Mamy do czynienia z największym wyciekiem danych osobowych w historii Polski – alarmują eksperci. Chodzi o dane medyczne niemal 19 milionów pacjentów, które znajdowały się w rejestrach MyDr – jednej z największych polskich firm zajmujących się prowadzeniem elektronicznej dokumentacji medycznej.
CZYTAJ: Gawkowski: trwa zabezpieczanie danych, żeby nie były dostępne w darknecie
– Nie oszukujmy się, mamy się czego obawiać, bo wyciekły dane, które są szczególnie wrażliwe – mówi w rozmowie z Eweliną Kwaśniewską, ekspert do spraw cyberbezpieczeństwa doktor Damian Rusinek. – Wśród tych danych np. są treści recept, czy informacje ogólnie o wizytach danych pacjentów u lekarzy. Jest to powiązane też z osobami i tam są dane osobowe ludzi, którzy padli ofiarą tego ataku, więc wyobrażam sobie, że można tam wyciągnąć informacje o tym, że np. dana osoba przyjmowała takie i takie leki albo widziała się z takim lekarzem, takiej specjalizacji. W szczególności w przypadku niektórych osób, tych wysoko postawionych, tzw. VIP-ów, jest to dosyć ciekawa informacja, jeśli chodzi o potencjalne zagrożenia, np. pochodzące z innych krajów.
Jeżeli chodzi o osoby wysoko postawione, to mamy tutaj dane, które mogą przydać się na gruncie szpiegowskim, na gruncie działania służb obcego państwa. To może być też szantaż.
– Te informacje, które wyciekły, ja też oczywiście nie jestem pewien, co do ich treści, więc troszeczkę hipotetyzuję, ale zakładając, że mamy osoby wysoko postawione, które np. leczą się na jakieś wstydliwe rzeczy albo np. takie, które nie powinny wyjść na światło dzienne, bo mogą zagrozić ich pozycji, to faktycznie takie osoby za pomocą tych danych mogą być szantażowane i podejmować pewne decyzje np. niezgodne z racją stanu, ale wynikające z tego, że ktoś trzyma ich w garści, ktoś ma na nich przysłowiowego haka, więc tu ryzyko jak najbardziej jest. Natomiast ciężko powiedzieć tak naprawdę, na ile to ryzyko w tym momencie istnieje, bo domyślam się, że służby śledzą w szczególności właśnie te osoby wysoko postawione, że służby już wiedzą, jakie dane wyciekły, które ich dotyczą. Pytanie, co zrobią z tym dalej. Na to już nie znam odpowiedzi, więc ciężko mi tutaj wymyślać jakieś scenariusze.
Rozumiemy, że to jest Internet i faktycznie może być różnie, ale czy da się uniknąć w stu procentach takich zagrożeń?
– Nie da się w stu procentach zabezpieczyć przed takimi sytuacjami. Rząd też nie może wprowadzić żadnych technicznych zabezpieczeń, bo to nie rządowe serwery i rządowe aplikacje padły ofiarą tego ataku, tylko serwery czy aplikacje zewnętrznej firmy, która tak się składa, że akurat obsługuje około 12 tysięcy placówek medycznych w Polsce, więc ma dostęp do bardzo dużej ilości danych. To jest efekt tak naprawdę ich sukcesu biznesowego i tego, jak dzisiaj te systemy są zbudowane, bo to nie jest jedyny system. Takich systemów informatycznych jest o wiele więcej, gdzie takie wrażliwe dane są przechowywane. To, co rząd może robić, to tworzyć regulacje i wymagać pewnych standardów, których te firmy muszą przestrzegać, w szczególności takie, które należą do sektora krytycznego albo przetwarzają bardzo wrażliwe dane. Natomiast nie może zwiększyć technicznie bezpieczeństwa tych systemów, tylko poza tym, że wymagają tego, weryfikują to i mogą ewentualnie dawać kary, jeżeli te standardy czy te regulacje nie są spełnione. To, co tutaj jest istotne, to to, żeby twórcy tych systemów, a właściwie nawet nie twórcy, tylko bardziej zarządcy tych systemów, bo wtedy te dane pojawiają się w tych systemach, kiedy one są wykorzystywane i one są przez kogoś zarządzane, żeby oni sprawdzili, jakie obecnie mają zabezpieczenia. To jest jedna rzecz, żeby ocenili, czy nie trzeba wdrożyć dodatkowych zabezpieczeń. Tu mówię o takich rzeczach jak sprawdzenie, po pierwsze, jak się teraz zabezpieczają, czy przypadkiem nie ma jakichś luk bezpieczeństwa. Po drugie, sprawdzenie, czy na przykład oni nie padli ofiarą ataku, bo mogły już być takie ataki, mogły być wycieki, tylko na przykład firma nie zdaje sobie z tego sprawy. Bo, jak wiemy, ten atak stał się medialny po tym, jak niektóre serwisy udostępniły informację o tym, że na przykład mają dostęp, częściowo oczywiście, do tego wycieku i analizowały, czy ten wyciek jest realny i czy ta informacja, którą otrzymały, jest prawdziwa. Te początkowe informacje wystarczały do tego, żeby powiedzieć, że faktycznie wyciek miał miejsce, natomiast nie można było jeszcze potwierdzić skali. Skalę tak oficjalnie potwierdził później minister. Też istotne jest to, co robimy, kiedy taki atak wykryjemy, na przykład w momencie, kiedy on się dzieje, albo