Wyciek danych z Aurero!!

Incydent bezpieczeństwa danych osobowych firmy Medily sp. z o.o., dostawcy testowej wersji oprogramowania AURERO, z dnia 19.03.2024r.

Drogi Pacjencie!

Administrator danych osobowych, jakim jest Provita Sp. z o.o. z siedzibą Katowicach ul. Fabryczna 13D, 40-611, w związku z naruszeniem Pani/Pana danych osobowych do jakiego doszło 19.03.2024

w trybie art. 52 ust. 1 ustawy o ochronie danych osobowych oraz art. 34 ust.4 ogólnego rozporządzenia o ochronie danych osobowych

udostępnia ponowne zawiadomienie z uzupełnieniem informacji o naruszeniu ochrony Pani/Pana danych osobowych.

W dniu 19.03.2024 doszło do wycieku danych pracowników oraz 43 pacjentów którzy korzystali
z usług działu Badań Klinicznych w Centrum Medycznym Angelius prowadzonym przez Provita sp. z o.o.  (dalej Provita Sp. z o.o.) do roku 2019.

Atak hekerski miał miejsce w firmie Medily sp. z o.o., która jest dostawcą oprogramowania medycznego „Aurero” dla naszej placówki. Na skutek przełamania zabezpieczeń w/w systemu i opublikowania danych na forum cyberprzestępczym dostępnym w sieci TOR, Pani/ Pana dane zostały ujawnione osobom nieupoważnionym.

Charakter naruszenia ochrony danych osobowych

Zgodnie z umową zawartą przez Administratora z Medily sp. z o.o., Administrator powierzył Medily sp. z o.o. do przetwarzania dane osobowe swoich pacjentów w celu świadczenia usług polegających na możliwości korzystania z serwisu i aplikacji Aurero. W dniu 21.03.2024r. o godz. 11:26 Administrator otrzymał wiadomość e-mail od Medily sp. z o.o., iż na skutek działalności przestępczej doszło do ujawnienia danych osobowych pracowników oraz 43 pacjentów którzy korzystali z usług działu Badań Klinicznych w Centrum Medycznym Angelius do roku 2019.

Medily sp. z o.o.  informację o naruszeniu bezpieczeństwa danych otrzymała w dniu 19.03.2024 r. od CERT NASK, który wskazał, że na forum cyberprzestępczym dostępnym w sieci TOR opublikowano dane pochodzące z systemu Aurero. Zgłoszenie zostało potwierdzone przez Medily sp. z o.o. i ustalono, że ujawnione dane pochodziły z serwera testowego pochodzącego ze starej wersji systemu Aurero z lat 2019-2021. Według Medily sp. z o.o. link został zgłoszony i usunięty
i nie jest już dostępny.

W dniu 27.03.2024r. o godz. 17:26 Administrator otrzymał plik z bazą danych pacjentów, których naruszenie dotyczy.

Poza danymi osobowymi w zakresie imienia, nazwiska, płci, numeru PESEL, daty urodzenia
i numeru telefonu zostały również ujawnione dane dot. zdrowia w zakresie informacji u jakiego specjalisty była rezerwowana/odbyta wizyta, w tym dane lekarza –imię nazwisko, numer prawa wykonywania zawodu, oraz data i godzina rezerwacji, co powoduje wysokie ryzyko naruszenia praw i wolności osób fizycznych.

W dotychczasowej korespondencji Administrator nie wykazał informacji, że wyciek danych dotyczył również Pani/Pana danych dotyczących stanu zdrowia, co pragniemy podkreślić w obecnym komunikacie.

Konsekwencje naruszenia danych osobowych

W konsekwencji naruszenia może dojść do:

• naruszenia Pani/Pana dóbr osobistych w postaci dyskryminacji czy szykan z uwagi na stan zdrowia w związku z wyciągnięciem wniosków, choćby błędnych, dotyczących stanu Pani/Pana zdrowia (na podstawie np. informacji u jakiego specjalisty była zarezerwowana wizyta);
• możliwość wpłynięcia informacji o stanie zdrowia na decyzję firm ubezpieczeniowych oferujących ubezpieczenia na życie;
• próby wyłudzenia udostępniania informacji medycznych w tym danych dotyczących stanu zdrowia za pomocą środków komunikacji zdalnej;
• uzyskanie dostępu do korzystania ze świadczeń opieki zdrowotnej;
• składanie przez osoby trzecie dyspozycji w podmiotach leczniczych w zakresie wydawania dokumentacji medycznej w imieniu poszkodowanego lub wyrażania sprzeciwu dotyczącego uzyskiwania kopii dokumentacji;
• próby wyłudzenia recepty z wykorzystaniem narzędzi zdalnej komunikacji teleinformatycznej;
• kradzieży lub sfałszowania tożsamości poprzez zaciąganie na Pani/Pana dane kredytów w instytucjach poza bankowych;
• zawierania innego rodzaju umów na Pani/Pana szkodę;
• korzystanie z praw obywatelskich, np. wykorzystanie danych do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego;
• wyłudzenie ubezpieczenia, podszywania się pod inną osobę lub instytucję w celu wyłudzenia od Pani/Pana dodatkowych określonych informacji, np. danych do logowania;
• przetwarzania danych osobowych w celach marketingowych bez uprzedniego uzyskania zgody (w przypadku prowadzenia marketingu drogą tradycyjną, tj. wysyłki treści marketingowych na adres zamieszkania).

