Spis treści
- MyDr potwierdza atak na dane
- Krzysztof Gawkowski i służby monitorują incydent
- Centrum e-Zdrowia i Urząd Ochrony Danych Osobowych ostrzegają
- Trzy sposoby zastrzeżenia numeru PESEL
- mObywatel i urząd gminy obsługują zastrzeżenie PESEL
- Banki i notariusze sprawdzają status numeru PESEL
- FAQ
MyDr potwierdza atak na dane obywateli
O zdarzeniu poinformował w środę minister cyfryzacji i wicepremier Krzysztof Gawkowski. Przekazał, że doszło do cyberataku na systemy firmy MyDr. Jej klientami byli lekarze oraz placówki medyczne. Według informacji przedstawionych przez ministra, incydent objął blisko 19 mln osób.
MyDr opublikowała oświadczenie na swojej stronie internetowej.
„Na tym etapie trwającego dochodzenia potwierdzamy, że staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych”.
Według MyDr informacje objęte zdarzeniem najprawdopodobniej pochodzą z 2024 roku oraz lat wcześniejszych. Firma zastrzegła, że incydent może nie dotyczyć wszystkich jej klientów ani wszystkich pacjentów obsługiwanych przez te podmioty. Dokładna liczba osób pozostaje niepotwierdzona.
„Dane objęte incydentem najprawdopodobniej mają charakter historyczny”.
Spółka nie potwierdziła również, jakie konkretnie kategorie informacji zostały ujawnione. Ma to nastąpić dopiero po zakończeniu analizy śledczej. MyDr i współpracujący z nią specjaliści monitorują niepubliczne obszary internetu, w których mogą być rozpowszechniane wykradzione bazy.
W chwili publikacji oświadczenia firma nie miała dowodów wskazujących, że dane zostały opublikowane, udostępnione publicznie albo wystawione na sprzedaż. MyDr zapewniła też, że jej systemy pozostają sprawne.
„Nasze systemy są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy”.
Firma zapowiedziała bezpośredni kontakt z klientami objętymi zdarzeniem. Ma im przekazać wsparcie oraz dalsze wskazówki po ustaleniu, które placówki i jakie informacje znalazły się w zakresie ataku. MyDr zadeklarowała także pomoc w dokonaniu wymaganych zgłoszeń do organów ochrony danych osobowych.
Na obecnym etapie, placówki nie muszą samodzielnie składać żadnych zgłoszeń. Jeżeli sytuacja się zmieni, firma ma przekazać klientom odpowiednie informacje. Po wykryciu incydentu uruchomiono procedury bezpieczeństwa i powiadomiono organy ścigania. Sprawę analizują zespoły bezpieczeństwa, inżynierii i infrastruktury wspierane przez zewnętrznych specjalistów.
Krzysztof Gawkowski i służby monitorują incydent
W czwartek Krzysztof Gawkowski odniósł się do obaw dotyczących informacji medycznych, w tym danych związanych z receptami. Minister zapewnił, że służby znają już miejsce wystąpienia błędu w oprogramowaniu oraz analizują elementy procesu i sposobu zarządzania systemem.
Według wicepremiera dane nie znajdują się w przestrzeni publicznej, na tym etapie nic nie wskazuje również, aby w ataku uczestniczył podmiot spoza Polski.
Sprawę monitorują służby pozostające w kontakcie z MyDr. Gawkowski wyjaśnił, że firma była podmiotem przetwarzającym dane. Dalsze działania wymagają postanowienia prokuratury. W prace zaangażowane są służby podlegające ministrowi cyfryzacji oraz ministrowi Siemoniakowi.
Instytucje przygotowują zbiory informacji pochodzących od podmiotów, które się nimi opiekowały. Zgodnie z wypowiedzią Gawkowskiego poszczególne jednostki musiałyby przekazywać je indywidualnie. Administracja chce zgromadzić je łącznie i bezpiecznie umieścić w systemach państwowych.
Takie rozwiązanie ma pozwolić obywatelom sprawdzić, czy incydent dotyczył ich danych. Wymaga to jednak pozyskania informacji zgodnie z prawem, a następnie ich bezpiecznego przekazania do państwowej infrastruktury.
Centrum e-Zdrowia i Urząd Ochrony Danych Osobowych ostrzegają
Krzysztof Gawkowski wskazał zastrzeżenie numeru PESEL jako podstawową zasadę bezpieczeństwa cyfrowego. Poinformował, że wykonanie tej czynności w aplikacji mObywatel zajmuje około 5 sekund. Osobom, które nie korzystają z aplikacji, zalecił jej założenie.
