Firma MyDr ogłosiła właśnie, że bada poważny incydent bezpieczeństwa w swojej sieci. Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, że są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL.MyDr to jeden z największych polskich dostawców systemu Elektronicznej Dokumentacji Medycznej, obsługujący tysiące punktów ochrony zdrowia. Możecie nie wiedzieć, że ta platforma przetwarza wasze dane - używają jej wasi lekarze i to oni wprowadzają dane waszych wizyt i recept. Sama firma MyDr twierdzi, że obsługuje 3 miliony wizyt miesięcznie i wystawienie 2,7 mln recept miesięcznie. Nie podaje liczby użytkowników, którzy są obsługiwani przez jej systemy w placówkach ochrony zdrowia.Nietypowe zgłoszenieW sobotę odezwał się do nas ktoś, kto twierdził, że dysponuje danymi ponad 18 milionów Polek i Polaków, pochodzących z systemów medycznych. Potraktowaliśmy zgłoszenie poważnie i weszliśmy w bezpośredni kontakt ze zgłaszającym oraz powiadomiliśmy odpowiednie instytucje.Co wiemy o incydencieOsoba (lub osoby) stojące za wyciekiem przekazała nam sporo informacji, z których część byliśmy w stanie zweryfikować. Poniżej przedstawiamy dowody możliwego wycieku, wraz z naszym komentarzem odnośnie ich wiarygodności.Po pierwsze otrzymaliśmy zrzut ekranu wpisów w bazie dotyczących jednego z najważniejszych polityków w Polsce. Zawierały jego prawidłową datę urodzenia, jego PESEL, imię i nazwisko i dwa różne numery telefonów. Jeden z numerów mogliśmy potwierdzić w kilku innych źródłach i faktycznie, ten polityk z niego korzystał. Wpisom towarzyszyła także recepta na pewien lek - tych informacji oczywiście nie jesteśmy w stanie potwierdzić. Zgadzał się za to wymieniony w bazie region NFZ.Sprawcy przesłali także dane autora tego artykułu. PESEL się zgadzał (da się go pozyskać innymi metodami, choć nie jest to trywialne). Zgadzał się także region NFZ. Numeru telefonu nie było (był wpisany 111111111, co jest praktyką punktów, które nie chcą się bawić w uzupełnianie wszystkich danych).Sprawcy przesłali także kilka zrzutów ekranu pokazujących zebrane dane, np z systemu Jira: Sprawcy przesłali także zrzut ekranu wiadomości, którą podobno wysłali 5 sierpnia do prezesa firmy, będącej właścicielem platformy. Sprawcy wiadomość wysłali w kopii do siebie, to zrzut ekranu kopii.Wiadomość zawierała link do dokumentu PDF, który miał być skasowany po pobraniu, ale skasowany nie został. Jak sprawdziliśmy, link nadal działał (dlatego zamazaliśmy go na powyższym zrzucie ekranu). Plik PDF był zabezpieczony hasłem, ale sprawcy wspomnieli, że hasłem jest PESEL prezesa. Ustalenie hasła nie było problemem - wspominaliśmy już wielokrotnie, że PESEL ma niską entropię. W treści dokumentu znaleźliśmy większość dowodów włamania, które także my otrzymaliśmy oraz prośbę o kontakt (inne konto Session niż to, które korespondowało z nami). Przedstawiono także zagadnienie jako "ofertę zakupu wyników audytu bezpieczeństwa".Otrzymaliśmy także przykładowy cennik reklam w serwisie, w formie zrzutu ekranu pliku Excel ze stawkami za reklamy konkretnych lekarstw. Z kolei plik PDF wysłany rzekomo do prezesa zawierał wewnętrzną korespondencję firmową, w tym np. informacje o nowych pracownikach czy raport sygnalisty o nieprawidłowościach. Był w nim także fragment bazy danych lekarzy, z którymi firma współpracuje - dane, które