Po informacjach o wycieku danych z systemów MyDr zaczęłam się zastanawiać, co właściwie można teraz zrobić. Danych przecież z rąk przestępców nie da się „odwołać”. Można za to utrudnić ich wykorzystanie i szybciej dowiedzieć się, że ktoś próbuje się pod nas podszyć. Jedno z takich zabezpieczeń BIK właśnie udostępnił za darmo na 90 dni. I tym razem nie ma haczyka w postaci automatycznego przejścia na płatny abonament.
Sprawa MyDr jest poważna przede wszystkim dlatego, że mówimy o danych związanych z ochroną zdrowia. Prezes Urzędu Ochrony Danych Osobowych zapowiedział już kontrolę spółki. UODO podkreśla przy tym, że skala naruszenia nadal nie jest w pełni znana. Według przytaczanych przez urząd doniesień medialnych problem może dotyczyć około 12 tys. placówek korzystających z rozwiązań MyDr. (UODO)
Centralne Biuro Zwalczania Cyberprzestępczości potwierdziło natomiast, że pod nadzorem Prokuratury Okręgowej w Warszawie prowadzi czynności dotyczące uzyskania nieuprawnionego dostępu do systemu informatycznego MyDr i informacji przechowywanych na serwerach spółki. Na razie policja nie ujawnia szczegółów ani pełnej skali zdarzenia.
I właśnie dlatego nie czekałabym na ostateczną odpowiedź na pytanie, czy moje dane znalazły się wśród przejętych.
Najpierw zastrzegłabym PESEL. To nic nie kosztuje
Pierwszą rzeczą jest zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie między innymi w aplikacji mObywatel. Takie działanie po incydencie MyDr zalecają zarówno Ministerstwo Zdrowia, jak i UODO.
To ważne, bo zastrzeżony PESEL utrudnia wykorzystanie naszych danych do zaciągnięcia części zobowiązań finansowych.
Ale nie rozwiązuje wszystkich problemów.
Ktoś, kto przejął nasze dane, może próbować wykorzystać je również do phishingu, podszywania się pod bank, przychodnię albo inną instytucję i wyciągania od nas kolejnych informacji. UODO wprost ostrzega, że po takim wycieku trzeba szczególnie dokładnie analizować SMS-y, maile i rozmowy telefoniczne.
BIK daje Alerty za darmo. Sprawdziłam najważniejszy haczyk
W tym momencie ciekawa staje się akcja Biura Informacji Kredytowej. Do 31 sierpnia można włączyć Alerty BIK na 90 dni za 0 zł. Żeby skorzystać z oferty, trzeba założyć konto w BIK albo zalogować się na już posiadane i aktywować promocję.
Alert przychodzi SMS-em, gdy w BIK pojawia się informacja wskazująca, że ktoś próbuje wykorzystać nasze dane. Po zalogowaniu się do serwisu można zobaczyć szczegóły zdarzenia. Wraz z aktywacją usługi użytkownik otrzymuje również raport z przeszukania darknetu, który ma pokazać, czy jego dane pojawiały się wcześniej w tej części internetu.
I od razu sprawdziłam rzecz, która przy takich „darmowych przez kilka miesięcy” ofertach interesuje mnie najbardziej.
Po 90 dniach usługa wygasa. Nie zamienia się automatycznie w płatną. Jeżeli ktoś będzie chciał dalej korzystać z Alertów BIK, będzie musiał sam podjąć decyzję o ich wykupieniu. BIK deklaruje to wprost w informacji prasowej.
To istotne, bo oznacza, że nie trzeba pamiętać o anulowaniu subskrypcji dzień przed końcem bezpłatnego okresu.
Po MyDr nie ograniczałabym się do jednego zabezpieczenia
Nie traktowałabym jednak Alertów BIK jako zamiennika zastrzeżenia PESEL. To dwie różne warstwy ochrony.
Po incydencie takim jak MyDr zrobiłabym przede wszystkim trzy rzeczy: zastrzegła PESEL, uważała znacznie bardziej na telefony, SMS-y i e-maile wykorzystujące moje prawdziwe dane oraz uruchomiła dodatkowe powiadomienia o próbach posłużenia się moją tożsamością.
Szczególnie że w przypadku MyDr wciąż nie znamy całego obrazu. UODO informował wcześniej, że w związku z doniesieniami dotyczącymi możliwego wycieku danych niemal 19 mln osób administratorzy korzystający z usług MyDr muszą indywidualnie przeanalizować, czy doszło do naruszenia wymagającego powiadomienia konkretnych pacjentów.
Policja 18 sierpnia zaznaczyła natomiast, że na obecnym etapie nie ma podstaw do publikowania numerów PESEL pacjentów obsługiwanych przez MyDr w serwisie bezpiecznedane.gov.pl.
Dlatego ja nie wyciągałabym z braku takiego ostrzeżenia wniosku, że sprawa mnie nie dotyczy. Dochodzenie trwa, skala incydentu jest ustalana, a danych, które już raz wydostały się poza chroniony system, nie da się przecież zmienić jak hasła.
Można jedynie zrobić wszystko, żeby ich późniejsze wykorzystanie nie przeszło niezauważone.