Niebezpiecznik

Otrzymujemy wiadomości od zaniepokojonych Czytelników, że właśnie dostali SMS-a o następującej treści:

Uwaga! DCG Centrum Medyczne sp. z o.o. (DCG) informuje, iz doszlo do naruszenia poufnosci Panstwa danych osobowych poprzez ich bezpodstawne przechowywanie po rozwiazaniu umowy przez podmiot, ktoremu powierzylismy przetwarzanie Panstwa danych (procesor), a nastepnie poprzez kradziez Panstwa danych z systemow informatycznych procesora na skutek ataku hakerskiego oraz ujawnienia tych danych na forum cyberprzestepczym.

Jak widzicie, wiadomość nie jest bogata w szczegóły, pewnie dlatego część z odbiorców zgłaszało nam ją jako …spam. Ale to nie scam, DCG Centrum Medyczne faktycznie odnotowało incydent i wiadomość wysłało do osób, których dane przetwarzało (lub powierzyło do przetwarzania kontrahentowi). Wygląda na to, że część z osób, która otrzymała tę wiadomość po prostu nie pamięta, że korzystało z usług tego wrocławskiego centrum medycznego, które — jak czytamy na ich stronie — specjalizuje się w “zdrowiu intymnym”:

Nie wiemy, czy wysyłka tej wiadomości to własna inwencja DCG Centrum Medyczne, czy nakaz ze strony UODO. Ale wiadomość stworzona jest tak, że można odnieść wrażenie, iż jej celem było “odhaczenie” obowiązku poinformowania poszkodowanych o incydencie. I niestety tylko tyle, bo SMS nie zawiera żadnych szczegółów co do tego:

• jakie konkretnie dane zostały skradzione? I czy u każdego takie same?
• kim jest “procesor”, czyli podmiot któremu DCG Centrum Medyczne udostępniło dane, które zostały skradzione
• jakie mogą być skutki tego wycieku danych dla poszkodowanych
• jak wysokie wg kliniki jest ryzyko nieuprawnionego użycia danych?

Na stronie kliniki też nie znajdziemy ani słowa o incydencie, a pacjenci w internecie są mocno zdezorientowani. Telefon kliniki nie odpowiada (można się spodziewać, że po takim nieprecyzyjnym sformułowaniu komunikatu, został zadzwoniony na śmierć przez zaniepokojonych pacjentów):

Przygotowaliśmy w tej sprawie pytania do DCG Centrum Medyczne i jeśli otrzymamy na nie odpowiedź, zaktualizujemy ten artykuł.

Jakie dane przetwarza ta klinika?

Z polityki prywatności kliniki wynika, że przetwarza ona następujące dane osobowe:

• imię i nazwisko,
• PESEL lub datę urodzenia,
• płeć
• numer telefonu,
• adres e-mail

ale oczywiście dochodzą do tego jeszcze dane medyczne (obejmują m.in. opis przebiegu procesu leczenia i diagnostyki). Klinika w polityce prywatności informuje, że dane te może przekazywać zewnętrznym podmiotom:

Pani/Pana dane mogą być przekazywane podmiotom przetwarzającym dane osobowe na zlecenie administratora m.in. dostawcom usług IT, podmiotom obsługującym płatności (…) agencjom marketingowym (…) – przy czym takie podmioty przetwarzają dane na podstawie umowy z administratorem i wyłącznie zgodnie z poleceniami administratora.

Byłem pacjentem DCG Centrum Medyczne — co robić, jak żyć?

Jak już wspomnieliśmy, poszkodowani nie zostali poinformowani ani jakie ich dane wykradziono ani od którego z dostawców. Aby to ustalić możecie zadzwonić do administratora danych osobowych kliniki, na numer wskazany w polityce prywatności +48 71 71 88 600 lub napisać do niego e-maila na adres kontakt@dcg.wroclaw.pl.

Do momentu ustalenia szczegółów incydentu, sugerujemy założyć najgorsze — że ktoś pozyskał wszystkie Wasze dane.

