Niebezpiecznik

Pacjenci z centrów medycznych All-Med i Nowa 5 dowiadują się własnie, że ich dane wyciekły. To kolejne skutki wcześniejszego wycieku z Medily. Co ciekawe, powiadomienia mogły otrzymać także osoby, które w tych placówkach nigdy się nie leczyły.

Przed weekendem ruszyło informowanie o wycieku z centrum medycznego All-Med w Łodzi. Niektórzy pacjenci dostają powiadomienia SMS-em, inni e-mailem. Oficjalny komunikat o wycieku znalazł się na stronie www.all-med.pl/npdo i wynika z niego, że:

1. źródłem wycieku jest spółka Medily sp. z o.o. (dostawca oprogramowania medycznego do umawiania i obsługi wizyt lekarskich);
2. incydent dotyczył jedynie danych z okresu “do końca 2019 roku” (rozumiemy, że od wtedy do mniej więcej teraz);
3. wycieknąć mogły: PESELe, nazwiska, daty urodzenia, adresy, numery telefonów i dane zdrowotne;
4. poufność danych dokumentów (takich jak dowody osobiste czy paszporty) nie została naruszona.

All-Med zaleca zastrzeżenie numeru PESEL i zachowanie szczególnej ostrożności przy odbieraniu maili i SMS-ów. Ta druga porada jest słuszna, ale sądząc po postach w social mediach samo powiadomienie o wycieku nie wydaje się ofiarom bardzo wiarygodne.

Tymczasem pacjenci centrum medycznego Nowa 5 z Gorzowa Wielkopolskiego otrzymują SMS-y takie jak poniższy.

Link w SMS-ach prowadzi do komunikatu, który mówi o podobnym zakresie wycieku: imiona, PESEL-e, daty urodzenia, adresy, telefony, dane logowania i dane zdrowotne. CM Nowa 5 nie informuje z jakiego okresu czasowego mogą pochodzić dane ujawnione w wycieku.

To nie są nowe wycieki

Redakcja Niebezpiecznika już 4 kwietnia zwróciła się do All-Medu w Łodzi z pytaniami, czy dane jego pacjentów przypadkiem nie wyciekły. All-Med nam nie odpowiedział. Zakładaliśmy jednak, że prędzej czy później temat wróci bo według naszych informacji dane pacjentów All-Medu znajdowały się w ostatnim wycieku z firmy Medily, który początkowo został nagłośniony jako wyciek z DCG Centrum Medyczne. Wyjaśnijmy więc, że “tamten” wyciek z DCG i “ten” wyciek z All-Med i Nowa 5 to różne odsłony tej samej historii, w której centrum jest zaatakowana przez przestępców firma Medily.

Przypomnijmy, że:

1. już w marcu DCG Centrum Medyczne poinformowało, że doszło do wycieku z Medily, a dane pacjentów pojawiły się na forum dla przestępców. Można było mieć zastrzeżenia co do sposobu informowania o incydencie, ale generalnie nikt nie chował głowy w piasek i bardzo dobrze.
2. Opisywaliśmy jaki charakter miały dane z wycieku. Były to pliki SQL Dump o łącznej objętości 4,9 GB. Trzeba jednak przyznać, że część danych miała charakter ewidentnie testowy no i nie były to dane tak ładnie poukładane i tak przejrzyste jak te z wycieku z ALAB.
3. Do włamania mogło dojść w pierwszej połowie marca. Możliwe, że hasło do serwera bazodanowego znajdowało w publicznie dostępnym kodzie jednej ze stron internetowych Medily (zob. Jak wykradziono dane 180 000 pacjentów z serwerów firmy Medily?).

Ja się tam nie leczyłem!

W sprawie jest jeszcze jeden ciekawy wątek.

Zgłosiły się do nas osoby, które stanowczo twierdzą, że nie leczyły się w All-Medzie w Łodzi, a jednak otrzymały powiadomienie o wycieku ich danych. Jedna z tych osób zauważyła, że spółki Medily oraz All-Med są powiązane.  Prezesem All-Med jest Marcin Ogórek, który jednocześnie jest wspólnikiem w Medily. To mogłoby prowadzić do wniosku, że dane przypadkowych pacjentów trafiły do All-Medu. Od razu napiszemy, że niekoniecznie musiało tak być.

