Na pacjent.gov.pl szukał skierowania dziecka, znalazł 250 000 cudzych skierowań
Cieszymy się z cyfryzacji naszych kontaktów z państwowymi instytucjami. To naprawdę wygodne, gdy przez internet można sprawdzić swoje recepty czy skierowania. Gorzej, gdy przypadkowe osoby mogą sprawdzić nasze skierowania. Dużo gorzej.
Czasem na ciekawe incydenty trafiacie przez przypadek – zupełnie jak pewien Wykopowicz, który w serwisie Ministerstwa Zdrowia tylko szukał skierowania swojego dziecka, a dokopał się ćwierć miliona skierowań przypadkowych osób. Ale po kolei.
Niespodziewane znalezisko
Oddajmy głos KKK1337, odkrywcy incydentu, który był miły udzielić nam krótkiego wywiadu.
Mam dziecko i chciałem sprawdzić, czy ma prawidłowo wystawione skierowanie. Wszedłem na pacjent.gov.pl i zalogowałem się do swojego konta przez profil zaufany. Niestety nie mogłem znaleźć skierowania dziecka. Przechodziłem przez kolejne zakładki, aż trafiłem na „Uprawnienia”, gdzie znalazłem profil dziecka. Hurra! Udało mi się zalogować na ten profil, tam kliknąłem na „Skierowania”, ale zamiast skierowania przypisanego do konta mojego dziecka zobaczyłem ćwierć miliona cudzych skierowań. Gdy odświeżyłem stronę, lista wyników była już pusta. Zdążyłem tylko wcześniej zrobić jeden zrzut ekranu. W efekcie dalej nie mam skierowania dziecka, bo teraz system został wyłączony. Oto i cała historia.
Tak wyglądał ekran, na który trafił KKK1337:
Warto zwrócić uwagę na linijkę mówiącą
Widzisz 1-5 z 245821 znalezionych skierowań
Odkrywca napisał o błędzie na Wykopie, co zaowocowało szybkim wyłączeniem tej części portalu. Obecnie widnieje tam taki komunikat:
Wysłaliśmy także pytania do Centrum Systemów Informacyjnych Ochrony Zdrowia – uzupełnimy artykuł, gdy tylko otrzymamy odpowiedzi.
Na pierwszy rzut oka problem wygląda na błędne zarządzanie uprawnieniami – być może wykorzystanie uprawnień konta rodzica do przeglądania danych dziecka sięgnęło za daleko do bazy.
Na marginesie
Warto zauważyć, że CSIOZ posiada swój zespół CSIRT, który ma swoją stronę, klucz PGP i link prowadzący z witryny głównej – co należy bardzo pochwalić (oraz życzyć osobie na dyżurze owocnej obsługi incydentu).
Często otrzymujemy od Was różne zgłoszenia, dotyczące przeróżnych problemów, na jakie natrafiacie w sieci. Sporą część z nich przekazujemy właśnie takim zespołom, które potrafią odpowiednio na incydent w danej firmie czy instytucji zareagować. Nie mamy nic przeciwko takiej naszej roli – ważne, że informacja o incydencie trafi do właściciela serwisu, zanim dojdzie do poważniejszego wycieku informacji. Jeśli widzicie coś naprawdę krytycznego, piszcie do nich od razu – dzięki temu możecie uratować komuś dane.
Aktualizacja 2020-07-15
Otrzymaliśmy odpowiedź CSIOZ, którą cytujemy w całości poniżej.
W jaki sposób doszło do tego incydentu? W jaki sposób dowiedzieli się Państwo o incydencie?
W Centrum e-Zdrowia (dawniej CSIOZ) na bieżąco monitorujemy systemy i rejestry 24 godziny na dobę. Do zdarzenia doszło na skutek błędu, który pojawił się podczas wdrożenia kolejnej wersji systemu. Wszelkie sygnały dotyczące naruszenia danych traktujemy niezwykle poważnie, dlatego po wykryciu zdarzenia natychmiast zablokowany został dostęp do e-skierowań do czasu usunięcia błędu.Czy doszło do naruszenia bezpieczeństwa danych osobowych pacjentów?
