MyDr hatte bereits in der vergangenen Woche offengelegt, dass Teile seiner Systeme von dem betroffen waren, was das Unternehmen als „äußere, vorsätzliche kriminelle Aktivität“ bezeichnete. Nun teilten polnische Behörden mit, dass Angreifer auf historische Daten aus den MyDr-Systemen zugreifen konnten. Wie groß der tatsächliche Kreis der Betroffenen ist, bleibt offen: Den Angaben zufolge betrifft der Vorfall möglicherweise nicht alle Kunden von MyDr und auch nicht alle Patienten dieser Einrichtungen.
Die mögliche Tragweite ist dennoch erheblich. MyDr beliefert Ärzte, Kliniken und andere Gesundheitsdienstleister mit Software und entwickelt außerdem Werkzeuge für das Praxismanagement sowie elektronische Patientenakten. Über seine Software verbindet das Unternehmen Gesundheitsdienstleister mit P1, der landesweiten elektronischen Gesundheitsplattform Polens, über die unter anderem elektronische Rezepte und Überweisungen abgewickelt werden.
Digitalminister Krzysztof Gawkowski erklärte am Freitag, das polnische Zentrum für E-Health tausche vorsorglich digitale Zertifikate aus, die medizinische Systeme für die Verbindung zu P1 verwenden. Nach Angaben der Behörden gibt es keine Hinweise darauf, dass diese Zertifikate bei dem Angriff auf MyDr gestohlen oder missbraucht wurden. Der Austausch soll verhindern, dass möglicherweise kompromittierte Zertifikate später für unbefugte Zugriffe verwendet werden.
Laut den Behörden soll der Zertifikatswechsel die Versorgung nicht beeinträchtigen. Dienste für Patienten wie elektronische Rezepte und Überweisungen sollten weiter ohne Unterbrechung funktionieren. Gesundheitsministerin Jolanta Sobierańska-Grenda sagte am Montag zudem, der Vorfall stelle keine Gefahr für die öffentlichen Gesundheitssysteme Polens dar und P1 bleibe abgesichert. Auch MyDr erklärte, die eigenen Systeme seien weiterhin in Betrieb und für Ärzte und Patienten sicher.
Parallel laufen Aufsicht und Ermittlungen an. Nach Angaben Gawkowskis aus der vergangenen Woche plant Polens Datenschutzbehörde eine Inspektion bei MyDr, während Sicherheitsbehörden daran arbeiten, die Verantwortlichen für den Angriff zu identifizieren. Sollte die Untersuchung ergeben, dass das Unternehmen vorgeschriebene Verfahren nicht eingehalten oder seine Systeme nicht angemessen geschützt habe, drohten rechtliche Konsequenzen, sagte der Minister.
Einem bestimmten Akteur wurde der Angriff bislang nicht zugeschrieben. Zusätzliche, bislang unbestätigte Hinweise kamen in diesem Monat von dem polnischen Cybersicherheitsmedium Zaufana Trzecia Strona. Das Medium berichtete, mutmaßliche Verantwortliche hätten Kontakt aufgenommen und angebliche Belege für den Einbruch übermittelt, darunter einen Bildschirmfoto-Ausschnitt mit Informationen zu einem prominenten polnischen Politiker. Den Berichten und Proben zufolge könnte das entwendete Material Namen, Geburtsdaten, Identifikationsnummern, bestimmte Rezeptinformationen und weitere medizinische Unterlagen umfassen. Diese Angaben wurden jedoch nicht unabhängig verifiziert.
Der Vorfall folgt kurz auf einen weiteren bekannt gewordenen Cyberangriff in Polen. Die Handelskette Żabka erklärte in diesem Monat, Angreifer hätten sich über ein Konto eines externen Dienstleisters Zugriff auf interne Unternehmenssysteme verschafft. Żabka teilte laut einer Stellungnahme an Recorded Future News mit, dass Transaktionssysteme, Verbraucherdienste, Daten der Mobilanwendung und der Geschäftsbetrieb nicht betroffen gewesen seien. Ob zwischen beiden Fällen ein Zusammenhang besteht, ist unklar.