פריצה לחברת התוכנה הרפואית MyDr בפולין חושפת נתוני כ-19 מיליון אזרחים

בפולין מתמודדים השבוע עם אחד מדלפי המידע הגדולים שידעה המדינה: פריצה לחברת MyDr, שמספקת תוכנה לניהול מרפאות ומוסדות רפואיים, עלולה לחשוף נתונים אישיים ורפואיים של כ-19 מיליון בני אדם — כמעט מחצית מאוכלוסיית פולין. בין הנתונים שנגנבו: מספרי זהות לאומיים, מרשמים רפואיים ומסמכים שהועלו למערכת על ידי מטופלים.

הפרטים

לפי שר הדיגיטל הפולני, Krzysztof Gawkowski, התוקפים גנבו יותר מ-2 טרהבייט של מידע ממערכות MyDr, המשמשות כ-12,000 מרפאות ומוסדות רפואה ברחבי פולין. בין הרשומות שנגנבו כ-18.8 מיליון מספרי PESEL ייחודיים — מספרי הזהות הלאומיים של פולין — לצד שמות, תאריכי לידה, תורים רפואיים, מרשמים ומסמכים שהעלו מטופלים למערכת. חלק מהמידע שנחשף הוא היסטורי ומגיע ממערכות ישנות של החברה. נכון לפרסום, אין אישוש שהמידע פורסם או הוצע למכירה בפועל.

מקור הפריצה עצמו שנוי במחלוקת: גורמים בלתי מזוהים פנו לתקשורת הפולנית וטענו שהם עומדים מאחורי הדלף, אך הרשויות טרם מצאו סימנים חד-משמעיים למתקפת סייבר חיצונית, ולא שוללות תקלה או הזנחה במערכות החברה. עם זאת השר גבקובסקי מסר שלהערכתו סביר שמדובר בפעולת פושעי סייבר. הלשכה המרכזית לפשעי סייבר ורשות הגנת המידע האישי הפולנית פתחו בחקירה, ו-MyDr הודיעה שאיתרה את מקור הפרצה וכבר נקטה צעדי אבטחה נוספים.

נקודות לשים לב

• מי מושפע בפועל: מטופלים שטופלו במרפאות או מוסדות רפואיים בפולין שהשתמשו במערכת MyDr — האירוע עצמו איננו ישראלי, אך רלוונטי לכל ארגון שמפקיד נתונים רפואיים רגישים בידי ספק תוכנה חיצוני.
• הלקח הרחב: ריכוז נתוני זהות לאומיים ורפואיים של מיליוני אנשים אצל ספק תוכנה יחיד הופך אותו ליעד בעל ערך עצום לתוקפים — גם כשמערכות הליבה של מערכת הבריאות הממשלתית עצמה לא נפרצו.
• מה לא נכון להסיק: הרשויות טרם קבעו בוודאות שמדובר במתקפת סייבר ולא בתקלה פנימית, שגיאת תצורה או הזנחה — יש להתייחס לפרטי אופן הפריצה כלא-סופיים עד לסיום החקירה.
• אם אתם מנהלים או רוכשים שירותי ענן שמאחסנים מידע רגיש (רפואי, זיהוי אישי) — בדקו כמה נתונים היסטוריים הספק עדיין שומר, לכמה זמן אחורה, ומהי מדיניות המחיקה שלו. חלק מהמידע שדלף כאן היה ישן משמעותית.

מקורות: The Record · PAP — הסוכנות הפולנית לידיעות