波兰牙科管理软件FELG Dent遭IDOR漏洞攻击：约200万患者PESEL号码与电子处方数据或被窃，UODO已介入

公司已通报检察机关并联系波兰个人数据保护局（UODO）。初步估计约200万条患者记录受影响，该数字部分基于攻击者自身说法。记录类型包括姓名、地址与PESEL号码（波兰国民身份编号）、医疗数据、电子处方信息、电子病假证明（e-ZLA）记录以及电子保险核验（eWUŚ）记录。FELG提示记录条数不等于人数，并预计数日内完成日志分析。

攻击者自称"Horus"，曾联系波兰信息安全媒体Sekurak与Zaufana Trzecia Strona（Z3S）。他向Sekurak声称掌握240万名患者数据、120万条处方与就诊记录、71.2万条员工记录；在FELG否认后，其将员工记录数下调至2.8万条并归因于重复。Z3S曾用八名自愿者的PESEL号码核验，均未出现于其数据库；"Fingerprint"组织亦否认与该攻击有关。

攻击者自述的入侵手法属典型的IDOR（不安全的直接对象引用）缺陷：创建演示账户后发现未做授权校验的API端点，通过递增查询参数即可逐个拉取患者、处方与医师数据，称自9月6日起开始下载。FELG表示已于9月28日晚间知悉事件，但不对技术细节置评。因谈判破裂并转向公开，攻击者称将在波兰语暗网论坛Cebulka出售该数据库。

需注意：攻击者关于数据规模的陈述未获独立确认，其本人亦承认索要赎金时曾援引MyDr与Medyc两起攻击事件增强威慑。因FELG处于事件初期、细节多来自攻击方，事实仍待UODO调查与公司日志分析印证。