Wyciek danych z MyDr: co naprawdę grozi Polakom i co można dziś zrobić

Kilka dni temu jako pierwsi opisaliśmy sprawę włamania do firmy MyDr, w wyniku którego przestępcy mieli wykraść dane niemal 19 milionów Polaków. Później liczbę tę wielokrotnie potwierdzał premier Krzysztof Gawkowski. Tymczasem sama poszkodowana spółka w oficjalnym stanowisku wciąż zastrzega, że nie zna dokładnych rozmiarów incydentu. Zamiast spierać się o to, czy ofiar było dokładnie 19 milionów, warto przyjrzeć się temu, jakie konsekwencje niesie za sobą to zdarzenie.

Co może zrobić przeciętny obywatel po wycieku

Odpowiedź jest niewygodna: praktycznie nic i na razie niewiele da się ustalić. Podstawowym krokiem, który każdy pełnoletni Polak powinien był wykonać już dawno – najlepiej dwa lata temu – jest zastrzeżenie numeru PESEL. Kto tego jeszcze nie zrobił, powinien nadrobić to natychmiast, a przy okazji namówić do tego wszystkich dorosłych domowników. Warto zwrócić szczególną uwagę na osoby, które mogą zostawić po sobie spadek – to może brzmi surowo, ale taka ostrożność chroni także tych, którzy zostają.

Trzeba jednak zaznaczyć, że znaczenie samego numeru PESEL bywa mocno wyolbrzymiane. W ogólnodostępnych rejestrach internetowych, przede wszystkim w KRS, można znaleźć numery PESEL około trzech milionów Polaków, w tym wielu zamożnych osób pełniących funkcje zarządcze w spółkach. Mimo to nie doszło z tego powodu do żadnej katastrofy. Nie ma więc powodu, by aż tak bardzo obawiać się samego faktu ujawnienia numeru PESEL.

Czy moje dane rzeczywiście wyciekły?

Szansa, że odpowiedź brzmi twierdząco, przekracza 50 procent, ale pewności nie ma – i zapewne przez dłuższy czas jej nie będzie. Firma dotknięta atakiem sama ma trudność z precyzyjnym określeniem, które dane trafiły w ręce sprawców. Pojawiła się informacja, że najprawdopodobniej mowa o rekordach nie nowszych niż z 2024 roku, jednak nie wiadomo, które dokładnie. Nikt poza samymi włamywaczami nie widział pełnej skradzionej bazy, a udostępnione przez nich próbki nie oddają całości sytuacji.

Dodatkowym utrudnieniem jest to, że zgodnie z RODO firma nie może przekazać danych NASK, który zarządza serwisem bezpiecznedane.gov.pl. Gdyby taka wymiana była możliwa, każdy mógłby wkrótce sprawdzić w serwisie, czy jego dane znalazły się w bazie – zakładając, że system wytrzymałby ewentualne obciążenie. Tyle że przepisy tego nie przewidują, prezes UODO nie ma podstaw, by na to pozwolić, a nikt nie może go do tego zmusić.

Istnieje jednak pewien wyjątek: dane może zażądać prokuratura prowadząca postępowanie, powołując się na Kodeks postępowania karnego, a następnie przekazać je tam, gdzie uzna to za zasadne. Nie jest więc wykluczone, że kiedyś trafią one do serwisu bezpiecznedane.gov.pl.

Formalnie o incydencie powinna poinformować pacjenta placówka medyczna, która zbierała i wprowadzała jego dane do systemu. Problem w tym, że placówka musi najpierw otrzymać taką informację od zaatakowanej firmy, a ta wciąż nie potrafi określić zakresu wycieku – i w ten sposób koło się zamyka. Cały proces zajmie więc jeszcze sporo czasu.

