Bij een cyberaanval op de Poolse zorgsoftwareleverancier Qbusoft zijn persoonsgegevens van patiënten buitgemaakt. Mogelijk zijn ook medische dossiers ingezien of gekopieerd, waaronder gegevens van patiënten van een verslavings- en psychiatrische behandelafdeling in Inowrocław.
De aanvaller maakte eind augustus misbruik van een SQL-injectielek in de interface van Medyc, het platform van Qbusoft voor elektronische patiëntendossiers en praktijkbeheer. Bij zo’n kwetsbaarheid kan een aanvaller via een applicatie toegang krijgen tot informatie in een database.
De inbraak werd in de nacht van 9 september ontdekt. Volgens Medyc zijn namen, nationale identificatienummers (PESEL), woonadressen, telefoonnummers en e-mailadressen buitgemaakt. Het bedrijf heeft diefstal van medische dossiers niet bevestigd.
Een getroffen zorgaanbieder stelt echter dat Qbusoft sporen heeft gevonden van scripts die waren gericht op databanktabellen met medische gegevens. Daardoor is het volgens die organisatie zeer waarschijnlijk dat ook een deel van de medische dossiers is buitgemaakt.
Gegevens van behandelafdeling
Het Centrum voor Verslavings- en Psychiatrische Behandeling in Inowrocław meldde dat patiënten van de dagbehandelingsafdeling voor verslavingszorg zijn getroffen. Het gaat om patiënten die daar tussen juli 2024 en augustus 2026 werden behandeld. Mogelijk gecompromitteerde gegevens omvatten onder meer behandelverslagen en ontslagbrieven.
Volgens het centrum heeft de aanvaller een versleuteld archief van een database buiten de systemen van Qbusoft gebracht. Een deel van de identificerende gegevens was in die database versleuteld, maar Qbusoft adviseerde de zorgaanbieder ervan uit te gaan dat de aanvaller die informatie relatief eenvoudig kon ontsleutelen.
Qbusoft heeft het lek op de dag van ontdekking gedicht. Ook zijn databankrechten beperkt, wachtwoorden en andere technische toegangsgegevens vervangen en extra controles ingesteld. Medyc waarschuwde daarnaast voor tijdelijke vertragingen of beperkte beschikbaarheid van onderdelen van het platform door herhaalde aanvalspogingen.
Onderzoek en kritiek op melding
De Poolse minister voor Digitale Zaken Krzysztof Gawkowski heeft gemeld dat het centrale bureau voor cybercriminaliteit de aanval onderzoekt als onderdeel van een breder onderzoek. Hij bekritiseerde Qbusoft omdat het incident aanvankelijk niet zou zijn gemeld bij CERT Polska of het nationale incidententeam voor de zorgsector.
De Poolse toezichthouder voor persoonsgegevens heeft een controle bij het bedrijf achter Medyc gelast. De minister kondigde bovendien voorstellen aan voor strengere bescherming van medische informatie, waaronder verplichte beveiligingscertificering en beperkingen voor de verwerking van medische data door private ondernemingen.
De zaak volgt kort op een datalek bij de Poolse zorgsoftwareleverancier MyDr. Autoriteiten stelden eerder dat daarbij mogelijk gegevens van ongeveer 19 miljoen mensen en circa 12.000 zorgorganisaties betrokken waren.
