Kolejny gigantyczny wyciek danych medycznych Polaków! Mowa o milionie pacjentów

Sprawa wyszła na jaw po komunikacie Odwykowo-Psychiatrycznego Ośrodka Leczniczego z Inowrocławia, który 24 września poinformował pacjentów Oddziału Dziennego Leczenia Uzależnień o naruszeniu poufności ich danych.

Do ataku doszło poprzez wykorzystanie podatności SQL Injection, dzięki której przestępcy przejęli zaszyfrowane archiwum bazy danych obejmujące okres od 1 lipca 2024 do 23 sierpnia 2026 roku. Choć pola z imieniem, nazwiskiem i numerem PESEL były zaszyfrowane, dostawca ocenił, że sposób zastosowanego szyfrowania był na tyle słaby, że trzeba przyjąć najgorszy scenariusz – dane mogły trafić do atakującego w postaci jawnej. Wysokie jest też ryzyko, że wyciekły informacje medyczne pacjentów.

Szybko okazało się, że sprawa inowrocławskiej placówki to tylko wierzchołek góry lodowej. Zaufana Trzecia Strona ustaliła, że incydent dotyczy całego systemu, z którego korzystają setki placówek medycznych w Polsce. Za atakiem stoi ta sama osoba, która wcześniej odpowiadała za wyciek z systemu MyDr – cyberprzestępca ukrywający się pod pseudonimem „fingerprint”. Ustalenia te niezależnie potwierdziło również źródło CyberDefence24.

Skradziona baza zawiera imiona, nazwiska, numery PESEL, adresy zamieszkania, numery telefonów i adresy e-mail, a prawdopodobnie także dane medyczne. System Medyc obsługiwał ponad 10 tysięcy wizyt dziennie, co – przy założeniu podobnej proporcji jak w przypadku MyDr – mogłoby oznaczać ponad milion poszkodowanych pacjentów. Nieoficjalne ustalenia CyberDefence24 wskazują, że mowa o setkach placówek i co najmniej milionie osób, choć skala incydentu ma być mniejsza niż w przypadku wycieku z MyDr. Redakcja dysponuje nieoficjalną liczbą potencjalnych ofiar, ale świadomie jej nie publikuje, by nie wywoływać niepotwierdzonych spekulacji.