Sprawa wycieku danych z systemów spółki MyDr wzbudziła ogromne emocje społeczno-polityczne, wywołując sprzeczne narracje – od panicznych zapowiedzi natychmiastowej kradzieży tożsamości po teorie o „nadgorliwym hakerze”. Chłodna analiza faktów i metodologii działania sprawcy pozwala jednoznacznie ocenić charakter tego ataku oraz wyciągnąć precyzyjne wnioski na temat zagrożenia.
Szansa na „biały kapelusz”: Dokładnie 0%
Hipoteza, że za włamaniem stał etyczny badacz bezpieczeństwa (white hat) próbujący jedynie zwrócić uwagę na podatność systemów, nie wytrzymuje zderzenia z faktami:
- Skala exfiltracji: Etyczny haker pobiera jedynie minimalny dowód podatności (Proof of Concept), np. jeden lub dwa rekordy testowe. W przypadku MyDr wykradziono aż 2,5 terabajta danych medycznych należących do 19 milionów Polaków.
- Forma żądania: Sprawca przesłał zarządowi spółki plik PDF zatytułowany jako „oferta zakupu audytu”, zabezpieczony hasłem będącym numerem PESEL prezesa firmy. W żargonie cyberprzestępczym to klasyczny, zawoalowany szantaż.
- Presja medialna: Po zignorowaniu roszczeń finansowych przez firmę, haker zaczął wysyłać prywatne wiadomości SMS do pracowników oraz przekazywać próbki danych (w tym wrażliwe numery e-recept) redakcjom technologicznym.
Gdzie plasuje się przypadek MyDr na mapie cyberzagrożeń?
Aby zrozumieć charakter tej operacji, warto zestawić ją z trzema powszechnymi wzorcami w branży bezpieczeństwa:
- Responsible Disclosure (White Hat): Zgłoszenie podatności w trybie poufnym bezpośrednio do podmiotu lub państwowego zespołu CSIRT, brak jakichkolwiek żądań finansowych pod groźbą publikacji oraz ograniczenie pobierania danych do niezbędnego minimum.
- Model MyDr (Extortion / Szantaż cyfrowy): Masowa kradzież bazy, próba cichego wymuszenia środków pod przykrywką „opłaty za audyt”, a w razie oporu zarządu – eskalacja presji wizerunkowej poprzez wycieki kontrolowane do mediów.
- Mass Dump (Masowy wyciek natychmiastowy): Bezpośrednia publikacja bazy w darknecie lub na kanałach Telegram albo jej natychmiastowa sprzedaż na forach hakerskich bez podejmowania jakichkolwiek negocjacji z ofiarą.
Realne ryzyko dla obywateli
Brak powszechnej dostępności bazy w sieci nie oznacza, że zagrożenie jest czysto teoretyczne. Przejęte dane generują ryzyko rozłożone w czasie:
- Krótkoterminowo (Niskie ryzyko masowej kradzieży tożsamości): Sprawca traktuje bazę jako kartę przetargową w rokowaniach, co oznacza, że pliki nie krążą jeszcze na masową skalę wśród drobnych oszustów.
- Średnioterminowo (Wysokie ryzyko targetowanego phishingu): Jeśli szantaż ostatecznie spali na panewce, dane mogą zostać opublikowane lub sprzedane. Posiadanie historii leczenia i numerów e-recept pozwala przestępcom na tworzenie niezwykle wiarygodnych ataków socjotechnicznych (np. fałszywe SMS-y o dopłatach do leków).
- Długoterminowo (Trwałe naruszenie prywatności): Informacji o stanie zdrowia nie da się zmienić tak jak hasła do konta. Zastrzeżenie numeru PESEL zabezpiecza finanse, ale historia chorób i wizyt lekarskich pozostaje wrażliwym punktem na zawsze.
Atak na MyDr to podręcznikowy przykład szantażu cyfrowego wymierzonego w kluczowego integratora danych medycznych. Przestępcy zdają sobie sprawę, że dokumentacja medyczna generuje ogromną presję społeczną i prawną. Najlepszą odpowiedzią ze strony obywateli pozostaje prewencyjne zastrzeżenie numeru PESEL oraz traktowanie wszelkich nieoczekiwanych wiadomości medycznych z pełną nieufnością.
