Uwaga na cyberprzestępców! CSIRT CeZ ostrzega przed kampanią wymierzoną w lekarzy

CSIRT CeZ i Naczelna Izba Lekarska ostrzegają przed nową, zaawansowaną kampanią cyberprzestępczą skierowaną do lekarzy oraz innych osób posiadających uprawnienia do wystawiania recept. Atak polega na podszywaniu się pod instytucje publiczne – m.in. Narodowy Fundusz Zdrowia, Zakład Ubezpieczeń Społecznych czy rzekome zespoły cyberbezpieczeństwa – w celu wyłudzenia danych uwierzytelniających i przejęcia dostępu do systemów wykorzystywanych w praktyce lekarskiej.

Konsekwencją udanego ataku może być nie tylko przejęcie wrażliwych danych osobowych pacjentów, ale również wystawianie recept – w tym na leki psychotropowe i narkotyczne – bez wiedzy lekarza.

Jak wygląda schemat oszustwa

1. Telefon od rzekomego pracownika instytucji

Atak zwykle rozpoczyna się od telefonu. Osoba dzwoniąca przedstawia się jako pracownik NFZ lub członek zespołu ds. cyberbezpieczeństwa. W rozmowie informuje o rzekomych nieprawidłowościach, np. o wystawieniu recept na określony lek (np. Oxydolor) z konta lekarza.

Cyberprzestępcy często używają nazwisk „Tomasz Zieliński” lub „Tomasz Ochocki”. Pamiętajmy jednak, że schemat działania oraz dane mogą się zmieniać.

2. Odesłanie na fałszywą stronę internetową

Podczas rozmowy lekarz proszony jest o wejście na stronę internetową, która ma rzekomo służyć zgłoszeniu incydentu lub zabezpieczeniu konta. W kampanii wykorzystywane są m.in. domeny:

• eincydent[.]org

• e-incydent[.]org

• m-incydent[.]org

Strony te są stylizowane na witryny instytucji publicznych i mają uwiarygodnić oszustwo.

Ważne: incydenty bezpieczeństwa należy zgłaszać wyłącznie poprzez oficjalną stronę CSIRT CeZ.

3. Logowanie przez aplikację mObywatel

Na fałszywej stronie lekarz proszony jest o uwierzytelnienie się przy użyciu aplikacji mObywatel. Jeśli wykona tę czynność, przestępcy uzyskują dostęp do dodatkowych danych uwierzytelniających.

4. Przechwycenie certyfikatu e-ZLA

Po zalogowaniu lekarz może otrzymać wiadomość e-mail z informacją o rzekomym unieważnieniu certyfikatu ZUS i linkiem do pobrania nowego pliku.

W rzeczywistości jest to fałszywy certyfikat. Hasłem do archiwum jest zwykle numer PESEL lekarza, co umożliwia przejęcie certyfikatu uwierzytelniającego.

5. Zakładanie kont w aplikacjach gabinetowych

Dysponując przejętymi danymi i certyfikatem e-ZLA, przestępcy mogą zakładać konta w niektórych aplikacjach gabinetowych wykorzystywanych przez lekarzy.

6. Wystawianie fałszywych recept

Po uzyskaniu dostępu do systemów przestępcy mogą wystawiać recepty bez wiedzy lekarza, w tym również na substancje kontrolowane.

Należy zachować szczególną ostrożność - schematy oszustwa także mogą ulec zmianie.

Jak sprawdzić, czy ktoś wystawił recepty z Twojego konta

Wszystkie wystawione recepty można zweryfikować w systemie gabinet.gov.pl. Regularna kontrola historii dokumentów pozwala szybko wykryć ewentualne nadużycia.

Szczegółowa instrukcja sprawdzania recept znajduje się na portalu  ezdrowie.gov.pl.

Dlaczego ta kampania jest szczególnie groźna

Cyberprzestępcy stosują w tym przypadku rozbudowane techniki socjotechniczne, które zwiększają skuteczność ataku. W szczególności:

• wywierają presję i wykorzystują element strachu przed konsekwencjami prawnymi,

• podszywają się pod instytucje publiczne, co zwiększa wiarygodność komunikatu,

• odwołują się do realnych sytuacji związanych z wystawianiem recept.

Po przejęciu certyfikatu i danych logowania, atakujący uzyskują faktyczną możliwość wystawiania recept oraz dostęp do wrażliwych danych osobowych pacjentów. Dane te podlegają szczególnej ochronie na gruncie przepisów RODO, a naruszenie ich poufności może wymagać zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych.

Gdzie zgłosić incydent

Wszelkie podejrzane zdarzenia, próby wyłudzenia danych lub naruszenia bezpieczeństwa należy zgłaszać poprzez formularz dostępny na stronie CSIRT CeZ. Szybka reakcja pozwala ograniczyć skutki ataku i chronić zarówno lekarzy, jak i dane pacjentów.