|
|
Grzegorz GPS Świderski
To błąd, że nie wykryłeś, bo źródła podają co innego, niż twierdzi ta AI. Nie zalecam z tej korzystać, bo konfabuluje i jest to jaskrawie, na pierwszy rzut oka, widoczne. Lepiej korzystać z mądrzejszych LLMów, |
|
|
Grzegorz GPS Świderski
To jest dużo poważniejszy problem niż tylko same dane medyczne zbierane przez państwo. Właśnie puściłem tekst, który to rozwija: naszeblogi.pl/77409-nadchodzi-farmakratyczna-tyrania |
|
|
Marek Michalski
"Państwo do tego jest całkowicie zbędne."Przechowywanie danych medycznych pacjenta jest jego prywatną korzyścią i ryzykiem, które nie powinny odbywać się kosztem innych pacjentów.Tymczasem... problemem są zobowiązania publiczne zaciągnięte od pokoleń i na pokolenia, które są finansowane centralnie i tak rozliczane na podstawie danych medycznych (ICD):umw.edu.plrynekzdrowia.plProblem jest systemowy w upaństwowieniu prywatnych problemów zdrowotnych. Jest polityczne zainteresowanie, by to ciągnąć. Przykładem są wspomniane recepty, których refundacja pochłania koszty nie tylko przetwarzania, gromadzenia i ochrony danych, ale też podwyższa ceny leków. Szczerze wątpię, aby dataleaks były potrzebne, skoro system gromadzenia danych jest skonstruowany jak na miarę potrzeb Big Pharma. |
|
|
u2
Przed publikacją wpisu, sprawdzam źródła, które cytuję. W tym przypadku nie wykryłem ściemy, oprócz strony "Bezpieczne Dane", która nie działa. Ale może to i dobrze, bo hakerzy mieliby łatwy cel do ataku :) |
|
|
Grzegorz GPS Świderski
Nie zalecam korzystać z Gemini 3, które automatycznie obsługuje wyszukiwarkę Googla. Ten model najczęściej konfabuluje i nawet jak się powołuje na źródła, to zmyśla to, co w nich jest. To jest klasyczna halucynacja. To, co tu napisał, to są jawne bzdury, które są wręcz komiczne. Jak ktoś korzysta tylko z "AI Overview" w przeglądarce, to nie ma się co dziwić, że uważa, że LLMy są głupie. |
|
|
u2
AI OverviewZłodzieje uzyskali nieuprawniony dostęp do systemów prywatnej firmy MyDr, będącej dostawcą oprogramowania do obsługi elektronicznej dokumentacji medycznej, z którego korzystało około 12 tysięcy placówek zdrowotnych w Polsce. Wykradziona baza zawierająca ponad 2 TB danych (w tym numery PESEL, informacje o lekach, receptach i notatki z wizyt) jest obecnie przetrzymywana przez hakerów na zabezpieczonych, zaszyfrowanych serwerach lub w tzw. sieci Darknet, gdzie najczęściej dochodzi do prób jej sprzedaży lub wykorzystania do szantażu. [1, 2, 3, 4, 5]Jak doszło do kradzieży?Z ustaleń prokuratury oraz oświadczeń Ministerstwa Cyfryzacji wynika, że mechanizm ataku opierał się na następujących elementach: [1, 2]Przejęcie kont pracowników: Przestępcy uzyskali nieuprawniony dostęp do loginów i haseł pracowników wybranych podmiotów medycznych korzystających z platformy. [1]Wykorzystanie struktury programu: Po zalogowaniu się na legalne konta użytkowników, hakerzy użyli architektury aplikacji, aby masowo pobrać informacje zgromadzone w bazach danych. [1, 2]Problem rozłożony w czasie: Choć minister cyfryzacji Krzysztof Gawkowski oficjalnie poinformował o incydencie w sierpniu 2026 roku, śledztwo wykazało, że do głównego przejęcia danych (ponad 18,8 mln rekordów) doszło już w okresie między 18 a 27 marca 2024 roku. [1, 2, 3]Państwowe systemy informatyczne, takie jak ogólnopolska platforma P1 czy Internetowe Konto Pacjenta (IKP), pozostały całkowicie bezpieczne i nie zostały naruszone. [1]Gdzie przestępcy mogą trzymać te dane?Skradziony