Wyciek danych z systemu Medyc.pl
Wyciek danych z systemu Medyc.pl. Kolejny cyberatak na dane pacjentów – co powinny zrobić podmioty medyczne? Kolejny incydent, po głośnej sprawie wycieku z MyDr, cyberbezpieczeństwa dotyczący systemu wykorzystywanego w ochronie zdrowia pokazuje, że bezpieczeństwo danych pacjentów zależy nie tylko od zabezpieczeń stosowanych bezpośrednio przez placówkę medyczną. Istotnym elementem ryzyka jest również bezpieczeństwo dostawców systemów informatycznych.
Co wiadomo o zdarzeniu
Z informacji przekazanych przez Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu wynika, że placówka otrzymała informację o naruszeniu ochrony danych swoich pacjentów w związku z incydentem dotyczącym systemu Medyc. Według komunikatu placówki do ataku na systemy producenta miało dojść 22–23 sierpnia 2026 r. Atakujący mieli wykorzystać podatność typu SQL Injection, która umożliwiła uzyskanie dostępu do bazy danych. Z informacji dotyczących incydentu wynika również, że wykradzione zostało archiwum bazy danych, określane jako zaszyfrowane. Producent systemu został poinformowany o incydencie w nocy z 8 na 9 września 2026 r.

Kogo dokładnie dotyczy zdarzenie
Jak informuje zawiadamiający podmiot, ostatecznie stwierdzono, iż polecenia eksportu danych nie były ograniczone czasowo, co oznacza, że wyciekły dane osobowe pacjentów Oddziału Dziennego z okresu od 1.07.2024 do 23.08.2026.
Czym jest SQL Injection
SQL Injection to rodzaj podatności aplikacji internetowej polegający na możliwości wprowadzenia przez atakującego odpowiednio spreparowanych danych do zapytania kierowanego do bazy danych. Jeżeli aplikacja nieprawidłowo zabezpiecza dane wejściowe, atakujący może wykorzystać podatność do wykonania nieautoryzowanych operacji na bazie danych. W przypadku systemów medycznych konsekwencje takiej podatności mogą być szczególnie poważne. Baza danych może bowiem zawierać nie tylko podstawowe dane identyfikacyjne pacjentów, ale również informacje dotyczące świadczeń zdrowotnych, historii leczenia, wyników badań czy innych informacji związanych ze zdrowiem.
Kategorie danych osobowych, jakie mogły zostać objęte zdarzeniem.
Według informacji zawartych w komunikacie dotyczącym incydentu w bazie danych znajdowały się między innymi:
- imię i nazwisko,
- numer PESEL,
- adres zamieszkania lub pobytu,
- numer telefonu,
- adres poczty elektronicznej.
Według przekazanych informacji część danych, w tym imię, nazwisko oraz PESEL, była przechowywana w postaci zaszyfrowanej. Jednocześnie wskazano, że zastosowane zabezpieczenie mogło być niewystarczające i możliwe do złamania przez osoby posiadające odpowiednie możliwości techniczne. To bardzo ważna kwestia z punktu widzenia administratorów danych.
Dane o stanie zdrowia, również mogą być objęte zdarzeniem
Skoro dane były zaszyfrowane, jak ocenić ryzyko naruszenia praw lub wolności
Odwołując się do do treści Poradnika UODO, jego autorzy wskazują, iż z brakiem ryzyka dla praw lub wolności osób fizycznych, mamy do czynienia, kiedy naruszenie ochrony danych osobowych, dotyczy:
- ujawnienia danych, które są już publicznie dostępne,
- ujawnienia lub utracenia danych zaszyfrowanych w sposób zapewniający ich nieczytelność dla osób nieupoważnionych, jeśli są one zabezpieczone kluczem, który nie został naruszony, a administrator ma dostęp do ich kopii zapasowej),
- incydentów którym administrator definitywnie zaradzi,
- sytuacji, w jakiej dane ujawnione zostały „zaufanemu odbiorcy”.
Samo stwierdzenie, że dane były „zaszyfrowane”, nie oznacza jeszcze, że ich ujawnienie nie powoduje ryzyka dla osób, których dane dotyczą. Przy ocenie naruszenia należy bowiem uwzględnić m.in. rodzaj zastosowanego szyfrowania, sposób zarządzania kluczami, możliwość odszyfrowania danych oraz to, czy osoba nieuprawniona faktycznie mogła uzyskać dostęp do informacji w formie pozwalającej na ich wykorzystanie.
Procedura oceny ryzyka dla w przypadku danych zaszyfrowanych, publicznie dostępnych, przy "zaufanym odbiorcy" oraz przy zaradzeniu incydentowi.
Gdzie można uzyskać dalsze informacje?
Zgodnie z treścią komunikatu opublikowanego przez zawiadamiający podmiot, w przypadku dodatkowych pytań dotyczących incydentu, pozostaje on do dyspozycji zainteresowanych, którzy mogą kontaktować się w sprawie bezpośrednio pod adresem e-mail: opol.inowroclaw@gmail.com oraz iod@terapia-inowroclaw.pl
Korzystasz z systemu Medyc.pl ...
