IQ Dental potwierdziła nieuprawniony dostęp do danych pacjentów 36 placówek
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- Niebezpiecznik ()
Dostawca oprogramowania dla gabinetów stomatologicznych poinformował klientów, że dane osobowe pacjentów i dane o wizytach mogły zostać wykradzione. Według zarządu spółki incydent dotyczy 36 placówek.
Firma IQ Dental, dostawca oprogramowania dla polskich placówek medycznych, poinformowała obsługiwane kliniki, że dane osobowe ich pacjentów i dane dotyczące wizyt mogły zostać wykradzione. Według wiadomości spółki do klientów, cytowanej przez Niebezpiecznika, do nieuprawnionego dostępu doszło w czwartek 1 października od około godz. 4:00 do około godz. 12:00 tego samego dnia. Incydent wykryto w poniedziałek 5 października około godz. 12:00.
Mogły zostać pozyskane imię i nazwisko pacjenta, numer PESEL, dane adresowe oraz dane dotyczące wizyt, w tym treść pól tekstowych i notatek. Spółka wskazuje, że pola tekstowe mają charakter otwarty. Jeśli ktoś wpisał w nie informacje o leczeniu lub stanie zdrowia, nie można wykluczyć, że i one były dostępne. Dotychczasowa analiza techniczna nie wykazała dostępu do innych poufnych danych medycznych, takich jak informacje o receptach czy przepisanych lekach.
Spółka ustaliła, że doszło do nieuprawnionego dostępu do konta administracyjnego systemu IQ Dental, a następnie do wygenerowania dostępu API umożliwiającego zapytania dotyczące wybranych klinik. Źródło nie podaje, jak uzyskano dostęp do konta. Niebezpiecznik zadaje pytanie, czy administrator miał włączone uwierzytelnianie dwuskładnikowe.
Spółka nie podaje liczby pacjentów. IQ Dental deklaruje współpracę z 6 500 dentystami, ale przedstawiciel zarządu powiedział Niebezpiecznikowi, że incydent dotyczy 36 placówek. Zarząd nie odnotował żadnych prób wymuszenia okupu. Niebezpiecznik potwierdza, że za atakiem nie stoi Fingerprint, czyli sprawca wycieków z MyDR, Medyc i Fakturowni, a jego konto zaprzeczyło związkowi ze sprawą. Spółka natknęła się na ślady incydentu sama, po przejrzeniu systemów w reakcji na doniesienia o atakach w branży medycznej.
Jeśli korzystasz z oprogramowania IQ Dental, ustal, czy Twoja placówka jest wśród 36 objętych incydentem. Spółka sugeruje klientom zgłoszenie incydentu do UODOUrząd Ochrony Danych Osobowych Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych. oraz włączenie w IQ Dental dwuetapowej weryfikacji użytkowników za pośrednictwem wiadomości e-mail.
Pojęcia w tym tekście (2)
- Incydent
- Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
- Urząd Ochrony Danych Osobowych
- Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.