Incydent MyDr

Wiadomość od Piotra Miluskiego, CEO MyDr

Kilka słów ode mnie.

Minęły około dwa tygodnie od dnia, w którym dowiedzieliśmy się, że doszło do włamania do naszych systemów. To były najtrudniejsze dwa tygodnie w historii tej firmy. Wiem jednak, że były one znacznie trudniejsze dla naszych klientów i pacjentów, osób, które znalazły się w sytuacji, na którą nie miały wpływu.

Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych. Wiem, że obawa o swoje dane medyczne nie jest zwykłym stresem. To jedne z najbardziej prywatnych informacji, jakie istnieją, a ich bezpieczeństwo traktujemy jako nasze najważniejsze zadanie.

Byliśmy celem cyberataku. Fakt, że zostaliśmy zaatakowani, nie zmienia jednak tego, jak poważnie traktujemy nasze etyczne obowiązki wobec Państwa oraz odpowiedzialność, którą czujemy za odbudowanie Państwa zaufania. Postępowanie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa. Równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane zostały objęte incydentem.

W najbliższych dniach rozpoczniemy oficjalne informowanie placówek medycznych zgodnie z RODO i pomożemy im w komunikacji z pacjentami. Na tym etapie przyjmujemy z ostrożności celowo szerokie podejście do procesu informowania.

Za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy nie możemy wykluczyć z zakresu incydentu. Grupa ta została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 roku lub wcześniejsze), znajdowały się w środowisku objętym incydentem.

Chcę podkreślić, że to jednak nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione. Nasze zespoły oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.

Wolimy poinformować zbyt szeroką grupę osób niż zbyt wąską, ponieważ uważamy, że każdy zasługuje na to, aby wiedzieć i móc odpowiednio zareagować. Placówki otrzymają od nas gotowe materiały oraz wsparcie na każdym etapie, tak aby każdy pacjent dowiadywał się o sytuacji od swojej placówki medycznej, a nie z mediów.

Od samego początku w pełni współpracujemy z organami ścigania (CBZC), a także z wieloma innymi instytucjami i podmiotami, między innymi z zespołem reagowania na incydenty bezpieczeństwa komputerowego CERT Polska działającym w ramach Naukowej i Akademickiej Sieci Komputerowej (NASK), Centrum e-Zdrowia (CeZ) oraz Ministerstwem Cyfryzacji.

Mieliśmy okazję zobaczyć z bliska, jak wiele pracy i zaangażowania pracownicy tych instytucji wkładają w wyjaśnienie tej sprawy. Chcę podziękować wszystkim osobom, które nas wspierają, za ich profesjonalizm, zaangażowanie i pomoc.

Przed nami dalsze działania i kontrole prowadzone przez właściwe organy. Będziemy nadal w pełni współpracować i przekażemy informacje niezbędne do wyjaśnienia tej sprawy.

Ten incydent pokazał nam również, jak szybko zmieniają się zagrożenia związane z cyberbezpieczeństwem. Wzmacniamy nasze zabezpieczenia i sposób, w jaki są one weryfikowane. Nasze systemy będą poddawane ciągłym testom pod kątem nowych i pojawiających się zagrożeń, również z wykorzystaniem nowoczesnych narzędzi opartych na AI. Te prace już trwają.

Wiele osób pyta mnie, co mogliśmy zrobić lepiej. Dziś moja odpowiedź brzmi, że zasługują Państwo na pełną odpowiedź na to pytanie, a nie na pospieszną. Kiedy analiza zostanie zakończona, otwarcie poinformujemy o tym, czego się dowiedzieliśmy, jakie wnioski z tego wyciągamy i jakie działania podejmujemy.

Do tego czasu będziemy regularnie informować za pomocą tej strony o tym, co już wiemy i co robimy. Jeśli macie Państwo pytania, na tej stronie znajdziecie również informacje, jak się z nami skontaktować.

Piotr Miluski, CEO MyDr

Pozostajemy zaangażowani w proaktywne i transparentne przekazywanie aktualizacji oraz praktycznych informacji w miarę ich pozyskiwania.