kiedy taki wyciek wykryjemy, że się stał, co robimy dalej, bo na to też musimy mieć procedury, musimy wiedzieć, co krok po kroku robić, żeby zminimalizować skutki tego wycieku. Oczywiście ktoś może powiedzieć, że jak te dane wyciekły, to wyciekły, to co możemy zrobić? Jest to po części prawda, ale też nie do końca, bo te dane nie są publiczne, nie każdy może je pobrać. Pewna grupa ma do nich dostęp i też nie zawsze jest tak, że ta grupa, która na przykład zgłasza taki błąd i mówi, że ten wyciek może wystąpić albo ma miejsce, to są tzw. źli hakerzy. To mogą być osoby, które zgłaszają błąd, tzw. hakerzy w białych kapeluszach, czyli ci dobrzy hakerzy, bo oni właśnie chcą uchronić przed tym atakiem, więc nawet profilaktyka w postaci przygotowania jasnych wytycznych, jak tacy ludzie mogą zgłaszać takie błędy i szybka obsługa takich zgłoszeń, to też już jest coś, co takie firmy powinny wprowadzić.
My jako my nie jesteśmy w stanie uchronić się przed wyciekiem danych z czyjegoś serwera, natomiast możemy się zabezpieczać przed ewentualnymi konsekwencjami tego wycieku. W jaki sposób?
– Warto w ogóle wiedzieć, czy np. padliśmy ofiarą jakichś ataków. Są takie serwisy, czy to prywatne, czy nawet rządowe – bezpiecznedane.gov.pl. Tylko tu też uprzedzę, że w tym momencie nie ma informacji o tym wielkim haku w systemie Bezpieczne dane. Tu też jest taka ciekawostka, że ofiarą ataku nie padła firma, która była administratorem danych, tylko padła firma, która przetwarzała dane, a administratorem danych są te poszczególne placówki. Ta firma w swoim oświadczeniu powiedziała, że oni powiadomią wszystkich o tym, czy padli ofiarą ataku. Prawdopodobnie zrobi to w taki skoordynowany sposób, że będzie musiała przekazywać te informacje tym placówkom i te placówki będą przekazywały dalej te informacje, więc koniec końców te informacje mogą się pojawić w serwisie bezpiecznedane.gov.pl i będzie można to sprawdzić. Natomiast co dalej? Wiadomo, że zastrzeżenie PESEL-u to jest taka pierwsza rzecz, która się teraz pojawia. Ona jest głośna i ona też działa. To jest dobre, że w końcu można zablokować możliwość wzięcia tego przysłowiowego kredytu na nasze dane, jak ktoś ma do nich dostęp, szczególnie że nie jest trudno i to też nie jest tak, że ten atak nagle otworzył wielką furtkę innych możliwości, jak możemy paść ofiarą jakichś ataków. To, co możemy zrobić, to po pierwsze w tym ataku tak naprawdę nie wyciekły raczej nasze dane dostępowe, czyli jakieś loginy, hasła, wyciekły dane medyczne, więc z jednej strony bardziej wrażliwe, z drugiej strony można powiedzieć, że mniej, bo nikt nie dostanie dostępu gdzieś dalej. Natomiast warto nie tyle w odpowiedzi na ten atak coś robić, tylko ogólnie codziennie pilnować swojego bezpieczeństwa w sieci, w szczególności korzystając np. z różnych danych dostępowych do różnych serwisów. Ważne jest korzystanie z wieloskładnikowego uwierzytelnienia. To tak trochę czasem strasznie brzmi, bo ktoś może nie wiedzieć o co chodzi, a wystarczy, żeby podczas zakładania konta w jakimś serwisie powiedzieć, że chcemy włączyć to dwuskładnikowe uwierzytelnienie i te aplikacje już teraz bardzo prosto przeprowadzają nas przez ten proces. Więc dla zwykłego Kowalskiego będzie to już łatwe, tylko ważne, żeby to zacząć włączać, przejść przez tę procedurę. Też warto oczywiście nie powielać swoich haseł. Ale ktoś powie: no dobrze, ale jak ja mam zarządzać wieloma hasłami, jak ja mam je zapamiętać? Tutaj przychodzi na pomoc coś takiego jak menedżer haseł. Tu też apel może do młodszych słuchaczy, żeby pomogli np. swoim rodzicom coś takiego zainstalować. Albo jeżeli mają telefon komórkowy, to te telefony komórkowe też mają wbudowane takiego menedżera haseł, który jest odblokowywany np. na jakieś dane biometryczne, typu twarz, odcisk palca. Warto pomóc rodzicom z tego skorzystać, przejść z nimi przez parę takich logowań i oni, jak zaczną z tego korzystać, to zobaczą, że to jest wygodniejsze niż teraz. Znam to z własnego doświadczenia, że w szczególności starsze osoby nie są w stanie zapamiętać tych wszystkich haseł i loginów, bo one są różne, i zapisują je gdzieś, więc to też jest problem. A jak noszą te karteczki w portfelach, to już w ogóle najgorszy scenariusz. Więc można w tym pomóc, ale to nie jest jakaś bezpośrednia odpowiedź na ten atak, bo w tym konkretnym ataku wyciekły nasze dane medyczne, więc nikt na te dane kredytu nie weźmie, aczkolwiek wśród tych danych są też dane osobowe, więc ten atak nie różni się specjalnie od wycieku po prostu naszych danych osobowych. To jest najgroźniejsze tutaj, jeśli chodzi o to zastrzeżenie PESEL-u.
