Ponad 19 milionów Polaków na celowniku. Co oznacza wielki wyciek danych medycznych?

W ostatnim czasie wiele osób otrzymało SMS-y z placówek medycznych z informacjami o wycieku danych osobowych. Chodzi o głośną sprawę z lata, kiedy dowiedzieliśmy się o wykradzeniu danych prawie 19 milionów Polaków z serwerów firmy MyDr.

Do czego cyberprzestępcy mogą wykorzystać te informacje i jak możemy się zabezpieczyć, by zminimalizować ryzyko z tym związane? Między innymi o tym we wtorkowej (15.09) Rozmowie Dnia w Polskim Radiu Białystok. Gościem był dr Kamil Goryń z Wydziału Stosunków Międzynarodowych Uniwersytetu w Białymstoku.

Cyberprzestrzeń jako pole stałej eskalacji

Wydarzenia z Ukrainy i uderzenia rosyjskich dronów blisko polskiej granicy pokazują eskalację militarną. Równolegle niezwykle aktywne pole walki przeniosło się do sieci. Zdaniem dr. Kamila Gorynia cyberprzestrzeń pozostaje naturalnym obszarem do wywierania presji i destabilizacji.

W cyberprzestrzeni też dzieje się bardzo dużo. Jest to naturalny obszar, w którym można dokonywać takiej eskalacji ze względu na to, że - no właśnie - z jednej strony można skutecznie zaszkodzić albo zaburzyć funkcjonowanie społeczeństwa, zdobyć jakieś informacje, a z drugiej strony cały czas jest to jednak cyberprzestrzeń. To nie jest to działanie kinetyczne, więc ten próg agresji tutaj jest ustawiony zupełnie inaczej, więc nie jesteśmy w stanie powiedzmy odpowiadać w taki sam sposób, przynajmniej oficjalnie - mówi ekspert.

Fałszywe SMS-y i fala scamu podszywającego się pod placówki medyczne

Ostatnie dni przyniosły falę wiadomości SMS trafiających do mieszkańców regionu i całego kraju. Zawierają one ostrzeżenia o naruszeniu danych w konkretnych placówkach medycznych oraz odnośniki do zewnętrznych stron internetowych. 

Adresaci tych wiadomości często zastanawiają się, czy otrzymywane alerty są faktycznie oficjalną informacją o wycieku, czy też kolejną próbą wyłudzenia danych. Samo wysyłanie ostrzeżeń stanowi realizację prawnego obowiązku, jaki spoczywa na administratorach danych osobowych.

Przejęcie tak ogromnej bazy danych staje się jednak natychmiast pretekstem dla przestępców do prowadzenia kolejnych działań. Jak zauważa dr Kamil Goryń, masowa wysyłka tego typu komunikatów tworzy idealne warunki do ataku:

Celem będzie po prostu dalsze zdobywanie naszych danych: danych logowania, danych uwierzytelniających do mediów społecznościowych, do różnych serwisów. Przestępcy nie odpuszczają takich okazji - podkreśla ekspert.

Przy okazji tego wycieku na jaw wychodzą również nieprawidłowości związane z rozliczeniami niektórych podmiotów medycznych z Narodowym Funduszem Zdrowia. Wiadomości powiadamiające o incydencie mogą spływać do pacjentów z placówek, w których nigdy fizycznie się nie leczyli:

Część placówek medycznych nie do końca uczciwie rozliczała się z NFZ-em, więc udawane świadczenia medyczne i zbieranie tych danych pacjentów na różne inne sposoby teraz też dodatkowo wychodzą, więc możemy dostać wiadomość z placówki medycznej, w której nigdy się nie leczyliśmy, ale z jej perspektywy wygląda to na wyciek danych pacjenta, który u nich był.

Choć nie można wykluczyć procederu nielegalnego handlu numerami PESEL lub po prostu zawodności ludzkiej pamięci, obecny poziom cyfryzacji pozwala sprawniej monitorować to, co dzieje się z prywatnymi danymi.

Jak sprawdzić swoje dane i zachować ostrożność

Otrzymanie wiadomości z linkiem nie musi automatycznie oznaczać infekcji urządzenia czy utraty kontroli nad kontami. Kluczowe jest zachowanie czujności podczas interakcji z przesyłanymi odnośnikami:

Samo kliknięcie w linki w SMS-ach nie jest takim problemem. Jeśli klikniemy gdzieś w nieodpowiednie miejsce i dodatkowo podamy swoje dane logowania, wtedy rzeczywiście te problemy mogą do nas przyjść - informuje dr Kamil Goryń.

