Gigantyczny wyciek danych. Posłowie PiS reagują na publikację Niezależna.pl
W ub. środę Ministerstwo Cyfryzacji potwierdziło informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej.
Obserwuj Niezalezna.pl w Google! Wejdź na nasz profil, a następnie kliknij „Obserwuj w Google”
Posłowie PiS podczas środowej konferencji prasowej przed resortem cyfryzacji nawiązali do publikacji portalu Niezależna.pl z tego tygodnia na temat podobnego ataku na tę samą platformę dwa lata wcześniej.
Szczegóły w tekście: Dane medyczne 19 mln Polaków. Wielki wyciek nastąpił już 2,5 roku temu
Poseł Radosław Fogiel zaznaczył, że „nikogo o tym nie informowano”, a z ministerstwa „nikt nie zająknął się, że to już drugi taki incydent”.
– To każe stawiać pytania, czy mieliśmy do czynienia z systemową podatnością, z błędem w tym serwisie, którym od dwóch i pół roku nikt się nie zajął i co być może umożliwiło kolejny wyciek danych. Czy cała sprawa była nadzorowana przez służby, przez Agencję Bezpieczeństwa Wewnętrznego, czy był dokonywany audyt bezpieczeństwa i jak mogło się to zdarzyć, że dwukrotnie, i to po tak długim czasie, te same dane medyczne w tym samym systemie padają ofiarą przestępców
– powiedział Fogiel.
– Domagamy się od ministra cyfryzacji, premiera Krzysztofa Gawkowskiego szczegółowego raportu na temat tego, co się zadziało. Jako posłowie PiS będziemy wnioskować o zwołanie nadzwyczajnego posiedzenia Komisji Cyfryzacji dotyczącego tych incydentów – podkreślił poseł Sebastian Łukaszewicz.
Z kolei wiceprzewodniczący sejmowej komisji cyfryzacji Dariusz Stefaniuk dodał, że posłowie PiS będą wnioskować o takie posiedzenie komisji „pewnie już na najbliższym posiedzeniu Sejmu” (2–4 września – red.). Rozmawiał już o tym z przewodniczącym komisji Bartłomiejem Pejo z Konfederacji.
Politycy PiS zapowiedzieli, że będą nie tylko żądać wyjaśnienia tej sprawy, ale też pytać o mechanizmy, które powinny być wprowadzone, np. przymusowe audyty w krótkich odstępach czasu w firmach, które zbierają dane obywateli.
Wyciek z 2024 r.
Portal Niezalezna.pl poinformował w tym tygodniu, że między 18 a 27 marca 2024 roku za pośrednictwem systemu MyDr nielegalnie pozyskano dane milionów osób, a śledztwo w tej sprawie wszczęła Prokuratura Regionalna w Poznaniu.
Prokuratura Regionalna w Poznaniu przekazała w komunikacie, że Samodzielny Dział do Spraw Cyberprzestępczości i Informatyzacji tej jednostki nadzoruje śledztwo dotyczące nieuprawnionego uzyskania dostępu do informacji poprzez przełamanie systemów jej zabezpieczeń.
Śledztwo wszczęto w kwietniu 2024 roku na podstawie zawiadomień Prezesa Narodowego Funduszu Zdrowia. Zawiadomienia dotyczyły ujawnionych incydentów, tj. nadmiarowych zapytań do usługi Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców (eWUŚ) za pośrednictwem podmiotów świadczących usługi medyczne.
„Zebrane materiały potwierdziły, iż w sposób nieuprawniony uzyskano dostęp do kont pracowników ustalonych podmiotów medycznych, korzystających z platformy MyDr, a następnie przy wykorzystaniu struktury programu zaimplementowano skrypt, który umożliwił kierowanie masowych zapytań do usługi Elektronicznej Weryfikacji Ubezpieczeń Świadczeniobiorców (eWUŚ). Skutkiem opisanego działania sprawców było skierowanie około 18 milionów zapytań i uzyskanie z systemu eWUŚ danych osobowych ponad 13 milionów osób”
– poinformowała prokuratura.
Dane obejmowały imię, nazwisko, PESEL i prawo do ubezpieczenia bądź jego brak.
Prokuratura zaznaczyła, że czynności funkcjonariuszy doprowadziły do odzyskania całej bazy danych nielegalnie uzyskanych z Narodowego Funduszu Zdrowia. „Czynności zapobiegły również dalszej odsprzedaży przedmiotowej bazy danych” - podkreśliła prokuratura.
W toku śledztwa ustalono sprawcę opisanego czynu, któremu prokurator zarzucił wytworzenie programów komputerowych służących do przełamywania informatycznych zabezpieczeń systemów oraz umożliwiających nieuprawniony dostęp do informacji przechowywanych w tych systemach, a także przełamanie zabezpieczeń danych. Podejrzany przyznał się do stawianych mu zarzutów i złożył wyjaśnienia. Jednocześnie w śledztwie zarzuty związane z nieuprawnionym dostępem do danych za pośrednictwem internetu, po przełamaniu systemów zabezpieczających, usłyszały jeszcze cztery osoby.