Aktualizacja (25.03.2024 20:34)
Jeden z Czytelników przesłał nam kolejną wiadomość, jaką właśnie otrzymał od DCG (lepiej późno, niż wcale)

Jak widać, nasze pesymistyczne założenia okazały się być poprawne. Wyciekło “wszystko”, a nawet więcej, bo jeszcze adres zamieszkania (którego polityka prywatności nie wskazywała).

Dobrym pomysłem będzie więc:

1. Zastrzeżenie numeru PESEL
2. Zwiększenie czujności na kontakty telefoniczne/e-mailowe, które mogą mieć na celu wyłudzenie od Was dodatkowych danych w związku z tym incydentem. Pamiętajcie, że oszuści mogą być bardzo wiarygodni, skoro posiadają Wasze dane kontaktowe a być może nawet i historię choroby
3. Zaprzestanie korzystania z numeru telefonu i e-maila, który został podany klinice, jeśli nie chcecie aby dane z tego wycieku pojawiały się komuś w korelacji z innymi wyciekami z przyszłości, dotyczącymi nowych usług z których skorzystacie posługując się tymi sami identyfikatorami kontaktowymi.

Zapoznajcie się też z nagraniem naszego krótkiego szkolenia, pt. “Co robić po wycieku danych?“.

W szczegółach omawiamy w nim różne usługi oraz narzędzia (zarówno te darmowe jak i płatne) pod kątem tego czy warto w ogóle z nich skorzystać, aby zminimalizować negatywne skutki wycieku waszych danych. Z tego materiału dowiecie się też jak namierzyć, jakie Wasze dane już latają po internecie i jak przygotować się na kolejne wycieki danych, jeśli jakimś cudem Wasze dane jeszcze nie wyciekły.

Z kodem DCG otrzymacie 50% zniżki na dostęp do tego tego szkolenia. Kod ważny jest tylko do końca dnia, ale bez obaw, dostęp do nagrania macie na 30 dni, więc spokojnie zdążycie się z nim zapoznać. Oto link wprost do koszyka.

Aktualizacja (25.03.2024 21:34)
Jest jeszcze gorzej niż myśleliśmy. Wśród wykradzionych danych są:

• Imię i nazwisko pacjenta
• PESEL
• dane adresowe
• dane kontaktowe (e-mail, telefon)
• informacje o wizytach (data, dane lekarza i jego specjalizacja)
• dane o stanie zdrowia (recepty, skierowania)

W otrzymanym od DCG Centrum Medyczne oświadczeniu czytamy, że wyciek nastąpił ze środowiska testowego (!) firmy MEDILY, która w latach 2019-2021 dostarczała klinice oprogramowanie AURERO do zarządzania wizytami. Chociaż DCG Centrum Medyczne rozwiązało z MEDILY umowę w dn. 31 stycznia 2021 roku, to okazuje się, że firma MEDILY nie skasowała danych pacjentów, choć powinna była to zrobić jeszcze w 2021 roku (niech żyje SaaS!). Dane które wykradziono miały być za okres do 2019 roku.

Okazuje się też, że dostaniecie w sumie 4 wiadomości SMS. DCG po prostu niezbyt fachowo skonfigurowało masową wysyłkę SMS-ów i wiadomości zamiast przyjść jedna po drugiej, są zakolejkowane i będą sukcesywnie do Was spływać. Niech lekcją z tego incydentu będzie, że nawet jak zawini podwykonawca, to warto proces informowania ofiar przeprowadzić w sposób przemyślany. Inaczej pojawia się sporo niepotrzebnych emocji.

Czy masz się bać?

Klinika twierdzi że… nie. Serio. Oto cytat z ich oświadczenia (“forum cybeprzestrzenne” to już pomińmy milczeniem, DCG i tak nie ma dziś najlepszego dnia)

My się z tą diagnozą nie zgadzamy.

