Wieczorem 24 września doszło do nieautoryzowanego dostępu do części infrastruktury IT Centrum Medycznego Enel-Med — jednej z największych prywatnych sieci przychodni w Polsce. Firma poinformowała o incydencie dopiero dwa dni później, w komunikacie giełdowym skierowanym do inwestorów, bo Enel-Med jest spółką notowaną na GPW. Według wstępnych ustaleń nieautoryzowany dostęp mógł objąć około 3 procent całej bazy pacjentów, co przy skali działania sieci oznacza nawet 700 tysięcy osób.
Co wiadomo, a czego wciąż nie wiadomo
Enel-Med w oficjalnym komunikacie napisał, że incydent “został szybko wykryty, a atak skutecznie przerwany”, oraz że wdrożono dodatkowe zabezpieczenia sieci, systemów i danych klientów. Firma zapewnia, że wszystkie placówki działają normalnie, a pacjenci mogą bez przeszkód korzystać z usług. Problem w tym, że komunikat nie precyzuje, jakie konkretnie dane zostały naruszone — czy to tylko dane kontaktowe, czy również numery PESEL, historie leczenia albo wyniki badań. Nie podano też dokładnej liczby poszkodowanych osób ani sposobu, w jaki napastnicy dostali się do systemów. O sprawie powiadomiono Centralne Biuro Zwalczania Cyberprzestępczości, CSIRT Centrum e-Zdrowia, CERT Polska oraz Prezesa Urzędu Ochrony Danych Osobowych — czyli standardowy zestaw instytucji przy poważnym naruszeniu danych osobowych.
Kolejny cios w polski sektor medyczny
Enel-Med to już kolejna w tym roku duża sieć medyczna w Polsce, która przyznaje się do naruszenia danych. Zaledwie kilka tygodni wcześniej ujawniono, że z systemu MyDr, wykorzystywanego przez ponad 12 tysięcy placówek, wyciekły dane blisko 19 milionów Polaków, w tym numery PESEL. Powtarzalność takich incydentów pokazuje, że sektor ochrony zdrowia — mimo że przetwarza jedne z najbardziej wrażliwych danych, jakie w ogóle istnieją — wciąż nie inwestuje w zabezpieczenia adekwatnie do skali zagrożenia. Placówki medyczne są też atrakcyjnym celem, bo dane pacjentów można wykorzystać zarówno do wyłudzeń kredytowych, jak i do bardzo wiarygodnie brzmiącego phishingu podszywającego się pod przychodnię czy NFZ.
Co zrobić, jeśli jesteś pacjentem Enel-Med
Nie czekaj biernie na oficjalne zawiadomienie od firmy — zwłaszcza że pierwszy komunikat w tej sprawie nie precyzował zakresu wycieku. Warto już teraz bezpłatnie zastrzec numer PESEL przez aplikację mObywatel albo w dowolnym urzędzie gminy — to jedna czynność, która utrudnia wykorzystanie skradzionego numeru do zaciągnięcia kredytu czy zawarcia umowy na czyjeś nazwisko. Zmień też hasło do konta pacjenta w portalu Enel-Med, najlepiej na unikalne, niewykorzystywane nigdzie indziej. Zachowaj czujność wobec SMS-ów i telefonów, które podszywają się pod przychodnię i proszą o “weryfikację danych” albo kliknięcie w link — to najczęstszy sposób, w jaki przestępcy żerują na takich wyciekach. Jeśli otrzymasz od Enel-Med oficjalne zawiadomienie o naruszeniu, sprawdź dokładnie, jakich danych ono dotyczy, i rozważ kontakt z inspektorem ochrony danych firmy.
Podsumowanie
Wyciek w Enel-Med pokazuje, że seria naruszeń w polskim sektorze medycznym z tego roku wcale się nie kończy, a firmy wciąż ujawniają minimum informacji, zostawiając pacjentów w niepewności co do realnej skali zagrożenia. Zamiast czekać na pełne wyjaśnienia, warto samodzielnie podjąć podstawowe kroki ochronne — zastrzeżenie numeru PESEL i zmianę haseł — bo to jedyne, na co pacjent ma realny wpływ, niezależnie od tego, jak firma poprowadzi swoją komunikację kryzysową.