Dane medyczne tysięcy Polaków wyciekły do internetu

Jako pierwsze o zdarzeniu poinformowały w poniedziałek portale Niebezpiecznik.pl oraz Zaufana Trzecia Strona. Podają, że grupa ransomware RA World wspomniała o ataku już 19 listopada. Ramsomware to złośliwe oprogramowanie, które szyfruje pliki, następnie żądając zapłaty za klucz dostępu, umożliwiający przywrócenie danych.

Przestępcy na swoim blogu opublikowali próbkę wykradzionych danych, umożliwiając pobranie plików zawierających 5 GB wyników testów laboratoryjnych i ponad 1 GB umów. W ujawnionych danych pacjentów znajduje się ponad 55 tys. wyników różnych badań, wraz z danymi takimi jak imię i nazwisko, PESEL, adres zamieszkania. Laboratorium opublikowało komunikat na swojej stronie.

- Wstępna analiza incydentu wykazała, że osoby trzecie w sposób bezprawny mogły uzyskać dostęp do następujących danych osobowych: imię i nazwisko, numer PESEL, data urodzenia, miejsce zamieszkania oraz wynik badania laboratoryjnego. W związku z powyższym wdrożono awaryjne procedury bezpieczeństwa i komunikacji zmierzające do likwidacji skutków ataku oraz ustalenia zakresu szkód, jednocześnie informując administratorów, których dane zostały powierzone spółce do przetwarzania. Jednocześnie spółka zgłosiła naruszenie do Prezesa Urzędu Ochrony Danych Osobowych oraz poinformowała uprawnione instytucje (CERT Polska, Ministerstwo Zdrowia, Centrum E-Zdrowia), a także złożyła zawiadomienie o podejrzeniu popełnienia przestępstwa do policyjnego Centralnego Biura Zwalczania Cyberprzestępczości. Równolegle wdrożono procedury wewnętrznego i zewnętrznego audytu bezpieczeństwa danych osobowych oraz uruchomiono monitoring sieci Internet pod kątem możliwego upublicznienia nielegalnie pozyskanych danych – czytamy na stronie ALAB Laboratoria.

Wykradzione dane medyczne dotyczą pacjentów 3 placówek, które mają podpisaną umowę z ALAB i w podanym okresie wykonywały badania. Są to Klinika z Łomianek (okres badań: 31 październik 2017 do 26 maja 2020), Klinika z Warszawy (okres badań: 23 marzec 2021 do 27 kwietnia 2023). Praktyka lekarska z Łodzi (okres badań: 21 kwietnia 2021 do 27 września 2023). To informacje jedynie z próbki przesłanej przez przestępców, w związku z czym nie wiadomo ile zleceniodawców padnie lub padło ofiarą hakerów.

ALAB ma swoje punkty pobrań w 29 lokalizacjach na terenie województwa lubelskiego. Nie wiadomo, jakie będą dalsze kroki hakerów, dlatego pomocne może okazać się zastrzeżenie swojego numeru PESEL.