Wyciekły dane medyczne kilkudziesięciu tysięcy Polaków!
W internecie pojawiły się wyniki badań ponad 50 tysięcy badań medycznych, wykonanych przez firmę ALAB, jedną z największych sieci laboratoriów medycznych. Grupą odpowiedzialną za kradzież i udostępnienie danych jest szerzej nieznana grupa ransomware RA World. Opublikowane przez hakerów dane obejmują okres od 2017 do 2023 roku! Potwierdzamy, że CERT Polska otrzymał zgłoszenie dotyczący firmę ALAB – poinformowała NASK.
„To tylko próbka” – przestępcy!
Cyberprzestępcy z grupy RA World opublikowali na swojej stronie numery PESEL, imiona i nazwiska, miejsca zamieszkania oraz szczegóły dotyczące zlecającego oraz wyników badań laboratoryjnych ponad 50 tysięcy Polek i Polaków, którzy robili badania w ALAB. Przestępcy posiadają też informacje o datach oraz godzinach zlecenia i wykonania badania, jak i numeracji umożliwiającej ich identyfikację w systemach ALAB.
Hakerzy udostępnili w internecie linki umożliwiające pobranie dwóch plików zawierających te dane. Pierwszy o wielkości 5GB zawiera wyniki badań poszczególnych pacjentów, drugi mający 1GB umowy zawierane przez ALAB z klientami.
Jak poinformowali przestępcy, opublikowane dane to tylko „próbka”! Oznajmili, że ściągnęli dane znacznie większej liczby Polaków. Cyberprzestępcy grożą, że jeśli do 31 grudnia 2023 roku firma ALAB nie zapłaci im okupu, ujawnią resztę skradzionych informacji. Póki co, udostępnione przez nich dane dotyczą tylko pacjentów z Warszawy, Łomianek i Łodzi.
Przez dłuższy czas ALAB milczał w spawie wycieku swoich danych. W końcu jednak opublikował komunikat.
W dniu 19 listopada 2023 roku zaobserwowano próbę zmasowanego ataku na serwery spółki. Po dokonaniu analizy zdarzenia ustalono, że dostęp do znajdujących się tam danych mogły w sposób bezprawny uzyskać osoby nieuprawnione. Zespół ekspercki dokonał natychmiast analizy ryzyka incydentu zgodnie z rekomendacjami ENISA (Agencja Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji) i wstępnie oszacował wartość ryzyka jako wysoką – czytamy oficjalnym komunikacie opublikowanym na stronie ALAB. – Wstępna analiza incydentu wykazała, że osoby trzecie w sposób bezprawny mogły uzyskać dostęp do następujących danych osobowych: imię i nazwisko, numer PESEL, data urodzenia, miejsce zamieszkania oraz wynik badania laboratoryjnego. W związku z powyższym wdrożono awaryjne procedury bezpieczeństwa i komunikacji zmierzające do likwidacji skutków ataku oraz ustalenia zakresu szkód, jednocześnie informując administratorów, których dane zostały powierzone spółce do przetwarzania. Jednocześnie spółka zgłosiła naruszenie do Prezesa Urzędu Ochrony Danych Osobowych oraz poinformowała uprawnione instytucje (CERT Polska, Ministerstwo Zdrowia, Centrum E-Zdrowia), a także złożyła zawiadomienie o podejrzeniu popełnienia przestępstwa do policyjnego Centralnego Biura Zwalczania Cyberprzestępczości.
Co mogą zrobić Polacy, których dane wyciekły?
Istnieje ryzyko, że z udostępnionych przez grupę RA World informacji mogą skorzystać inni oszuści. Osoby, których dane zostały udostępnione powinny więc zachować szczególną ostrożność i uważać na maile, wiadomości czy telefony, które otrzymują.
Istnieje też możliwość zastrzeżenia nr PESEL co pomoże zminimalizować ryzyko związane z nieuprawnionym wykorzystaniem danych, np. w banku. O tym, jak to zrobić pisaliśmy już na łamach tego serwisu.
/JPN/
