Ransomware uderza w kolejną polską placówkę medyczną – wyciekły dane pacjentów SPZOZ Warszawa-Ursynów

Branża medyczna w Polsce znów staje się celem cyberprzestępców. Niedawno doszło do incydentu związanego z systemem MyDr, a teraz kolejnym poszkodowanym podmiotem okazał się Samodzielny Publiczny Zakład Opieki Zdrowotnej Warszawa-Ursynów, który padł ofiarą ataku ransomware. Napastnicy uzyskali dostęp do serwera pocztowego placówki, gdzie przechowywane były informacje o pacjentach. Zarząd SPZOZ przyznaje, że nie da się wykluczyć skopiowania części danych przez atakujących.

Na liście danych, które mogły zostać naruszone, znajdują się numery PESEL, dane umożliwiające kontakt z pacjentem, wyniki badań diagnostycznych, skierowania na leczenie oraz szczegóły dotyczące stanu zdrowia. Zestawienie tych informacji w jednym miejscu daje przestępcom potężne narzędzie – mogą na tej podstawie budować przekonujące historie, podając się za lekarzy, personel placówek medycznych, przedstawicieli NFZ albo pracowników banków.

Prawdziwe dane zwiększają wiarygodność oszustwa

Skradzione informacje mogą stać się fundamentem starannie przygotowanych kampanii phishingowych albo bezpośrednich prób oszustwa. Kiedy przestępca dysponuje faktycznymi szczegółami na temat leczenia, wykonanych badań czy odwiedzin w przychodni, ofiarze znacznie trudniej rozpoznać fałszywy kontakt jako oszustwo.

Informacje o stanie zdrowia w połączeniu z numerem PESEL, adresem e-mail czy numerem telefonu mogą posłużyć do przygotowania bardzo wiarygodnego oszustwa. Jeśli przestępca skontaktuje się z pacjentem i powoła na prawdziwe szczegóły dotyczące jego leczenia, badania czy placówki, wiarygodność takiego kontaktu znacząco rośnie. To może otwierać drogę do prób kradzieży tożsamości, wyłudzenia pieniędzy, danych logowania do bankowości czy nakłonienia ofiary do kliknięcia w złośliwy link

Kamil Sadkowski, analityk cyberzagrożeń ESET

Wachlarz możliwych metod działania przestępców jest szeroki. Oszust może zatelefonować, udając pracownika przychodni i odwołując się do konkretnej wizyty czy konkretnego wyniku badania. Możliwe jest też wysłanie wiadomości z żądaniem potwierdzenia danych osobowych lub uregulowania dopłaty za świadczenie. Skradzione informacje mogą również zostać wykorzystane jako element bardziej dopracowanego atakiem phishingowego.

Danych medycznych nie da się "zmienić"

Wyciek danych medycznych ma tę specyfikę, że problem nie kończy się w momencie zakończenia incydentu. O ile hasło da się zmienić, a kartę płatniczą zablokować, to informacje o przebytych chorobach, przeprowadzonych badaniach czy sposobie leczenia zostają niezmienne i prawdziwe na zawsze.

To sprawia, że takie dane mogą być wykorzystywane do uwiarygodniania oszustw jeszcze długo po samym atakiem. Czym więcej szczegółów zdobędzie przestępca, tym prościej może skonstruować fałszywy kontakt, który będzie łudząco przypominał autentyczną komunikację ze strony placówki medycznej.

Co powinni zrobić pacjenci?

Osoby, których dane mogły zostać przejęte w wyniku ataku na system placówki, powinny podchodzić z dużą podejrzliwością do wszelkich kontaktów odwołujących się do ich leczenia.

• Zastrzeżenie numeru PESEL – możliwe m.in. za pomocą aplikacji mObywatel lub portalu GOV.pl.
• Ostrożność wobec połączeń telefonicznych, SMS-ów i e-maili odwołujących się do leczenia, wyników badań, wizyt lub żądających potwierdzenia danych.
• Nieprzekazywanie kodów, haseł czy danych do logowania osobom kontaktującym się telefonicznie lub za pomocą wiadomości.
• Samodzielna weryfikacja kontaktu – w razie wątpliwości najlepiej zakończyć rozmowę i skontaktować się z placówką przy użyciu jej oficjalnego numeru telefonu.

Źródło: ITwiz