Хакеры использовали SQL-инъекцию для кражи данных пациентов польского поставщика медицинского ПО
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Хакеры похитили данные пациентов у польского производителя медицинского ПО Qbusoft через несколько недель после утечки данных почти 19 миллионов человек у другого поставщика. Данные были взяты из платформы Medyc, которую компания продаёт медицинским учреждениям для управления регистрацией пациентов, записями и рецептами. Qbusoft подтвердила кражу 25 сентября, а клиника, использующая Medyc, сообщила, что злоумышленник использовал уязвимость SQL-инъекции 22–23 августа 2026 года.
Ключевые факты
- Qbusoft подтвердила 25 сентября, что злоумышленники получили несанкционированный доступ к персональным данным, хранящимся в инфраструктуре Medyc, и похитили их.
- Подтверждённые украденные данные включают имена, номера PESEL, домашние адреса, номера телефонов и адреса электронной почты.
- Odwykowo-Psychiatryczny Ośrodek Leczniczy в Иновроцлаве сообщил, что злоумышленник использовал уязвимость SQL-инъекции 22–23 августа 2026 года.
- Злоумышленник получил персональные данные всех пациентов, проходивших лечение в дневном отделении клиники в период с 1 июля 2024 года по 23 августа 2026 года.
- В августе злоумышленники похитили данные почти 19 миллионов человек у MyDr, варшавской компании, программное обеспечение которой используют около 12 000 медицинских учреждений.
Взлом
Qbusoft зафиксировала «опасные атаки» на свою инфраструктуру 9 сентября и сообщила об инцидентах в Центральное бюро по борьбе с киберпреступностью (CBZC), Управление по защите персональных данных (UODO), CSIRT NASK, Центр электронного здравоохранения и Учреждение социального страхования (ZUS). Компания сообщила, что за последнюю неделю её системы подвергались неоднократным попыткам атак, из-за чего сервис может периодически работать медленнее, а доступ к некоторым модулям может быть временно ограничен или недоступен. Qbusoft не раскрыла, сколько человек пострадало. В уведомлении клиники говорится, что команды экспорта данных не имели ограничения по времени, что позволило злоумышленнику получить персональные данные всех пациентов, проходивших лечение в дневном отделении клиники в период с 1 июля 2024 года по 23 августа 2026 года.
Утечка данных
База данных хранила имена и номера PESEL в зашифрованном виде, но в уведомлении клиники указано, что поставщик поручил считать данные легко расшифровываемыми и что злоумышленники получили к ним доступ в открытом виде. Злоумышленник также запускал скрипты против таблиц базы данных, содержащих медицинские данные. Утёкшая база данных MyDr содержала номера PESEL, контактные данные и информацию о визитах пациентов, рецептах и истории лечения.
1 источник
Время · отставание