Nie tylko nazwiska i numery telefonów. W ręce cyberprzestępców mogły dostać się numery PESEL, wyniki badań, informacje o chorobach, skierowania, a nawet dokumentacja dotycząca przebiegu leczenia. SPZOZ Warszawa-Ursynów padł ofiarą ataku ransomware. Placówka nie ma dowodów, że dane pacjentów zostały wykradzione, ale nie jest również w stanie tego wykluczyć. Ryzyko oceniono jako wysokie, a pacjentom zalecono szczególną ostrożność.
Do cyberataku doszło 28 sierpnia. Przestępcom udało się przełamać zabezpieczenia serwera pocztowego SPZOZ Warszawa-Ursynów, a następnie uruchomić na nim złośliwe oprogramowanie typu ransomware.
Część znajdującej się na serwerze korespondencji została zaszyfrowana. I właśnie zawartość skrzynek pocztowych jest obecnie największym problemem.
Przestępcy dostali się do poczty. Czy zabrali dane?
Sam fakt zaszyfrowania wiadomości oznacza, że atakujący uzyskali do nich dostęp. Nie wiadomo jednak, czy korespondencję również skopiowali i wynieśli poza system placówki.
Trwają analizy, które mają dać odpowiedź na to pytanie.
Na razie SPZOZ podkreśla, że nie ma potwierdzenia wykradzenia, opublikowania ani bezprawnego wykorzystania informacji. Jednocześnie placówka nie może zagwarantować, że do wycieku nie doszło.
A potencjalny zakres danych jest wyjątkowo wrażliwy.
PESEL, adres, choroby, wyniki badań. Lista jest długa
W zaatakowanych skrzynkach pocztowych i załącznikach mogły znajdować się podstawowe dane identyfikacyjne pacjentów: imiona i nazwiska, numery PESEL, daty urodzenia, adresy zamieszkania, numery telefonów i prywatne adresy e-mail. Znacznie poważniej wygląda jednak możliwość dostępu do informacji dotyczących zdrowia.
W korespondencji mogły znajdować się m.in. skany skierowań wraz z kodami chorób ICD-10 i opisami dolegliwości, wyniki badań laboratoryjnych i obrazowych, zaświadczenia lekarskie oraz informacje o przebiegu leczenia. Do tego dochodzą wnioski o udostępnienie dokumentacji medycznej.
Potencjalny zakres incydentu nie ogranicza się zresztą do pacjentów. Na serwerze mogły znajdować się także dane pracowników, kontrahentów i partnerów przychodni oraz informacje finansowe i rozliczeniowe. SPZOZ ocenił ryzyko naruszenia praw i wolności osób, których dane mogły zostać objęte atakiem, jako wysokie.
Przychodnie działają normalnie
Dobra wiadomość jest taka, że atak nie sparaliżował przyjmowania pacjentów. Do zdarzenia doszło pod koniec pracy placówki, a po wykryciu zagrożenia zaatakowany serwer został odizolowany od pozostałej infrastruktury.
Rozpoczęto sprawdzanie skali incydentu oraz odzyskiwanie starszej korespondencji z kopii zapasowych. O sprawie powiadomiono Prezesa Urzędu Ochrony Danych Osobowych oraz właściwe organy państwowe.
Teraz specjaliści próbują przede wszystkim odpowiedzieć na najważniejsze dla pacjentów pytanie: czy przestępcy ograniczyli się do zaszyfrowania danych, czy wcześniej zdążyli je skopiować.
Pacjenci dostali ważne ostrzeżenie
Do czasu zakończenia analiz osoby korzystające z placówki powinny zwracać szczególną uwagę na nietypowe telefony, SMS-y i wiadomości e-mail. Jeżeli dane identyfikacyjne rzeczywiście trafiły w niepowołane ręce, mogą zostać wykorzystane m.in. do prób podszywania się pod pacjentów lub wyłudzania kolejnych informacji.
SPZOZ rekomenduje zastrzeżenie numeru PESEL, kontrolowanie prób zaciągania zobowiązań na własne dane, używanie unikalnych haseł oraz uwierzytelniania dwuskładnikowego.
Placówka zadeklarowała również możliwość sfinansowania pacjentom rocznego dostępu do Alertów BIK, które mogą ostrzec o próbie wykorzystania ich danych przy zaciąganiu kredytu, pożyczki lub zawieraniu niektórych umów.
Na razie nie ma informacji, by dane pacjentów zostały publicznie ujawnione albo wykorzystane przez przestępców. Dopiero prowadzone analizy mają pokazać pełną skalę cyberataku.
Robert Bagiński