W wykradzionych danych znajdują się kompletne dane osobowe, kontaktowe, adresowe ale też historia medyczna, o której — co ciekawe — w SMS-ie nie informowano. To bardzo wrażliwe informacje, najwrażliwsze. Źli ludzie (i już nie tylko sami atakujący, bo dane przecież były opublikowane w internecie i były możliwe do pobrania przez innych) mogą teraz wykorzystać te wszystkie informacje do szantażu, prześladowania.

Dziwi nas bardzo, że w 2024 roku, po wycieku z laboratoriów ALAB, ktoś ma jeszcze odwagę bagatelizować taki zakres wycieku.

Aktualizacja (26.03.2024 10:22)
Otrzymaliśmy od wiceprezesa spółki DCG Centrum Medyczne, Maksymiliana Markuszewskiego następującą wiadomość:

Niefortunnie narzędzie komunikacyjne wysyłało powolnie SMSy, nie mogliśmy tego przewidzieć, dokładamy wszelkich starań, aby poinformować wszystkie dotknięte atakiem na Medily osoby. W celu rozwiania wątpliwości cała treść wiadomości sms jest następująca:

Uwaga! DCG Centrum Medyczne sp. z o.o. (DCG) informuje, iż doszło do naruszenia poufności Państwa danych osobowych poprzez ich bezpodstawne przechowywanie po rozwiązaniu umowy przez podmiot, któremu powierzyliśmy przetwarzanie Państwa danych (procesor), a następnie poprzez kradzież Państwa danych z systemów informatycznych procesora na skutek ataku hakerskiego oraz ujawnienia tych danych na forum cyberprzestępczym. Dane,które zostały ujawnione to: imię, nazwisko, płeć, data urodzenia, PESEL, adres zamieszkania, adres e-mail, numer telefonu. Przestępstwo zostało zgłoszone do organów ścigania, link z danymi ujawnionymi na forum cyberprzestępczym został usunięty i dane nie są już dostępne, procesor zmienił hasła dostępowe do swoich systemów, procesor został przez DCG zobowiązany do trwałego usunięcia Państwa danych. W konsekwencji naruszenia może dojść do: kradzieży lub sfałszowania tożsamości poprzez zaciąganie na Państwa dane kredytów w instytucjach pozabankowych, zawierania innego rodzaju umów na Państwa szkodę, podszywania się pod inną osobę lub instytucję w celu wyłudzenia od Państwa dodatkowych określonych informacji, np. danych do logowania, naruszenia dóbr osobistych. Zalecamy zastrzeżenie numeru PESEL oraz zachowanie ostrożności w kontaktach z osobami próbującymi pozyskać od Państwa jakiekolwiek informacje. Inspektor ochrony danych osobowych DCG: Anna Jaroszyńska, e-mail: kontakt@dcg.wroclaw.pl, tel.: (+48) 7171 88 600.

Wiceprezes poinformował, że klinika aktualizuje dokument informujący o ataku na bieżąco i odpowiada na zapytania mailowe i telefoniczne. Dodał też, że klinika jest “rodzinną firmą, rzetelnie świadczącą usługi od 23 lat. Czujemy się niesprawiedliwie osądzani, podobnie jak nasi pacjenci i my jesteśmy w całym tym procesie poszkodowani (…) Wielu odbiorców, którzy nie doczytają artykułu do końca, wychodzą z przekonaniem, że to spółka DCG została zhackowana. Tymczasem, próbujemy dopełniać wszystkich nałożonych na nas prawem obowiązków, możliwie jak najlepiej – nie zaś jak Państwo napisali, ‘odhaczając’. Staramy się pozyskiwać informacje od Medily i informować pacjentów na bieżąco.”

