Atacul MyDr: ce faci când datele medicale alimentează phishingul „de la clinică”

Autoritățile poloneze au confirmat pe 12 august 2026 un incident major la MyDr, furnizor de documentație medicală electronică folosit de mii de cabinete și clinici. Ministrul polonez al digitalizării a declarat că baza sustrasă depășește 2 TB și conține date asociate cu aproape 19 milioane de persoane. MyDr a confirmat incidentul și investighează încă natura, cronologia și întinderea exactă a accesului neautorizat.

Ce este confirmat și ce rămâne necunoscut

• Guvernul polonez și MyDr confirmă incidentul și sustragerea unei baze de peste 2 TB; cifra comunicată este de aproximativ 19 milioane de înregistrări asociate persoanelor care au folosit servicii medicale.
• Autoritățile au menționat date despre medicamente și rețete, însă inventarul complet al câmpurilor și numărul final de persoane distincte nu sunt încă publice.
• MyDr este folosit pentru documentație medicală electronică, e-rețete, e-trimiteri și alte fluxuri ale cabinetelor și clinicilor; amploarea operațională explică de ce același incident poate traversa multe organizații medicale.
• La 13 august, autoritățile spuneau că datele nu erau în spațiul public sau la vânzare și că serviciile monitorizau situația.
• Vectorul inițial, cronologia completă, identitatea atacatorilor și toate organizațiile ori persoanele afectate nu fuseseră făcute publice.

Cifra de 19 milioane nu trebuie transformată automat în „19 milioane de dosare medicale complete”. O persoană poate avea mai multe înregistrări, iar întinderea diferă între categorii. Mesajul corect pentru utilizatori este că incidentul este confirmat și foarte mare, dar evaluarea individuală depinde de notificările oficiale și de rezultatul investigației.

De ce o fraudă „de la clinică” poate părea autentică

O fraudă generică cere victimei să creadă o poveste. O fraudă construită din date reale poate menționa numele clinicii, un medicament, o rețetă sau o vizită și poate crea impresia că apelantul are acces legitim. Aceste detalii nu demonstrează identitatea expeditorului; pot proveni chiar din incidentul pe care mesajul pretinde că îl rezolvă.

• Un SMS spune că o rețetă trebuie „reactivată” și cere autentificare sau o taxă mică pe un link primit.
• Un apelant pretinde că este de la clinică, cunoaște date medicale și cere codul primit prin SMS pentru „confirmarea pacientului”.
• Un e-mail anunță o investigație a breșei și solicită încărcarea actului de identitate într-un formular nou.
• Un fals reprezentant al autorității cere instalarea unei aplicații ori acces la ecran pentru a verifica dacă datele au fost compromise.
• Un mesaj urgent invocă o persoană apropiată și folosește informații medicale pentru presiune, rușine sau șantaj.

Regula de verificare: schimbă canalul, nu continua conversația

Când mesajul conține informații adevărate, verificarea nu trebuie să se bazeze pe ceea ce știe interlocutorul. Închide conversația și deschide separat canalul cunoscut: aplicația oficială, numărul de pe site-ul clinicii sau contactul salvat anterior. Nu folosi linkul, numărul ori extensia oferite în mesajul suspect.

• Nu transmite parole, coduri MFA, coduri de recuperare sau fotografii ale actelor pentru a „confirma” o notificare de incident.
• Nu aproba o autentificare neașteptată, chiar dacă apelantul cunoaște date sensibile ori numele medicului.
• Nu muta bani și nu plăti taxe pentru protejarea datelor, anularea unei rețete sau blocarea unui presupus împrumut.
• Păstrează mesajul, adresa, numărul și ora și raportează-le prin canalul oficial al organizației.
• Dacă ai introdus deja date, contactează imediat banca și organizația implicată, schimbă parola reutilizată și cere revocarea sesiunilor active.

Ce trebuie să exerseze recepția și call-centerul unei clinici

Recepția poate deveni atât țintă, cât și sursă involuntară de confirmare. Un atacator poate cere completarea unui dosar, schimbarea datelor de contact, retrimiterea unei rețete sau accesul la cont. Echipa trebuie să verifice identitatea printr-o procedură aprobată, fără întrebări ale căror răspunsuri apar probabil în datele compromise.

• Nu folosi doar numele, data nașterii, adresa, medicamentul sau ultima vizită ca factori de autentificare.
• Pentru schimbarea telefonului, e-mailului ori persoanei delegate, aplică o verificare suplimentară și păstrează dovada deciziei.
• Nu confirma unui apelant dacă o persoană este pacient, ce tratament urmează sau ce medic o consultă.
• Escaladează apelurile care combină urgența, date medicale exacte și o cerere de resetare sau divulgare.
• Oferă pacienților un mesaj consecvent: ce canal folosește clinica, ce nu va cere niciodată și unde se raportează o tentativă.

Tabletop pe roluri: patru injecturi după o breșă medicală

Exercițiul poate reuni recepția, help desk-ul, securitatea, responsabilul cu protecția datelor, comunicarea și managementul. Pentru fiecare inject, cere o decizie, un owner, un termen, canalul de verificare și dovada care închide acțiunea.

• Inject 1 — trei pacienți raportează SMS-uri care conțin numele clinicii și medicamente reale. Cine validează campania și cine publică avertizarea?
• Inject 2 — un apelant cunoaște datele unui director și cere resetarea accesului la portalul medical. Ce informații nu mai sunt acceptate ca dovadă?
• Inject 3 — o persoană spune că a încărcat actul și a introdus parola într-un formular fals. Cine coordonează banca, resetarea, revocarea sesiunilor și păstrarea dovezilor?
• Inject 4 — circulă o captură care pretinde că baza este la vânzare, dar autoritățile spun că nu este publică. Cine verifică și cum comunică fără să amplifice o afirmație neverificată?

Comportamentele care merită măsurate

• Procentul participanților care schimbă canalul și nu continuă conversația suspectă.
• Rata de refuz a solicitărilor de cod MFA, instalare de aplicații sau încărcare a actului.
• Timpul dintre primul raport și mesajul consecvent transmis recepției, help desk-ului și persoanelor vizate.
• Procentul operatorilor care nu tratează datele medicale cunoscute de apelant ca dovadă de identitate.
• Timpul necesar pentru revocarea sesiunilor, notificarea băncii și păstrarea dovezilor după compromiterea unui cont.
• Numărul procedurilor care încă folosesc informații statice, posibil compromise, drept singur factor de verificare.

Lecția pentru un program de awareness

După o breșă, trainingul nu trebuie să se limiteze la recomandarea de a schimba parola. Riscul real traversează e-mailul, SMS-ul, telefonul și procesele interne de verificare. Angajații trebuie să demonstreze că pot opri conversația, verifica independent și raporta, iar echipele de suport trebuie să demonstreze că nu reconstruiesc accesul din date deja expuse.

Learning Awarely poate separa scenariul în module pentru utilizatori, recepție, help desk și management, apoi poate urmări răspunsul ales, timpul de raportare și recertificarea. Obiectivul nu este memorarea numelui MyDr, ci un reflex care rămâne valabil la următoarea breșă: detaliul corect nu este dovadă de identitate.