pakiet danych o wielkości ponad 2 terabajtów stanowi dla hakerów cenny zasób (tzw. "cyfrowe złoto"), który lokują w miejscach odciętych od standardowego internetu: [1]Prywatne serwery "bulletproof hosting": Są to serwerownie zlokalizowane w krajach, które ignorują międzynarodowe nakazy prawne i wnioski o zamknięcie systemów (często na terenie Rosji lub innych państw poza jurysdykcją UE i USA). [1]Fora i giełdy w Darknecie: Baza jest przechowywana na zaszyfrowanych dyskach, a przestępcy publikują próbki danych na ukrytych forach cebulowych (sieć Tor) w celu przyciągnięcia kupców.Chmury szyfrowane p2p: Kopie zapasowe mogą być dystrybuowane w rozproszonych, zaszyfrowanych sieciach rówieśniczych, aby uniemożliwić służbom ich całkowite skasowanie.Co warto zrobić w tej sytuacji?Ponieważ wyciek objął ogromną część dorosłej populacji Polski, eksperci ds. cyberbezpieczeństwa zalecają podjęcie natychmiastowych kroków ochronnych: [1, 2, 3, 4]Zastrzeżenie numeru PESEL – można to zrobić błyskawicznie w aplikacji mObywatel lub przez profil zaufany, co zablokuje oszustom możliwość wzięcia pożyczki na Twoje dane. [1, 2]Aktywacja alertów BIK – usługi monitorujące próby wyłudzenia kredytów lub zakładania kont bankowych na Twoje nazwisko. [1]Zwiększona czujność (Phishing) – oszuści znający historię Twoich chorób lub przyjmowane leki mogą dzwonić bądź pisać, podszywając się pod lekarzy lub kliniki w celu wyłudzenia pieniędzy. [1]Jeśli chcesz dowiedzieć się więcej o procedurach bezpieczeństwa, mogę podpowiedzieć, jak sprawdzić, czy Twoje dane wyciekły, lub wyjaśnić, jakie kroki prawne możesz podjąć w celu uzyskania odszkodowania. [1, 2] Q: Jak sprawdzić, czy moje dane wyciekły? Aby sprawdzić, czy Twoje dane wyciekły, należy skorzystać z oficjalnego, rządowego portalu Bezpieczne Dane. Jest to bezpłatne i bezpieczne narzędzie przygotowane przez Ministerstwo Cyfryzacji we współpracy z CERT Polska i NASK. [1, 2, 3]W odniesieniu do głośnego wycieku z firmy MyDr, dane te są sukcesywnie wprowadzane do bazy przez służby państwowe i placówki medyczne. Zespół NASK zapowiedział, że po pełnym zabezpieczeniu i przekazaniu plików przez policję, załadowanie ich do systemu zajmie zaledwie kilka godzin. Warto więc regularnie ponawiać weryfikację. [1, 2, 3, 4]Instrukcja sprawdzania danych krok po kroku:Wejdź na oficjalną stronę systemu pod adresem bezpiecznedane.gov.pl. [1, 2]Zaloguj się do portalu za pomocą ikony w prawym górnym rogu. Użyj do tego węzła krajowego: aplikacji mObywatel, Profilu Zaufanego lub bankowości elektronicznej. [1, 2, 3]Wpisz dane w wyszukiwarce – po zalogowaniu możesz sprawdzić swój numer PESEL, numery telefonów, adresy e-mail oraz loginy. Ekran natychmiast wyświetli informację, czy konkretny wpis znajduje się w bazie znanych wycieków. [1, 2, 3]Wyloguj się po zakończeniu sprawdzania ze względów bezpieczeństwa. [1]Inne sposoby na weryfikację wycieku z MyDr:Kontakt z Twoją przychodnią: Ponieważ MyDr dostarcza oprogramowanie dla placówek medycznych, Twoja klinika lub lekarz mają prawny obowiązek poinformować Cię, jeśli baza pacjentów danej przychodni została skradziona. Masz prawo wysłać zapytanie do administratora danych placówki w oparciu o art. 15 RODO. [1, 2]Historia weryfikacji w mObywatelu: Logując się do aplikacji mObywatel lub na stronie Obywatel.gov.pl, sprawdź sekcję dotyczącą zastrzeżonego PESEL-u. Zobaczysz tam historię zapytań o Twój numer. Jeśli widnieje tam bank lub instytucja, z którą