Shoulder surfing, sztuczka na kuriera: Dane wyciekają po cichu
Dodano: 25.08.2026
Szpitale inwestują w ochronę przed cyberatakami, ale zapominają, że dane często wyciekają w trywialny sposób. Jak chronić się przed mikro-kradzieżami danych?
- Wiele wycieków zaczyna się od prostych błędów wewnątrz organizacji. To może być pozostawiony bez nadzoru i blokady ekranu komputer albo leżące na drukarce wydruki z wrażliwymi danymi.
- W jednym z badań sprawdzono pojemniki na makulaturę w 5 szpitalach. Znaleziono tam ok. 600 kg papieru i 2500 arkuszy zawierających wrażliwe dane osobowe.
- Źródłem 30% wycieków danych są pracownicy. Połowa takich incydentów wynika z błędów.
- Ryzyko mikro-wycieków można ograniczyć wprowadzając zasady higieny ochrony danych, np. filtry prywatyzujące, zasadę czystego biurka i drukarki itd.
- Ochrona danych wymaga ograniczenia dostępu do informacji według ról oraz kontroli dostępu fizycznego.
Zagrożenie dla danych czai się wewnątrz każdej organizacji
Liczba cyberataków na ochronę zdrowia wzrosła w 2025 roku o ponad 40% – wynika z nowego raportu CSIRT CeZ. Ale do oficjalnych statystyk trafiają tylko duże wycieki danych spowodowane włamaniami hakerów do komputerów, phishingiem, złośliwym oprogramowaniem typu ransomware.
Gdy łupem padają setki, tysiące kartotek, sprawa robi się głośna. Mało kiedy mówi się o naruszeniach bezpieczeństwa, które dotyczą pojedynczych kartotek pacjentów i zaczynają się wewnątrz organizacji – od komputera pozostawionego bez nadzoru, wydruków wyników badań leżących na drukarce przez kilkadziesiąt minut, czy kartoteki pacjenta widocznej dla każdego zza lady rejestracji.
W badaniu z 2025 roku naukowcy ze szpitala St Michael’s i Uniwersytetu w Toronto znaleźli w pojemnikach na makulaturę pięciu różnych szpitali ok. 600 kg papieru oraz 2500 arkuszy zawierających wrażliwe dane medyczne.
Skala tzw. insider threats jest ogromna – szacuje się, że odpowiedzialność za ok. 30% wszystkich wycieków danych ponoszą osoby z wewnątrz organizacji. W połowie przypadków wynikają one z błędów pracowników. Podczas szkoleń mówi się dużo o tym, jak rozpoznać phishing, zapominając o takich metodach ochrony jak prawidłowe niszczenie dokumentów.
Nowoczesne firewalle nic nie dają, gdy pacjent zostaje sam na sam z komputerem
Szpitale inwestują miliony złotych w nowoczesne systemy bezpieczeństwa, centra monitorowania sieci i rozwiązania wykorzystujące sztuczną inteligencję do wykrywania cyberataków. Tymczasem organizacje zajmujące się cyberbezpieczeństwem, takie jak amerykański Department of Health and Human Services (HHS), alarmują, że wiele incydentów zaczyna się od prostych błędów popełnianych przez personel.
Jednym z nich jest pozostawienie odblokowanego komputera po odejściu ze stanowiska pracy. Lekarze i pielęgniarki wielokrotnie w ciągu dnia przerywają pracę przy komputerze, aby zająć się pacjentem, odpowiedzieć na telefon i skonsultować wyniki badań. Jeśli komputer zablokuje się dopiero po 5 minutach, te momenty, gdy komputer stoi otworem dla osób postronnych, sumują się w kilkadziesiąt minut dziennie. W tym czasie osoba nieuprawniona może z łatwością uzyskać dostęp do elektronicznej dokumentacji medycznej.