Czy można liczyć na odszkodowanie

Co do zasady – nie. Odszkodowanie ma rekompensować konkretną szkodę, a żeby się go domagać, trzeba tę szkodę wykazać, wyliczyć i udowodnić. Konieczne jest więc precyzyjne wskazanie poniesionej straty oraz bezpośredniego związku przyczynowego między nią a czyimś zaniedbaniem. Tego typu sprawy są w praktyce bardzo trudne do wygrania i nie ma znanego przypadku, w którym ktoś skutecznie pozwał firmę Morele.net po wycieku danych i uzyskał z tego tytułu odszkodowanie.

Nie wiadomo też jeszcze, czy Urząd Ochrony Danych Osobowych nałoży karę na poszkodowaną spółkę – to będzie przedmiotem odrębnego postępowania. Urząd musi zbadać okoliczności wycieku, w tym to, czy doszło do niego wskutek poważnych zaniedbań. Analizie podlegać będzie także zachowanie firmy po ujawnieniu incydentu, w tym rzetelność informowania poszkodowanych i dotrzymywanie ustawowych terminów. Sam fakt wycieku nie musi automatycznie skutkować karą finansową – UODO może zamiast tego wydać upomnienie albo nakaz dostosowania procedur do przepisów. Ostateczny finał tej sprawy poznamy zapewne dopiero za kilka lat.

Najgorszy z możliwych scenariuszy

Czarny scenariusz zakłada, że sprawcy włamania, nie doczekawszy się okupu, w akcie desperacji zdecydują się sprzedać skradzioną bazę. Kupcem mógłby zostać ktoś, komu zależy na szkodzeniu Polsce, a wtedy zaczęłoby się szczegółowe przeszukiwanie danych – łącznie z informacją, kto jakie leki przyjmował. To wariant wyjątkowo niebezpieczny. O ile przeciętny obywatel narażony byłby co najwyżej na zawstydzenie, o tyle osoby zajmujące eksponowane stanowiska mogłyby paść ofiarą szantażu, opartego na groźbie ujawnienia treści ich recept z ostatniej dekady lub dłuższego okresu. Warto pamiętać, że osoby ubiegające się o dostęp do informacji niejawnych – lub już go posiadające – mają obowiązek zgłaszania faktu leczenia psychiatrycznego. Nietrudno się domyślić, że nie każdy posiadacz poświadczenia bezpieczeństwa dopełnił tego obowiązku, a to właśnie tacy ludzie stanowią naturalny cel zainteresowania obcych wywiadów. Dla wizerunku Polski byłby to bardzo zły obrót spraw.

Najlepszy z możliwych scenariuszy

Optymistyczny wariant wydarzeń obejmuje kilka możliwości:

• włamywacze uzyskują satysfakcjonującą ich rekompensatę finansową i kasują skradzione dane
• sprawcy, wystraszeni ostrymi zapowiedziami premiera Gawkowskiego, wycofują się z ujawnianiem danych i znikają, obawiając się reakcji polskiego wymiaru sprawiedliwości
• organy ścigania namierzają włamywaczy – w Polsce lub za granicą – co kończy się ich zatrzymaniem i utratą dostępu do skradzionych informacji

Szanse na taki rozwój wypadków oceniamy jako niemałe. Jeśli wierzyć ostatnim doniesieniom od samych sprawców sprzed kilku dni, skradzione dane leżą obecnie zaszyfrowane na dysku offline, a włamywacze przycupnęli w oczekiwaniu, aż ucichnie medialna burza wywołana wypowiedziami premiera. Pozostaje mieć nadzieję, że tak właśnie się stanie.

Wskazówka dla lekarzy korzystających z MyDr

Krystian Kochanowski, ekspert do spraw bezpieczeństwa, zwrócił uwagę na wątek dotąd pomijany w oficjalnej komunikacji wokół sprawy.

System MyDr wymagał od lekarzy wgrywania do platformy certyfikatu wraz z hasłem, używanego do wystawiania e-recept. Ponieważ nie można na obecnym etapie wykluczyć, że certyfikaty te znalazły się w rękach włamywaczy, warto posłuchać rekomendacji Krystiana Kochanowskiego: unieważnić stary certyfikat i wygenerować nowy. Taki krok niczego nie zaszkodzi, a może uchronić przed dodatkowymi problemami.