Spytaliśmy o te przypadki Patryka Ogórka, CEO i założyciela Aurero (wcześniej Medily).

Jednoznacznie zaprzeczamy by dane pacjentów nigdy nie korzystających z usług All-Med zostały im (tj. All-Medowi – red.) przekazane. Obserwujemy to zdarzenie w wielu placówkach i nasze analizy wskazują jednoznacznie na błąd ludzki – literówki numerów telefonu podczas wpisywania danych do systemu medycznego. Nasze procedury zabezpieczają przed wystąpieniem takich sytuacji. Dane między naszymi klientami są odizolowane – oświadczył Patryk Ogórek.

Rzeczywiście literówki w takich danych jak adresy e-mail i telefony po prostu się zdarzają (w przychodniach zwłaszcza). Bywa, że szczególnie często dotyczy to adresów w poczcie Gmail, w których znajdują się kropki. I tutaj drobna uwaga co do Gmaila. Osoby posiadające konta w tej usłudze oraz używające adresów z kropkami nierzadko zgłaszają, że zdarza im się otrzymywać korespondencję innych osób, wysłaną pierwotnie na adres bez kropek. Bardzo dobrze wiemy, że w Gmailu kropki mogą być wstawione w dowolnym miejscu adresu w celu utworzenia aliasu z innym rozłożeniem kropek (czyli adres jan.kowalski@ będzie traktowany tak samo jak j.an.kow.alski@). W wielu przypadkach otrzymywanie cudzej poczty wynika po prostu z podania przez kogoś adresu z błędem. Z drugiej strony  na forach internetowych opisywane są problemy związane z funkcjonowaniem dwóch różnych kont na Gmailu różniących się jedynie kropką. W roku 2022 serwis dobreprogramy.pl wspominał, że istnieje pewna liczba kont Gmail, które funkcjonują jako różne konta i różnią się jedynie kropką (szkoda, że dobreprogramy nie podaje źródła tej informacji). Dodamy, że pytaliśmy już Google o ten problem, ale ta firma odpowiada na pytania tylko czasami, niezależnie od tego jak poważnej sprawy dotyczą (por. Wpadka Google: Twoje prywatne filmy mogły trafić na konta innych użytkowników (nawet 2 lata temu).

Nie skupiajmy się jednak na Gmailu, bo nie w tym rzecz. Jeśli dostaliście niespodziewaną informację o wycieku to prawdopodobnie był to efekt omyłkowego podania adresu e-mail przy rejestracji przez inną osobę. Może to dotyczyć również pacjentów firmy Nowa 5. Jeśli jesteście w takiej sytuacji, warto skontaktować się z Inspektorem Ochrony Danych wskazanym w komunikacie przychodni, która powiadomiła was o wycieku. My również będziemy przyglądać się sprawie i damy wam znać jeśli będą podstawy sądzić, że wyciek mógł objąć osoby nieleczące się nigdy w All-Med.

Jeśli Wy macie jakieś ciekawe informacje ze swojej strony to zapraszamy do kontaktu.

Co robić? Jak żyć?

Jak pisaliśmy wcześniej, dobrym pomysłem będzie:

1. zastrzeżenie numeru PESEL;
2. zwiększenie czujności na kontakty telefoniczne/e-mailowe, które mogą mieć na celu wyłudzenie od Was dodatkowych danych w związku z tym incydentem. Pamiętajcie, że oszuści mogą być bardzo wiarygodni, skoro posiadają Wasze dane kontaktowe a być może nawet i historię choroby;
3. zaprzestanie korzystania z numeru telefonu i e-maila, który został podany klinice, jeśli nie chcecie aby dane z tego wycieku pojawiały się komuś w korelacji z innymi wyciekami z przyszłości, dotyczącymi nowych usług z których skorzystacie posługując się tymi sami identyfikatorami kontaktowymi.

Aktualizacja 29.04.2024

Doprecyzowaliśmy akapit dotyczący problemów z kropkami na Gmailu. To ciekawy problem, niemniej nie najważniejszy w kontekście tego wycieku.

Aktualizacja 29.04.2024 12:56

Rozszerzyliśmy tekst o informację, że powiadomienia o wycieku otrzymują również pacjenci centrum Nowa 5.