sprawdziliśmy, były w 100% prawdziwe (choć to dane dostępne w większości publicznie). W liście do prezesa wymieniali takie systemy jak Jira czy Hubspot CRM jako te, do których uzyskali pełny dostęp.Spracy pokazali nam także SMS-a, którego rzekomo wysyłali do pracowników firmy z jej własnego konta w serwisie SMSApi.Jak sprawcy dostali się do infrastruktury firmyWedług tego, co usłyszeliśmy od sprawców, najpierw udało im się uzyskać zdalne wykonanie kodu przez podatność typu XXE przy obsłudze certyfikatów PKCS#12. To pozwoliło na poznanie klucza API do Githuba, gdzie z kolei znaleźli kod źródłowy serwisu. Dzięki temu dostali się do infrastruktury na AWS. Nie byliśmy w stanie niezależnie zweryfikować tych informacji.Jak oceniamy wiarygodność twierdzeń sprawcówW takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie. Warto jednak zauważyć, że nasze możliwości weryfikacji są dość ograniczone. Sprawcy twierdzą na przykład, że ukradli 2,5 TB danych - nie mamy żadnej możliwości weryfikacji tego twierdzenia. Podobnie nie możemy zweryfikować twierdzenia, że w ich posiadaniu są dane osobowe ponad 18 milionów Polek i Polaków - ale ta liczba wydaje się odzwierciedlać potencjalny zakres działania systemu MyDr (przy tysiącach obsługiwanych gabinetów i przychodni). Pośrednio prawdopodobieństwo incydentu potwierdził także premier Gawkowski, pisząc, że "wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich [danych] dostęp".Kim są sprawcyTu robi się ciekawie, ponieważ kimkolwiek są, starają się wyglądać, jak ktoś zupełnie inny. Komunikują się po angielsku, uśmiechają po rosyjsku ("))))))))))"), a język angielski, jakim się posługują, brzmi, jakby ktoś kazał Claudowi przepisać tekst "tak jakby to napisał średnio znający angielski obywatel jakiegoś kraju z Azji". Brzmi to zatem jak próby sprowadzenia śledztwa na fałszywe tropy.Stanowisko firmyWysłaliśmy zaatakowanej firmie kilka pytań:1. Czy firma wie o incydencie uzyskania nieuprawnionego dostępudo danych osobowych użytkowników serwisu?2. Kiedy firma dowiedziała się o incydencie?3. Jakie działania podjęto w tym zakresie do tej pory?4. Jakie działania są planowane?Oto odpowiedzi, jakie otrzymaliśmy.1. Obecnie prowadzimy postępowanie wyjaśniające dotyczące zgłoszonego incydentu związanego z systemami MyDr.2. Dopóki trwa postępowanie wyjaśniające, nie możemy podać dokładnych dat związanych z tym incydentem.3. Niezwłocznie po uzyskaniu informacji o potencjalnym incydencie:uruchomiliśmy nasze procedury reagowania na incydentynad wyjaśnieniem sytuacji pracują nasze zespoły ds. Bezpieczeństwa, Inżynierii i Infrastrukturywspółpracujemy z zewnętrznymi ekspertami ds. cyberbezpieczeństwa oraz doradcami prawnymipowiadomiliśmy właściwe organy i ściśle z nimi współpracujemy w celu wyjaśnienia tej sprawyskontaktowaliśmy się również z naszymi klientami i przekazaliśmy im dostępne na obecnym etapie informacje, w tym dedykowany zestaw odpowiedzi na najczęściej zadawane pytania (FAQ), obejmujący kwestie, na które możemy obecnie udzielić odpowiedzi.4. Na obecnym etapie postępowanie wyjaśniające nadal trwa.Kontynuujemy ścisłą współpracę z zewnętrznymi ekspertami, właściwymi organami oraz naszymi zespołami wewnętrznymi w celu pełnego wyjaśnienia sprawy.Będziemy przekazywać kolejne informacje, gdy tylko będziemy mogli potwierdzić nowe ustalenia.