Violato il sistema di cartelle cliniche polacco: rivendicati 18,8 milioni di pazienti

Gli attaccanti sostengono di aver portato via 2,5 terabyte da MyDr, uno dei maggiori fornitori di software per la cartella clinica elettronica in Polonia, e che all’interno ci siano 18 814 422 numeri PESEL unici, l’identificativo nazionale polacco. Si tratta di circa metà del paese. L’azienda conferma un incidente e dice di starne accertando la portata; non conferma un furto di dati. Il vicepremier con delega al digitale ha dichiarato che i servizi stanno verificando le circostanze.

Come è emerso

Sabato qualcuno ha contattato la testata polacca di sicurezza Zaufana Trzecia Strona dicendo di avere i dati di oltre 18 milioni di persone presi da sistemi sanitari. La redazione ha preso sul serio la segnalazione, ha parlato direttamente con la fonte e ha avvisato le istituzioni. Quello che ha pubblicato dopo è la parte che conta, perché finora è l’unica verifica indipendente che qualcuno sia riuscito a fare.

La prova offerta era uno screenshot di voci del database su uno dei politici più in vista in Polonia: data di nascita corretta, PESEL, nome e cognome e due numeri di telefono, uno dei quali i giornalisti hanno confermato da altre fonti. La regione del fondo sanitario indicata coincideva. C’era anche una ricetta per un farmaco preciso, non verificabile dall’esterno. Gli attaccanti hanno inviato pure la scheda dell’autore dell’articolo: PESEL corretto, regione corretta e nel campo del telefono 111111111, il riempitivo tipico degli ambulatori che non vogliono compilare tutto.

Estorsione travestita da audit

Gli attaccanti hanno mostrato anche un messaggio che, a loro dire, hanno inviato il 5 agosto all’amministratore delegato della società proprietaria della piattaforma. Conteneva un link a un PDF che doveva autodistruggersi dopo il download e non lo ha fatto: i giornalisti hanno aperto lo stesso link giorni dopo. Il file era protetto da password, e la password era il PESEL dell’amministratore, quindi non c’era nulla da indovinare. Dentro c’erano le stesse prove e la richiesta di contatto, il tutto presentato come un’offerta per acquistare i risultati di un audit di sicurezza.

Da questo dettaglio discendono due cose. L’estorsione è professionale nella forma e dilettantesca nella propria sicurezza. E l’identificativo attorno al quale ruota tutta la storia è così prevedibile che lo usava come password il capo dell’azienda che dovrebbe proteggerlo.

Che cosa è confermato e che cosa no

Perché una cartella clinica è peggio di una password

Una password si sostituisce in un minuto. Il PESEL viene assegnato una volta sola, e la malattia dietro una ricetta non è affatto una credenziale, è un fatto su una persona. Una coppia formata da identificativo nazionale e storico delle ricette dà a un estraneo due cose insieme: quanto basta per spacciarsi per voi davanti a un ente e quanto basta per farvi pressione in silenzio.

Le ricette sono la parte più tagliente. Una sola riga con il nome di un farmaco può rivelare una diagnosi psichiatrica, uno stato sierologico, un’interruzione di gravidanza, una terapia per una dipendenza. Di norma questo lo protegge il segreto professionale; in una brutta settimana diventa una riga di un database offerto in vendita.

Un fornitore, migliaia di ambulatori

La struttura scomoda è quella di ogni grande fuga di dati. I medici non gestiscono database propri: scrivono nel sistema che l’ambulatorio ha comprato, e migliaia di ambulatori comprano gli stessi pochi sistemi. È efficiente e significa che un solo fornitore custodisce le storie cliniche di mezzo paese. MyDr fa parte del gruppo ZnanyLekarz, a sua volta di DocPlanner, presente in più di una decina di paesi, ed è per questo che un incidente su un prodotto polacco viene letto con attenzione ben oltre la Polonia. Al momento nulla indica che siano coinvolti dati di altri paesi.

La concentrazione non è colpa di nessuno in particolare. È l’aspetto di un mercato maturo, ed è proprio ciò che trasforma la violazione di un fornitore in un evento nazionale.

Che cosa può fare oggi una persona in Polonia

1. Bloccare il proprio PESEL tramite l’app mObywatel o il sito gov.pl. Da giugno 2024 le banche devono controllare il registro prima di concedere un prestito, quindi un numero bloccato impedisce crediti a vostro nome. Il blocco si può togliere per un momento quando serve davvero.
2. Aspettarsi phishing che conosce i vostri dettagli sanitari. Chi chiama e cita il vostro ambulatorio, il vostro medico e una ricetta vera è molto più credibile della solita truffa bancaria.
3. Non confermare dati al telefono solo perché l’interlocutore ne ha già detto una parte. Riagganciare e richiamare l’ente a un numero cercato da voi.
4. Per qualche mese tenere d’occhio le notifiche della banca e le richieste di credito. Il furto d’identità con un identificativo trafugato di solito appare come una domanda che non avete presentato.

Qui la VPN non è lo strumento

Vale la pena dirlo chiaramente, perché dopo ogni fuga gli strumenti di privacy vengono citati per riflesso. Una VPN protegge i dati in transito tra voi e un servizio. Questi dati sono stati presi dall’altro capo, dai sistemi in cui li conservano gli ambulatori, e nessuna impostazione del telefono avrebbe cambiato qualcosa. Qui conta il lato istituzionale: come il fornitore conserva i dati, quanto in fretta avvisa le persone e che cosa fa poi l’autorità di controllo.