nie masz nic wspólnego, ktoś prawdopodobnie próbuje użyć Twoich danych. [1]Globalne bazy wycieków mailowych: Aby sprawdzić starsze lub zagraniczne wycieki powiązane z Twoim kontem e-mail, warto skorzystać z międzynarodowego, zaufanego serwisu Have I Been Pwned lub narzędzia F-Secure Identity Theft Checker. [1, 2]Jeśli chcesz, możemy omówić konkretne kroki w aplikacji mObywatel służące do trwałego zabezpieczenia Twojego numeru PESEL lub pomogę Ci sformułować oficjalne zapytanie RODO do Twojej przychodni. Co wolisz zrobić w pierwszej kolejności? [1, 2, 3]PS. Strona "Bezpieczne dane" nie działa. Jak wszystko w antypaństwie Tuska. Ale może to i dobrze, bo kolejne dane by wyciekły :) |
|
|
Grzegorz GPS Świderski
Okazuje się, że ten włam do MyDr to nie pierwszy i nie ostatni taki ogromny wyciek danych medycznych.W marcu 2024 wydarzył się w Polsce inny, niezależny i bardzo podobny konstrukcyjnie incydent medycznego SaaS-u (usługi informatycznej w chmurze). Z serwera testowego firmy Medily, dostawcy systemu Aurero dla wielu placówek, wykradziono dane ok. 180 tys. osób z ok. 40 klinik. Co szczególnie ważne: na serwerze testowym znajdowały się stare dane z wcześniejszej wersji systemu, które powinny już dawno zostać usunięte. Jedna z placówek potwierdziła oficjalnie, że chodziło o środowisko z lat 2019–2021, a dotknięci byli zarówno pacjenci, jak i pracownicy.Niebezpiecznik widział opis zawartości dumpów SQL: były tam PESEL-e, dane kontaktowe, wizyty, lekarze, opisy badań, przepisane leki, logi aktywności i informacje o logowaniu. CERT Polska w swoim raporcie za 2024 r. również odnotował wyciek danych medycznych z oprogramowania Medily. |
|
|
Silentium Universi
Raz coś takiego już było, w znacznie mniejszej skali Źródło: Teleguru.pl share.google |
|
|
Grzegorz GPS Świderski
Oficjalne dane rządu mówią, że wykradziono jeden plik ze zrzutem bazy danych (nie wiadomo dokładnie jaki to format) wielkości 2 TB, w którym jest 18,8 miliona rekordów pacjentów, a więc połowy Polaków. Policzmy z grubsza, ile to może zawierać danych.Przyjmijmy prosty, środkowy wariant: 2 TB backupu skompresowanej bazy danych odpowiada mniej więcej 6 TB danych przed kompresją. Po uwzględnieniu indeksów, metadanych i innych technicznych elementów bazy zostaje około 4,5 TB właściwych danych. Gdy podzielimy to przez 18,8 mln osób, wychodzi około 250 kB danych na jednego człowieka.W praktyce w tych 250 kB dałoby się zapisać historię obejmującą setki lub tysiące pojedynczych wpisów medycznych. Przykładowo: daty wizyt, nazwy lub kody chorób, wyniki morfologii i innych badań, przepisane leki, dawki, informacje o hospitalizacjach, szczepieniach czy przeciwwskazaniach. Każdy taki wpis może zajmować od kilkudziesięciu do kilkuset bajtów, więc sama liczba wpisów może być duża. Połowy Polaków!!!Nie zmieszczą się natomiast załączniki: skany kart wypisowych, podpisane PDF-y, zdjęcia RTG, tomografie, rezonanse, fotografie czy pliki EKG. Jeden taki plik może mieć od setek kilobajtów do wielu megabajtów, a obrazy medyczne często jeszcze więcej. Zwykle zapisuje się więc w głównej bazie informację, że dokument lub badanie istnieje, jego opis, datę i identyfikator, a sam ciężki plik przechowuje osobny system. Elektroniczna dokumentacja medyczna obejmuje zarówno niewielkie dane ustrukturyzowane, takie jak diagnozy i leki, jak i znacznie większe materiały obrazowe.Krótko: około 250 kB na osobę wystarcza na rozbudowany centralny rejestr historii zdrowotnej