Kilka dni temu na łamach branżowego serwisu Zaufana Trzecia Strona przekazano otrzymaną od atakujących informację o udanej kradzieży danych z firmy MyDr. Jest to dostawca systemów używanych przez różne podmioty medyczne, najczęściej przez punkty POZ (dla porównania prywatne przedsiębiorstwa, takie jak LUX MEDs, korzystają do tych celów z własnych rozwiązań IT), w których lekarze zapisują wrażliwe dane o pacjentach – oprócz „standardowego” zestawu imienia, nazwiska i numeru PESEL znajdują się tam również informacje o chorobach, wynikach badań oraz wydane recepty.
Wyciek został niezależnie potwierdzony przez portal Z3S (poprzez sprawdzenie informacji o kilku osobach, które wyraziły zgodę), jak również wczoraj (12 sierpnia) w sposób oficjalny podczas konferencji prasowej przez ministra cyfryzacji Krzysztofa Gawkowskiego. Incydent dotyczy 19 milionów Polaków – co drugiej osoby – i niestety czyni go wyjątkowo poważnym.
Dane medyczne z definicji są danymi szczególnie chronionymi. Obowiązuje tajemnica lekarska, która w teorii powinna zapewniać, iż informacje o naszym zdrowiu pozostaną pomiędzy nami i wybraną placówką medyczną. Posiadanie tych informacji przez osoby niepowołane w zwykłych warunkach jest zwyczajnie niedopuszczalne.
Na ten moment najbardziej istotny krok, to zastrzeżenie numeru PESEL, co może uchronić przed udzieleniem pożyczki/kredytu innej osobie, która wykorzysta nasze dane. Oprócz tego warto większą uwagę zwracać na wiadomości e-mail czy telefony z nieznanych numerów – przestępcy mogą zacząć wyrafinowane ataki phishingowe, aby pod pretekstem „zagrożenia zdrowia” wymusić na nas wykonanie różnych inwazyjnych działań.
I niestety na tym kończą się możliwości do podjęcia przez obywateli, których dane wyciekły. Nie istnieją prawne ścieżki dochodzenia ewentualnych roszczeń, które byłyby stosowane odgórnie. Podejrzewam, iż można samodzielnie wystąpić na drogę prawną, ale zawsze oznacza to koszty, poświęcenie dużej ilości czasu, jak również brak gwarancji odniesienia rzeczywistych korzyści. Opisywany wyciek to kolejna okazja do uświadomienia, iż obecne rozwiązania prawne nie są dostosowane do realiów cyfryzacji wszelkich możliwych aspektów życia.
Weryfikację, czy nasze dane zostały dotknięte wyciekiem, będzie można wykonać w serwisie https://bezpiecznedane.gov.pl/. Na ten moment nie zostały jeszcze „dodane” do bazy, co pewnie wynika z działań prowadzonych przez służby.
Bardzo niepokojący jest fakt, iż za tak wrażliwe dane odpowiadał jeden dostawca – prywatna firma MyDr, znana m.in. z usługi ZnanyLekarz.pl. Pojawiły się zresztą humorystyczne przewidywania, iż w krótkim czasie powstanie serwis ZnanyPacjent z uwagi na skalę wycieu. Państwo powinno w jakikolwiek sposób zareagować, ale raczej można założyć, iż odpowiednie instytucje o skali danych przechowywanych w systemach MyDr dowiedziały się wczoraj – tak jak większość pacjentów. Nikt nie mówi o konieczności nacjonalizacji tego i innych prywatnych podmiotów, ale można było zlecić audyt zabezpieczeń i zgodności z różnymi regulacjami.
Oczywiście nie wolno negować powagi sytuacji. Dla przykładu powszechna wiedza, iż znany polityk cierpi na różne choroby psychiczne czy był właścicielem wirusa HIV (kojarzonego przede wszystkim z wiadomą orientacją seksualną), będzie co najmniej problematyczna. Nie chodzi choćby o to, iż te informacje staną się znane dla służb innych państw, bo szkody wizerunkowe mogą zostać wyrządzone także przez polskich „kolegów” z konkurencyjnych partii. Moralnie takie zachowanie byłoby skandaliczne, ale większość polityków jest „moralna” wyłącznie pod względem uległości wobec sąsiadów Polski.
Dziwi też fakt, iż dane medyczne z różnych POZ były przechowywane w jednej bazie. Nie wydaje się, aby istniały przesłanki, wedle których informacje o chorobach czy receptach musiałyby być współdzielone pomiędzy różnymi placówkami. jeżeli faktycznie była możliwość zastosowania rozwiązania w wersji self-hosted (działającego wyłącznie w sieci wewnętrznej konkretnej placówki medycznej), to zdecydowanie jest to techniczne uchybienie.
Według informacji Z3S wyciek był następstwem wykorzystania ataku XXE w jednym z modułów systemu. Umożliwiło to poznanie klucza API do GitHub, gdzie znaleziono kod źródłowy, ale także klucz API do usługi Amazon Web Services. Atakujący rzecz jasna nie przedstawili konkretnych szczegółów, ale można podejrzewać, iż dostęp do AWS był zapisany z powodu wykorzystywania Github Actions – rozwiązania CI/CD w serwisie GitHub, używanego do automatyzacji wdrożeń kodu czy definiowania infrastruktury (Terrform). Dostęp do usługi chmurowej pozwolił prawdopodobnie na realizację celu atakujących.
Tutaj warto zwrócić uwagę na dobrą praktykę korzystania z wewnętrznych systemów kontroli wersji. W sytuacji, gdyby MyDr używał np. lokalnej instancji GitLab, to atakujący nie uzyskaliby prawdopodobnie dostępu do kodu źródłowego, bo ten wymagałby fizycznej obecności w biurze czy też zestawienia połączenia VPN. Czasem niewielkie zmiany w kwestii infrastruktury mogą skutecznie zablokować dużą część możliwych ataków.
Sprawa jest rozwojowa i pewnie większość osób czeka na kolejne informacje. Na ten moment atakujący twierdzą, iż wykradzionych danych nie będą sprzedawać ani udostępniać, ale trzeba być naiwnym, żeby ich słowa traktować w pełni poważnie. Pozostaje mieć nadzieję na szybkie ujęcie sprawców oraz zmiany w kwestii bezpieczeństwa systemów medycznych i rozwiązań prawnych. Otwarte pozostaje też pytanie, czy rzeczywiście należy cyfryzować każdy możliwy element codziennego funkcjonowania.
