Wyciek wyników badań medycznych z ogólnopolskiej sieci laboratoriów medycznych ALAB

Przestępcy udostępnili linki umożliwiające pobranie dwóch plików zawierających spakowane dane. Pierwszy to 5 GB wyników testów laboratoryjnych, drugi to nieco ponad 1 GB umów, zawieranych przez firmę ALAB - podaje zaufanatrzeciastrona.pl. Wiadomo, że hakerzy opublikowali tylko część posiadanych danych.

Wyciek danych pacjentów ALAB

Do sieci trafiło ponad 110 tys. plików, część z nich łatwo odczytać, ponieważ to pliki PDF, część ma format XML do masowej analizy. "Obecność dwóch plików dla każdego badania oznacza, że w ujawnionych danych znajdują się wyniki ponad 55 tysięcy różnych badań, najczęściej dotyczących różnych osób" - podaje portal, zaznaczając, że poszkodowanych może być ponad 50 tys. osób, które miały badania w latach 2017 - 2023 (najnowszy plik pochodzi z 27 września 2023). Niewykluczone, że do sieci trafią kolejne dane.

"Wyciekły dane pacjentów trzech konkretnych praktyk medycznych, które we wskazanym wyżej okresie zleciły badania ALABowi" - podaje Niebezpiecznik.pl, wskazują na Warszawę, Łomianki i Łódź.

Wyciek jest skutkiem ataku grupy ransomware. "Ransomware (ang. ransom - okup, ang. software – oprogramowanie) to program należący do rodziny szkodliwego oprogramowania. Powoduje blokadę lub zaszyfrowanie plików znajdujących się na urządzeniu. W razie niezapłacenia okupu cyberprzestępcy grożą całkowitą utratą dostępu do danych bądź urządzenia" - wyjaśnia rządowy serwis gov.pl.

Komunikat firmy ALAB

27 listopada przedstawiciele firmy ALAB wydali komunikat, w którym poinformowali o "możliwości naruszenia ochrony danych osobowych w związku z incydentem bezpieczeństwa w postaci ataku hakerskiego". W oświadczeniu podkreślono, że "incydent ten jest wynikiem działalności przestępczej mającej na celu wymuszenie na spółce okupu".

- W dniu 19 listopada 2023 roku zaobserwowano próbę zmasowanego ataku na serwery spółki. Po dokonaniu analizy zdarzenia ustalono, że dostęp do znajdujących się tam danych mogły w sposób bezprawny uzyskać osoby nieuprawnione. Zespół ekspercki dokonał natychmiast analizy ryzyka incydentu zgodnie z rekomendacjami ENISA (Agencja Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji) i wstępnie oszacował wartość ryzyka jako wysoką. Wstępna analiza incydentu wykazała, że osoby trzecie w sposób bezprawny mogły uzyskać dostęp do następujących danych osobowych: imię i nazwisko, numer PESEL, data urodzenia, miejsce zamieszkania oraz wynik badania laboratoryjnego - przekazano.

Firma od razu zdecydowała się wdrożyć procedury awaryjne, które miały zlikwidować skutki ataku oraz ustalić zakres szkód, "jednocześnie informując administratorów, których dane zostały powierzone spółce do przetwarzania". Sprawa została zgłoszona do Prezesa Urzędu Ochrony Danych Osobowych, CERT Polska, Ministerstwa Zdrowia oraz Centrum E-Zdrowia. Złożono również zawiadomienie o podejrzeniu popełnienia przestępstwa do policyjnego Centralnego Biura Zwalczania Cyberprzestępczości.

- Równolegle wdrożono procedury wewnętrznego i zewnętrznego audytu bezpieczeństwa danych osobowych oraz uruchomiono monitoring sieci Internet pod kątem możliwego upublicznienia nielegalnie pozyskanych danych - przekazano.

W komunikacie firma poinformowała również o zagrożeniach wynikających z ataku oraz działaniach, które można podjąć, aby zminimalizować szkody.

Ekspert: placówki medyczne to słabe ogniwo w systemie bezpieczeństwa danych

Ekspert serwisu ChronPESEL.pl. Bartłomiej Drozd zwraca uwagę, że słabym ogniwem w systemie bezpieczeństwa danych są polskie placówki medyczne, których słabą stroną jest niski poziom zabezpieczeń, luki w oprogramowaniu czy nieprzestrzeganie procedur przez pracowników.