Incydent związany z systemem Medyc.pl jest kolejnym przykładem tego, że cyberbezpieczeństwo podmiotu leczniczego nie kończy się na komputerach znajdujących się w placówce. Jeżeli dane pacjentów są przetwarzane w systemie dostawcy zewnętrznego, bezpieczeństwo tego dostawcy staje się częścią bezpieczeństwa całego procesu przetwarzania danych. Dlatego podmiot leczniczy powinien wiedzieć: jakie systemy wykorzystuje, jakie dane są w nich przetwarzane, kto ma do nich dostęp, gdzie są przechowywane dane oraz co stanie się w przypadku cyberataku na dostawcę. W przypadku danych dotyczących zdrowia szczególne znaczenie ma również przygotowanie procedury reagowania na incydenty i prawidłowe przeprowadzenie analizy naruszenia ochrony danych osobowych
Potrzebujesz wsparcia oddzwonimy ...
Zgodnie z art. 13 RODO Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1) [dalej „RODO”] informuje się co następuje. Administratorem Danych Osobowych [dalej ADO] jest: Przedsiębiorstwo Wielobranżowe Aleksandra Kubik ul. Obrońców Westerplatte 13 lok 37, 42-200 Częstochowa, NIP: 9491984104, REGON: 368912262, Adres kontaktowy email: biuro@prostetorodo.pl Numer telefonu kontaktowego: 694494240.
Pana/Pani dane osobowe udostępnione za pośrednictwem „Formularza na stronie WWW” przetwarzane będą w celu: przesyłania informacji handlowych dotyczących produktów, usług, promocji i wydarzeń związanych z działalnością ADO, w tym marketingu bezpośredniego, na podstawie art. 6 ust. 1 lit. a) RODO w związku z art. 398 Ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej [Dz.U. z 2024r., poz. 1221] adekwatnie do dokonanego wyboru za pośrednictwem rozmów telefonicznych lub wiadomości SMS/MMS, korespondencji elektronicznej, ewentualnego dochodzenia roszczeń i obrony przed ewentualnymi roszczeniami, na podstawie art. 6 ust. 1 lit. f) RODO –przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez ADO. Podanie przez Pana/Panią danych osobowych Pana/Pani dotyczących jest dobrowolne, aczkolwiek ich nie podanie skutkuje brakiem możliwości realizacji celów przetwarzania, o jakich mowa w niniejszym dokumencie.
Pani/Pana dane osobowe będą udostępniane uprawnionym na podstawie przepisów prawa podmiotom i organom publicznym adekwatnie do charakteru sprawy w szczególności: zewnętrznej kancelarii prawnej oraz podmiotom, z którymi ADO zawarł umowy powierzenia przetwarzania danych osobowych, które są podmiotami działającymi na zlecenie i w jego imieniu, w szczególności są nimi: podmiot zewnętrzny świadczący usług IT, podmiot zewnętrzny świadczący usługi hostingowe. Pani/Pana dane przetwarzać będziemy, dopóki istnieć będzie potrzeba realizacji celu, w jakim zostały pozyskane, z zastrzeżeniem jednak, iż w przypadku kiedy przetwarzanie danych realizowane jest na podstawie art. 6 ust. 1 lit a) RODO ma Pani/Pan prawo w dowolnym momencie wycofać wyrażoną zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. W celu wycofania zgody prosimy o przesłanie emial: biuro @ prostetorodo.pl można także stosowne oświadczenie przekazać na adres siedziby ADO.
Ma Pani/Pan prawo do: żądania od ADO dostępu do danych osobowych Pani/Pana dotyczących, żądania od ADO sprostowania danych osobowych Pani/Pana dotyczących, żądania od ADO usunięcia danych osobowych Pani/Pana dotyczących, żądania od ADO ograniczenia przetwarzania danych osobowych Pani/Pana dotyczących, wniesienia sprzeciwu wobec przetwarzania danych osobowych Pani/Pana dotyczących, żądania od ADO przeniesienia danych osobowych Pani/Pana dotyczących, cofnięcia zgody w dowolnym momencie bez konsekwencji dla przetwarzania, którego dokonano przed jej cofnięciem, jeśli dane zbierane są na podstawie zgody. Zakres każdego z tych praw oraz sytuacje, z których można z nich skorzystać, wynikają z przepisów RODO. Z praw tych może Pan/Pani skorzystać składając wniosek u ADO. Ma Pani/Pan prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO. W związku z przetwarzaniem Pani/Pana danych nie będzie Pani/Pan podlegać decyzjom, które opierać się będą wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu. Pani/Pana dane nie są przekazywane poza Europejski Obszar Gospodarczy.
Dokumentacja SZBI / KSC dla podmiotu medycznego
Odpowiedzialność kierownika na gruncie Ustawy KSC
Materiały wykorzystanie do opracowania
Wybierz interesujący tematycznie dział Sklepu RODO
Grafika utworzona z wykorzystaniem narzędzi sztucznointeligentnych. Tekst opracowania powstał w oparciu o wskazane materiały źródłowe a zredagowany został z wykorzystaniem narzędzi sztucznointeligentnych.
