Atak na FELG: sprawca deklaruje kradzież danych 2,4 mln pacjentów
Producent popularnego systemu dla gabinetów stomatologicznych potwierdził incydent. Skala wycieku nie jest jeszcze znana, ale gabinety jako administratorzy danych muszą same ocenić, czy doszło do naruszenia.
FELG Software, twórca oprogramowania dla gabinetów stomatologicznych, potwierdził incydent bezpieczeństwa. Według ustaleń serwisu Zaufana Trzecia Strona sprawca podpisujący się jako „HORUS” twierdzi, że wykradł dane 2,4 mln pacjentów, 712 tys. osób z personelu medycznego i 1,2 mln recept. Z narzędzi FELG korzysta, jak podaje firma, ponad 16 tys. dentystów.
Firma dowiedziała się o ataku 28 września. Potencjalny zakres danych obejmuje imiona, nazwiska, numery PESEL, adresy, dane medyczne oraz informacje o e-receptach, e-ZLA (elektronicznych zwolnieniach lekarskich) i weryfikacji w systemie eWUŚ, który potwierdza prawo pacjenta do leczenia na NFZ. Sprawca zażądał okupu za nieujawnianie danych. Według FELG on sam deklarował kradzież około 10 proc. bazy. Żadna z tych liczb nie została potwierdzona.
Napastnik twierdzi, że dane pobierał od 6 września przez źle zabezpieczony interfejs programistyczny (API). Według jego relacji wystarczyło założyć konto demo i zmieniać numer w zapytaniu, by otrzymać dane kolejnych pacjentów. To błąd typu IDOR, czyli brak sprawdzania, czy użytkownik ma prawo do danego rekordu. Zaufana Trzecia Strona przekazała sprawcy numery PESEL ośmiu osób, które się na to zgodziły. Żadnego nie było w jego bazie.
Według komunikatu FELG sprawca podawał się za członka grupy „Fingerprint”, odpowiedzialnej za wcześniejsze ataki na MyDr, Medyc i Fakturownię. Zaufana Trzecia Strona ustaliła, że to nieprawda: sprawca przyznał, że przypisywał sobie ataki na MyDr i Medyc, by zwiększyć presję przy żądaniu okupu, a sam Fingerprint zaprzeczył udziałowi. „HORUS” zapowiada wystawienie bazy na sprzedaż.
Według serwisu Sekurak prezes FELG Grzegorz Stawarz potwierdził incydent i poinformował, że skala jest ustalana, a sprawę zgłoszono prokuraturze i Urzędowi Ochrony Danych Osobowych (UODO). Firma zaangażowała specjalistów od informatyki śledczej i zapowiada dla gabinetów wzory zgłoszeń do UODO oraz narzędzie do powiadamiania pacjentów.
Dla gabinetów ważne jest wrześniowe stanowisko UODO wydane po wycieku z MyDr na pytanie Naczelnej Izby Lekarskiej. Komunikat dostawcy nie zwalnia administratora danych, czyli gabinetu, z samodzielnej oceny, czy doszło do naruszenia. Termin 72 godzin na zgłoszenie naruszenia do UODO biegnie od chwili, gdy administrator sam je stwierdzi.