Nie pozostaje nam nic innego, jak powtórzyć to, co napisaliśmy już wcześniej w artykule, że komunikację incydentu warto przemyśleć, bo inaczej można spowodować chaos i obciążenie swoich infolinii. Nie wątpimy w intencje kliniki, która chciała poinformować swoich pacjentów o zagrożeniu, choć zawiniła nie ona, ale dostawca. Można mieć zastrzeżenia do sposobu w jaki zostało to zrobione i do treści niektórych sformułowań w oświadczeniu, ale niewątpliwie warto pochwalić klinikę za podjęcie działań, które w zasadzie podjąć powinien zhackowany dostawca. Niestety, dobre intencje nie zawsze wystarczą by gładko przejść przez proces komunikacji incydentu, dlatego lepiej realizować go we współpracy ze specjalistami nie tylko z zakresu ochrony danych osobowych, ale i komunikacji kryzysowej.

Pochwalmy też klinikę za to, że usunęła ze swojego oświadczenia niefortunne wypowiedzi na pytanie “czy mam się bać”, na które zwróciliśmy uwagę. Zacytujmy także nowy fragment, który się pojawił się w tym oświadczeniu, a który dotyczy sytuacji wielu naszych Czytelników:

• Nigdy nie byłem pacjentem/pacjentką, a dostałem SMS. Dlaczego? – DCG Centrum Medyczne funkcjonuje na rynku wrocławskim od 2001 roku (23 lata). Do niedawna spółka funkcjonowała pod marką Dolnośląskie Centrum Ginekologii i Zdrowia Rodziny, a jeszcze wcześniej pod praktyką ginekologiczną MARIMAR – zarówno na powstańców śląskich 48 jak i na ul. krynickiej 22/1A. Jeżeli nigdy nie korzystaliście Państwo z konsultacji lekarskich w naszych placówkach, telewizyt, nie rejestrowaliście się przez portale zewnętrzne (tj. znany lekarz), lub nie korzystaliście z punktu pobrań, prosimy o skierowanie maila w tej kwestii na adres kontakt@dcg.wroclaw.pl.

Aktualizacja (27.03.2024 13:03)
Opublikowaliśmy kolejny artykuł w którym analizujemy to co faktycznie znajduje się w wykradzionej bazie danych. Bo wbrew temu co stoi w oświadczeniu, baza nie została skasowana z internetu. Jest dalej dostępna i można ją pobrać. Dla przejrzystości, treści tego artykułu nie umieszczamy w kolejnej aktualizacji, możecie go przeczytać tutaj.

Wnioski dla innych

Najważniejsza lekcja z tego incydentu dla innych: jeśli chcesz kogoś informować o wycieku danych swoich klientów, zrób to e-mailem, oświadczeniem na stronie, a w przypadku wysyłania SMS-ów skieruj odbiorców do oświadczenia na stronie internetowej lub kluczowe informacje zawrzyj w pierwszej wiadomości SMS i wskaż, że SMS jest wieloczęściowy. Możesz oznaczyć części tak, jak robi się to w wątkach an Twitterze (1/x, 2/x, etc.).

A jeśli byłeś pacjentem DCG Centrum Medycznego we Wrocławiu do 2019 roku, załóż że wszystkie Twoje dane wyciekły. I poza zastrzeżeniem PESEL-u, podejmij wszelkie dodatkowe kroki, które ochronią Twoją prywatność, zwłaszcza jeśli przedmiotem Twoich wizyt były sprawy natury “wstydliwej”.

Niestety, o zachowanie prywatności w takiej sytuacji należało zadbać zawczasu, podając osobny adres e-mail, nie podając telefonu i rozważając czy warto podać poprawne nazwisko i numer PESEL (prawnie jest to wymagane, ale w niektórych przypadkach można tego uniknąć bez szkody dla zdrowia, a z olbrzymią korzyścią dla prywatności. Oczywiście o refundacjach można wtedy zapomnieć. Miejmy nadzieję, że kiedyś MZ wdroży warstwę anonimizacji w nasz system ochrony zdrowia, najwyższy już czas). Więcej o tym jak dbać o swoje dane, jak sprawdzić czy one wyciekły i jak minimalizować ryzyko kolejnych wycieków we wspomnianym przez nas wyżej szkoleniu. Przypominamy, że z kodem DCG dziś wyjątkowo dostęp możecie zgarnąć z 50% zniżką (przy zakupie do końca dnia — tu link do koszyka).