Eksperci od IT zalecają ustawienie automatycznego blokowania ekranu już po 1–2 minutach bezczynności. To może irytować, bo lekarz musi kilkanaście razy w ciągu dnia wprowadzać hasło, ale jest to konieczne. Dodatkowym zabezpieczeniem są filtry i przesłony montowane na monitorach, ograniczające możliwość odczytania danych przez osoby stojące obok. Powinny być standardem w rejestracji, bo skutecznie chronią przed tzw. shoulder surfingiem, czyli podglądaniem informacji wyświetlanych na ekranie przez osoby postronne.
Jeszcze innym błędem jest brak pełnego szyfrowania dysku. Jeśli lekarz korzystający z laptopa albo smartfona zgubi swoje urządzenie, zapisane dane można bez problemu odczytać. HHS od lat zaleca szyfrowanie urządzeń jako jedno z podstawowych zabezpieczeń danych medycznych.
Wydruki, kopie, notatki na papierze poniewierają się na biurku i w koszach
Mimo digitalizacji dokumentacji medycznej, w każdej przychodni albo szpitalu nadal w obiegu są wydruki wyników badań, listy wizyt na dany dzień, książeczki zdrowia i szczepień, upoważnienia, karty anestezjologiczne. Leżą na biurkach, w niezamkniętych szafach, w koszach.
Eksperci zalecają stosowanie zasady „czystego biurka”. Przy dłuższej nieobecności na stanowisku pracy nie powinny pozostawać żadne wydruki z danymi pacjentów ani odręczne notatki. Dokumentację pozostawioną na biurku zaleca się odwracać tekstem do dołu.
Jeśli placówka korzysta z centralnej drukarki w osobnym pomieszczeniu, wydruki trzeba odebrać natychmiast po ich wydrukowaniu. Robocze notatki, harmonogramy, karteczki samoprzylepne czy wydruki z systemów informatycznych powinny trafiać do niszczarek, zgodnie z procedurami obowiązującymi w placówce.
Zakres dostępu do danych powinien odpowiadać kompetencjom
W dużych organizacjach standardem jest dostęp do danych oparty na rolach. Lekarz, pielęgniarka, rejestratorka czy pracownik administracyjny powinni widzieć wyłącznie te dane, które są niezbędne do wykonywania ich obowiązków. Jest to dodatkowa warstwa ochrony przed hakerami – nawet w przypadku przejęcia hasła do jednego konta, zakres danych możliwych do wykradzenia jest mocno ograniczony.
Standardem powinno być uwierzytelnianie wieloskładnikowe (MFA). Korzystając z krytycznych systemów, potwierdzenie tożsamości za pomocą aplikacji mobilnej, klucza sprzętowego lub danych biometrycznych skutecznie chroni dane, nawet jeśli doszło do złamania hasła dostępu.
Punktów nieuprawnionego dostępu do danych jest więcej: otwarte drzwi na zaplecze, gdzie pracownicy wychodzą na papierosa, zasada nieograniczonego zaufania do kurierów i wpuszczanie osób ubranych jak serwisanci bez przepustek. Może to być też skrzynka pocztowa pracownika, jak w przypadku Szpitala Uniwersyteckiego w Krakowie, gdy w marcu 2026 roku przestępcy włamali się na skrzynkę mailową jednego z pracowników szpitala. Używając jego legalnej tożsamości, byli w stanie poruszać się wewnątrz sieci i prowadzić korespondencję.
Przestrogą powinien być też incydent w szpitalu im. Króla Edwarda VII w Londynie. W 2012 roku dwoje prezenterów radiowych zadzwoniło do szpitala, podszywając się pod Królową Elżbietę II oraz Księcia Karola, pytając o stan zdrowia hospitalizowanej tam księżnej Kate. Pielęgniarka uwierzyła oszustom i bez weryfikacji wydała przez telefon ściśle poufne, szczegółowe informacje o stanie zdrowia członkini rodziny królewskiej.