Nie doszło do naruszenia bezpieczeństwa ani udostępnienia danych osobowych. Wykaz e-skierowań mógł zobaczyć wyłącznie użytkownik zalogowany i nie było możliwości obejrzenia ich przez przypadkowe osoby. Informacje, które zobaczył użytkownik nie pozwalały na zidentyfikowanie żadnej, konkretnej osoby i miały charakter statystyczny. Nie było także możliwości przejrzenia szczegółów e-skierowania. Próba wejścia w szczegóły e-skierowania zakończyła się niepowodzeniem – system uniemożliwił pobranie tych danych. Użytkownik widział jedynie nazwisko lekarza, nazwę poradni, czyli informacje, które widnieją w ogólnodostępnych rejestrach/spisach lekarzy i placówek medycznych oraz czterocyfrowy kod dostępu e-skierowania, który bez nr PESEL pacjenta nie niesie żadnej wartości informacyjnej. Ujawnienie danych lekarza i podmiotu, jaki wystawił skierowanie, nie stanowi naruszenia ochrony danych osobowych i nie narusza praw i wolności tych osób (lekarzy).Jakie kroki podjęli Państwo w związku z incydentem?
Po weryfikacji informacji na temat zdarzenia w pierwszej kolejności zablokowaliśmy dostęp do e-skierowań na IKP, a następnie – w ciągu kilku godzin – usunęliśmy błąd w systemie. Zapewniamy, że bezpieczeństwo danych gromadzonych we wszystkich systemach i rejestrach jest dla Centrum e-Zdrowia sprawą najwyższej wagi. Każde zgłoszenie traktujemy priorytetowo i podejmujemy natychmiastowe działania, mające na celu wyeliminowanie podobnych zdarzeń w przyszłości. Ponadto, dzięki wdrożonym mechanizmom bezpieczeństwa i monitorowania systemów IT, ryzyko występowania tego typu zdarzeń jest minimalne.
Podobne wpisy
- Poważny błąd Onetu pozwalał pobrać pocztę i dane użytkowników
- Jak Prokuratura Okręgowa nieudolnie próbowała anonimizować dowody w sprawie Sławomira N.
- Jak ponownie mogliśmy poznać hasło do bazy serwisu Albicla.com
- Jak można było pobrać bazę użytkowników serwisu Albicla.com
- Pani minister wrzuciła zdjęcie, dziennikarz wszedł na tajne spotkanie
> To naprawdę wygodne, gdy przez internet
> można sprawdzić swoje recepty czy skierowania.
> Gorzej, gdy przypadkowe osoby mogą sprawdzić nasze skierowania.
Zabezpieczenia transmisji i przechowywania danych są bardzo ważne, ale nie to jest kluczowe w całej tej „cyfryzacji”. A argument o wygodzie nie ma żadnego znaczenia, gdy idea systemu jest zła od początku.
Przeprowadzaną w Polsce cyfryzację służby zdrowia i innych działań państwa oceniam skrajnie negatywnie, bo:
1) dane medyczne zaczynają być przechowywane poza gabinetem lekarza, u którego się leczymy,
2) niedługo to będzie obowiązkowe i wszystko, co powiem mojemu lekarzowi, nie zostanie u niego w kartotece w szafie, ale obowiązkowo trafi do centralnych baz danych z dostępem dla osób postronnych,
3) centralne rejestry zrealizowanych recept (już istniejące i obowiązkowe, nawet jeżeli recepta jest napisane w prywatnym gabinecie i bez refundacji) – z danymi osobowymi, informacjami o przepisanych lekach i obowiązkowym numerem PESEL – pozwalają każdemu, kto ma do niej dostęp, dowiedzieć się na co choruje dany pacjent.
I to są zasadnicze złe strony obecnego systemu. To czy recepta lub skierowanie będą elektroniczne czy papierowe wpływa na bezpieczeństwo, ale nie ma dużego znaczenia.
Poza tym, błędy takie jak pokazane w tym artykule są *zawsze możliwe* dopóki nie upowszechni się kryptografia homomorficzna (obecnie jest w powijakach nawet na etapie teorii). Błędy potwierdzają tylko, że trzymanie jakichkolwiek danych, a tym bardziej medycznych w centralnych bazach *zawsze* grozi katastrofą.
Ja leczę się u prywatnych lekarzy za granicą, którzy na życzenie pacjentów nie prowadzą dokumentacji medycznej. Są takie miejsca.
Szczerze współczuję wszystkim, którzy nie mają takiej opcji i których dane medyczne są coraz bardziej zasysane przez państwo. Prawie nikt się nie zastanawia, jakie to ma, jakie będzie miało i jakie może mieć konsekwencje, trwając w zaślepieniu „efektywnością”, „nowoczesnością”, „cyfryzacją”, „wykrywaniem nadużyć”, „optymalizacją kosztów”. Jest to bardzo niebezpieczny trend.