w postaci tekstu, liczb i kodów, ale nie na pełną dokumentację z obrazami, skanami i PDF-ami.Niemniej jeśli większość zawiera nieliczne dane o kilkunastu wizytach i receptach, to pełne dane ze skanami mogą być zawarte nawet dla miliona osób, w tym polityków, urzędników, sędziów czy wojskowych.Więc musicie założyć, że obcy wywiad posiada waszą pełną dokumentację medyczną z prawdopodobieństwem 50%. To najpewniej Rosja lub Ukraina, bo wywiady USA, Francji czy Izraela nie muszą się włamywać, mogą te dane mieć w ramach sojuszu, tak jak dostały dane z KSeF. |
|
|
Grzegorz GPS Świderski
Centralizacja danych to jeden z największych mitów współczesnej cyfryzacji. Wmawia się nam, że aby lekarz w szpitalu wiedział, na co chorowaliśmy pięć lat temu w drugim końcu kraju, państwo musi trzymać całą naszą historię medyczną w jednym gigantycznym, centralnym worku.W informatyce takie podejście ma konkretną nazwę: Single Point of Failure (pojedynczy punkt awarii). Jeden wyciek z centralnego rejestru oznacza katastrofę dla milionów obywateli naraz. I to się właśnie stało.Alternatywą jest model architektury rozproszonej i federacyjnej, oparty na prostej zasadzie: dane zostają tam, gdzie powstały, a dostęp wędruje za pacjentem. To może działać tak:Lokalne bazy danychKażdy szpital, przychodnia czy laboratorium przechowuje wyłącznie dane swoich pacjentów. Jeśli haker zaatakuje małą klinikę, ryzyko dotyczy ułamka promila populacji, a nie całego państwa.Wspólny protokół komunikacjiPlacówki nie łączą się z jedną centralą gromadzącą dane, lecz potrafią rozmawiać ze sobą według jednolitego, bezpiecznego standardu (np. przez szyfrowany dostęp przez API i system uprawnień).Cyfrowy klucz w rękach pacjentaPacjent za pomocą aplikacji, portfela tożsamości cyfrowej lub kodu autoryzacyjnego decyduje, komu i na jak długo da wgląd do swojej historii.Tymczasowy dostęp na żądanieGdy trafi do nowego lekarza, autoryzuje go. Jego komputer pyta systemy placówek, w których wcześniej się leczył, pobiera niezbędne wpisy prosto ze źródła i wyświetla je na ekranie. Po zakończonej wizycie lub wygaśnięciu zgody wgląd znika.W takim modelu nie powstaje żaden centralny silos, nikt na szczeblu ministerialnym nie ma wglądu w masowe profile zdrowotne, a przepływ informacji jest natychmiastowy i precyzyjny. Prawdziwa suwerenność cyfrowa polega na tym, że to pacjent zarządza uprawnieniami do swoich danych, zamiast oddawać je w depozyt centralnej machinie.Państwo do tego jest całkowicie zbędne. Takie systemy teraz nie powstają, bo państwo to dramatycznie utrudnia i buduje centralne bazy, więc wiele placówek medycznych nie widzi potrzeby tworzenia bezpiecznych standardów dostępu do danych, tylko dostosowuje się do centralnych baz państwa. |
|
|
Marek Michalski
Kradzieże danych się zdarzają:"Oficjalny komunikat państwa mówi o wycieku obejmującym ponad 12 tysięcy placówek medycznych — i to jest fakt."Tego typu fakty nie przeszkadzają w akceptacji powszechnie znanych faktów o oficjalnym gromadzeniu danych medycznych w ramach NFZ, co jest oczywiste w związku z centralizacją finansowania tego co "jest za darmo". Drugi moduł to centralizacja obiegu leków, niezależnie od refundacji, od produkcji do ust pacjenta (dla jego dobra).Te dane nie są do wglądu dla zwykłych śmiertelników, ale dla niezwykłych? Wątpię, by musieli się włamywać. A lekarze i aptekarze siedzą i wklepują dane a żadne izby nie protestują, bo od tego są, by wiedzieć kiedy protestować. |
