Poland sta indagando su una grave violazione dei dati sanitari che coinvolge MyDr, un fornitore di servizi medici elettronici i cui sistemi contengono informazioni collegate a milioni di pazienti. Il ministro polacco per gli Affari Digitali Krzysztof Gawkowski ha dichiarato che dati relativi a ben 19 milioni di persone potrebbero essere stati colpiti, descrivendo l’incidente come eccezionalmente grave.
MyDr offre servizi digitali utilizzati da pazienti e professionisti sanitari, inclusi strumenti collegati agli appuntamenti, documentazione medica e prescrizioni elettroniche. Poiché l’ambiente compromesso gestisce le informazioni sanitarie, l’indagine si concentra non solo su dettagli identificabili ordinari, ma anche su cartelle cliniche potenzialmente sensibili.
L’azienda ha confermato di aver subito un attacco informatico, ma non ha ancora stabilito l’entità finale della violazione. MyDr ha detto che il lavoro forense è in corso e che attualmente non può confermare esattamente quante informazioni siano state esposte o quali categorie siano state accedute. Secondo le informazioni preliminari dell’azienda, si ritiene che il materiale interessato provenga dal 2024 o prima e non copre ogni paziente o cliente che utilizza i suoi servizi.
Questa distinzione è importante perché la cifra che si avvicina ai 19 milioni è attualmente una stima discussa dai funzionari polacchi, piuttosto che un conteggio confermato di individui a cui sono state rubate tutte le cartelle cliniche. Gawkowski ha detto che l’incidente riguarda una vasta raccolta di informazioni particolarmente sensibili associate a persone che hanno ricevuto servizi sanitari.
La documentazione sulla privacy di MyDR mostra il tipo di ambiente sensibile coinvolto. L’azienda elabora informazioni personali relative ai suoi servizi sanitari e può scambiare le informazioni richieste con la piattaforma sanitaria elettronica polacca P1. La sua politica sulla privacy descrive anche i rapporti con i professionisti sanitari e altri fornitori di servizi che elaborano le informazioni necessarie per le operazioni di MyDr.
Diversi rapporti dei media polacchi hanno fornito maggiori dettagli su ciò che gli aggressori affermano di possedere. Secondo il rapporto fornito, le persone che rivendicano la responsabilità hanno dichiarato di aver ottenuto circa 2,5 terabyte di informazioni riguardanti 18,8 milioni di persone. Queste cifre non sono ancora state confermate dall’indagine forense di MyDr.
I presunti aggressori avrebbero tentato di dimostrare il loro accesso fornendo ai giornalisti informazioni associate a un importante politico polacco. Il campione conteneva un numero identificativo PESEL, due numeri di telefono e i dettagli di 25 prescrizioni. Questa divulgazione segnalata ha aumentato le preoccupazioni che il materiale compromesso possa contenere molto più delle semplici informazioni di contatto.
Le autorità polacche non hanno attribuito pubblicamente l’intrusione a uno specifico gruppo di hacker. Gawkowski ha anche affermato che gli investigatori attualmente non hanno indicazioni che l’operazione fosse motivata politicamente. Secondo la valutazione del governo riportata dai media polacchi, i funzionari credono con grande fiducia che i cybercriminali motivati finanziariamente siano responsabili piuttosto che attori che conducono un’operazione politica.
C’è anche una differenza importante tra il rubo delle informazioni e le loro pubbliche rese pubbliche. Gawkowski ha dichiarato il 13 agosto che le autorità non avevano trovato il database interessato disponibile al pubblico né messo in vendita e che i servizi polacchi stavano monitorandone l’aspetto.
Il governo sta preparando un modo per permettere agli individui di determinare se le proprie informazioni siano state incluse nell’incidente. Gawkowski ha detto che un annuncio separato avrebbe spiegato come le persone potrebbero effettuare quel controllo, il che significa che i dettagli del processo di verifica non erano ancora disponibili al momento dell’annuncio.
Per ora, diversi dettagli cruciali restano irrisolti: il numero confermato di individui colpiti, le categorie complete di informazioni compromesse, come gli aggressori sono entrati nei sistemi di MyDr e se il database rubato verrà infine pubblicato o venduto. MyDr dice che queste risposte dipendono dall’indagine forense ancora in corso.