Sprawa MyDr rozwija się bardzo szybko, więc porządkuję najważniejsze informacje. Bardzo proszę o podsyłanie mi w komentarzach nowych informacji, wątków, hipotez i spekulacji.
Skala jest już oficjalnie potwierdzona. Ministerstwo Cyfryzacji informuje o nieuprawnionym dostępie do historycznych danych przechowywanych w systemach MyDr, obejmujących potencjalnie 18.8 mln osób i ponad 12 tys. placówek medycznych. Dane mają pochodzić z okresu do kwietnia 2024 roku.
MyDr to nie jest państwowy system e-zdrowia. To prywatny dostawca systemu EDM dla gabinetów i placówek medycznych. W 2023 roku MyDr zostało przejęte przez grupę Docplanner, znaną w Polsce przede wszystkim z marki ZnanyLekarz. Do portfolio Docplannera weszły wtedy m. in. MyDr EDM, Dr100 i drNews.
Ministerstwo Zdrowia podkreśla, iż nie zostały przełamane centralne systemy e-zdrowia. P1, e-recepty i bieżąca obsługa pacjentów działają. Centrum e-Zdrowia zwiększyło jednak monitoring i pozostaje w podwyższonej gotowości. Jednak im nie ma co wierzyć, bo rząd notorycznie kłamie na każdym kroku.
Wiemy już również więcej ze śledztwa. Prokuratura Okręgowa w Warszawie nadzoruje dochodzenie CBZC dotyczące uzyskania przez nieustaloną osobę — nie później niż 6 sierpnia — za pośrednictwem Internetu dostępu do całości lub części systemu MyDr oraz informacji przechowywanych na serwerach spółki, po przełamaniu albo ominięciu zabezpieczeń. Część zdobytych informacji została następnie przesłana redakcji Zaufanej Trzeciej Strony.
To ważne, bo odróżnia ustalenia prokuratury od wersji samych sprawców.
Sprawcy twierdzą, iż weszli przez podatność XXE przy obsłudze certyfikatów PKCS#12, co następnie miało pozwolić im zdobyć klucz API do GitHuba i dostać się do kodu źródłowego. Zaufana Trzecia Strona otrzymała próbki danych i część z nich zweryfikowała. Jednak opis XXE -> GitHub pozostaje na dziś relacją włamywaczy, a nie publicznie potwierdzonym wynikiem analizy forensic. To silna przesłanka, iż to robią służby specjalne, bo to są kontrolowane przecieki, może prawdziwe, a może nie.
Jednocześnie minister Krzysztof Gawkowski powiedział już coś bardzo konkretnego: służby wiedzą, gdzie znajdował się błąd w oprogramowaniu oraz jakie elementy procesu i zarządzania systemem zawiodły, a luki zostały uszczelnione. Nie ujawniono jednak, co dokładnie było tym błędem. Nie wiadomo więc jeszcze, czy potwierdza to historię o XXE, czy chodzi o coś zupełnie innego. To wyraźnie jest marketing, a nie rzetelna informacja.
Nie znamy także dokładnej zawartości całego przejętego zbioru. MyDr samo przyznaje, iż analiza śledcza przez cały czas trwa i firma nie pozostało w stanie potwierdzić pełnej ilości ani rodzaju ujawnionych danych. Wiadomo natomiast, iż próbki zawierały dane identyfikacyjne oraz informacje związane z receptami.
Na dziś ani służby, ani MyDr nie stwierdziły, żeby cały zbiór został publicznie udostępniony lub wystawiony na sprzedaż. MyDr twierdzi, iż jego partnerzy monitorują również dark web i dotychczas nie znaleźli publikacji danych. To raczej może być prawdą, ale tym bardziej świadczy o tym, iż to służby, a nie zwykli złodzieje.
Rząd przedstawia w tej chwili wersję, iż nie ma przesłanek wskazujących na udział obcego państwa. Donald Tusk ocenił, iż motywacja jest "zdaje się czysto kryminalna" i wiele wskazuje na próbę wyłudzenia okupu od MyDr. Taka informacja świadczy o tym, iż to na pewno służby specjalne obcego państwa.