Dodajmy do tego niedawny, budzący grozę pomysł o utworzeniu w Polsce bazy prób samobójczych, i widzimy w którą stronę to zmierza. Ja się na to nie piszę, nawet gdyby baza miała być w 100% zabezpieczone – bo, jak wyjaśniłem powyżej, to nie słabe zabezpieczenia są istotą sprawy.
Niestety, władza cyfryzuje państwo w ten sposób, że wszystko staje się centralne. To straszne, że nie tylko skierowania i recepty, ale cała dokumentacja medyczna będzie centralnie przechowywana.
Przypominam, że ABW ma ustawowe prawo do swobodnego grzebania w rejestrach prowadzonych przez NFZ i MZ.
A można było zrobić cyfryzację bez gwałcenia prywatności pacjentów.
:(
Zdaje się, że centralnie są tylko recepty i metadane porad, i to od początku Kas Chorych (poprzednik NFZ) czyli od 20 lat. Poza wpadkami takimi jak ta jak nie zaznaczysz „ptaszka”, że chcesz te dane udostępnić to nikt niepowołany nie powinien mieć do nich dostępu. A jak lekarz trzyma dane w aplikacji chmurowej to chyba wolę to niż jego pecet pod biurkiem.
Może jesteś w gronie osób, które niezależnie od tego do którego lekarza pójdą zna nazwy wszystkich przyjmowanych leków i szczegóły wyników badań. Większość społeczeństwa wie tylko, że przyjmuje takie okrągłe niebieskie od urologa, i brązowe podłużne od proktologa. A leki to chemia, jak źle pomieszasz to eksploduje, w USA 1/3 osób które trafiają do szpitala źle przyjmuje leki lub leki te wchodzą w interakcje.
> Zdaje się, że centralnie są tylko recepty
No niestety.
Można było wprowadzić mądrą kontrolę autentyczności recept (kody QR z podpisami cyfrowymi zamiast bezsensownych kodów kreskowych wymuszanych przez NFZ) – w połączeniu z odpowiednio zaprojektowaną weryfikacją (np. przez drzewa Merkle’a albo nawet zwykłe hasze) umożliwiłoby to kontrolę wystawiania i realizacji recept bez przechowywania w rządowych bazach danych informacji o wykupionych lekach.
>i metadane porad, i to od początku Kas Chorych
Niestety. Przechowywanie metadanych porad też jest złe. Pomyśl jaki wiedzę o zdrowiu i życiu człowieka daje informacja, że regularnie bywa u onkologa, proktologa, seksuologa, psychiatry…
Poza tym rząd ciągle centralizuje coraz więcej. Centralna ma być cała dokumentacja medyczna, a już od 2021 roku wszystkie skierowania. To straszne. Kategorycznie nie życzę sobie tego.
> Poza wpadkami takimi jak ta jak nie zaznaczysz
> „ptaszka”, że chcesz te dane udostępnić to
> nikt niepowołany nie powinien mieć do nich dostępu.
Zależy jak definiujesz „niepowołany”. Nie życzę sobie, żeby do jakichkolwiek moich danych medycznych miał dostęp administrator „chmury”, Agencja Bezpieczeństwa Wewnętrznego (vide ustawa o działaniach antyterrorystycznych) czy biurwy w NFZ.
>A jak lekarz trzyma dane w aplikacji chmurowej to chyba
>wolę to niż jego pecet pod biurkiem.
A ja na pewno wolę zaszyfrowany pecet pod biurkiem, trwale odłączony od Internetu i zamknięty w szafie na klucz.
>Może jesteś w gronie osób, które niezależnie od tego
>do którego lekarza pójdą zna nazwy wszystkich
>przyjmowanych leków i szczegóły wyników badań. (…)
Co to ma wspólnego z tematem? Pretekst zapobiegania interakcjom nie może służyć do tworzenia baz danych o zdrowiu ludzi, którzy sobie tego nie życzą.
Niestety, teraz każda recepta z polski musi mieć pesel i ląduje w bazie. Jeżeli bierzesz leki od specjalistów to nie trzeba informacji do kogo chodzisz, bo na recepcie i tak będzie pwz lekarza. Teraz jedyna możliwość aby dostać lek i nie trafić do SIM to pełnopłatna recepta na druczkach zza wschodniej granicy, albo weterynaryjna, ale na tym pewnie też niedługo położą łapę.
