CSIRT CeZ ostrzega lekarzy przed nową kampanią cyberprzestępczą

CSIRT CeZ ostrzega przed zaawansowaną kampanią cyberprzestępczą wymierzoną w lekarzy oraz osoby uprawnione do wystawiania recept. Oszuści podszywają się pod instytucje publiczne, m.in. NFZ i ZUS, aby przejąć certyfikaty e-ZLA, dane logowania oraz dostęp do aplikacji gabinetowych. Skutkiem może być wystawianie recept na leki psychotropowe i narkotyczne bez wiedzy lekarza oraz uzyskanie dostępu do wrażliwych danych pacjentów.

CSIRT CeZ wydał ostrzeżenie dotyczące nowej kampanii cyberprzestępczej wymierzonej w środowisko medyczne. Celem ataków są przede wszystkim lekarze oraz osoby posiadające uprawnienia do wystawiania recept.

Cyberprzestępcy próbują przejąć dane uwierzytelniające, certyfikaty e-ZLA oraz dostęp do aplikacji gabinetowych. W rezultacie mogą uzyskać dostęp do wrażliwych danych osobowych pacjentów, a także wystawiać recepty bez wiedzy lekarza, w tym na leki psychotropowe i narkotyczne.

Eksperci podkreślają, że jest to jedna z bardziej zaawansowanych kampanii socjotechnicznych wymierzonych w sektor ochrony zdrowia.

Pierwszym krokiem jest telefon od osoby podszywającej się pod pracownika instytucji publicznej. Oszuści przedstawiają się jako przedstawiciele NFZ lub zespołów cyberbezpieczeństwa.

W rozmowie często używają nazwisk „Tomasz Zieliński” lub „Tomasz Ochocki”. Informują lekarza o rzekomych nieprawidłowościach, np. o wystawieniu recepty na lek Oxydolor.

Celem rozmowy jest wywołanie presji i skłonienie lekarza do wykonania kolejnych kroków.

Po rozmowie telefonicznej ofiara otrzymuje polecenie wejścia na stronę internetową, która ma służyć do zgłoszenia incydentu.

Najczęściej wykorzystywane domeny to m.in.:

eincydent[.]org

e-incydent[.]org

m-incydent[.]org

Strony są stylizowane na portale instytucji publicznych i mają rzekomo służyć „zabezpieczeniu konta” lub „zgłoszeniu incydentu”.

Eksperci przypominają, że prawdziwe zgłoszenia incydentów należy przekazywać wyłącznie przez stronę CSIRT CeZ.

Na fałszywej stronie lekarz jest proszony o uwierzytelnienie się przez aplikację mObywatel. W ten sposób cyberprzestępcy zdobywają dane osobowe i dane dostępowe.

Kolejnym etapem jest wiadomość e-mail informująca o rzekomym unieważnieniu certyfikatu ZUS. W wiadomości znajduje się link do pobrania nowego pliku, który ma być zabezpieczony hasłem.

Hasłem ma być numer PESEL lekarza, co jest wyraźnym sygnałem próby wyłudzenia danych.

Po zdobyciu danych przestępcy mogą przechwycić certyfikat e-ZLA oraz uzyskać dostęp do aplikacji gabinetowych.

W niektórych przypadkach są w stanie zakładać nowe konta w systemach gabinetowych bez wiedzy lekarza. Następnie wykorzystują je do wystawiania fałszywych recept na substancje kontrolowane.

To poważne zagrożenie nie tylko dla lekarzy, ale także dla pacjentów i całego systemu ochrony zdrowia.

Eksperci wskazują kilka powodów, dla których ta kampania jest wyjątkowo groźna.

Cyberprzestępcy:

podszywają się pod instytucje publiczne, co zwiększa wiarygodność,

wykorzystują presję prawną i strach przed konsekwencjami,

stosują zaawansowane techniki socjotechniczne.

Przejęcie certyfikatu e-ZLA daje realną możliwość wystawiania recept w imieniu lekarza oraz dostępu do systemów medycznych.

Lekarze mogą samodzielnie zweryfikować historię recept w systemie państwowym.

Należy zalogować się do serwisu:

gabinet.gov.pl

Dostępny jest tam raport wystawionych recept, który pozwala sprawdzić, czy nie doszło do nieuprawnionych działań.

CSIRT CeZ zaleca kilka podstawowych działań zwiększających bezpieczeństwo.

Najważniejsze z nich to:

weryfikowanie rozmówców podszywających się pod instytucje publiczne,

korzystanie wyłącznie z oficjalnych stron internetowych,

włączenie uwierzytelniania wieloskładnikowego (MFA) w systemach gabinetowych i poczcie,

regularne sprawdzanie wystawionych recept w gabinet.gov.pl,

kontrolowanie danych kontaktowych w Profilu Zaufanym i aplikacjach gabinetowych.

Eksperci podkreślają, że instytucje publiczne nie proszą telefonicznie o logowanie ani o przekazywanie danych dostępowych.

Przejęcie dostępu do aplikacji gabinetowych oznacza nie tylko możliwość wystawiania recept, ale również dostęp do wrażliwych danych osobowych pacjentów.

Dane te są objęte ochroną na podstawie RODO. W przypadku naruszenia ich poufności incydent powinien zostać zgłoszony do Prezesa UODO.

CSIRT CeZ apeluje o szybkie zgłaszanie wszystkich podejrzanych sytuacji.

Jeżeli lekarz otrzyma nietypowy telefon, SMS lub e-mail, powinien niezwłocznie zgłosić incydent poprzez formularz dostępny na stronie CSIRT CeZ.

Jak podkreślają eksperci, szybka reakcja pozwala ograniczyć skalę nadużyć i chronić cały sektor ochrony zdrowia.