Wyciek danych pacjentów ALAB Laboratoria: co ujawniono i jak to sprawdzić

Sieć laboratoriów medycznych ALAB padła ofiarą ataku ransomware, a napastnicy opublikowali próbkę wykradzionych wyników badań. Sprawa jest z listopada 2023 roku i trafia do tego rejestru z jednego powodu: numery PESEL z tej próbki są jednym z nielicznych zbiorów, które da się sprawdzić w rządowym serwisie bezpiecznedane.gov.pl.

Co dokładnie się stało

Grupa ransomware RA World opublikowała na swoim blogu informację o włamaniu do firmy ALAB oraz próbkę wykradzionych danych. Jej zawartość opisała Zaufana Trzecia Strona 27 listopada 2023: w archiwum znalazło się 5 GB wyników badań laboratoryjnych i nieco ponad 1 GB umów zawieranych przez firmę.

Skala jest tu udokumentowana lepiej niż w większości takich spraw. Ta sama redakcja podała, powołując się na analizę otrzymaną od anonimowego informatora, że w ujawnionych plikach znajdują się wyniki 55 089 badań, ale dotyczą one 12 076 unikatowych numerów PESEL. Stąd jej wniosek, że próbka opublikowana przez włamywaczy zawiera dane nieco ponad 12 tysięcy osób. Wcześniejszy szacunek mówiący o ponad 50 tysiącach osób redakcja wycofała w aktualizacji z tego samego dnia.

Pojedynczy rekord wyglądał według tej publikacji tak: każdy wynik badania zawierał imię, nazwisko, numer PESEL i adres klienta, a do tego nazwę podmiotu zlecającego badanie, daty zlecenia i wykonania oraz same wyniki. Daty w nazwach plików pozwoliły redakcji ustalić, że ujawnione dane obejmują okres od 2017 do 2023 roku, a najnowsze badanie pochodzi z 27 września 2023. Sekurak, opisując tę samą sprawę 27 listopada 2023, streścił zakres jako imię, nazwisko, numer PESEL, adres i wyniki badań i zaznaczył, że atakujący opublikowali na razie tylko część danych.

Deklaracje napastników to osobna kategoria. Przestępcy twierdzili, że próbkę opublikowali z powodu braku chęci współpracy firmy i że nie otrzymali okupu, a na 31 grudnia zapowiadali ujawnienie pełnego zbioru, rzekomo liczącego 246 GB. Tak ich stanowisko zrelacjonowała Zaufana Trzecia Strona 27 listopada 2023 i tak je tutaj podajemy: jako wersję przestępców, nie jako ustalenie organu.

Spółka w komunikacie przytoczonym przez Prawo.pl 1 grudnia 2023 podała, że wstępna analiza incydentu wykazała, iż osoby trzecie w sposób bezprawny mogły uzyskać dostęp do imienia i nazwiska, numeru PESEL, daty urodzenia, miejsca zamieszkania oraz wyniku badania laboratoryjnego. Słowo „mogły” jest w tym zdaniu z komunikatu, więc zostaje i tutaj. Ten sam materiał podaje, że atak nastąpił 19 listopada 2023, spółka zgłosiła naruszenie Prezesowi UODO 21 listopada, poinformowała CERT Polska, Ministerstwo Zdrowia i Centrum E-Zdrowia oraz złożyła zawiadomienie o podejrzeniu popełnienia przestępstwa do Centralnego Biura Zwalczania Cyberprzestępczości.

Sprawą zajęły się dwa urzędy naraz. Zastępca Prezesa UODO Jakub Groszkowski powiedział w materiale Prawo.pl z 1 grudnia 2023, że urząd analizuje zgłoszone 21 listopada naruszenie i czeka na dalsze ustalenia administratora danych. Rzecznik Praw Pacjenta Bartłomiej Chmielowiec zapowiedział w tej samej publikacji rozpoczęcie postępowania we współpracy z Prezesem UODO.

