یک حمله سایبری علیه پلتفرم Medyc منجر به افشای داده‌های شخصی بیماران در لهستان شد. این حمله از طریق بهره‌برداری از یک آسیب‌پذیری SQL Injection در نرم‌افزاری که توسط شرکت Qbusoft (توسعه‌دهنده پلتفرم مدیریت پرونده‌های پزشکی Medyc) طراحی شده بود، صورت گرفته است.
جزئیات فنی و روند حمله
بر اساس گزارش‌های منتشر شده، عامل تهدید توانسته است بین تاریخ ۲۲ و ۲۳ اوت ۲۰۲۶ از این آسیب‌پذیری برای دسترسی غیرمجاز به پایگاه داده استفاده کند. در این عملیات، یک آرشیو رمزنگاری‌شده از پایگاه داده به خارج از محیط عملیاتی Qbusoft منتقل شده است. این حادثه در نهایت در شب ۸ سپتامبر شناسایی شد.
تحلیل‌های فارنزیک (Forensic Analysis) نشان می‌دهد که دستورات استخراج داده (Data Export) محدودیت زمانی نداشته‌اند، به همین دلیل داده‌های بیماران از بازه زمانی ۱ جولای ۲۰۲۴ تا ۲۳ اوت ۲۰۲۶ در معرض دسترسی قرار گرفته‌اند. اطلاعات سرقت شده شامل موارد زیر است:
- نام و نام خانوادگی
- شماره‌های شناسایی ملی (PESEL)
- آدرس‌های محل سکونت یا اقامت موقت
- شماره تلفن و آدرس ایمیل
ضعف در پیاده‌سازی رمزنگاری
اگرچه ارائه‌دهنده خدمات بهداشتی اعلام کرد که فیلدهای نام و شماره PESEL در پایگاه داده رمزنگاری شده بودند، اما شرکت Qbusoft هشدار داد که به دلیل نقص در نحوه پیاده‌سازی رمزنگاری، این اطلاعات باید به عنوان Plain Text (متن آشکار) و قابل دسترسی در نظر گرفته شوند.
ابهام در سرقت پرونده‌های پزشکی
یکی از نقاط بحث‌برانگیز این حادثه، دسترسی به داده‌های حساس پزشکی است. تحلیل‌های اولیه نشان داد که اسکریپت‌های مهاجم جداول حاوی اطلاعات پزشکی، از جمله اسناد ترخیص و اطلاعات درمان‌های بیمارستانی را هدف قرار داده‌اند. با این حال، شرکت Qbusoft در به‌روزرسانی ۲۸ سپتامبر خود اعلام کرد که اگرچه سرقت داده‌های شخصی تایید شده است، اما سرقت پرونده‌های پزشکی هنوز به طور قطعی تایید نشده است.
اقدامات اصلاحی و واکنش سازمان‌ها
پس از شناسایی حمله، شرکت Qbusoft اقدامات زیر را برای مهار تهدید انجام داد:
- رفع آسیب‌پذیری مورد استفاده و قطع دسترسی مهاجم
- محدود کردن دسترسی‌های پایگاه داده (Database Permissions)
- تغییر رمز عبورها و اسرار فنی (Technical Secrets)
- قرار دادن زیرساخت‌ها تحت مانیتورینگ مستمر
این شرکت هشدار داده است که همچنان با تلاش‌های مکرر برای حمله مواجه است و از کاربران خواسته تا در برابر پیام‌ها، ایمیل‌ها و تماس‌های مشکوک که به این نشت داده اشاره دارند، هوشیار باشند.
پیگیری‌های قانونی
این حادثه به مقامات لهستانی از جمله اداره حفاظت از داده‌های شخصی (UODO) و پلیس گزارش شده است. همچنین وزارت امور دیجیتال لهستان اعلام کرد که اداره مرکزی مبارزه با جرایم سایبری در حال بررسی این پرونده است. سازمان UODO قصد دارد بازرسی‌های گسترده‌تری را روی شرکت Qbusoft و سایر سازمان‌های بهداشتی انجام دهد تا از امنیت داده‌های حساس سلامت اطمینان حاصل کند.