Jesteśmy obecnie na końcowym etapie ustalania zakresu incydentu, w tym tego, które dane oraz którzy klienci i pacjenci mogli zostać nim dotknięci.

Gdy tylko te prace zostaną zakończone, a ustalenia potwierdzone, skontaktujemy się bezpośrednio z klientami, których dotyczy incydent, i przekażemy jasne informacje o tym, co ten incydent dla nich oznacza oraz jakie działania, jeśli w ogóle, powinni podjąć.

Wiemy, że kolejne kroki dotyczące incydentu mogą być skomplikowane. Naszym priorytetem jest, aby ten proces był dla naszych klientów możliwie najbardziej przejrzysty i prosty.

Tam, gdzie wymagane będzie podjęcie działań, MyDr zapewni praktyczne wsparcie oraz niezbędne materiały, aby pomóc klientom w wypełnieniu ich obowiązków, w tym:

• wskazówki i dokumentację wspierające wymagane zgłoszenia do Urzędu Ochrony Danych Osobowych (“UODO”) lub innych właściwych organów;

• wzory i materiały wspierające komunikację z pacjentami, których dotyczy incydent, tam gdzie wymagane jest powiadomienie;

• jasne instrukcje wyjaśniające, co należy zrobić, kto ma to zrobić i w jakim terminie.

Naszym priorytetem jest dostarczenie Państwu informacji, narzędzi i wsparcia potrzebnych do możliwie najłatwiejszego i najskuteczniejszego przeprowadzenia kolejnych kroków.

Zespoły ds. Bezpieczeństwa, Inżynierii i Infrastruktury, wspierane przez zewnętrznych ekspertów ds. cyberbezpieczeństwa, pracują nieprzerwanie przez całą dobę. Wszystkie systemy MyDr są w pełni operacyjne i bezpieczne w użytkowaniu zarówno dla pacjentów, jak i lekarzy. Nasi partnerzy ds. cyberbezpieczeństwa aktywnie monitorują dark web i nie stwierdzili aby jakiekolwiek dane MyDr były upublicznione. W pełni współpracujemy z organami, instytucjami rządowymi oraz organami ścigania.

Rozumiemy, że wielu klientów oczekuje jasności w kwestii incydentu jak najszybszej. Będziemy przekazywać potwierdzone informacje, gdy tylko będą dostępne, zamiast spekulować, dopóki ostateczny zakres incydentu jest wciąż ustalany.

Naszym priorytetem pozostaje zapewnienie bezpieczeństwa i integralności naszych systemów oraz kompleksowe wyjaśnienie wszystkich okoliczności zdarzenia. Nasze zespoły ds. bezpieczeństwa, inżynierii i infrastruktury, wspierane przez zewnętrznych ekspertów ds. cyberbezpieczeństwa, nieprzerwanie pracują nad tą sprawą.

Informujemy, że niezwłocznie po uzyskaniu informacji o incydencie:

• zidentyfikowaliśmy i usunęliśmy przyczynę oraz wdrożyliśmy dodatkowe środki bezpieczeństwa,

• jesteśmy w kontakcie z Prezesem Urzędu Ochrony Danych Osobowych (UODO),

• podjęliśmy intensywną współpracę z CERT Polska oraz Centralnym Biurem Zwalczania Cyberprzestępczości (CBZC).

Jednocześnie informujemy, że obecnie odnotowujemy większą niż zwykle liczbę połączeń, co może wiązać się z dłuższym czasem oczekiwania na odpowiedź od naszego zespołu. Robimy wszystko co w naszej mocy, aby odpowiadać na pytania tak szybko, jak to możliwe. Przepraszamy za związane z tym niedogodności

Rozumiemy, że ta sytuacja wzbudziła niepokój. Będziemy nadal publikować tutaj zweryfikowane informacje oraz istotne aktualizacje, gdy tylko będą dostępne.

Dziękujemy za Państwa cierpliwość i wyrozumiałość w czasie, gdy prowadzimy szczegółowe postępowanie wyjaśniające i podejmujemy działania związane z tym incydentem.

