Dane pacjentów pewnego szpitala wyciekły przez Internetowe Konto Pacjenta

Zmiana adresu URL w przeglądarce pozwalała na pobranie dokumentacji medycznej różnych osób przez Internetowe Konto Pacjenta. Błąd dotyczył prawdopodobnie pacjentów jednego szpitala.

Ministerstwo Zdrowia na swojej stronie internetowej w dość niepozornej zakładce “komunikaty”  zamieściło “Komunikat o naruszeniu ochrony danych osobowych“. Czyje dane wyciekły? To nie jest pewne, natomiast komunikat mówi o dość poważnym incydencie. Otóż użytkownicy Internetowego Konta Pacjenta mogli podejrzeć dane innych osób.

Czerwone strzałki dodane przez redakcję Niebezpiecznik.pl

Co się stało?

Z komunikatu wynika 28 kwietnia 2025 r. Centrum e-Zdrowia powiadomiło ministerstwo o podatności w IKP. Polegała ona na tym, że:

w przypadku wprowadzenia zmian w adresie URL w przeglądarce internetowej podczas pracy z aplikacją IKP możliwy był nieuprawniony dostęp do dokumentacji medycznej (EDM) innych użytkowników. Zatem z poziomu aplikacji IKP możliwa była ręczna edycja adresu URL w przeglądarce, dokonanie zmiany fragmentu adresu i wykonanie operacji pobrania dokumentu EDM (elektronicznej dokumentacji medycznej – przyp. red.).

Na pierwszy rzut oka wydaje się to banalnym błędem podobnym do tego, który w przeszłości wystąpił w systemie wniosków paszportowych. Jednak w komunikacie jest jeszcze jedna ciekawostka. Otóż standardowo pobranie dokumentacji z IKP możliwe jest tylko po tym, jak podmiot leczniczy zweryfikuje uprawnienia po swojej stronie w systemie P1.

W opisanym zdarzeniu weryfikacja taka nie miała miejsca. Niezależnie od możliwości modyfikacji adresu URL, po stronie podmiotu leczniczego powinna być realizowana obowiązkowa weryfikacja uprawnień użytkownika, zgodnie z obowiązującą dokumentacją integracyjną.

Zdarzenie można zakwalifikować jako “wyciek” ponieważ jakiś użytkownik wykorzystał błąd i pobrał dokumentację medyczną czterech innych osób. Ten użytkownik – jak rozumiemy – zgłosił problem, ale nie ujawnił czyje dane pozyskał. Doszło więc do nieuprawnionego ujawnienia danych (przynajmniej?) czterech osób w postaci:

1. imienia i nazwiska,
2. daty urodzenia,
3. adresu zamieszkania lub pobytu,
4. numeru PESEL,
5. informacji o dowodzie osobistym,
6. danych dotyczących zdrowia (!!!!!!).

Można sądzić, że podatność była ograniczona do konkretnego repozytorium w konkretnym podmiocie leczniczym. Ministerstwo doszło do takiego wniosku gdyż po zgłoszeniu przeprowadzono testy przy użyciu konta IKP innej osoby i repozytorium innego podmiotu. Nie udało się odtworzyć sytuacji. Dalsza analiza wykazała, że po stronie konkretnego szpitala nie zabezpieczono repozytorium danych w zakresie wymogu weryfikacji uprawnień użytkownika na poziomie systemu P1. W sprawie interweniował CSIRT CeZ (czyli zespół reagowania na incydenty działający przy Centrum e-Zdrowia). Skontaktował się on ze szpitalem, który potwierdził błąd w usłudze dostarczanej do podmiotu leczniczego. Dostawca repozytorium zadeklarował naprawę tego błędu do dnia 25 kwietnia i “w dniu 25 kwietnia 2025 r. przekazał informacje o przygotowaniu poprawki do systemów repozytorium w podmiotach leczniczych”. Miejmy nadzieję, że poprawka została wdrożona, bo z komunikatu to jasno nie wynika.

Przynajmniej zgłosili do UODO

Ministerstwo oświadczyło. że 29 kwietnia 2025 r. opisane naruszenie ochrony danych osobowych zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych. To nas bardzo cieszy bo nie zawsze był to standard w ochronie zdrowia. Kilka lat temu opisywaliśmy przypadek dopisania naszemu Czytelnikowi dodatkowego syna w systemie Pacjent.gov.pl. Wówczas incydentu nie zgłoszono do UODO (a przynajmniej nie zrobiono tego przez pół roku), ale mogło to wynikać z faktu, że wina leżała częściowo po stronie ZUSu i na jakimś etapie sprawy chyba nikt nie czuł się szczególnie winny.

CeZ: “Potwierdzamy, że dotyczyło to tylko kilku osób”

Niestety naszym zdaniem komunikat Ministerstwa Zdrowia ma pewne braki. Nie wynika z niego jasno czy ustalono osoby, których dane zostały w sposób nieuprawniony ujawnione. Nie podano też nazwy szpitala, w którego repozytorium znaleziono błąd. Nie poinformowano od kiedy podatność była w systemie i czy przeprowadzono analizy w zakresie innych przypadków jej nadużywania. Z dodatkowymi pytaniami w tym zakresie zwróciliśmy się do Ministerstwa Zdrowia. Rzeczniczka prasowa ministerstwa Renata Jeziółkowska odesłała nas do Centrum e-Zdrowia, a ono odpowiedziało na dodatkowe pytania.

— Potwierdzamy, że sprawa dotyczyła zaledwie kilku osób – czytamy w e-mailu, w którym CeZ odpowiedziało na nasze pytania – Nie było też możliwości sprawdzenia danych dowolnego pacjenta w ramach systemu P1, a jedynie w obszarze bardzo ograniczonej bazy repozytorium niewłaściwie przygotowanego przez niezależnego dostawcę. Dodatkowo, mimo iż obowiązek spoczywający na podmiocie zewnętrznym, ze strony Ministerstwa Zdrowia oraz Centrum e-Zdrowia dopilnujemy, by bezpośrednio zainteresowane osoby zostały poinformowane o zaistniałym incydencie. 

CeZ nie odpowiedziało na nasze pytanie o to jakiego szpitala dotyczył incydent “ze względu na dobrze pojęte bezpieczeństwo i cyberbezpieczeństwo wszystkich zaangażowanych stron”, natomiast szczegóły dotyczące tej podatności pojawią się zapewne na stronach CERT Polska, bo – według wiedzy CeZ – uruchomiona została procedura przyznania tej podatności oznaczenia CVE. Dodajmy też, że komunikat w tej sprawie zamieszczono na stronie CeZ i w nim już napisano, że “analizy nie wykazały nadużycia tej podatności”.

źródło niebezpiecznik.pl 8 maja 2025