Szanowni Państwo,

w związku z cyberatakiem na systemy informatyczne firmy MyDr sp. z o.o., dostawcy oprogramowania wykorzystywanego przez placówki medyczne, przekazujemy ważną informację dotyczącą bezpieczeństwa danych osobowych naszych pacjentów.

Co się stało?

Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności danych osobowych pacjentów.

Przeprowadzone przez MyDr analizy śledcze potwierdziły, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Jakie dane mogły zostać objęte incydentem?

Ustalenia dokonane przez MyDr przy wsparciu ekspertów zajmujących się analizą śledczą wskazują, że incydent obejmował ograniczony zakres danych przed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł również objąć dane zawarte w anulowanych skierowaniach na badania medyczne wystawione po tej dacie.

Rodzaje danych

Wśród danych objętych incydentem mogły znaleźć się:

• imię, nazwisko, adres zamieszkania, dane kontaktowe,
• numer PESEL,
• dane dotyczące zdrowia,
• dane dotyczące ubezpieczenia społecznego,
• informacje dotyczące pracodawcy (jeśli zostały podane),
• inne dane identyfikacyjne.

Mimo że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane. Chcemy pomóc Państwu zachować bezpieczeństwo na wypadek zmiany okoliczności, dlatego przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu.

Jakie ewentualne konsekwencje zidentyfikowaliśmy?

Nieuprawnione pozyskanie danych osobowych może wiązać się w szczególności z ryzykiem:

• prób podszywania się pod pacjentów i wykorzystania ich danych do oszustw, w tym prób wyłudzenia kredytów lub pożyczek,
• otrzymywania fałszywych wiadomości SMS, e-mail lub połączeń telefonicznych, których celem jest wyłudzenie dodatkowych danych,
• naruszenia prywatności i poufności informacji dotyczących zdrowia,
• wykorzystania informacji medycznych w sposób nieuprawniony, mogący prowadzić do naruszenia dóbr osobistych lub dyskryminacji.

Wskazane konsekwencje mają charakter potencjalny i nie oznaczają, że doszło już do nieuprawnionego wykorzystania Państwa danych.

Jak mogą Państwo ograniczyć ryzyko?

W związku z incydentem zalecamy:

1. rozważenie bezpłatnego zastrzeżenia numeru PESEL za pośrednictwem aplikacji mObywatel, serwisu mObywatel.gov.pl lub w urzędzie gminy,
2. zachowanie szczególnej ostrożności wobec nieoczekiwanych wiadomości SMS, e-mail oraz połączeń telefonicznych, zwłaszcza od osób podających się za pracowników placówek medycznych, banków lub instytucji publicznych,
3. nieudostępnianie haseł, kodów autoryzacyjnych ani danych logowania osobom kontaktującym się telefonicznie lub elektronicznie,
4. monitorowanie prób nieuprawnionego wykorzystania danych osobowych, w szczególności w usługach finansowych,
5. zgłoszenie Policji podejrzenia popełnienia przestępstwa lub próby wyłudzenia danych.

Jakie działania zostały podjęte?

Zdarzenie dotyczy systemów zewnętrznego dostawcy oprogramowania MyDr sp. z o.o. W związku z ujawnieniem incydentu właściwe organy państwowe, w tym Prezes Urzędu Ochrony Danych Osobowych oraz organy ścigania, podjęły działania mające na celu wyjaśnienie jego okoliczności, np. wystąpienie do MyDr o szczegółowe informacje, analiza zakresu naruszenia, ocena ryzyka, zgłoszenie naruszenia Prezesowi UODO, przegląd zabezpieczeń i procedur.

Będziemy przekazywać dalsze istotne informacje, jeżeli w toku wyjaśniania zdarzenia zostaną ustalone nowe okoliczności mające znaczenie dla bezpieczeństwa Państwa danych.