Wskazał, że zarówno szpitale jak i przychodnie posiadają dane personalne milionów Polaków, którzy korzystali z ich usług. Chodzi tu nie tylko o informacje dotyczące chorób i leków, ale także numery PESEL czy adresy. Zauważył też, że w ostatnich latach to m.in. służba zdrowia stała się głównym celem cyberataków, zarówno w Polsce, jak i na świecie. Powołując się na dane Ministerstwa Cyfryzacji, powiedział, że liczba zgłoszonych cyberataków na placówki ochrony zdrowia wzrosła trzykrotnie w ciągu jednego roku – z 13 w 2021 do 43 w 2022. Przedstawił też dane firmy Check Point Research, z których wynika, że na placówki służby zdrowia na świecie notuje się ok. 1800 ataków tygodniowo, a w 2022 roku branża zanotowała wzrost liczby takich incydentów o 74 proc.

W Polsce - jak przypomniał Drozd - do najgłośniejszego ataku na placówkę medyczną doszło rok temu, gdy ofiarą hakerów padło Centrum Zdrowia Matki Polki. Kilka miesięcy później podobny atak został przeprowadzony na Centralny Szpital Kliniczny w Łodzi, jednak - jak dodał ekspert - specjaliści od cyberbezpieczeństwa w porę wykryli zagrożenie i profilaktycznie wyłączyli systemy informatyczne szpitala. W jego ocenie, przestępcy nie poprzestają tylko na atakowaniu dużych placówek, które zaczynają być lepiej chronione, ale na cele wybierają mniejsze ośrodki jak np. szpital w Pajęcznie w lutym 2022 roku, gdy cyberprzestępcy włamali się do systemu informatycznego. Dodał, że incydenty sektorze medycznym związane z tzw. przełamaniem zabezpieczeń regularnie są zgłaszane do Urzędu Ochrony Danych Osobowych.

Wagę problemu bezpieczeństwa danych osobowych w placówkach służby zdrowia potwierdza rzecznik UODO Adam Sanocki. "Z uwagi na kategorię danych objętych incydentem, generują one wysokie ryzyka dla praw lub wolności osób fizycznych" - wskazał.

Przyznał, że systemy informatyczne w niektórych placówkach zdrowia nadal nie spełniają wymogów zgodnych z ogólnym rozporządzeniem o ochronie danych (RODO). "Nie dziwi więc fakt, że liczba ataków nie maleje, a biorąc pod uwagę zapowiedzi kolejnych działań mających na celu digitalizację usług medycznych, należy spodziewać się wzrostu takich incydentów w kolejnych latach" – dodał Sanocki.

Rzecznik UODO zwrócił uwagę, że ataki hakerskie nie koncentrują się wyłącznie na dużych instytucjach medycznych, ale "na małych podmiotach, prowadzonych często przez osoby fizyczne, które nie wdrożyły na czas adekwatnych środków w celu ochrony swoich zasobów".

Serwis ChronPESEL.pl przywołuje też dane Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA). Z opublikowanego przez tę instytucję raportu pt.: "Health Threat Landscape", wynika, że ataki typu ransomware (polegające na stosowaniu złośliwego oprogramowania do szyfrowania ważnych plików przechowywanych na dysku lokalnym i sieciowym) stanowią ok 54 proc. wszystkich incydentów cybernetycznych, które miały miejsce od 2021 roku. Co więcej, 30 proc. z nich stanowiły dane pacjentów.

Eksperci od cyberbezpieczeństwa podkreślają, że stosunkowo niewielka w porównaniu z krajami zachodnimi liczba ujawnionych przypadków kradzieży danych osobowych z placówek medycznych w Polsce nie powinna nas uspokajać. "Jeśli w znacznie bogatszych i bardziej zaawansowanych technologicznie krajach Europy Zachodniej, Stanach Zjednoczonych czy Kanadzie odnotowuje się rosnącą liczbę skutecznych ataków na bazy danych placówek medycznych, to trudno się spodziewać że w Polsce takie zjawisko nie występuje. Raczej należy przyjąć założenie, że nie potrafimy go wykryć" - uważa Bartłomiej Drozd.

Dodano, że z przeprowadzonego w kwietniu 2023 roku przez serwis ChronPESEL.pl i Krajowy Rejestr Długów pod patronatem UODO badania pt. "Dane osobowe – czy wiemy, jak je chronić?" wynika, że wyciek danych z instytucji publicznych i firm prywatnych jest drugim pod względem liczby wskazań zagrożeniem dla danych osobowych identyfikowanym przez Polaków. "Obawy takie wyrażało 38 procent respondentów. Większe zagrożenie dla bezpieczeństwa danych osobowych widzieli tylko w fałszywych SMS-ach, e-mailach i telefonach – co stanowiło 42 procent wskazań" – poinformowano.

Listen on Spreaker.