Serwis Niebezpiecznik.pl zwrócił się również do osób, które przed kwietniem 2024 roku korzystały z pomocy lekarza. Powinny one przypomnieć sobie, w której placówce odbyła się wizyta, i ustalić, czy lekarz korzystał z systemu MyDr. Następnie mogą sprawdzić, jakie dane przekazały podczas wizyty. Samo przekazanie informacji nie oznacza jeszcze, że wszystkie zostały zapisane w systemie.
Centrum e-Zdrowia zaleciło używanie silnych i niepowtarzalnych haseł do poszczególnych usług. Wskazało również na potrzebę korzystania z uwierzytelniania wieloskładnikowego.
Urząd Ochrony Danych Osobowych. ostrzegł przed przekazywaniem informacji rozmówcom, których tożsamości nie można potwierdzić. Brak ostrożności może doprowadzić do ataku polegającego na wyłudzeniu dodatkowych danych. Przestępcy mogą w ten sposób próbować uzyskać dostęp do bankowości internetowej lub innych usług.
Najważniejsze zalecenia przekazane po incydencie obejmują
- zastrzeżenie numeru PESEL
- stosowanie silnych i niepowtarzalnych haseł
- włączenie uwierzytelniania wieloskładnikowego
- nieprzekazywanie danych osobom o niepotwierdzonej tożsamości
- sprawdzenie, czy lekarz lub placówka korzystali z MyDr
Zgodnie z zapowiedzią Krzysztofa Gawkowskiego, serwis bezpiecznedane.gov.pl ma pozwolić mieszkańcom Polski na sprawdzenie, czy zostali objęci zdarzeniem. Czytelnicy Polsatnews.pl informowali za pośrednictwem Wrzutni o problemach z działaniem witryny.
Po godzinie 21 strona ponownie zaczęła działać. Nie zawierała jednak jeszcze informacji pochodzących z incydentu dotyczącego MyDr.
„Dane z wycieku w firmie MyDr. nie zasiliły bazy serwisu. O fakcie zasilenia danymi poinformujemy w osobnym komunikacie”.
Trzy sposoby zastrzeżenia numeru PESEL
Numer PESEL można zastrzec w aplikacji mObywatel, w internetowym serwisie mObywatel albo osobiście w dowolnym urzędzie gminy. Wszystkie 3 sposoby są bezpłatne. Nie trzeba podawać powodu wykonania tej czynności.
- Przez aplikację mobilną mObywatel
- Przez internetowy serwis mObywatel
- W dowolnym urzędzie gminy
Z rozwiązania może skorzystać każda pełnoletnia osoba mająca nadany numer PESEL. Może ona dowolnie zarządzać statusem zastrzeżenia. Nie ma ograniczenia liczby wykonywanych zmian.
Zastrzeżenie można cofnąć bezterminowo. Możliwe jest również wskazanie daty i godziny, o której system automatycznie ponownie zastrzeże numer. Po zmianie statusu kolejna taka operacja może zostać wykonana dopiero po 30 minutach.
mObywatel i urząd gminy obsługują zastrzeżenie PESEL
W aplikacji mObywatel należy się zalogować, a następnie otworzyć zakładkę „Usługi”. Kolejnym krokiem jest wyszukanie funkcji „Zastrzeż PESEL”. Po jej otwarciu trzeba użyć przełącznika i potwierdzić wykonanie operacji.
W serwisie internetowym należy otworzyć stronę gov.pl i wybrać usługę „Zastrzeż PESEL lub cofnij zastrzeżenie”. Użytkownik zostanie przeniesiony do serwisu mObywatel. Tam ponownie wybiera właściwą funkcję i potwierdza zmianę statusu numeru.
Do skorzystania z usługi internetowej potrzebny jest jeden z następujących sposobów potwierdzenia tożsamości
- profil zaufany
- podpis kwalifikowany
- e-dowód
- dane do logowania do bankowości elektronicznej
Aplikacja i serwis internetowy, pozwalają nie tylko zastrzec numer. Użytkownik może również sprawdzić historię zmian oraz dowiedzieć się, jaka firma lub instytucja weryfikowała jego PESEL i z jakiego powodu.
Osoba wybierająca urząd gminy, powinna mieć przy sobie dowód osobisty albo paszport. Potrzebny jest również wniosek o zastrzeżenie numeru PESEL lub cofnięcie zastrzeżenia. Formularz jest dostępny w serwisie gov.pl.