W momencie, w którym wyciekają nasze dane, to owszem, dotyczy to nas, ale naraża też naszych bliskich, szczególnie osoby starsze, jeżeli tam jest jakiś kontakt alarmowy do taty, do mamy. To też ułatwia drogę oszustom do tych wszystkich ścieżek, które znamy już na pamięć, do tych wszystkich oszustów na policjanta, na wnuczka itd.?
– Tak, jak najbardziej. To znaczy, tam mogą być informacje np. o tym, że dana osoba bierze takie i takie leki. Wśród tych informacji jest numer telefonu do tej osoby. Teraz wyobraźmy sobie scenariusz, że atak jest dokładnie taki sam, jak pani powiedziała. Dzwoni ktoś do nas, podszywa się pod kogoś i próbuje wyłudzić pieniądze. Ale ten atak i te dane pozwalają tworzyć wiele nowych scenariuszy. Np. dzwoni ktoś, kto podszywa się pod naszą przychodnię, mówi, że żeby wystawić kolejną receptę na konkretny lek, który ten pacjent przyjmuje, to trzeba coś tam zrobić. Przeprowadza przez jakiś tam proces, w którym nagle ta osoba w pewien sposób płaci np. za tę receptę, bo dostaje informację, że te leki przyjdą do państwa. Krótko mówiąc, ten atak, ten wyciek pozwala na stworzenie bardzo wiarygodnych, zupełnie nowych scenariuszy, w szczególności, jeśli chodzi o osoby starsze, które już są podatne na te ataki. Jak taka starsza osoba nagle słyszy, że dzwoni ktoś z jej placówki, spod tego adresu, o takiej nazwie, wszystko się zgadza, mówi o jej leku, który przyjmuje regularnie, też wszystko się zgadza, to taka starsza osoba raczej niestety zaufa, że to nie jakiś oszust, tylko że to faktycznie dzwoni ktoś z przychodni i chce pomóc.
Czyli nie tylko zastrzegamy PESEL, ale rozmawiamy z naszymi bliskimi, uczulamy ich na takie sytuacje.
– Tak, tylko to znowu jest takie zalecenie, które powinniśmy robić jak najczęściej, a rzadko je robimy, bo ciężko jest sobie zaplanować, że zrobię to i odbębniłem, bo jednak o tym trzeba rozmawiać. Szczęściem w nieszczęściu takich ataków jest to, że one jak się robią medialne, to znowu zaczyna się troszeczkę ten temat, więc możemy rozmawiać, znowu nawiązać do tego ataku, porozmawiać z naszą rodziną, z osobami starszymi, które są zwykle najłatwiejsze w oszukaniu, a jednak mają jakieś środki, które mogą zostać skradzione. Więc to jest taki jedyny plus, jeżeli mógłbym w ogóle tak powiedzieć o takich atakach.
Aktualnie służby pracują nad tym, aby dane medyczne polskich pacjentów nie wyciekły w tzw. darknecie. Ministerstwo Cyfryzacji zapowiada, że dane pacjentów wkrótce trafią na rządowy portal Bezpieczne Dane, gdzie każdy obywatel będzie mógł sprawdzić, czy informacje na jego temat zostały wykradzione.
– Motywacja zdaje się czysto kryminalna. Wiele na to wskazuje, że chodzi o próbę wyłudzenia okupu od tej firmy – przekazał w czwartek premier Donald Tusk, odnosząc się do wycieku danych medycznych z firmy MyDr.
EwKa / opr. WM
Fot. pexels.com