波蘭政府正在調查一起針對醫療軟體商MyDr的網路攻擊事件。由於MyDr提供的MyDr EDM雲端電子病歷平台連接波蘭全國電子健康平台P1，事件可能牽涉近1,900萬名民眾及逾1.2萬家醫療機構的資料。
目前官方與MyDr均未公布最終受影響範圍。波蘭數位事務部指出，攻擊者可能存取MyDr系統中截至2024年4月的歷史資料，相關調查仍在進行。
MyDr EDM整合多項醫療服務
MyDr是波蘭主要的電子病歷系統供應商之一，其MyDr EDM為醫療機構使用的雲端醫療資訊平台，整合電子健康記錄、預約掛號、處方、轉診與遠距醫療等功能。
據現有資訊，約有1.2萬家醫療機構使用MyDr EDM，系統並與波蘭政府的全國電子健康平台P1連結。因此，若平台內的歷史資料確實遭到未授權存取，影響可能不只局限於單一醫療機構。
疑遭存取的資料涉及醫療敏感資訊
波蘭數位事務部表示，可能遭到存取的資料包括基層醫療服務業者的處方、預約、指定藥物及醫師文件等資訊。這些內容涉及病患醫療紀錄與就醫活動，屬於高度敏感的個人資料。
8月10日，波蘭數位事務部長Krzysztof Gawkowski在社群平台X發布首則官方訊息，證實當局已接獲MyDr通報並展開調查。同日，波蘭資安媒體Zaufana Trzecia Strona報導，曾接獲自稱攻擊者的人士聯繫，對方聲稱已取得約1,880萬人的資料。
目前這項涉及約1,880萬人的說法仍屬攻擊者自述，官方尚未確認資料是否確實遭到竊取，也尚未公布實際受影響人數。
政府更換P1連線憑證作為預防措施
Gawkowski於8月13日表示，波蘭e-Health中心正預防性替換醫療系統連接P1平台所使用的數位憑證。當局同時強調，目前沒有證據顯示這些憑證遭到竊取，或被濫用於此次攻擊。
此項措施反映官方正在降低平台間連線遭進一步濫用的風險，但並不代表已確認P1平台或相關數位憑證是本次事件的入侵途徑。
MyDr持續確認受影響客戶與病患範圍
MyDr於8月14日公告表示，公司已找出並排除導致事件的原因，並採取額外安全措施。不過，該公司未在當時公布事件成因、遭存取資料的完整內容或受影響對象數量。
在8月17日的最新公告中，MyDr表示調查已進入最後階段，目前正確認受影響的客戶與病患資料範圍。公司承諾，待調查完成後將立即通知受影響客戶。
事件後續仍待官方調查確認
截至目前，事件的實際入侵方式、資料是否被下載或公開，以及近1,900萬人的資料是否全部涉及外洩，均未獲官方或MyDr最終確認。後續調查重點將包括受影響資料的時間範圍、實際涉及的醫療機構與病患數量，以及攻擊者是否仍能存取相關系統。
由於MyDr EDM同時處理病歷、處方與醫療行政資料，事件也凸顯醫療雲端平台、跨系統連線及數位憑證管理在資安防護上的重要性。
Reference Link : ithome.com.tw
