bezpośrednio w kodzie źródłowym) i uzyskali dostęp do systemów produkcyjnych, kodu, bazy CRM oraz systemu Jira. W efekcie w sieci mogły wylądować nie tylko numery PESEL, ale również historie chorób i recepty obywateli oraz znanych polityków.
Szantaż obcych służb i ataki phishingowe. Co grozi Polakom?
Konsekwencje tego wycieku wykraczają daleko poza ryzyko wyłudzenia kredytu. Zdaniem prezesa Instytutu Suwerenności, baza zawierająca historie chorób i recepty to „wymarzony materiał do szantażu dla służb specjalnych obcych państw” wobec osób posiadających poświadczenia bezpieczeństwa i dostęp do tajemnic państwowych. Dla zwykłych obywateli wyciek oznacza drastyczny wzrost ryzyka wyrafinowanego phishingu. Oszuści, znając szczegóły naszych intymnych wizyt lekarskich, mogą podszywać się pod przychodnie i wyłudzać pieniądze.
Postulaty zmian: Państwo musi zacząć kontrolować dane strategiczne
Ekspert podkreśla, że dane medyczne powinny zostać uznane przez państwo za zasób strategiczny. Krysiewicz postuluje pilne zmiany legislacyjne: wprowadzenie obowiązkowej certyfikacji oprogramowania medycznego, regularnych zewnętrznych audytów bezpieczeństwa, wymogów retencji i szyfrowania kopii zapasowych oraz wymogu, by wrażliwe dane były przetwarzane wyłącznie na terytorium Polski przez podmioty podlegające krajowej jurysdykcji.