Środki zastosowane lub proponowane w celu zaradzenia naruszeniu ochrony danych osobowych i zminimalizowania negatywnych skutków dla osób, których dane dotyczą.

Zalecamy :

• skontaktowanie się z placówkami medycznymi, w których znajduje się Pani/Pana dokumentacja medyczna w celu upewnienia się, że nie były w Pani/Pana imieniu składane żadne dyspozycje (np. dostępu do dokumentacji medycznej, czy sprzeciwu wobec wydania dokumentacji medycznej konkretnej osobie);
• zastrzeżenie numeru PESEL; – od 1 czerwca 2024 r. instytucje finansowe (np. banki) mają obowiązek weryfikować, czy numer PESEL jest zastrzeżony przy zawieraniu np. umowy kredytu lub pożyczki (zastrzeżenie numeru PESEL jest możliwe przez Internet na stronie mObywatel.gov.pl lub w swoim urzędzie gminy);
• założenie konta w systemie informacji kredytowej i gospodarczej celem monitorowania swojej aktywności kredytowej (na rynku dostępne są systemy, instytucje
  i przedsiębiorstwa, które oferują usługi pozwalające na monitorowanie swojej aktywności kredytowej. Podajemy przykładowe: Biuro Informacji Kredytowej S.A. strona https://www.bik.pl, Biuro Informacji Gospodarczej InfoMonitor S.A. strona https://big.pl, Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A. stron https://krd.pl );
• zachowanie ostrożności w kontaktach z osobami próbującymi pozyskać od Pani/Pana jakiekolwiek informacje przede wszystkim telefonicznie czy za pośrednictwem telefonu;
• włączenie dodatkowych zabezpieczeń w serwisach, które umożliwiają weryfikację dwuetapową;
• zmianę loginu lub hasła do systemów, w których loginem lub hasłem jest numer PESEL;
• niepowiązywanie haseł np. do bankowości elektronicznej z własnymi danymi osobowymi (typu data urodzenia czy adres);
• zwrócenie szczególnej uwagi na próby logowania na konta i sprawdzanie alertów przesyłanych na adres e-mail;
• w przypadku stwierdzenia jakichkolwiek nieprawidłowości niezwłoczne zgłoszenie tego faktu organom ścigania;
• w przypadku materializacji któregoś ze wskazanych negatywnych skutków naruszenia rozważenie możliwości skorzystania ze środków ochrony dóbr osobistych, wskazanych w przepisach ustaw kodeks cywilny lub/i kodeks postępowania cywilnego.

Administrator Danych Osobowych w celu zminimalizowania ewentualnych negatywnych skutków tego naruszenia podjął niezwłocznie adekwatne środki organizacyjne, administracyjne i prawne.

Naruszenie zostało zgłoszone do Urzędu Ochrony Danych Osobowych i do organów ścigania. Link z danymi ujawnionymi na forum cyberprzestępczym został usunięty następnego dnia i dane nie są już dostępne. Administrator uzyskał od firmy Medily sp z o.o. zapewnienie, że po wystąpieniu incydentu dokonano zmiany haseł dostępowych do wszystkich środowisk i przeprowadzone zostały dodatkowe audyty zabezpieczeń sieciowych.

Administrator Danych Osobowych zapewnia, iż zostały podjęte niezbędne działania, aby podobna sytuacja nie miała miejsca w przyszłości. Planowane jest wprowadzenie częstszych kontroli Podmiotów, które przetwarzają dla Administratora powierzone mu dane.

Przepraszamy za ewentualne niedogodności, których mogli Państwo doświadczyć w związku
z zaistniałą sytuacją.

W razie dodatkowych pytań lub wątpliwości prosimy o kontakt z Inspektorem Ochrony Danych Panem Kamilem Kiecką, poprzez adres e-mail: iodo@angelius.org.