Jeszcze w kwietniu 69 proc. Polaków po kradzieży numeru PESEL zastrzegłoby go w aplikacji mObywatel lub urzędzie, ale zaledwie 33 proc. monitorowałoby później numer i historię kredytową. Tak wynika z badania na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów.
Czy dzisiaj liczba ta byłaby większa? Z pewnością w ostatnich dniach ochrona danych stała się jednym z gorętszych tematów, a zastrzeganie numeru PESEL odmieniane jest przez wszystkie przypadki, przez rządzących, przez specjalistów ds. cyberbezpieczeństwa.
Zobacz: Jak zastrzec numer PESEL?
Gigantyczny wyciek. Wykradziono szczególne dane
W środę wicepremier, minister cyfryzacji Krzysztof Gawkowski potwierdził informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane blisko 19 mln Polaków, m.in. o lekach i receptach. Jak przekazał wicepremier, dane dotyczą 12 tys. podmiotów medycznych, które korzystały z platformy MyDr.
Według GUS w Polsce mieszka 37,24 miliona ludzi. Wyciek bezpośrednio dotyka zatem więcej niż co drugiego mieszkańca naszego kraju. Ale to tylko bezpośrednio, bo przecież może dotyczyć naszego rodzica, dziadka, dziecka czy współmałżonka.
Zobacz również:
Wyciek danych. Które grupy są szczególnie narażone?
Tymczasem sprawa kluczowa - dlaczego fakt, że wykradziono dane medyczne, jest tak istotny?
- Kluczowym zagrożeniem jest ryzyko wykorzystania tych informacji do szantażu, przede wszystkim finansowego, a to on jest zazwyczaj główną motywacją atakujących - mówi Interii Oskar Klimczuk, specjalista ds. cyberbezpieczeństwa, redaktor CyberDefence24.
Jak zaznacza, dotyczy to zwłaszcza osób pełniących istotne role w państwie - polityków czy kierowników urzędów, ale także przedsiębiorców, prezesów firm.
Co się dzieje z wykradzionymi danymi?
- Najważniejsze jest to, w czyje ręce ostatecznie trafią te informacje. Choć obecnie nie ma publicznych doniesień o ich sprzedaży czy publikacji, istnieje ryzyko, że zainteresuje się nimi obcy wywiad, co mogłoby służyć wywieraniu nacisków na decydentów. Trudno dziś ocenić realny wpływ takich działań, jednak motywacja finansowa pozostaje bardzo prawdopodobna, pomimo twierdzeń cyberprzestępców o braku planów sprzedaży danych - mówi ekspert.
Informację o tym, że sprawcy cyberataku na firmę MyDr nie planują nie planują sprzedawać ani udostępniać wykradzionych danych, przekazał w czwartek rano serwis Zaufana Trzecia Strona.
Z kolei wicepremier, minister cyfryzacji Krzysztof Gawkowski podczas konferencji prasowej zapewnił, że obecnie w przestrzeni publicznej nie ma danych skradzionych w ataku.
- To znaczy, że nie są one wystawione nigdzie na sprzedaż, ani nie są elementem żadnej gry. I to monitorują służby - powiedział wicepremier.
Jak dodał, "trwa zabezpieczanie danych, żeby w ciemnej części darknetu nie były dostępne i żeby nikt nie mógł ich kupić (...) albo nie chciał ich sprzedać na przykład w dużej paczce".
Dzień wcześniej stwierdził, że na nic nie wskazuje na atak ze strony obcego państwa.
Z kolei premier Donald Tusk w czwartek powiedział, odnosząc się do sprawy, że "motywacja zdaje się czysto kryminalna". - Mamy do czynienia z bardzo wyrafinowanymi technikami czy metodami. (...). Wiele na to wskazuje, że chodzi o próbę wyłudzenia okupu od tej (MyDr - red.) firmy - ocenił szef rządu.
W czyje ręce trafiły dane co drugiego Polaka?
Oskar Klimczuk zauważa jednak, że tożsamość posiadacza tych danych wciąż pozostaje niewiadomą, co - jak mówi - samo w sobie stanowi zagrożenie. - Na ustalenie sprawców zapewne będziemy musieli poczekać tygodnie, a może nawet miesiące - zauważa.
A co dalej?
Oskar Klimczuk podkreśla: musimy mieć świadomość, że przestępcy dobrowolnie nie pozbędą się skradzionych informacji.
- Zastrzeżenie numeru PESEL jest absolutną podstawą. Pozwala to zapobiec zaciąganiu kredytów, pożyczek czy wykonywaniu innych czynności prawnych na nasze dane - przypomina.
Samo zastrzeżenie PESEL-u, choć bardzo ważne, nie wystarczy.
Wyciek danych MyDr. Zastrzec PESEL i co dalej?
- Drugim kluczowym aspektem jest wzmożona czujność. Musimy być nieufni wobec wszelkich niezapowiedzianych kontaktów, wiadomości czy telefonów. Nawet jeśli osoba po drugiej stronie słuchawki przedstawia się jako pracownik naszej przychodni - mówi Klimczuk.
Jak zauważa, oszuści mogą wykorzystywać wiedzę o naszych chorobach czy przyjmowanych lekach, by uwiarygodnić swoje działania i wyłudzić kolejne informacje.
- Co ważne, celem takiego działania mogą być nie tylko osoby, których dane wyciekły, ale też ich bliscy: na przykład rodzic czy dziadek może otrzymać informację, że coś się dzieje z synem czy wnukiem. W cyberprzestrzeni, podobnie jak na drodze, powinna obowiązywać nas zasada ograniczonego zaufania - zaznacza.
To też dobry moment, żeby porozmawiać z tym z bliskimi i uczulić ich na możliwe zagrożenia w sieci.
Wykradzione dane a AI
Rozmówcę Interii pytamy również o to, czy i jak skradzione informacje mogą zostać wykorzystane przez narzędzia sztucznej inteligencji.
- Ryzyko, że te dane staną się publiczne i zaczną pojawiać się w odpowiedziach popularnych modeli AI, oceniam jako bliskie zeru - uspokaja Klimczuk. Dodaje jednak, że cyberprzestępcy mogą wykorzystywać lokalne modele sztucznej inteligencji do precyzyjnej analizy tych danych. - Pozwoli im to na jeszcze skuteczniejsze i bardziej wiarygodne podszywanie się pod personel medyczny czy przedstawicieli placówek medycznych - wskazuje.
Tymczasem dane z wycieku z fimy MyDr nie trafiły jeszcze do baz serwisu bezpiecznedane.gov, gdzie można sprawdzić, czy sprawa dotyka nas bezpośrednio. Jak głosi komunikat na rządowej stronie, mają one zostać "udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem".
Justyna Kaczmarczyk
