Sektor ochrony zdrowia po raz kolejny znalazł się na celowniku cyberprzestępców. Po niedawnym incydencie związanym z MyDr tym razem ofiarą ataku ransomware padł SPZOZ Warszawa-Ursynów. Atak objął serwer pocztowy placówki, na którym znajdowały się dane pacjentów. Przedstawiciele placówki nie wykluczają, że część informacji mogła zostać skopiowana przez sprawców. Wśród potencjalnie zagrożonych danych znajdują się m.in. numery PESEL, dane kontaktowe, wyniki badań, skierowania oraz informacje dotyczące stanu zdrowia. To właśnie połączenie tych informacji może stanowić dla cyberprzestępców szczególnie wartościowy materiał do tworzenia wiarygodnych scenariuszy oszustw, w których mogą podszywać się pod lekarzy, placówki medyczne, NFZ czy banki. Prawdziwe dane zwiększają wiarygodność oszustwa Przestępcy mogą wykorzystać informacje pozyskane w wyniku incydentu do przygotowania spersonalizowanych kampanii phishingowych lub bezpośrednich prób wyłudzeń. Znajomość rzeczywistych szczegółów dotyczących leczenia, badań czy wizyt może sprawić, że ofiara znacznie łatwiej uwierzy w autentyczność kontaktu. „Informacje o stanie zdrowia w połączeniu z numerem PESEL, adresem e-mail czy numerem telefonu mogą posłużyć do przygotowania bardzo wiarygodnego oszustwa. Jeśli przestępca skontaktuje się z pacjentem i powoła na prawdziwe szczegóły dotyczące jego leczenia, badania czy placówki, wiarygodność takiego kontaktu znacząco rośnie. To może otwierać drogę do prób kradzieży tożsamości, wyłudzenia pieniędzy, danych logowania do bankowości czy nakłonienia ofiary do kliknięcia w złośliwy link” – ostrzega Kamil Sadkowski, analityk cyberzagrożeń ESET. Potencjalne scenariusze są szerokie. Oszust może zadzwonić, przedstawiając się jako pracownik przychodni i powołując się na konkretną wizytę lub wynik badania. Może również wysłać wiadomość z informacją o konieczności potwierdzenia danych albo dopłaty do świadczenia. W innym wariancie skradzione informacje mogą zostać wykorzystane do stworzenia bardziej przekonującego ataku phishingowego. Danych medycznych nie da się „zmienić” Problem z wyciekiem informacji medycznych polega również na tym, że ich wartość nie znika wraz z zakończeniem incydentu. Hasło można zmienić, a kartę płatniczą zastrzec. Informacje o przebytych chorobach, wykonanych badaniach czy leczeniu pozostają jednak prawdziwe. Dane te mogą więc służyć do uwiarygodniania kolejnych oszustw długo po samym ataku. Im więcej informacji znajduje się w rękach przestępcy, tym łatwiej może on zbudować scenariusz, który będzie wyglądał jak rzeczywisty kontakt z placówką medyczną. Co powinni zrobić pacjenci? Osoby, których dane mogły znaleźć się w zaatakowanym systemie, powinny zachować szczególną ostrożność wobec kontaktów wykorzystujących informacje związane z ich leczeniem. Zastrzec numer PESEL – można to zrobić m.in. w aplikacji mObywatel lub serwisie GOV.pl. Uważać na telefony, SMS-y i e-maile powołujące się na leczenie, wyniki badań, wizyty lub konieczność potwierdzenia danych. Nie przekazywać kodów, haseł ani danych logowania osobom kontaktującym się telefonicznie lub przez wiadomości. Weryfikować kontakt samodzielnie - jeśli pojawiają się wątpliwości, najlepiej przerwać rozmowę i skontaktować się z placówką, korzystając z jej oficjalnego numeru.
