A Polônia está investigando uma grande violação de dados na área da saúde envolvendo a MyDr, uma provedora de serviços médicos eletrônicos cujos sistemas contêm informações conectadas a milhões de pacientes. O ministro polonês de Assuntos Digitais, Krzysztof Gawkowski, disse que dados relacionados a até 19 milhões de pessoas podem ter sido afetados, descrevendo o incidente como excepcionalmente grave.
O MyDr oferece serviços digitais utilizados por pacientes e profissionais de saúde, incluindo ferramentas relacionadas a consultas, documentação médica e prescrições eletrônicas. Como o ambiente comprometido lida com informações de saúde, a investigação foca não apenas em detalhes comuns de identificação, mas também em registros médicos potencialmente sensíveis.
A empresa confirmou que sofreu um ataque cibernético, mas ainda não estabeleceu o alcance final da violação. O MyDr disse que o trabalho forense continua e que atualmente não pode confirmar exatamente quanta informação foi exposta ou quais categorias foram acessadas. De acordo com as informações preliminares da empresa, acredita-se que o material afetado seja de 2024 ou anterior e não cobre todos os pacientes ou clientes que utilizam seus serviços.
Essa distinção é importante porque o número próximo de 19 milhões é atualmente uma estimativa discutida por autoridades polonesas, e não uma contagem confirmada de indivíduos cujos registros médicos completos foram roubados. Gawkowski disse que o incidente envolve uma grande coleção de informações particularmente sensíveis associadas a pessoas que receberam serviços de saúde.
A própria documentação de privacidade do MyDR mostra o tipo de ambiente sensível envolvido. A empresa processa informações pessoais relacionadas aos seus serviços de saúde e pode trocar informações necessárias com a plataforma eletrônica de saúde P1 da Polônia. Sua política de privacidade também descreve relacionamentos com profissionais de saúde e outros prestadores de serviços que processam informações necessárias para as operações do MyDr.
Reportagens separadas da mídia polonesa forneceram mais detalhes sobre o que os atacantes afirmam possuir. De acordo com o relatório fornecido, indivíduos reivindicando a responsabilidade disseram ter obtido aproximadamente 2,5 terabytes de informações sobre 18,8 milhões de pessoas. Esses números ainda não foram confirmados pela investigação forense do MyDr.
Os supostos atacantes teriam tentado demonstrar seu acesso fornecendo aos jornalistas informações associadas a um político polonês proeminente. A amostra continha um número de identificação PESEL, dois números de telefone e detalhes de 25 prescrições. Essa divulgação reportada aumentou a preocupação de que o material comprometido possa conter consideravelmente mais do que informações básicas de contato.
As autoridades polonesas não atribuíram publicamente a intrusão a um grupo específico de hackers. Gawkowski também afirmou que os investigadores atualmente não têm indicação de que a operação tenha sido motivada politicamente. De acordo com a avaliação do governo divulgada pela mídia polonesa, autoridades acreditam com alto grau de confiança que cibercriminosos motivados financeiramente são responsáveis, e não apenas atores conduzindo uma operação política.
Também há uma diferença importante entre informações serem roubadas e elas serem divulgadas publicamente. Gawkowski disse em 13 de agosto que as autoridades não encontraram o banco de dados afetado disponível publicamente nem oferecido para venda e que os serviços poloneses estavam monitorando sua aparência.
O governo está preparando uma forma para que os indivíduos possam determinar se suas próprias informações foram incluídas no incidente. Gawkowski disse que um anúncio separado explicaria como as pessoas poderiam realizar essa verificação, o que significa que detalhes do processo de verificação ainda não estavam disponíveis no momento do anúncio.
Por enquanto, vários detalhes cruciais permanecem sem solução: o número confirmado de indivíduos afetados, as categorias completas de informações comprometidas, como os atacantes entraram nos sistemas do MyDr e se o banco de dados roubado será publicado ou vendido em última instância. O MyDr diz que essas respostas dependem da investigação forense que ainda está em andamento.