Хакери откраднаха данни на пациенти от Qbusoft, полски производител на медицински софтуер, седмици след пробив при друг доставчик, който разкри данните на близо 19 милиона души в страната.
Данните произлизат от Medyc – платформа, която компанията продава на медицински кабинети и клиники за управление на регистрацията на пациенти, досиета и рецепти.
През август атакуващите откраднаха данни на близо 19 милиона души от MyDr, базирана във Варшава компания, чийто софтуер се използва от около 12 000 здравни заведения.
Изтеклата база данни е съдържала ЕГН (PESEL) номера (полският национален идентификационен номер), данни за контакт и информация за посещенията, рецептите и историята на лечението на пациентите.
Qbusoft потвърждава кражбата
На 25 септември компанията публикува изявление относно инцидента на уебсайта на Medyc, потвърждавайки, че атакуващите са получили неоторизиран достъп до лични данни, съхранявани в инфраструктурата на Medyc, и са ги откраднали.
Потвърдените откраднати данни включват имена, PESEL номера, домашни адреси, телефонни номера и имейл адреси. „На този етап кражбата на медицинска документация не е потвърдена“, написа компанията.
Тя е регистрирала „опасни атаки“ срещу своята инфраструктура на 9 септември и оттогава е съобщила за инцидентите на Централното бюро за борба с киберпрестъпността (CBZC), Службата за защита на личните данни (UODO), CSIRT NASK, Центъра за електронно здравеопазване и Института за обществено осигуряване (ZUS).
Компанията добави, че нейните системи са били обект на многократни опити за атака през изминалата седмица.
„Поради интензивността и честотата на атаките услугата може периодично да работи по-бавно, а достъпът до някои модули може да бъде временно ограничен или недостъпен“, се казва в изявлението.
Qbusoft не сподели подробности за това колко хора са засегнати.
Какво гласи съобщението на клиниката
Повече подробности идват от Odwykowo-Psychiatryczny Ośrodek Leczniczy, център за лечение на зависимости и психиатрични заболявания в Иновроцлав, който използва Medyc. Клиниката е уведомила пациентите си на 24 септември, един ден преди изявлението на доставчика.
„Констатациите, направени от Qbusoft с подкрепата на криминалистични експерти, показват, че на 22–23 август 2026 г. неоторизирано лице е експлоатирало дефект в сигурността в интерфейса на приложението (уязвимост за SQL инжекция)“, написа клиниката.
Атакуващият е използвал уязвимостта, за да изнесе криптиран архив на базата данни извън системите на доставчика. Атаката е открита през нощта на 8 срещу 9 септември.
Командите за експортиране на данни са нямали ограничение във времето. Според клиниката това означава, че атакуващият е взел личните данни на всеки пациент, лекуван в нейното дневно отделение за зависимости между 1 юли 2024 г. и 23 август 2026 г.
Базата данни е съхранявала имена и PESEL номера в криптиран вид. Въпреки това в съобщението на клиниката се посочва, че поради начина, по който е бил изграден кодът, доставчикът я е инструктирал да предполага, че данните са били лесни за декриптиране и че атакуващите са получили достъп до тях в открит текст.
Атакуващият също така е изпълнил скриптове срещу таблици в базата данни, съдържащи медицински данни. Доставчикът информира клиниката, че е изключително вероятно атакуващите да са получили медицински досиета под формата на епикризи.
Клиниката предупреди пациентите, че информацията за тяхното здраве и терапия може да бъде използвана срещу тях, „включително по начини, които водят до нарушаване на личните права и неприкосновеността на личния живот, или до по-лошо отношение на местоживеенето и местоработата им“.
Измамници, отбелязва клиниката, биха могли да се свържат с пациентите, да се позоват на историята на тяхното лечение и да предложат фалшиви медицински или терапевтични услуги.
Qbusoft отстрани уязвимостта в същия ден, в който откри атаката. Компанията ограничи правата за достъп до базата данни, принудително подмени всички пароли и технически ключове и постави своята инфраструктура под постоянен мониторинг.
Спор относно докладването
В публикация в своя акаунт в X вицепремиерът и министър на дигитализацията на Полша Кшищоф Гавковски обяви, че CBZC разследва инцидента като част от по-широко разследване.
Въпреки че Qbusoft твърди, че е съобщила за инцидента на властите, Гавковски написа в същата публикация, че компанията не е уведомила CERT Polska или CSIRT CeZ – екипа за реагиране при инциденти на Центъра за електронно здравеопазване в Полша.
„В случай на нарушение на която и да е процедура за сигурност от страна на частна компания, ще бъдат наложени най-строги последствия“, предупреди той.
Мирослав Врублевски, председател на полския орган за защита на личните данни (UODO), разпореди одит на компанията зад Medyc, позовавайки се на медийни съобщения, че изтичането може да засяга медицинските данни на до пет милиона души в Полша.