W dniu 30 września 2022 r. Fundacja “Sprawność w każdym wieku” z siedzibą na ul. Ludowej 6, 00-780 Warszawa (dalej „Fundacja”) prowadząca placówkę medyczną Kimed Centrum Medyczne Mokotów stała się ofiarą ataku hakerskiego, w wyniku którego doszło do naruszenia poufności danych osobowych. W związku z tym poniżej przekazujemy informacje, które dają pełniejszy obraz okoliczności tego incydentu, działań jakie w związku z nim podjęliśmy oraz działań, które w związku z tym incydentem mogą Państwo podjąć.

Uprzejmie prosimy o uważne zapoznanie się z poniższym powiadomieniem.

Atak hakerski umożliwił dostęp do następujących danych: imię, nazwisko, termin wizyty, adres zamieszkania, numer PESEL, numer telefonu, adres e-mail oraz dane dotyczące zdrowia, dokumentacja medyczna.

Po dokonaniu analizy incydentu w kontekście przetwarzania danych osobowych, wskazujemy jako możliwe konsekwencje zdarzenia:

• możliwość podjęcia przez osoby trzecie próby uzyskania na Państwa szkodę, pożyczek w instytucjach pozabankowych np. przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości;

• wykorzystanie Państwa danych do uwierzytelnienia (weryfikacji tożsamości) i zaciągnięcie zobowiązań w Państwa imieniu np. zakupów (w tym ratalnych) w sklepach internetowych,
• korzystanie z Państwa praw obywatelskich, np. wykorzystanie danych do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego;

• zarejestrowanie przedpłaconej karty telefonicznej (pre-paid), która może posłużyć do celów przestępczych;
• zawarcie na Państwa szkodę umów cywilno-prawnych, np. najmu czy sprzedaży nieruchomości;
• wyłudzenie ubezpieczenia;
• posłużenie się fałszywymi danymi i ukrycie swojej tożsamości, np. przy otrzymywaniu mandatu;
• próba wyłudzenia odszkodowania;
• uzyskanie dowodu kolekcjonerskiego, który może zostać wykorzystany np. do przejęcia karty SIM, a w konsekwencji poskutkować uzyskaniem dostępu do konta bankowego bądź innych usług powiązanych z numerem;
• założenie na Państwa dane osobowe konta internetowego (np. w serwisach społecznościowych czy poczty elektronicznej);
• kierowane do Państwa wiadomości e-mail lub SMS zawierających informacje handlowe, na które nie wyrazili Państwo zgody;
• podszycie się pod inną osobę lub instytucję w celu wyłudzenia od Państwa dodatkowych określonych informacji (np. danych do logowania, szczegółów karty kredytowej itp.);
• uzyskanie dostępu do danych o stanie zdrowia, w przypadku przełamania zabezpieczeń do systemu świadczeń opieki zdrowotnej, np. poprzez potwierdzenie tożsamości za pomocą numeru PESEL;
• korzystanie ze świadczeń opieki zdrowotnej Państwu przysługujących poprzez potwierdzenie swojej tożsamości za pomocą numeru PESEL;
• utratę poufności danych, dyskryminację w związku z ujawnieniem danych dotyczących zdrowia;
• naruszenie dóbr osobistych w postaci prywatności odnośnie informacji dotyczących danych medycznych oraz o korzystaniu z usług opieki zdrowotnej.
  W celu zabezpieczenia się i zminimalizowania ewentualnych negatywnych skutków naruszenia podajemy informacje o krokach, które Państwo mogą podjąć w związku z incydentem:

W celu zabezpieczenia się i zminimalizowania ewentualnych negatywnych skutków naruszenia podajemy informacje o krokach, które Państwo mogą podjąć w związku z incydentem:

• skorzystanie z możliwości założenia konta w systemie informacji kredytowej lub gospodarczej w celu dodatkowego zabezpieczenia swoich danych przed nieuprawnionym wykorzystaniem i celem monitorowania prób uzyskania kredytu;
• zmiana hasła do skrzynki poczty elektronicznej;
• zachowanie ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem internetu czy telefonu;
• ignorowanie nieoczekiwanych wiadomości e-mail i / lub SMS, w szczególności od nieznanych nadawców;
• nieotwieranie nieznanych załączników wysłanych w wiadomościach e-mail i / lub SMS;
• nie używanie linków do stron internetowych otrzymanych od nieznanych nadawców w wiadomościach e-mail i / lub SMS
• zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów;
• zachowanie szczególnej ostrożności przy odbieraniu połączeń telefonicznych czy wiadomości zawierających informacje na temat Państwa problemu zdrowotnego od nieznanych nadawców.

W związku z zaistniałym naruszeniem danych osobowych w Fundacji podjęte zostały następujące działania:

• zgłosiliśmy niniejszy incydent w zakresie naruszenia danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych,
• zdarzenie zgłosiliśmy do CSIRT, NASK
• dostęp do każdego z naszych programów jest zabezpieczony silnym hasłem,
• stosowany jest firewall,
• wdrożono system blokad połączeń z adresów IP występujących na czarnych listach TOR i Banned IP,
• wdrożono połączenia szyfrowane VPN dla zaplecza aplikacji,
• kopia zapasowa danych wykonywana jest codziennie,
• komputery chronione są programem antywirusowym, który jest regularnie aktualizowany,
• korzystamy wyłącznie z legalnego oprogramowania, które na bieżąco aktualizujemy,
• regularnie wykonujemy przeglądy kontrolne, serwis sprzętu, urządzeń i oprogramowania,
• w związku z zaistniałym zdarzeniem, zablokowaliśmy nieuprawniony dostęp do naszych serwerów,
• podjęliśmy również działania mające na celu odzyskanie dostępu do Państwa danych osobowych (przy pomocy zapisanej kopii zapasowej – backupu danych na serwerze).
• zmieniliśmy infrastrukturę serwerów, zmniejszając potencjalne narażenie na ataki

Przepraszamy za niedogodności wynikające z zaistniałej sytuacji i jednocześnie zapewniamy, że zdarzenie miało charakter incydentalny. Jednocześnie podjęliśmy wszelkie konieczne starania mające na celu zminimalizowanie skutków zdarzenia i ryzyka wystąpienia podobnych zdarzeń w przyszłości.
Zamierzamy wdrożyć procedury mające na celu zapewnienie jeszcze wyższego poziomu bezpieczeństwa informatycznego.

W przypadku dalszych pytań, wątpliwości czy przekazania dodatkowych informacji w związku z zaistniałym zdarzeniem, uprzejmie prosimy o kontakt z naszym Inspektorem ochrony danych – Katarzyna Mączyńską poprzez kierowanie korespondencji na adres e-mail: inspektor@mbrk.pl

Pozostajemy do dyspozycji.

Z poważaniem

Fundacja „Sprawność w każdym wieku”
Ul. Ludowa 6
00-780 Warszawa