Wniosku nie trzeba wypełniać samodzielnie. Urzędnik może przygotować go w systemie i przekazać do podpisu. Dokument można złożyć w dowolnym urzędzie gminy. Zmiana statusu numeru PESEL jest realizowana od razu.
Banki i notariusze sprawdzają status numeru PESEL
Zastrzeżenie numeru ma ograniczać finansowe skutki kradzieży danych. Uniemożliwia wykorzystanie PESEL-u do zaciągnięcia kredytu przez inną osobę. Może również zablokować podpisanie aktu notarialnego, który zostałby wykorzystany przeciwko właścicielowi danych.
„Zastrzeżenie numeru PESEL sprawia, że nikt nie weźmie na ciebie kredytu, nawet jeżeli posiada twoje dane. Nie doprowadzi też do podpisania aktu notarialnego, który mógłby zostać wykorzystany przeciwko tobie. Chroni to również przed przestępstwami na babcię czy na dziadka i wyłudzaniem danych za pomocą prostych zabiegów socjotechnicznych, na przykład przez telefon”.
Ochrona obejmuje także próby wyłudzania pieniędzy od seniorów oraz zdobywania kolejnych informacji podczas rozmów telefonicznych. Samo zastrzeżenie nie blokuje jednak zwykłych spraw urzędowych, zdrowotnych i obywatelskich.
| Sytuacja | Status numeru PESEL |
|---|---|
| Wizyta u lekarza | Numer może pozostać zastrzeżony |
| Wyrobienie dokumentów | Numer może pozostać zastrzeżony |
| Zawarcie małżeństwa | Numer może pozostać zastrzeżony |
| Udział w wyborach | Numer może pozostać zastrzeżony |
| Podróżowanie | Numer może pozostać zastrzeżony |
| Zawarcie umowy o kredyt lub pożyczkę | Zastrzeżenie należy cofnąć |
| Zakup z płatnością ratalną | Zastrzeżenie należy cofnąć |
| Kupno albo sprzedaż nieruchomości | Zastrzeżenie należy cofnąć |
| Umowa z operatorem telekomunikacyjnym | Zastrzeżenie należy cofnąć |
Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzania, czy numer PESEL jest zastrzeżony przed zawarciem między innymi umowy kredytu lub pożyczki. Zastrzeżenie trzeba czasowo cofnąć także przed zakupem na raty, podpisaniem umowy z operatorem telekomunikacyjnym oraz kupnem albo sprzedażą nieruchomości.
Nie wpływa ono natomiast na możliwość korzystania z opieki zdrowotnej, załatwiania spraw urzędowych, wyrabiania dokumentów, zawarcia małżeństwa, głosowania ani podróżowania. Cofnięcie może być bezterminowe lub połączone z automatycznym ponownym zastrzeżeniem w wybranym terminie.
FAQ
Ilu osób może dotyczyć cyberatak na MyDr?
Według informacji przekazanych przez ministra cyfryzacji Krzysztofa Gawkowskiego incydent objął blisko 19 mln obywateli Polski. MyDr nie potwierdziła jeszcze ostatecznej liczby osób ani dokładnego rodzaju ujawnionych danych.
Z jakiego okresu pochodzą dane objęte incydentem?
MyDr podała, że informacje najprawdopodobniej pochodzą z 2024 roku oraz lat wcześniejszych. Mogą nie dotyczyć wszystkich klientów firmy ani wszystkich ich pacjentów.
Czy dane z MyDr zostały opublikowane?
W chwili publikacji komunikatu nie było dowodów, że informacje zostały udostępnione publicznie albo wystawione na sprzedaż. Firma i służby nadal monitorują sytuację.
Jak można zastrzec numer PESEL?
Numer można zastrzec w aplikacji mObywatel, w internetowym serwisie mObywatel albo osobiście w dowolnym urzędzie gminy.
Czy zastrzeżenie numeru PESEL jest płatne?
Nie. Zastrzeganie i cofanie zastrzeżenia numeru PESEL są całkowicie bezpłatne. Nie trzeba podawać przyczyny wykonania operacji.
Czy zastrzeżony PESEL blokuje wizytę u lekarza?
Nie. Z zastrzeżonym numerem można korzystać z opieki zdrowotnej, załatwiać sprawy urzędowe, wyrabiać dokumenty, głosować i podróżować.
Kiedy trzeba cofnąć zastrzeżenie numeru PESEL?
Zastrzeżenie należy cofnąć przed zawarciem umowy o kredyt lub pożyczkę, zakupem na raty, kupnem albo sprzedażą nieruchomości oraz podpisaniem umowy z operatorem telekomunikacyjnym.
Źródło: Polsat News, TVN24
