La Pologne enquête sur une importante violation de données de santé impliquant MyDr, un prestataire de services médicaux électroniques dont les systèmes contiennent des informations reliées à des millions de patients. Le ministre polonais des Affaires numériques, Krzysztof Gawkowski, a déclaré que des données concernant jusqu’à 19 millions de personnes pourraient avoir été affectées, qualifiant l’incident d’extrêmement grave.
MyDr propose des services numériques utilisés par les patients et les professionnels de santé, incluant des outils liés aux rendez-vous, la documentation médicale et les ordonnances électroniques. Parce que l’environnement compromis gère les informations de santé, l’enquête se concentre non seulement sur des détails d’identification ordinaires, mais aussi sur des dossiers médicaux potentiellement sensibles.
L’entreprise a confirmé avoir subi une cyberattaque mais n’a pas encore établi l’ampleur finale de la fuite. MyDr a indiqué que les travaux médico-légaux se poursuivent et qu’ils ne peuvent actuellement pas confirmer exactement combien d’informations ont été exposées ni précisément quelles catégories ont été consultées. Selon les informations préliminaires de l’entreprise, le matériel affecté serait datant de 2024 ou avant et ne couvre pas tous les patients ou clients utilisant ses services.
Cette distinction est importante car le chiffre approchant les 19 millions est actuellement une estimation discutée par les responsables polonais plutôt qu’un nombre confirmé d’individus dont les dossiers médicaux complets ont été volés. Gawkowski a indiqué que l’incident impliquait une vaste collection d’informations particulièrement sensibles liées aux personnes ayant bénéficié de services de santé.
La documentation de confidentialité de MyDR montre le type d’environnement sensible impliqué. L’entreprise traite les informations personnelles liées à ses services de santé et peut échanger les informations requises avec la plateforme électronique de santé P1 en Pologne. Sa politique de confidentialité décrit également les relations avec les professionnels de santé et autres prestataires de services qui traitent les informations nécessaires aux opérations de MyDr.
Des rapports de médias polonais distincts ont fourni plus de détails sur ce que les assaillants prétendent posséder. Selon le rapport fourni, des personnes revendiquant la responsabilité ont déclaré avoir obtenu environ 2,5 téraoctets d’informations concernant 18,8 millions de personnes. Ces chiffres n’ont pas encore été confirmés par l’enquête médico-légale de MyDr.
Les présumés assaillants auraient tenté de démontrer leur accès en fournissant aux journalistes des informations liées à un homme politique polonais de premier plan. L’échantillon contenait un numéro d’identification PESEL, deux numéros de téléphone et les détails de 25 ordonnances. Cette divulgation rapportée a accru l’inquiétude quant au fait que le matériel compromis puisse contenir bien plus que des informations de contact basiques.
Les autorités polonaises n’ont pas publiquement attribué cette intrusion à un groupe de piratage spécifique. Gawkowski a également déclaré que les enquêteurs n’ont actuellement aucune indication que l’opération ait été motivée politiquement. Selon l’évaluation du gouvernement rapportée par les médias polonais, les responsables estiment avec une grande confiance que les cybercriminels motivés financièrement sont responsables plutôt qu’un acteur menant une opération politique.
Il y a aussi une différence importante entre le vol d’informations et la publication publique. Gawkowski a déclaré le 13 août que les autorités n’avaient pas trouvé la base de données concernée accessible au public ni mise en vente et que les services polonais surveillaient son apparence.
Le gouvernement prépare un moyen pour que les individus puissent déterminer si leurs propres informations ont été incluses dans l’incident. Gawkowski a indiqué qu’une annonce distincte expliquerait comment les gens pourraient effectuer cette vérification, ce qui signifie que les détails du processus de vérification n’étaient pas encore disponibles au moment de l’annonce.
Pour l’instant, plusieurs détails cruciaux restent non résolus : le nombre confirmé de personnes concernées, les catégories complètes d’informations compromises, la manière dont les attaquants sont entrés dans les systèmes de MyDr, et si la base de données volée sera finalement publiée ou vendue. MyDr dit que ces réponses dépendent de l’enquête médico-légale toujours en cours.