>jedyna możliwość aby dostać lek i nie trafić do SIM to pełnopłatna recepta na druczkach zza wschodniej granicy
A ta pełnopłatna od zagranicznego lekarza przypadkiem nie trafia też do bazy?
Nie mam możliwości odpisana dla pana Orion więc odpisuję tu:
Realizując receptę z białorusi wpisuje się jedynie datę wystawienia i coś tam jeszcze i cyk. Nie ma peselu więc nic nie idzie na twoje konto. Nie zrealizujesz na to niczego z listy leków psychotropowych ani narkotycznych, ale wszystkie inne już tak. Chyba że trafi się apteka która takich recept nie przyjmuje.
@Michau
1) no ale nawet jak nie ma numeru PESEL to jest imię, nazwisko i adres, prawda?
2) Czy apteka ma prawo odmówić realizacji recepty z państwa UE?
3) Czy apteka ma prawo odmówić realizacji recepty z państwa spoza UE?
@Krystian
adres imie i nazwisko jest na takiej rp papierowej z zagranicy, ale nie uzupełnia się ich i nie wysyła do systemu. Jeżeli recepta jest wystawiona prawidłowo aptekarze nie mają prawa odmówić jej zrealizowania (chociaż czasami to robią, trzeba to zgłaszać).
„Jeśli widzicie coś naprawdę krytycznego, piszcie do nich od razu – dzięki temu możecie uratować komuś dane.” i to jest istotne podsumowanie – znajdziesz dane, do których nie powinieneś mieć dostępu to zgłoś to do instytucji, która „pociekła” a nie chwal się tym na wykopie…
Ciekawe co na to MZ w kontekście rejestru samobójców?
Szanowni Państwo,
przypominamy o wypełnieniu ankiety na temat jakości i prędkości dostępu do Internetu w Państwa placówkach, rozsyłanej z adresu: [email protected]. Jednocześnie informujemy, że termin na jej wypełnienie został wydłużony do dnia 21.07.2020 r.
Dane przekazane przez Państwa za pośrednictwem ankiety posłużą optymalizacji działań planowanych przez Ministerstwo Zdrowia, których celem jest poprawa jakości korzystania z e-usług wdrażanych i oferowanych w ramach systemu ochrony zdrowia, w tym także poprzez możliwość uzyskania dofinansowania do szybkiego Internetu przez placówki AOS i POZ.
Aby przystąpić do wypełniania Ankiety, należy kliknąć w poniższy link:
https://localhost:8080/surveys/ankieta-swiadczeniodawcy-aos-poz—dostep-do-internetu/…..
Przypominamy, że ankieta adresowana jest do wszystkich podmiotów leczniczych prowadzących działalność leczniczą, w których wykonywane są świadczenia w ramach: • ambulatoryjnej opieki specjalistycznej (AOS),• podstawowej opieki zdrowotnej (POZ).
Powyższa informacja wysłana została automatycznie, prosimy na nią nie odpowiadać.
W przypadku pytań lub wątpliwości prosimy o kontakt z infolinią techniczną pod nr 19 457.
Pozdrawiamy Zespół
Centrum e-Zdrowia
Chyba mamy za słaby internet żeby tak wymagającą ankietę otworzyć
Dobre… dzięki temu że to local – w przypadku problemów z netem ankietę nadal da się wypełnić… a to spryciarze ;P
piękny link z nfzetu
Jak mówi przysłowie najlepsze warezy są na 127.0.0.1
A wystarczy przed uwolnieniem danych identyfikacyjnych zastosować uwierzytelnianie dynamiczne a skąd to ano (UE) 2015/1502 czyli usługi zaufania 2014/910 i tak na marginesie ciekawostka Interpelacja Poselska 1385 z dnia 06 luty 2020r i odpowiedź MC :)
Szanowni Państwo, pragniemy poinformować, że w dniu 13 lipca br. podczas wysyłki do podmiotów leczniczych unikalnych linków z ankietą dot. jakości łączy internetowych, wkradł się błąd i system generujący linki zwrócił listę z niepoprawnymi adresami. Omyłka została dostrzeżona i niezwłocznie naprawiona. Zapewniamy Państwa, że ta nieprawidłowość nie naruszyła żadnych zasad bezpieczeństwa związanych z realizowaną ankietą. Do odbiorców błędnych adresów przesłany został nowy komunikat z poprawnymi linkami.