Dane 11,1 mln osób pozyskano z systemu eWUŚ. Jest akt oskarżenia

W systemie eWUŚ miało dojść do masowego odpytywania danych pacjentów za pośrednictwem dwóch podmiotów medycznych. Pozyskano informacje dotyczące około 11,1 mln osób, w tym numery PESEL oraz status prawa do świadczeń. Prokuratura Regionalna w Poznaniu skierowała w tej sprawie akt oskarżenia do sądu. Dla osób objętych naruszeniem oznacza to ryzyko wykorzystania danych do oszustw i kradzieży tożsamości.

Nie przełamano zabezpieczeń NFZ, wykorzystano konta pracowników

Do nieuprawnionego dostępu doszło w okresach 18–21 marca oraz 26–27 marca 2024 roku. Osoby, przeciwko którym skierowano akt oskarżenia, miały uzyskać dostęp do kont pracowników lub współpracowników dwóch podmiotów udzielających świadczeń zdrowotnych. Następnie za pośrednictwem używanego przez nie systemu kierowano masowe zapytania do eWUŚ.

NFZ zaznacza, że nie doszło do przełamania zabezpieczeń jego systemów. eWUŚ został udostępniony świadczeniodawcom do obsługi świadczeń finansowanych ze środków publicznych, a za sposób zabezpieczenia kont i narzędzi wykorzystywanych przez poszczególne placówki odpowiadają ich niezależni administratorzy danych.

„Narodowy Fundusz Zdrowia po stwierdzeniu anomalii polegającej na masowym odpytywaniu systemu eWUŚ przez dwóch świadczeniodawców, niezwłocznie zawiadomił właściwe organy i instytucje” – przekazano w stanowisku NFZ.

eWUŚ służy do szybkiego sprawdzania, czy pacjent ma prawo do świadczeń opieki zdrowotnej finansowanych publicznie. System przetwarzał w tym przypadku tylko określony zakres informacji:

• imię i nazwisko,
• numer PESEL,
• informację o potwierdzeniu albo braku potwierdzenia prawa do świadczeń zdrowotnych.

PESEL może posłużyć do pożyczki albo podszycia się pod inną osobę

Skala naruszenia obejmuje około 11 mln 100 tys. osób. Wykorzystanie takich danych może prowadzić między innymi do prób zaciągania pożyczek pozabankowych, rejestrowania kart telefonicznych, zakładania kont internetowych oraz nieuprawnionego korzystania ze świadczeń zdrowotnych.

Ryzyko dotyczy także marketingu bez zgody oraz kontaktów telefonicznych i wiadomości, w których oszust próbuje potwierdzić tożsamość numerem PESEL. Dlatego szczególną ostrożność warto zachować przy rozmowach z nieznanych numerów, a także przy SMS-ach, MMS-ach i e-mailach od nieznanych nadawców.

Osoby, które chcą ograniczyć skutki wykorzystania danych, mogą:

• zastrzec numer PESEL,
• uruchomić alerty w systemie informacji kredytowej lub gospodarczej,
• sprawdzać, czy ktoś nie składał zapytań dotyczących ich historii kredytowej,
• nie przekazywać danych osobowych przez telefon ani internet bez sprawdzenia, z kim prowadzą rozmowę,
• zgłosić Policji lub prokuraturze przypadek podszywania się pod ich tożsamość.

Zastrzeżenie PESEL może utrudnić wykorzystanie numeru przy próbie uzyskania finansowania lub zawarcia wybranych umów. Jeśli dojdzie do potwierdzonego użycia danych przez osobę nieuprawnioną, możliwe jest także dochodzenie ochrony dóbr osobistych na drodze cywilnej.

Akt oskarżenia trafił do Sądu Okręgowego w Poznaniu

Prokuratura Regionalna w Poznaniu skierowała akt oskarżenia przeciwko osobom, które miały wykorzystywać system eWUŚ niezgodnie z jego przeznaczeniem. NFZ został w sprawie uznany za pokrzywdzonego.

Postępowanie dotyczy naruszenia poufności danych, a osoby objęte zdarzeniem powinny zwracać uwagę na nietypowe informacje o kredytach, umowach, numerach telefonicznych lub kontaktach dotyczących świadczeń zdrowotnych. W razie podejrzenia kradzieży tożsamości liczy się szybkie zgłoszenie sprawy organom ścigania.

na podstawie: Narodowy Fundusz Zdrowia.