Polen onderzoekt een groot datalek in de gezondheidszorg waarbij MyDr betrokken is, een elektronische medische dienstverlener waarvan de systemen informatie bevatten die verbonden is aan miljoenen patiënten. De Poolse minister van Digitale Zaken, Krzysztof Gawkowski, zei dat gegevens over tot wel 19 miljoen mensen mogelijk getroffen zijn en het incident als uitzonderlijk ernstig omschreef.
MyDr biedt digitale diensten die door patiënten en medische professionals worden gebruikt, waaronder hulpmiddelen die gekoppeld zijn aan afspraken, medische documentatie en elektronische recepten. Omdat de gecompromitteerde omgeving gezondheidsinformatie behandelt, richt het onderzoek zich niet alleen op gewone identificerende gegevens, maar ook op mogelijk gevoelige medische dossiers.
Het bedrijf heeft bevestigd dat het een cyberaanval heeft ondergaan, maar heeft de definitieve omvang van de inbreuk nog niet vastgesteld. MyDr zei dat forensisch werk doorgaat en dat het momenteel niet kan bevestigen hoeveel informatie er is blootgelegd of welke categorieën er zijn benaderd. Volgens de voorlopige informatie van het bedrijf wordt aangenomen dat het getroffen materiaal uit 2024 of eerder komt en niet elke patiënt of klant die gebruikmaakt van de diensten, geldt.
Dat onderscheid is belangrijk omdat het cijfer dat bijna 19 miljoen nadert, momenteel een schatting is die door Poolse functionarissen wordt besproken, en niet een bevestigd aantal personen van wie de volledige medische dossiers zijn gestolen. Gawkowski zei dat het incident een grote verzameling bijzonder gevoelige informatie betreft die verband houdt met mensen die gezondheidszorg hebben ontvangen.
De eigen privacydocumentatie van MyDr toont het type gevoelige omgeving dat hierbij betrokken is. Het bedrijf verwerkt persoonlijke informatie in verband met zijn gezondheidsdiensten en kan de benodigde informatie uitwisselen met het Poolse P1 elektronische gezondheidsplatform. Het privacybeleid beschrijft ook relaties met zorgprofessionals en andere dienstverleners die informatie verwerken die nodig is voor de operaties van MyDr.
Afzonderlijke Poolse mediaberichten hebben meer details gegeven over wat de aanvallers beweren te bezitten. Volgens de verstrekte rapportage zeiden personen die verantwoordelijkheid claimden dat ze ongeveer 2,5 terabyte aan informatie hadden verkregen over 18,8 miljoen mensen. Die cijfers zijn nog niet bevestigd door het forensisch onderzoek van MyDr.
De vermeende aanvallers probeerden naar verluidt hun toegang aan te tonen door journalisten informatie te geven die verband houdt met een prominente Poolse politicus. Het monster zou een PESEL-identificatienummer bevatten, twee telefoonnummers en details van 25 recepten. Deze gerapporteerde onthulling heeft de bezorgdheid vergroot dat het gecompromitteerde materiaal mogelijk veel meer dan basiscontactinformatie bevat.
De Poolse autoriteiten hebben de inbraak niet publiekelijk toegeschreven aan een specifieke hackergroep. Gawkowski heeft ook gezegd dat onderzoekers momenteel geen aanwijzingen hebben dat de operatie politiek gemotiveerd was. Volgens de door de Poolse media gerapporteerde overheidsbeoordeling geloven functionarissen met groot vertrouwen dat financieel gemotiveerde cybercriminelen verantwoordelijk zijn in plaats van een actor die een politieke operatie uitvoert.
Er is ook een belangrijk verschil tussen gestolen informatie en het openbaar vrijgeven van informatie. Gawkowski zei op 13 augustus dat de autoriteiten de getroffen database niet openbaar beschikbaar of te koop hadden aangetroffen en dat Poolse diensten de aanwezigheid ervan in de gaten hielden.
De overheid bereidt een manier voor voor individuen om te bepalen of hun eigen informatie bij het incident is opgenomen. Gawkowski zei dat een aparte aankondiging zou uitleggen hoe mensen die controle konden uitvoeren, wat betekende dat details van het verificatieproces op het moment van de aankondiging nog niet beschikbaar waren.
Voorlopig blijven verschillende cruciale details onopgelost: het bevestigde aantal getroffen personen, de volledige categorieën van gecompromitteerde informatie, hoe de aanvallers de systemen van MyDr zijn binnengekomen, en of de gestolen database uiteindelijk zal worden gepubliceerd of verkocht. MyDr zegt dat die antwoorden afhangen van het forensisch onderzoek dat nog gaande is.