Hakerzy twierdzą, iż ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr

Firma MyDr ogłosiła właśnie, iż bada poważny incydent bezpieczeństwa w swojej sieci. Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, iż są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL.

MyDr to jeden z największych polskich dostawców systemu Elektronicznej Dokumentacji Medycznej, obsługujący tysiące punktów ochrony zdrowia. Możecie nie wiedzieć, iż ta platforma przetwarza wasze dane - używają jej wasi lekarze i to oni wprowadzają dane waszych wizyt i recept. Sama firma MyDr twierdzi, iż obsługuje 3 miliony wizyt miesięcznie i wystawienie 2,7 mln recept miesięcznie. Nie podaje liczby użytkowników, którzy są obsługiwani przez jej systemy w placówkach ochrony zdrowia.

Nietypowe zgłoszenie

W sobotę odezwał się do nas ktoś, kto twierdził, iż dysponuje danymi ponad 18 milionów Polek i Polaków, pochodzących z systemów medycznych. Potraktowaliśmy zgłoszenie poważnie i weszliśmy w bezpośredni kontakt ze zgłaszającym oraz powiadomiliśmy odpowiednie instytucje.

Co wiemy o incydencie

Osoba (lub osoby) stojąca za wyciekiem przekazała nam sporo informacji, z których część byliśmy w stanie zweryfikować. Poniżej przedstawiamy dowody możliwego wycieku wraz z naszym komentarzem odnośnie ich wiarygodności.

Po pierwsze, otrzymaliśmy zrzut ekranu wpisów w bazie dotyczących jednego z najważniejszych polityków w Polsce. Zawierały jego prawidłową datę urodzenia, jego PESEL, imię i nazwisko oraz dwa różne numery telefonów. Jeden z numerów mogliśmy potwierdzić w kilku innych źródłach i faktycznie, ten polityk z niego korzystał. Wpisom towarzyszyła także recepta na pewien lek - tych informacji oczywiście nie jesteśmy w stanie potwierdzić. Zgadzał się za to wymieniony w bazie region NFZ.

Aktualizacja: Otrzymaliśmy także listę 25 recept, które rzekomo były wystawione na dane wspomnianego polityka. Nie zawiera ona przepisywanych lekarstw, a jedynie numery recept (zawiera także jedną receptę, której szczegóły opisaliśmy powyżej).

Sprawcy przesłali także dane autora tego artykułu. PESEL się zgadzał (da się go pozyskać innymi metodami, choć nie jest to trywialne). Zgadzał się także region NFZ. Numeru telefonu nie było (był wpisany 111111111, co jest praktyką punktów, które nie chcą się bawić w uzupełnianie wszystkich danych).

Sprawcy przesłali także kilka zrzutów ekranu pokazujących zebrane dane, np z systemu Jira:

Sprawcy przesłali także zrzut ekranu wiadomości, którą podobno wysłali 5 sierpnia do prezesa firmy, będącej właścicielem platformy. Sprawcy wiadomość wysłali kopię do siebie, to zrzut ekranu kopii.

Wiadomość zawierała link do dokumentu PDF, który miał być skasowany po pobraniu, ale skasowany nie został. Jak sprawdziliśmy, link przez cały czas działał (dlatego zamazaliśmy go na powyższym zrzucie ekranu). Plik PDF był zabezpieczony hasłem, ale sprawcy wspomnieli, iż hasłem jest PESEL prezesa. Ustalenie hasła nie było problemem - wspominaliśmy już wielokrotnie, iż PESEL ma niską entropię. W treści dokumentu znaleźliśmy większość dowodów włamania, które także my otrzymaliśmy, oraz prośbę o kontakt (inne konto Session niż to, które korespondowało z nami). Przedstawiono także zagadnienie jako "ofertę zakupu wyników audytu bezpieczeństwa".

Otrzymaliśmy także przykładowy cennik reklam w serwisie, w formie zrzutu ekranu pliku Excela ze stawkami za reklamy konkretnych lekarstw. Z kolei plik PDF wysłany rzekomo do prezesa zawierał wewnętrzną korespondencję firmową, w tym np. informacje o nowych pracownikach czy raport sygnalisty o nieprawidłowościach. Był w nim także fragment bazy danych lekarzy, z którymi firma współpracuje - dane, które sprawdziliśmy, były w 100% prawdziwe (choć to dane dostępne w większości publicznie). W liście do prezesa wymieniali takie systemy jak Jira czy Hubspot CRM jako te, do których uzyskali pełny dostęp.

