Gigantyczny wyciek danych. Na liście polityk. Mogą go szantażować
Jak opisywał Haertle w rozmowie z “Gazetą Wyborczą”, wiele wskazuje na to, że sama firma MyDr nie wiedziała o ataku, dopóki hakerzy sami jej o tym nie poinformowali.
– To wygląda na szary kapelusz – kogoś takiego, kto wie, że złamał prawo, ale nie chce się pozycjonować jako przestępca. Taki szary kapelusz w mało elegancki sposób proponuje firmie, że za jakieś wynagrodzenie przeprowadzi testy bezpieczeństwa, które w zasadzie już wykonał. To jest nieetyczne i nielegalne, bo to zwykłe wymuszenie – mówił.
– Organy ścigania na pewno starają się teraz ustalić tożsamość hakerów. Na razie nie mamy pojęcia, kto to może być. Sprawcy próbują mylić tropy. Posługują się językiem przypominającym trochę angielski, jakiego używa się w Indiach. Z drugiej strony, używają pewnych sformułowań, które wskazują na Rosję. Może są Polakami? Ale może to być rosyjski wywiad, który udaje Indusów. Dla zaatakowanej firmy to bardzo trudna sytuacja, bo nawet nie wie, z kim ma do czynienia. Ewidentnie jednak sprawcy chcą pieniędzy – dodał.
Będą szantażowali polityków?
Wskazał, że to, co ukradli hakerzy to nie tylko numery PESEL, ale też historia recept.
– Można wyczytać, jakie leki przyjmował przez ostatnie 10 lat ten czy inny polityk albo inna znana osoba. Niewykluczone, że jakimiś informacjami z tej bazy można będzie taką osobą szantażować i jeśli będzie to polityk, który ma władzę i podejmuje ważne decyzje, to może mieć skutki dla wszystkich obywateli – wskazał.
Błędy firmy
Podkreślił, że do każdego systemu można się włamać, ale winą firmy jest to, że nie zorientowała się w czasie, gdy do niego doszło.
– Bo to, że są i będą próby włamania, to w zasadzie dzisiaj pewnik w każdej organizacji, która dysponuje czymkolwiek cennym w komputerach. Od firmy, która przetwarza dane 19 milionów Polaków, oczekuje się jednak monitorowania systemu. Jeśli ktoś się włamie i kradnie te dane, czy już po tym, jak odczytał z bazy więcej niż tysiąc rekordów w ciągu sekundy, alert powinien włączyć się natychmiast – mówił.
Dodał, że trudnością będzie zidentyfikowanie, czy to akurat nasze dane zostały wykradzione.
– W bazie MyDr są wszyscy pacjenci gabinetów lekarskich, które korzystały z oprogramowania tej firmy. Większość z nas oczywiście nie wie, z jakiego oprogramowania korzysta nasz lekarz i niełatwo będzie się teraz dowiedzieć, czy akurat to nasze dane zostały zgrane przez hakerów, czy też nie – mówił.
– Dodatkowa trudność polega na tym, że MyDr nie jest administratorem tych danych. Administratorzy to kilkanaście tysięcy gabinetów i przychodni lekarskich. To one powinny teraz powiadomić swoich pacjentów, że incydent miał miejsce – podkreślił.