• Piotr Miluski, CEO MyDr, w poniedziałek 24 sierpnia - 2 tygodnie od pierwszych informacji o cyberataku na firmę oferującą oprogramowanie dla placówek medycznych - wystosował oficjalne oświadczenie. 
• W swoim wpisie przeprasza wszystkich pacjentów oraz użytkowników systemu firmy, czyli placówki medyczne. Zapewnia, że MyDr będzie dalej wyjaśniała sprawę oraz współpracuje z instytucjami i służbami odpowiedzialnymi za cyberbezpieczeństwo. 
• Do tej pory dane Polaków objęte incydentem nie zostały opublikowane w rządowym serwisie BezpieczneDane.gov.pl. 

W WNP na bieżąco informujemy o nowych ustaleniach dotyczących cyberataku na firmę MyDr, który ma obejmować dane 19 mln Polaków. Jak dotąd spółka zapewniała, że aktywnie monitoruje dark web i "nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie". 

Dochodzenie ws. wycieku danych w firmie nadzoruje Prokuratura Okręgowa w Warszawie. Prowadzone jest przez Centralne Biuro Zwalczania Cyberprzestępczości. 

Cyberpolicja podkreślała również, że obecnie "nie jest zasadnym publikowanie numerów PESEL pacjentów obsługiwanych przez system MyDr na stronie bezpiecznedane.gov.pl", choć wcześniej udostępnienie informacji na rządowej platformie zapowiedział resort cyfryzacji.

Pytany o to wiceminister cyfryzacji Dariusz Standerski mówił: - Nasz zespół w NASK jest gotowy i po przekazaniu tych danych (przez policję - przyp. red.) potrzebuje od 6 do 8 godzin, żeby dane załadować na portalu bezpiecznedane.gov.pl. Wówczas będą dostępne - stwierdził na antenie TVN24. 

Prawdopodobnie dane Polaków pojawią się na BezpieczneDane.gov.pl w tym tygodniu. 

Z kolei w poniedziałek 24 sierpnia na oficjalnej stronie internetowej firmy pojawiło się oświadczenie - po raz pierwszy podpisane przez szefa MyDr. Do tej pory spółka wydawała komunikaty, które nie były przez nikogo sygnowane, nikt też nie wypowiadał się publicznie w jej imieniu. Redakcja WNP dotąd nie dostała także żadnej odpowiedzi na zadane przez nas pytania w sprawie tego incydentu. 

Teraz po raz pierwszy publicznie przemówił Piotr Miluski, CEO MyDr, i w swoim oświadczeniu zatytułowanym: "Kilka słów ode mnie" podkreślił, że "to były najtrudniejsze dwa tygodnie w historii firmy". Zaraz dodał: "Wiem jednak, że były one znacznie trudniejsze dla naszych klientów i pacjentów, osób, które znalazły się w sytuacji, na którą nie miały wpływu"

Przede wszystkim chcę przeprosić za niepokój, stres i niepewność, które spowodowała ta sytuacja. Przepraszam każdego pacjenta i każdego naszego użytkownika, niezależnie od tego, czy incydent w ogóle dotyczy jego danych. Wiem, że obawa o swoje dane medyczne nie jest zwykłym stresem. To jedne z najbardziej prywatnych informacji, jakie istnieją, a ich bezpieczeństwo traktujemy jako nasze najważniejsze zadanie - czytamy w oświadczeniu. 

Potwierdził jednocześnie, że MyDr była celem cyberataku, co nie zmienia faktu, że firma ma "poważnie traktować jej obowiązki wobec użytkowników systemu i pacjentów oraz odpowiedzialność, którą czuje za odbudowanie zaufania".

- Postępowanie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) nadal trwa. Równolegle zespół MyDr, wspólnie z zewnętrznymi ekspertami, kończy analizę, której celem jest precyzyjne ustalenie, jakie dane zostały objęte incydentem - poinformował Piotr Miluski. 

Jak dodał, w najbliższych dniach MyDr rozpocznie oficjalne informowanie placówek medycznych o incydencie zgodnie z RODO. Pomoże im też w komunikacji z pacjentami. 

- Za pośrednictwem placówek medycznych informacja może dotrzeć do około 18 milionów osób, których danych na obecnym etapie analizy nie możemy wykluczyć z zakresu incydentu. Grupa ta została określona z ostrożności i obejmuje osoby, których dane, przede wszystkim o charakterze historycznym (pochodzące z kwietnia 2024 r. lub wcześniejsze), znajdowały się w środowisku objętym incydentem. Chcę podkreślić, że to jednak nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione. Nasze zespoły oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione - zaznaczył. 

CEO MyDr podkreślił również, że wolą oni poinformować "zbyt szeroką grupę osób niż zbyt wąską, ponieważ uważają, że każdy zasługuje na to, aby wiedzieć i móc odpowiednio zareagować". Zapewnił, że placówki otrzymają od nich gotowe materiały oraz "wsparcie na każdym etapie, tak aby każdy pacjent dowiadywał się o sytuacji od swojej placówki medycznej, a nie z mediów".

Od samego początku w pełni współpracujemy z organami ścigania (CBZC), a także z wieloma innymi instytucjami i podmiotami, między innymi z zespołem reagowania na incydenty bezpieczeństwa komputerowego CERT Polska działającym w ramach Naukowej i Akademickiej Sieci Komputerowej (NASK), Centrum e-Zdrowia (CeZ) oraz Ministerstwem Cyfryzacji. Mieliśmy okazję zobaczyć z bliska, jak wiele pracy i zaangażowania pracownicy tych instytucji wkładają w wyjaśnienie tej sprawy. Chcę podziękować wszystkim osobom, które nas wspierają, za ich profesjonalizm, zaangażowanie i pomoc - oświadczył. 

Jak dodał, czekają ich dalsze kontrole, w ramach których będą współpracować i przekazywać informacje niezbędne do wyjaśnienia sprawy. Jednocześnie podkreśla, że firma wzmacnia zabezpieczenia i sposób, w jaki są one weryfikowane.

- Nasze systemy będą poddawane ciągłym testom pod kątem nowych i pojawiających się zagrożeń, również z wykorzystaniem nowoczesnych narzędzi opartych na AI. Te prace już trwają. Wiele osób pyta mnie, co mogliśmy zrobić lepiej. Dziś moja odpowiedź brzmi, że zasługują państwo na pełną odpowiedź na to pytanie, a nie na pospieszną. Kiedy analiza zostanie zakończona, otwarcie poinformujemy o tym, czego się dowiedzieliśmy, jakie wnioski z tego wyciągamy i jakie działania podejmujemy - podsumował. 

MyDr ma regularnie informować o dalszych krokach i nowych faktach w zakresie incydentu. 

W ostatni wtorek wiceminister cyfryzacji Dariusz Standerski zapowiedział, że zaproponowane zostaną konkretne rozwiązania ustawowe dotyczące nowych obowiązków dla podmiotów masowo przetwarzających dane.

Zatem w przypadku tego incydentu chodzi właśnie o firmę MyDr, a nie o placówki medyczne, które mają obowiązek poinformowania pacjentów o wycieku ich danych.