Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Przez lukę SQL injection w systemie Medyc firmy Qbusoft wyciekły dane pacjentów ośrodka w Inowrocławiu

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu

Atakujący wykorzystał podatność w interfejsie oprogramowania Medyc i wyniósł archiwum bazy danych. Ośrodek w Inowrocławiu uznaje za udowodnione pobranie danych identyfikacyjnych i kontaktowych pacjentów, a za bardzo prawdopodobne także wypisów ze szpitala.

Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu zawiadomił pacjentów Oddziału Dziennego Leczenia Uzależnień o naruszeniu ochrony ich danych. Zaatakowany został system podmiotu przetwarzającego, czyli Qbusoft Sp. z o.o. z Olsztyna, producenta oprogramowania Medyc. Według ustaleń dostawcy osoba nieuprawniona 22 i 23 sierpnia 2026 r. wykorzystała podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. typu SQL injectionSQL injection Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia. w interfejsie aplikacji i wyprowadziła zaszyfrowane archiwum bazy danych. Atak wykryto dopiero w nocy z 8 na 9 września 2026 r.

Pobranie imienia, nazwiska, numeru PESEL, adresu, telefonu i adresu e-mail ośrodek uznaje za udowodnione. Imię, nazwisko i PESEL były w bazie zaszyfrowane, ale ze względu na strukturę kodu dostawca nakazał przyjąć, że dało się je łatwo odszyfrować. Analiza wykazała też uruchomienie skryptów skierowanych do tabel z danymi medycznymi, dlatego dostawca uważa za bardzo prawdopodobne, że sprawcy mają również karty informacyjne leczenia szpitalnego. Eksport nie był ograniczony czasowo i objął dane pacjentów z okresu od 1 lipca 2024 r. do 23 sierpnia 2026 r.

Qbusoft usunął podatność tego samego dnia, w którym wykrył atak. Ograniczył uprawnienia bazodanowe, wymusił rotację wszystkich haseł i sekretów technicznych i objął infrastrukturę stałym monitoringiem. Sprawę zgłosił policji 9 września, a UODOUrząd Ochrony Danych Osobowych Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych. 10 września 2026 r. Ośrodek jako administrator danych dokonał własnego zgłoszenia do Prezesa UODO po otrzymaniu ostatecznych informacji od dostawcy.

Skala nie jest znana. CyberDefence24 pisze, że Medyc działa także w innych placówkach, ale komunikat opublikował tylko ośrodek z Inowrocławia. Sekurak dostał od czytelnika kolejne zawiadomienie, tym razem od spółki Centrum eZdrowia Sp. z o.o., która informuje, że obsługuje ponad 500 000 pacjentów; ilu z nich objął incydent, nie wiadomo.

Zaufana Trzecia Strona potwierdza wyciek na dużą skalę i przypisuje go sprawcy podpisującemu się „fingerprint”, temu samemu, który stał za wyciekiem z MyDr. Według redakcji „fingerprint” zapowiedział kolejny incydent 29 sierpnia, a Qbusoft nie odpowiedział na pytania wysłane mu 22 września. Z3S szacuje, że w bazie Medyc mogły być dane ponad miliona osób, ale sama zaznacza, że to przybliżenie oparte na liczbie wizyt, którą firma podaje na swojej stronie, a nie informacja od dostawcy.

Jeśli twoja organizacja korzysta z Medyc, nie czekaj na komunikat dostawcy. Zapytaj Qbusoft wprost, czy incydent objął twoją bazę i z jakiego okresu pochodzą pobrane dane. W Inowrocławiu zawiadomienie pacjentów i zgłoszenie do UODO poszły dopiero po otrzymaniu od dostawcy ostatecznego stanowiska.

Aktualizacja z 29 września 2026

Sprawcy ataku na Medyc podali własną, wyższą ocenę skali. Zaufana Trzecia Strona pisze, że grupa „fingerprint” ogłosiła kradzież danych pięciu milionów osób oraz ośmiu milionów „bardzo prywatnych” zdjęć. Redakcja szacowała wcześniej skalę na co najmniej milion osób. Zdjęć nie udało jej się potwierdzić, według jej informacji mogą przedstawiać pacjentów w negliżu. Inne źródło redakcji miało potwierdzić skalę i wskazać, że wykradziono kompletną bazę, prowadzoną od początku działalności firmy, sięgającą do siedmiu lat wstecz. To szerszy zakres niż w komunikacie ośrodka z Inowrocławia, który podaje dane od 1 lipca 2024 r.

Incydent potwierdził minister Gawkowski. Według relacji Z3S wskazał, że ofiara zgłosiła go Centralnemu Biuru Zwalczania CyberprzestępczościCentralne Biuro Zwalczania Cyberprzestępczości Jednostka Policji powołana do zwalczania cyberprzestępczości. W aktualnościach pojawia się jako adresat zawiadomień o włamaniach i wyciekach, obok CSIRT i Prezesa UODO., ale nie przekazała informacji ani do CSIRTCSIRT Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). CEZ, zespołu powołanego do obsługi incydentów w ochronie zdrowia, ani do CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.. Redakcja zaznacza, że pomoc obu zespołów jest darmowa. Nadal nie ma odpowiedzi Qbusoft na jej pytania prasowe.

Z3S dowiedziała się też, że Medyc korzysta z infrastruktury Azure. Sprawcy do tej pory nie opublikowali wykradzionych danych, co według redakcji zgadza się z ich zachowaniem po ataku na MyDr. Jeśli używasz Medyc, zapytaj dostawcę, czy zgłosił incydent do CSIRT CEZ i CERT Polska.

Źródła

Pojęcia w tym tekście (7)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
SQL injection
Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.
Urząd Ochrony Danych Osobowych
Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.
Incydent
Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Centralne Biuro Zwalczania Cyberprzestępczości
Jednostka Policji powołana do zwalczania cyberprzestępczości. W aktualnościach pojawia się jako adresat zawiadomień o włamaniach i wyciekach, obok CSIRT i Prezesa UODO.
CSIRT
Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
CERT Polska
Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.