W przypadku pytań ze strony mediów prosimy o kontakt z Małgorzatą Pragłowską, odpowiedzialną za PR MyDr: media@all4comms.com

Aktualizacja dotycząca certyfikatów P1

Przeanalizowaliśmy bezpieczeństwo certyfikatów P1 w ścisłej współpracy z CEZ. Na podstawie wyników dotychczasowego dochodzenia i dostępnych informacji nie mamy żadnych wskazań, że certyfikaty P1 zostały naruszone lub wykorzystane w niewłaściwy sposób.

Jednocześnie, z zachowaniem szczególnej ostrożności i w porozumieniu z CEZ, rekomendujemy stopniową rotację certyfikatów P1. Ta rekomendacja to dodatkowy środek ostrożności, i nie wynika z wątpliwości czy certyfikaty P1 zostały naruszone lub niewłaściwie wykorzystane. Ze względu na to, że dochodzenie wciąż trwa, uważamy, że rozsądnie jest podjąć ten dodatkowy krok zanim potwierdzone zostaną pozostałe ustalenia, aby wzmocnić bezpieczeństwo.

Aby proces był łatwy do zarządzania i nie powodował niepotrzebnych zakłóceń, MyDr i CEZ będą koordynować rotację etapami. Skontaktujemy się bezpośrednio mailowo z wybranymi grupami placówek, przekazując jasne instrukcje, gdy nadejdzie ich kolej na rotację certyfikatów. Proces będzie prowadzony stopniowo, aż rotacja zostanie zakończona we wszystkich placówkach.

W związku z tym placówki nie muszą podejmować żadnych natychmiastowych ani samodzielnych działań.

Rozumiemy, że obecna sytuacja może wzbudzać niepokój, i doceniamy cierpliwość oraz współpracę wszystkich w trakcie toczącego się dochodzenia. Naszym priorytetem jest wdrożenie proporcjonalnych środków zapobiegawczych, przy jednoczesnym zapewnieniu placówkom jasnych wytycznych i uniknięciu niepotrzebnych zakłóceń operacyjnych.

Skontaktujemy się bezpośrednio z placówkami, gdy będzie od nich wymagane jakiekolwiek działanie.

Na tym etapie trwającego dochodzenia potwierdzamy, że staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych.

Naszym priorytetem jest zapewnienie bezpieczeństwa i integralności naszych systemów oraz pełne zbadanie tej sprawy. Dane objęte incydentem najprawdopodobniej mają charakter historyczny - pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów.

Na dzień dzisiejszy potwierdzamy, że:

• nasze systemy są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy
• nasi partnerzy zajmujący się cyberbezpieczeństwem aktywnie monitorują dark web i potwierdzili, że na moment publikacji nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie

Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji.

Nasi klienci nie muszą obecnie podejmować żadnych działań. Skontaktujemy się proaktywnie z klientami, których dotyczy incydent, zapewniając im wsparcie i wskazówki, gdy tylko ustalimy, które placówki i jakie dane zostały nim objęte. Jednocześnie zapewniamy naszych klientów, że udzielimy im wsparcia w zgłoszeniu incydentu odpowiednim organom ochrony danych osobowych oraz w komunikacji z pacjentami, jeśli będzie to wymagane. Obecnie żadne zgłoszenia ze strony placówek nie są wymagane, a jeśli to się zmieni, przekażemy naszym klientom dalsze informacje bezpośrednio.

Nasze zespoły Bezpieczeństwa, Inżynierii i Infrastruktury, wspierane przez zewnętrznych ekspertów do spraw cyberbezpieczeństwa, pracują dzień i noc, aby zbadać tę sprawę. Ponieważ dochodzenie jest wciąż w toku, na tym etapie nie możemy udostępnić dalszych szczegółów technicznych ani spekulować na temat kolejnych ustaleń. 

Jesteśmy wdzięczni za współpracę władz, instytucji rządowych oraz organów ścigania prowadzących dochodzenie w sprawie tego czynu przestępczego. Jednocześnie przepraszamy za niepokój, który ten incydent mógł wywołać.