Trzy dni temu jako pierwsi ujawniliśmy, że włamywacze ukradli z firmy MyDr dane prawie 19 milionów Polaków. Dzisiaj tę liczbę kilkakrotnie potwierdził premier Krzysztof Gawkowski. Co ciekawe, sama poszkodowana firma nadal w swoim stanowisku podkreśla, że nie zna dokładnej skali incydentu. Porzućmy jednak rozważania o tym, czy danych było 19 mln, a skupmy się na skutkach tego zdarzenia.Co może zrobić zwykły obywatel po wyciekuZwykły obywatel na razie nie może zrobić nic ani nie może niczego się dowiedzieć. Brzmi brutalnie, ale to prawda. Zastrzeżenie numeru PESEL to podstawowa czynność, którą każdy dorosły Polak powinien był zrobić przynajmniej dwa lata temu. Jeśli jeszcze wam się nie udało, zróbcie to dzisiaj. Przy okazji zadbajcie o to, by zrobił to każdy dorosły w waszej rodzinie. Szczególnie duży nacisk połóżcie na potencjalnych spadkodawców - może to brzmi brutalnie, ale w ten sposób troszczycie się także o siebie.Warto także zauważyć, że wartość numeru PESEL jest mocno przeceniona. W publicznych rejestrach, dostępnych online (głównie KRS, ale nie tylko), znajdują się numery PESEL ok. trzech milionów Polaków. Na dokładkę mówimy o osobach często dość zamożnych, pełniących funkcje kierownicze w różnych spółkach. I gdzie ten armagedon? Nie martmy się więc tak bardzo tymi PESEl-ami.Przykładowe dane jednej z ofiar wyciekuNo dobrze, ale czy byłem w wycieku?Z prawdopodobieństwem przekraczającym 50% odpowiedź brzmi TAK. Ale nie wiemy na 100%. I przez jakiś czas pewnie się jeszcze nie dowiemy. Po pierwsze firma, która padła ofiarą włamywaczy ma problem z precyzyjnym ustaleniem, jakie konkretnie dane zostały skradzione. Dzisiaj pojawiła się informacja, że pewnie były to dane nie nowsze niż z rok 2024, ale które konkretnie - tego nie wiemy. Nikt oprócz włamywaczy nie widział też wykradzionej bazy, a fragmenty, które nam pokazali, nie pokazują całego obrazu sytuacji.Na dokładkę firma nie może (zgodnie z RODO) przekazać danych NASK, który to prowadzi serwis bezpiecznedane,gov.pl. Gdyby przekazać mogła, to każdy mógłby pewnie już wkrótce do serwisu zajrzeć i (zakładając, że może tym razem nie padnie pod obciążeniem, którego nie sposób przewidzieć) i sprawdzić, czy był w bazie. Ale firma danych przekazać nie może, prezes UODO nie pozwoli a nikt mu nie każe pozwolić. Przepis to przepis i basta.Jest pewna furtka - danych może zażądać na podstawie Kodeksu Postępowania Karnego prokuratura prowadząca postępowanie, a gdy je otrzyma, może je przekazać gdzie uzna za stosowne. Jest więc szansa, że kiedyś w bezpiecznedane.gov.pl się pojawią.O incydencie formalnie powinien was powiadomić gabinet, który wasze dane zebrał i do systemu wprowadził. Ale gabinet najpierw musi być poinformowany o tym przez zaatakowaną firmę, która ciągle nie wie, jakie dane wyciekły i kółko się zamyka. To zatem potrwa.Jaki jest najgorszy możliwy scenariuszW scenariuszu katastroficznym włamywacze, nie doczekawszy się spodziewanych korzyści finansowych, w odruchu samobójczej rozpaczy postanowią wykradzione dane sprzedać. Kupi je ktoś, kto źle życzy w Polsce i zacznie się zabawa w analizowanie, kto jest w bazie i jakie tabletki przyjmował. To bardzo zły scenariusz. O ile zwykły obywatel naje się najwyżej wstydu, o tyle osoby na eksponowanych stanowiskach mogą być np. szantażowane groźbą ujawnienia treści ich recept za ostatnie 10 (lub więcej) lat. Na przykład starając się o dostęp do informacji niejawnych lub taki dostęp posiadając trzeba ujawnić przypadki leczenia psychiatrycznego. Idziemy o zakład, że nie każdy posiadacz poświadczenia bezpieczeństwa o to zadbał. A to osoby, które z definicji są interesującymi celami rekrutacji obcych wywiadów. To nie wyglądałoby dobrze dla Polski.Jaki jest najlepszy możliwy scenariuszW scenariuszu optymistycznym mamy kilka pozytywnych wariantów wydarzeń:włamywacze otrzymują satysfakcjonująca ich rekompensatę finansową i dane kasująwłamywacze, przestraszeni gromkimi groźbami premiera Gawkowskiego, zapadają się pod ziemię wraz z danymi i nigdy ich nie ujawniają, bojąc się karzącej ręki poskiego wymiaru sprawiedliwościwłamywacze zostają namierzeni przez organy ścigania i czy w Polsce, czy w innym kraju, trafiają za kratki i tracą dostęp do wykradzionych danych.Jakie są szanse na dobry scenariusz? Naszym zdaniem niemałe. Jeśli wierzyć ostatnim wieściom od złodziei sprzed paru dni, to dane leżą zaszyfrowane na jakimś dysku offline, a sami włamywacze przyczaili się, by przeczekać sztorm rozpętany w mediach przez premiera. Oby tak pozostało.Na koniec wskazówki dla lekarzy używających MyDrJeden z polskich ekspertów ds. bezpieczeństwa, Krystian Kochanowski, wskazał także ważny wątek, do tej pory pomijany we wszelkiej komunikacji.https://x.com/krystiankry/status/2086913066113876293MyDr wymagał od lekarzy wgrania do systemu certyfikatu (wraz z hasłem), którym posługują się, by wystawiać e-recepty. Jeśli certyfikaty trafiły w ręce włamywaczy (a tego nie możemy na tym etapie wykluczyć), to zdecydowanie warto posłuchać Krystiana i stary certyfikat anulować i wygenerować nowy. W niczym to nie zaszkodzi, a może pomóc.