Co może stać się po wycieku danych z MyDr? Zastrzeżenie PESEL nie wystarczy

W wyniku cyberataku na MyDr przestępcy przejęli ok. 19 mln rekordów i ponad 2 TB danych osobowych oraz informacji związanych ze zdrowiem pacjentów. Eksperci ostrzegają, że sam wyciek może być dopiero początkiem problemów. Minister cyfryzacji Krzysztof Gawkowski zaleca przede wszystkim zastrzeżenie numeru PESEL. Tymczasem 16% Polaków nie wiedziałoby, jak zareagować na jego kradzież.

Po tak dużym wycieku podstawowym działaniem powinno być zastrzeżenie numeru PESEL. Z badania ChronPESEL.pl i Krajowego Rejestru Długów wynika, że 69% Polaków deklaruje, że zrobiłoby to po jego kradzieży. Jednocześnie tylko 33% monitorowałoby później PESEL i swoją historię kredytową, a 16% nie wiedziałoby, co zrobić.

Zastrzeżenie PESEL chroni przede wszystkim przed określonymi nadużyciami finansowymi. Status numeru muszą sprawdzać m.in. banki i firmy pożyczkowe przy zawieraniu umów kredytowych, operatorzy telekomunikacyjni przed wydaniem duplikatu SIM czy notariusze przy wybranych czynnościach dotyczących nieruchomości. Nie oznacza to jednak pełnej ochrony.

„Zastrzeżenie PESEL-u jest ważne, ale nie chroni przed każdym oszustwem. Przestępcy nadal mogą wykorzystać skradziony numer do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu czy zakupu towaru z odroczonym terminem płatności” – ostrzega Bartłomiej Drozd, ekspert ChronPESEL.pl.
Jak dodaje, skradzione dane mogą zostać również wykorzystane do założenia firmy i późniejszej próby wyłudzenia kredytu biznesowego.

Prawdziwe dane ułatwiają phishing

Problem z wyciekiem danych MyDr jest szerszy niż sam PESEL. Jeżeli w ręce przestępców trafiły również numery telefonów, adresy e-mail, dane dotyczące placówek medycznych czy informacje o leczeniu, mogą one posłużyć do przygotowania znacznie bardziej wiarygodnych oszustw.

Przestępca może np. podszyć się pod przychodnię, lekarza, ubezpieczyciela czy bank i wysłać wiadomość dotyczącą wizyty, recepty, wyników badań albo konieczności potwierdzenia danych.

„To, że rozmówca zna nasze prawdziwe dane, nazwę przychodni czy informacje o leczeniu, nie oznacza, że jest tym, za kogo się podaje. Nie należy klikać w przesłane linki ani podawać haseł, kodów jednorazowych czy danych karty płatniczej” – przestrzega Bartłomiej Drozd.

Najbezpieczniejszym rozwiązaniem jest przerwanie kontaktu i samodzielne skontaktowanie się z daną instytucją, korzystając z numeru telefonu lub adresu podanego na jej oficjalnej stronie.

Skradzione dane mogą żyć latami

Szczególnym problemem są informacje dotyczące zdrowia. W przeciwieństwie do hasła czy karty płatniczej nie można ich po prostu zmienić po wycieku. Co więcej, dane z MyDr mogą w przyszłości zostać połączone z informacjami pochodzącymi z innych baz i wcześniejszych incydentów.

„Dane przejęte w jednym incydencie nie muszą funkcjonować jako odrębna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, a taki połączony zestaw pozwala znacznie dokładniej poznać potencjalną ofiarę. Szczególną kategorią są informacje związane ze zdrowiem, ponieważ nie możemy ich później zmienić tak jak hasła czy numeru karty” – wskazuje Beniamin Szczepankiewicz, analityk cyberzagrożeń ESET.

Oznacza to, że konsekwencje wycieku mogą być odczuwalne długo po zakończeniu samego ataku. Informacje mogą służyć zarówno do phishingu i kradzieży pieniędzy, jak i do przejmowania kont czy budowania szczegółowych profili potencjalnych ofiar.

Im więcej o nas wiedzą, tym trudniej rozpoznać oszustwo

Duża liczba prawdziwych informacji pozwala przestępcom odejść od masowego, łatwego do rozpoznania phishingu. Zamiast przypadkowej wiadomości mogą przygotować scenariusz dopasowany do konkretnej osoby.

„Im więcej prawdziwych informacji może wykorzystać oszust, tym mniej jego kontakt przypomina typowy phishing. Kilka poprawnych szczegółów wystarczy czasem, aby odbiorca uwierzył, że rzeczywiście rozmawia z przedstawicielem znanej mu instytucji” – zauważa Paweł Pudo z DAGMA Bezpieczeństwo IT.

Dopiero później pojawia się właściwa próba oszustwa: przekazanie hasła lub kodu, instalacja aplikacji, zatwierdzenie operacji albo wykonanie płatności.

Dane medyczne mogą mieć wartość nie tylko finansową

W przypadku MyDr ryzyko dodatkowo związane jest z charakterem potencjalnie ujawnionych informacji. Dane dotyczące leczenia mogą zostać wykorzystane do wywierania presji, zastraszania czy szantażu. Szczególnie wrażliwe mogą być informacje dotyczące zdrowia psychicznego, chorób przewlekłych, uzależnień czy zdrowia seksualnego.

„Atakujący nie musi próbować wykorzystać całej ogromnej bazy. Wystarczy odnaleźć w niej niewielką grupę osób, wobec których określona informacja może mieć wyjątkową wartość” – podkreśla Paweł Pudo.

Dlatego w przypadku tak dużego incydentu konsekwencje nie ograniczają się do ryzyka zaciągnięcia kredytu na cudze dane.

Co zrobić po wycieku?

Zastrzeżenie numeru PESEL powinno być pierwszym krokiem, ale nie ostatnim. Warto również monitorować historię kredytową, zachować szczególną ostrożność wobec telefonów i wiadomości odnoszących się do zdrowia, stosować unikalne hasła i uwierzytelnianie wieloskładnikowe oraz nie klikać w linki z niespodziewanych wiadomości.

W praktyce po incydencie takim jak MyDr pytanie „czy moje dane zostały skradzione?” jest dopiero początkiem. Równie ważne jest to, czy przestępcy będą w stanie wykorzystać je w taki sposób, aby zbudować wiarygodną historię i nakłonić ofiarę do wykonania kolejnego kroku.