Sprawcy pokazali nam także SMS-a, którego rzekomo wysyłali do pracowników firmy z jej własnego konta w serwisie SMSApi.

Jak sprawcy dostali się do infrastruktury firmy

Według tego, co usłyszeliśmy od sprawców, najpierw udało im się uzyskać zdalne wykonanie kodu przez podatność typu XXE przy obsłudze certyfikatów PKCS#12. To pozwoliło na poznanie klucza API do GitHuba, gdzie z kolei znaleźli kod źródłowy serwisu. Dzięki temu dostali się do infrastruktury na AWS. Nie byliśmy w stanie niezależnie zweryfikować tych informacji.

Jak oceniamy wiarygodność twierdzeń sprawców

W takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie. Warto jednak zauważyć, iż nasze możliwości weryfikacji są dość ograniczone. Sprawcy twierdzą na przykład, iż ukradli 2,5 TB danych - nie mamy żadnej możliwości weryfikacji tego twierdzenia. Podobnie nie możemy zweryfikować twierdzenia, iż w ich posiadaniu są dane osobowe ponad 18 milionów Polek i Polaków, ale ta liczba wydaje się odzwierciedlać potencjalny zakres działania systemu MyDr (przy tysiącach obsługiwanych gabinetów i przychodni). Pośrednio prawdopodobieństwo incydentu potwierdził także premier Gawkowski, pisząc, iż "wiele wskazuje na to, iż osoba nieuprawniona mogła uzyskać do nich [danych] dostęp".

Potwierdzenie zasięgu bazy

Dla weryfikacji twierdzeń włamywaczy poprosiliśmy ich o sprawdzenie numerów PESEL czterech osób z branży, które zgodziły się wziąć udział w eksperymencie. Dla dwóch z nich otrzymaliśmy rekordy z bazy wykradzionej przez włamywaczy. To oznacza, iż dla pięciu sprawdzonych numerów PESEL (łącznie z autorem artykułu), dla trzech znalazły się rekordy w bazie. Próba statystycznie niewielka, ale pasująca do liczby ponad 18 mln rekordów.

Kim są sprawcy

Tu robi się ciekawie, ponieważ kimkolwiek są, starają się wyglądać jak ktoś zupełnie inny. Komunikują się po angielsku, uśmiechają po rosyjsku ("))))))))))"), a język angielski, jakim się posługują, brzmi, jakby ktoś kazał Claude'owi przepisać tekst "tak jakby to napisał średnio znający angielski obywatel jakiegoś kraju z Azji". Brzmi to zatem jak próby sprowadzenia śledztwa na fałszywe tropy.

Jak sprawdzić, czy jestem w wycieku

Tu mamy złą informację - nie da się i jest spore ryzyko, iż będzie to niemożliwe (lub bardzo utrudnione). Problem polega na tym, iż MyDr jest jedynie "podmiotem przetwarzającym" zgodnie z RODO, a administratorem danych są placówki ochrony zdrowia, których są tysiące. Z prawnego punktu widzenia MyDr nie ma prawa przekazać danych ofiar incydentu np. zespołowi CERT Polska. by umieścić je w serwisie bezpiecznedane.gov.pl. No chyba iż rząd coś wymyśli :) W tej sytuacji musicie liczyć na to, iż gdy ustalony zostanie zakres incydentu, MyDr powiadomi placówki ochrony zdrowia, czyje i jakie dane wyciekły, a one przekażą te informacje bezpośrednio wam. A to może zająć wiele dni.

Stanowisko firmy

Wysłaliśmy zaatakowanej firmie kilka pytań:

1. Czy firma wie o incydencie uzyskania nieuprawnionego dostępu do danych osobowych użytkowników serwisu?
2. Kiedy firma dowiedziała się o incydencie?
3. Jakie działania podjęto w tym zakresie do tej pory?
4. Jakie działania są planowane?

Oto odpowiedzi, jakie otrzymaliśmy.

Aktualizacja 2026-08-10 20:00

Dodaliśmy informację o receptach polityka, rozdział o tym, czy można sprawdzić obecność w wycieku, oraz informację o kolejnych potwierdzonych osobach.