Doszedł też bardzo istotny ruch UODO. Prezes UODO rozpoczął kontrolę MyDr. Kontrolerzy mają sprawdzić zastosowane środki techniczne i organizacyjne, czy były one regularnie testowane wobec zmieniających się zagrożeń oraz czy analiza ryzyka była prawidłowa i rzeczywiście wdrażana. Placówki korzystające z MyDr już zgłaszają naruszenia danych swoich pacjentów.
Na razie przez cały czas nie można sprawdzić tego konkretnego wycieku w serwisie Bezpieczne Dane. Oficjalny serwis wprost informuje, iż dane z MyDr jeszcze do jego bazy nie trafiły i zostaną dodane po przekazaniu ich przez podmioty dotknięte incydentem. To znaczy, iż te dane i do naszych służb specjalnych się dostaną.
I pojawił się już pierwszy pasożytniczy biznes na tej aferze. W mediach społecznościowych krążą fałszywe formularze rzekomo służące do zmiany numeru PESEL. GUS oficjalnie ostrzega, iż takich wniosków nie przyjmuje, a sam wyciek nie jest podstawą do zmiany PESEL. Takich formularzy nie należy wypełniać. Można natomiast zastrzec PESEL przez mObywatela.
I pojawił się jeszcze jeden bardzo interesujący trop!
Zaufana Trzecia Strona przypomniała, iż już w 2024 roku fragment systemu MyDr był wykorzystany w innym incydencie do masowego pozyskiwania danych pacjentów z eWUŚ. Dostępne opisy mówią o przełamaniu zabezpieczeń jednej placówki korzystającej z MyDr i następnie wykonywaniu poprzez jej dostęp do eWUŚ choćby milionów zapytań. Sprawca miał zostać zatrzymany, a zdecydowaną większość danych odzyskano. jeżeli piszą, iż dane zostały odzyskane, to znaczy, iż to są debile, albo uważają nas za debili.
Dla mojego audytu jest to wyjątkowo interesujące, bo znowu pojawia się rok 2024, MyDr, dostęp do zewnętrznych systemów medycznych i problem z możliwym masowym pobieraniem danych. Trzeba będzie ustalić dokładnie, co się wtedy wydarzyło, jaki komponent MyDr brał w tym udział i jakie działania naprawcze podjęto.
Największe zagadki pozostają więc przez cały czas nierozwiązane. Więc ślijcie mi informacje pozwalające je rozwikłać.
Dlaczego skradziony zbiór urywa się właśnie na kwietniu 2024? Co dokładnie zostało zhakowane? Czy był to żywy system, stara infrastruktura, backup, snapshot albo archiwum? Jak wyglądało szyfrowanie danych i zarządzanie kluczami? Jaki WAF chronił MyDr EDM? Czy rzeczywiście wykorzystano XXE? Jak z jednej podatności można było dojść do zbioru obejmującego potencjalnie połowę Polski?
I przede wszystkim: co wydarzyło się w infrastrukturze MyDr w pierwszej połowie 2024 roku?
Tego jeszcze nie wiemy. To, co opisałem w innej notce tylko hipoteza. By nie zgadywać, będę dalej zbierał publiczne ślady, komentarze ludzi znających ten system oraz dokumentację, a potem spróbujemy odtworzyć jego architekturę i możliwy przebieg włamania.
Grzegorz GPS Świderski
]]>Twitter.com/gps65]]>
]]>t.me/KanalBlogeraGPS]]>
PS. PKCS#12 nie jest XML-em, tylko binarnym kontenerem ASN.1, więc XXE w P12 czytane dosłownie nie ma sensu. MyDr rzeczywiście pozwala wgrywać pliki P12 certyfikatów P1, ale żeby powstało XXE, po drodze musi być jeszcze etap, w którym dane kontrolowane przez atakującego trafiają do parsera XML. Tego etapu nikt dotąd publicznie nie opisał. Co więcej, XXE samo z siebie zwykle daje odczyt plików SSRF, a nie RCE, więc niewyjaśniony jest również skok XXE -> wykonanie kodu. Mamy zatem dwa brakujące ogniwa: P12 -> XML oraz XXE -> RCE. I oba trzeba ustalić w audycie. Możliwe też, iż relacja sprawców jest skrótem, jest nieprecyzyjna albo celowo prowadzi nas fałszywym tropem.
