Cyberattack on Polish medical software provider exposes patient data
The Record · 28 sept, 15:30
Qué hacer: Actualiza Medyc a la versión parchada y verifica si tu organización fue afectada en la notificación de Qbusoft o CERT Polska.
Qbusoft, proveedor polaco de software médico, sufrió un ataque que explotó una vulnerabilidad de SQL injection en agosto, exponiendo datos personales de millones de pacientes incluidos nombres, números de identificación nacional (PESEL), direcciones y posiblemente registros médicos. La intrusión se detectó el 9 de septiembre y el atacante (posiblemente vinculado al grupo "fingerprint" y a un anterior ataque a MyDr) reivindicó la responsabilidad alegando exponer debilidades de seguridad.
La plataforma Medyc es un software de registros médicos electrónicos utilizado por proveedores de salud en toda Polonia para gestión de prácticas, prescripciones electrónicas, telemedicina y servicios administrativos. El atacante aprovechó una SQL injection en la interfaz de aplicación a finales de agosto, transfiriendo un archivo encriptado de la base de datos. Qbusoft parchó la vulnerabilidad el día del descubrimiento (9 de septiembre) y restringió permisos de base de datos, rotó credenciales e implementó monitoreo adicional.
Las autoridades polacas investigaron la falta de notificación inicial a CERT Polska, crítica que el ministro de Asuntos Digitales, Krzysztof Gawkowski, calificó como "el mayor error". El Centro Aditológico de Inowrocław informó que los registros afectaban a pacientes tratados entre julio de 2024 y agosto de 2026. El reivindicador afirmó obtener datos de 5 millones de pacientes y 8 millones de fotografías (sin verificación independiente). Este incidente forma parte de una ola más amplia: MyDr, otro proveedor polaco, sufrió un ataque anterior potencialmente involucrando 19 millones de personas y 12.000 organizaciones sanitarias.
Puntos clave
- SQL injection explotada en Medyc; parchada el 9 de septiembre de 2026
- Datos comprometidos: nombres, PESEL, direcciones, teléfonos, correos y posiblemente registros médicos
- Atacante posiblemente vinculado al grupo 'fingerprint' detrás de ataque anterior a MyDr
- Qbusoft no notificó inicialmente a CERT Polska; autoridades polacas consideran fortalecer regulación
- Pacientes afectados: tratamiento en el Centro Aditológico de Inowrocław entre julio 2024 y agosto 2026