Zamiast bezrefleksyjnie otwierać linki dołączone do krótkich wiadomości tekstowych, weryfikację warto przeprowadzić w oficjalnych i bezpiecznych źródłach. Służy do tego państwowa strona bezpiecznedane.gov.pl. Jeśli po weryfikacji okaże się, że dany PESEL nie widnieje w rejestrach wycieku, przychodzące wiadomości SMS należy traktować z dużą ostrożnością jako prawdopodobną próbę oszustwa.

Zastrzeżenie numeru PESEL to podstawa

Fakt znalezienia swojego numeru PESEL w wycieku nie powinien być jednak powodem do paniki. W codziennym funkcjonowaniu warto zmienić podejście do wagi tego identyfikatora:

Nie demonizowałbym tego. Nasze PESEL-e to są troszeczkę inne sposoby zapisania naszego imienia i nazwiska. Tak bym do tego podchodził. W praktyce dość łatwo jest zdobyć nasze PESEL-e, więc nie traktowałbym tego jako sekretu - uspokaja ekspert.

Najważniejszym krokiem profilaktycznym, chroniącym przed finansowymi skutkami wycieku, jest formalne zastrzeżenie numeru PESEL. Uniemożliwia to nieuprawnionym osobom zaciągnięcie zobowiązań finansowych czy zakupów ratalnych na skradzione dane. Operację tę można przeprowadzić bardzo szybko - w aplikacji mObywatel zajmuje to dosłownie kilka kliknięć, a osoby niekorzystające ze smartfonów mogą zrobić to bezpłatnie w dowolnym urzędzie gminy.

Co z danymi medycznymi i czy trafiły do sieci?

Wykradzione bazy danych zawierały nie tylko numery identyfikacyjne, ale również wrażliwe informacje medyczne, w tym historie chorób oraz wystawione recepty. Pytanie o to, czy te poufne dokumenty trafiły już do otwartego obiegu, budzi największe obawy.

Z dotychczasowych ustaleń wynika, że dane nie zostały opublikowane w sieci, chociaż cyberprzestępcy wciąż nimi dysponują. Deklaracje sprawców o zaniechaniu publikacji należy jednak traktować z dużą dozą sceptycyzmu:

Zgodnie z moją wiedzą na ten moment te dane nigdzie nie zostały opublikowane w sieci, nie krążą nigdzie. Oczywiście one zostały wykradzione i nie możemy zakładać, że one nigdy się nie pojawią w sieci, ale na ten moment te dane po prostu nie zostały opublikowane przez te osoby, które te dane wykradły. Zadeklarowano, że te dane nie zostaną opublikowane i to jest bardziej forma takiego zaprezentowania tego, co się może wydarzyć i że powinniśmy te dane zabezpieczać lepiej. Natomiast pamiętajmy o tym, że jednak to są obietnice składane przez osoby, które te dane już wykradły, więc podchodziłbym do nich z rezerwą - ostrzega dr Kamil Goryń.

Handel informacjami i stały monitoring

Pojawia się pytanie o cele, do jakich skradzione materiały medyczne mogą zostać użyte. Sposób ich wykorzystania zależy głównie od motywacji osób, które weszły w ich posiadanie. W przypadku motywacji ideologicznych wrażliwe wpisy z historii leczenia mogą posłużyć do dyskredytacji wybranych osób publicznych w trakcie kampanii politycznych.

Z kolei przestępcy ukierunkowani na zysk finansowy poszukają kupców na rynku komercyjnym:

Jeśli mówimy o cyberprzestępcach, których motywacją jest głównie zdobycie finansów, to tak naprawdę sprzedaż tych danych do firm, które chciałyby wiedzieć, w jakiej kondycji psychofizycznej jesteśmy, bo na przykład mogą sprzedawać nam ubezpieczenia, mogą od tego uzależnić czy warto nam takie ubezpieczenie sprzedać czy nie, więc tutaj tak naprawdę możliwości biznesowe są dość duże. Te dane gdzieś wyciekną w kontekście zbioru po prostu danych osobowych, które cyberprzestępcy będą chcieli w jakiś inny sposób spieniężyć, odsprzedając je innym cyberprzestępcom - informuje ekspert.

Polskie służby i specjaliści ds. bezpieczeństwa stale nadzorują fora oraz kanały komunikacji używane przez przestępców internetowych pod kątem pojawienia się skradzionych baz. Na ten moment nie stwierdzono śladów ich dystrybucji.

Dr Kamil Goryń podkreśla, że oprócz zastrzeżenia numeru PESEL kluczowe pozostaje stosowanie podstawowych zasad higieny cyfrowej: korzystanie z wieloskładnikowego uwierzytelniania, menedżerów haseł oraz zachowanie ostrożności przy samodzielnym udostępnianiu informacji na swój temat w sieci.