Szanowni Państwo!

Informujemy, że Qbusoft Sp. z o.o., dostawca systemu Medyc wykorzystywanego przez naszą klinikę do obsługi procesu udzielania świadczeń zdrowotnych i prowadzenia dokumentacji medycznej, poinformował nas o cyberataku na zarządzaną przez siebie infrastrukturę informatyczną.

Zgodnie z informacjami przekazanymi nam przez Qbusoft Sp. z o.o., w wyniku cyberataku doszło do wycieku danych z infrastruktury, a dane objęte tym zdarzeniem należy traktować jako ujawnione osobom nieuprawnionym.

Pozyskane do tej pory informacje wskazują, że incydent może posiadać, ze względu na jego charakter i skalę duży wpływ na realizację praw lub wolności osób, których dane dotyczą i powodować wysokie ryzyko ich naruszenia. Klinika podjęła niezwłocznie działania w celu wyjaśnienia incydentu, w tym dokonała zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz rozpoczęła działania mające na celu ustalenie jego zakresu i ograniczenie potencjalnych skutków dla pacjentów.

W zależności od zakresu informacji dotyczących danego pacjenta zapisanych w systemie Medyc, naruszenie może obejmować w szczególności: imię i nazwisko, numer PESEL, dane kontaktowe, dane związane z korzystaniem ze świadczeń zdrowotnych, w tym te dotyczące zdrowia oraz procesu diagnostyki i leczenia.

W celu zminimalizowania potencjalnych skutków incydentu prosimy o zastosowanie szczególnych środków ostrożności.

  1. W odniesieniu do numeru PESEL rekomendujemy:

    1. sprawdzenie statusu swoich danych w rządowym serwisie: bezpiecznedane.gov.pl

    2. niezwłoczne zastrzeżenie numeru PESEL – można to zrobić całkowicie bezpłatnie w rządowej aplikacji mobilnej mObywatel, przez internet na stronie obywatel.gov.pl lub osobiście w dowolnym Urzędzie Gminy/Miasta. Instytucje finansowe mają ustawowy obowiązek weryfikować status PESEL przed zawarciem umowy pożyczki, co zablokuje przestępcom możliwość wyłudzenia pieniędzy na Państwa konto; zastrzeżenie PESEL nie wpływa na rejestrację do lekarza, zakup leków czy załatwianie spraw urzędowych. Więcej szczegółów znajdą Państwo na stronie Ministerstwa w zakładce: Zastrzeż swój numer PESEL;

    3. poinformowanie innych świadczeniodawców, że podmioty nieuprawnione weszły
      w posiadanie Pani/Pana danych i mogą podjąć próby pozyskania informacji oraz dostępu do dokumentacji medycznej;

    4. jeśli mają Państwo taką możliwość, włączenie alertów BIK lub monitoringu kredytowego oraz regularne sprawdzanie historii swojego konta bankowego;

    5. jeśli korzystali Państwo z portalu pacjenta Medyc, zmianę hasła, także w innych serwisach, w których było ono takie samo.

Zastrzeżenie numeru PESEL ogranicza możliwość wykorzystania go m.in. do zaciągania kredytów i pożyczek bez wiedzy osoby, której dane dotyczą. Nie uniemożliwia natomiast korzystania ze świadczeń zdrowotnych, realizowania recept ani zwykłego załatwiania spraw urzędowych.

  1. W przypadku danych kontaktowych oraz danych o zdrowiu rekomendujemy:

    1. zachować szczególną ostrożność i zasadę ograniczonego zaufania wobec wszelkich niespodziewanych kontaktów telefonicznych (głosowych), wiadomości SMS oraz e-mail od nieznanych osób, instytucji, firm, które powołują się na historię Państwa zdrowia;

    2. zachowanie szczególnej ostrożności wobec nieoczekiwanych telefonów, SMS-ów i e-maili z powołaniem na naszą placówkę; GOYA Medical nigdy nie prosi o podanie haseł, danych karty ani o dopłaty przez link w SMS-ie; w razie wątpliwości rozłącz się i zadzwoń do nas na numer ze strony internetowej;

    3. w przypadku podejrzenia, że Państwa dane zostały już wykorzystane przez oszustów (np. otrzymali Państwo podejrzany SMS lub informację o próbie logowania), należy jak najszybciej zgłosić ten fakt na Policję; instrukcja, jak dokonać takiego zgłoszenia, znajduje się na stronie:

https://www.gov.pl/web/gov/zglos-przestepstwo

Można również korzystać z rządowego serwisu: https://bezpiecznedane.gov.pl pozwalającego sprawdzać informacje dotyczące ujawnienia danych w znanych incydentach bezpieczeństwa.

Zwracamy uwagę, że nieuprawnione wykorzystanie danych identyfikacyjnych może prowadzić m.in. do:

  1. zaciągnięcia zobowiązania finansowego (kredytu, pożyczki) lub zawarcia innych umów cywilnoprawnych bez Pani/Pana wiedzy;

  2. uzyskania dostępu do Pani/Pana danych zdrowia w innych instytucjach medycznych,
    w których uwierzytelnianie osób następuje wyłącznie przy pomocy numeru PESEL;

  3. zakładania kont w mediach społecznych i publikowania opinii oraz informacji mogących wpływać na państwa i innych osób dobra osobiste (np. publikując na nich obraźliwe komentarze);

  4. innych form podszywania się pod Państwa tożsamość.

Nieuprawnione wykorzystanie danych dotyczących zdrowia lub przebiegu leczenia może prowadzić m.in. do:

  1. naruszenia prywatności;

  2. wykorzystania informacji o stanie zdrowia do prób oszustwa lub wyłudzenia pieniędzy;

  3. kontaktów telefonicznych, wiadomości SMS lub e-mail, w których osoba nieuprawniona wykorzystując wiedzę o leczeniu może podszywać się pod klinikę, lekarza, inną placówkę medyczną albo podmiot oferujący usługi medyczne;

  4. prób wywierania nacisku lub szantażu

  5. ujawnienia informacji dotyczących zdrowia osobom trzecim, co w określonych sytuacjach może prowadzić do stygmatyzacji lub innych naruszeń dóbr osobistych

Monitorujemy funkcjonowanie dostarczanego przez Qbusoft Sp. z o.o. systemu, obejmując jednocześnie naszą infrastrukturę IT wzmożonym nadzorem. Wraz z uzyskiwaniem dalszych potwierdzonych informacji komunikat będzie aktualizowany, a informacje udostępniane także w siedzibie naszej kliniki oraz na stronie internetowej GOYA Medical, w zakładce „ Informacja o incydencie”

W sprawach dot. incydentu mogą Państwo kontaktować się bezpośrednio z nami pod adresem e-mail: naruszenie_medyc@goyamedical.pl

Ponieważ cyberatak dotyczył infrastruktury Qbusoft Sp. z o.o. poniżej wskazujemy również publicznie dostępne dane kontaktowe Inspektora Ochrony Danych Qbusoft Sp. z o.o.: iod@medyc.pl

Z wyrazami szacunku,

GOYA Medical sp. z o.o.