To jest stan na przełom listopada i grudnia 2023 i tak trzeba go czytać. Rzeczpospolita cytowała 30 listopada 2023 rzecznika UODO Adama Sanockiego, który mówił: „Czekamy więc na uzupełnienie zgłoszenia i informacje o wdrożonych procedurach. Dopiero wówczas, jeżeli będzie to konieczne, zaczniemy kontrolę”. Ta sama publikacja podaje, że spółka zobowiązała się uzupełnić zgłoszenie do końca stycznia 2024. Aktualizując tę stronę w sierpniu 2026, nie znaleźliśmy w źródłach z naszej listy komunikatu o zakończeniu postępowania Prezesa UODO w tej sprawie, więc niczego o jego wyniku nie twierdzimy. Sprawa jest w archiwum dlatego, że zakres i skala ujawnionej próbki są opisane, a nie dlatego, że urząd postawił kropkę.

Czyje dane obejmuje incydent

Incydent dotyczy osób, które w latach 2017 do 2023 robiły badania w laboratoriach ALAB. Kłopot polega na tym, że nazwa laboratorium nie każdemu się z czymkolwiek kojarzy. Firma współpracuje z wieloma przychodniami, więc krew mogła pobrać placówka, a próbka i wynik i tak przeszły przez systemy ALAB.

Ten wyciek ma jednak coś, czego brakuje przy większości innych spraw: państwową wyszukiwarkę. Jak podało Prawo.pl 1 grudnia 2023, zespół CERT Polska wspólnie z Centralnym Ośrodkiem Informatyki zasilił serwis bezpiecznedane.gov.pl numerami PESEL upublicznionymi przez grupę RA World, a sprawdzenie sprowadza się do zalogowania przez aplikację mObywatel, Profil Zaufany albo e-Dowód i kliknięcia przycisku „Sprawdź wyciek z ALAB”. Ta sama publikacja cytuje zalecenie UODO, by pacjenci najpierw skorzystali z tego narzędzia, a dopiero potem podejmowali dalsze działania.

Wynik z tej wyszukiwarki czyta się jednak z zastrzeżeniem. Serwis zawiera numery PESEL, które przestępcy zdążyli upublicznić, a Sekurak pisał 27 listopada 2023, że baza będzie najpewniej aktualizowana przy kolejnych publikacjach. Brak trafienia nie jest więc dowodem, że dane są poza zbiorem.

Dlaczego stary wyciek wciąż pomaga oszustom

W kategoriach wymienionych przez powyższe źródła nie ma numeru telefonu ani adresu e-mail. To nie znaczy, że sprawa nie dotyczy telefonu. Rozmówca, który zna Twoje imię, nazwisko, adres i numer PESEL, brzmi jak ktoś, kto ma prawo do tych danych, a przy informacjach o zdrowiu dochodzi wstyd i pośpiech, na których stoi większość oszustw.

Rzecznik Praw Obywatelskich wprost wymienił to ryzyko 17 stycznia 2024, zalecając ostrożność wobec rozmówców, którzy powołując się na ujawnione dane, w tym numer PESEL i dane o zdrowiu, próbują wyciągnąć numer dowodu, numer konta albo zaproponować alternatywną metodę leczenia. Znajomość Twoich danych nikogo nie uwierzytelnia, bo te dane już wyszły na zewnątrz. Numer na wyświetlaczu też niczego nie dowodzi, bo da się go podszyć, co opisujemy w poradniku o spoofingu telefonicznym. Nieznane połączenie możesz sprawdzić w wyszukiwarce numerów, a rozmowę zakończyć i oddzwonić na numer z oficjalnej strony placówki.

Co zrobić krok po kroku

1. 1Sprawdź numer PESEL w serwisie bezpiecznedane.gov.pl. Wyszukiwarka obejmuje ten wyciek, co potwierdza materiał Prawo.pl z 1 grudnia 2023.
2. 2Zastrzeż numer PESEL. Rzecznik Praw Obywatelskich wymienił to 17 stycznia 2024 wśród działań po wycieku i wskazał portal mobywatel.gov.pl oraz aplikację mObywatel.
3. 3Uruchom alerty w Biurze Informacji Kredytowej. To druga pozycja z tej samej listy RPO: powiadomienie przychodzi przy próbie wykorzystania danych bez Twojej zgody.
4. 4Zadbaj o hasła i włącz dwuetapową weryfikację, zwłaszcza w serwisach, w których podawałeś numer PESEL. Także to zalecił RPO 17 stycznia 2024.
5. 5Zapytaj inspektora ochrony danych, jakie dokładnie Twoje dane wyciekły. Prawo do takiego pytania wynika z art. 15 RODO, na co RPO zwrócił uwagę w tym samym dokumencie.