Najważniejsze fakty w skrócie
- Ofiarą ataku padła firma MyDr, dostawca oprogramowania do Elektronicznej Dokumentacji Medycznej dla placówek ochrony zdrowia.
- Minister cyfryzacji Krzysztof Gawkowski potwierdził 12 sierpnia 2026 r., że wyciek dotyczy blisko 19 milionów osób.
- Wykradziona baza ma ponad 2 terabajty danych. Sprawcy twierdzą, że dysponują 18 814 422 unikatowymi numerami PESEL.
- Wśród danych mogą być numery PESEL, daty urodzenia, numery telefonów, region NFZ, a także historia recept i informacje o leczeniu.
- Rządowy portal Bezpieczne Dane (bezpiecznedane.gov.pl) ma docelowo umożliwić sprawdzenie, czy nasze dane są w wycieku. Na razie nie da się tego wiarygodnie zweryfikować, a strona bywa niedostępna.
- Najważniejszy krok dla każdego dorosłego: zastrzeżenie numeru PESEL. Jest bezpłatne i zajmuje chwilę.
Co się stało
O incydencie jako pierwszy poinformował w poniedziałek 10 sierpnia portal Zaufana Trzecia Strona, do którego zgłosili się rzekomi sprawcy ataku. Tego samego dnia MyDr ogłosił, że bada poważny incydent bezpieczeństwa w swojej sieci, a minister cyfryzacji Krzysztof Gawkowski napisał na platformie X, że o sprawie zostały poinformowane odpowiednie służby.
Przez dwa dni skala zdarzenia pozostawała niepotwierdzona. Przełom nastąpił w środę 12 sierpnia. Po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa wicepremier Gawkowski oświadczył, że doszło do nadzwyczajnego wycieku danych blisko 19 milionów polskich obywateli - osób, które w różnych kategoriach korzystały ze wsparcia medycznego. Nazwał zdarzenie jednym z największych incydentów w historii kraju.
Wykradziona baza liczy według ministra ponad 2 terabajty. Sprawcy w kontaktach z Zaufaną Trzecią Stroną deklarowali 2,5 TB danych i 18 814 422 unikatowe numery PESEL. Redakcja portalu zaznacza jednak, że nie miała możliwości niezależnego potwierdzenia tych liczb - opierają się one na deklaracjach samych włamywaczy.
Dlaczego dotyczy to także ciebie, choć nigdy nie słyszałeś o MyDr
Nazwa MyDr niewiele mówi przeciętnemu pacjentowi. Nie trzeba było zakładać tam konta ani instalować aplikacji, żeby znaleźć się w tej bazie.
MyDr to jeden z największych w Polsce dostawców systemów Elektronicznej Dokumentacji Medycznej. Z oprogramowania firmy korzysta - jak podał minister Gawkowski - około 12 tysięcy placówek ochrony zdrowia w całej Polsce: przychodni, gabinetów lekarskich i stomatologicznych. To lekarze i personel tych placówek wpisują do systemu dane pacjentów, terminy wizyt i wystawiane recepty. Sama firma podawała wcześniej, że jej systemy obsługują około 3 milionów wizyt i 2,7 miliona recept miesięcznie.
Innymi słowy: jeśli w ostatnich latach byłeś u lekarza w placówce korzystającej z MyDr, twoje dane mogły trafić do tego systemu bez twojej wiedzy o istnieniu firmy. Dlatego zasięg potencjalnego wycieku jest tak ogromny.
Co wiemy o firmie MyDr
MyDr powstał w 2017 roku i określa się jako lider w pełni chmurowych rozwiązań EDM na polskim rynku oprogramowania medycznego. W 2023 roku firmę przejęła grupa Docplanner, właściciel popularnego serwisu ZnanyLekarz.
System MyDr zawiera moduły do e-recept, e-skierowań i e-zwolnień oraz integruje się z rządową Platformą P1. Umożliwia rozliczanie świadczeń w ramach NFZ, sprawdzanie statusu ubezpieczenia pacjenta czy wystawianie Karty Diagnostyki i Leczenia Onkologicznego.
Ważne zastrzeżenie: przynależność MyDr do grupy Docplanner nie oznacza, że wyciekły dane z serwisu ZnanyLekarz. Przedstawiciele grupy przekazali mediom, że systemy MyDr i ZnanyLekarz mają odrębną infrastrukturę i - poza obsługą rezerwacji - nie wymieniają między sobą danych o stanie zdrowia pacjentów. Nie ma więc podstaw, by rozciągać incydent na wszystkie usługi grupy.
Jakie dane mogły wyciec
To pytanie ma dwie warstwy: dane identyfikacyjne i kontaktowe oraz wrażliwe dane medyczne.
Na podstawie próbek przekazanych przez sprawców Zaufanej Trzeciej Stronie w bazie mogą znajdować się:
- imię i nazwisko,
- numer PESEL,
- data urodzenia,
- numery telefonów,
- region NFZ,
- historia recept i informacje o przepisanych lekach.
Dla uwiarygodnienia włamania sprawcy przesłali redakcji zrzut ekranu z danymi jednego z najważniejszych polityków w Polsce. Zawierał prawidłową datę urodzenia, PESEL, imię i nazwisko oraz dwa różne numery telefonów - jeden z nich udało się niezależnie potwierdzić. Zgadzał się także wskazany w bazie region NFZ. Do wpisu dołączona była recepta, a później redakcja otrzymała listę 25 recept rzekomo wystawionych na dane tego polityka.
Minister Gawkowski zaznaczył, że nie każdy przejęty numer PESEL wiąże się z ujawnieniem pełnej dokumentacji medycznej. Zakres danych może więc różnić się w zależności od osoby i placówki.
Jak przeprowadzono atak
Według relacji, którą sprawcy przekazali Zaufanej Trzeciej Stronie (redakcja nie mogła jej niezależnie zweryfikować), łańcuch ataku wyglądał następująco. Najpierw włamywacze mieli uzyskać zdalne wykonanie kodu przez podatność typu XXE przy obsłudze certyfikatów PKCS#12. To pozwoliło im poznać klucz API do serwisu GitHub, gdzie znaleźli kod źródłowy oprogramowania. Dzięki temu mieli dostać się do infrastruktury firmy w chmurze AWS. W liście do zarządu wymieniali też pełny dostęp do systemów takich jak Jira czy Hubspot CRM.
Jeden szczegół zwraca uwagę: sprawcy komunikowali się po angielsku w sposób, który zdaniem redakcji brzmiał jak celowo spreparowany - tak, jakby chcieli uchodzić za kogoś innego i sprowadzić śledztwo na fałszywe tropy. To typowa technika utrudniania atrybucji.
Reakcja państwa i firmy
Rządowe służby zareagowały szybko. Zwołano Połączone Centrum Operacji Cyberbezpieczeństwa, a sprawą zajęły się zespół CERT Polska działający w strukturach NASK, Centralne Biuro Zwalczania Cyberprzestępczości oraz prokuratura. Minister Gawkowski poinformował, że pozostaje w kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Jolantą Sobierańską-Grendą oraz prezesem UODO Mirosławem Wróblewskim.
Wicepremier przekazał, że zainfekowana infrastruktura została odłączona od sieci, a systemy firmy zablokowano i mają już działać bezpiecznie, w normalnym trybie. Placówki ochrony zdrowia funkcjonują normalnie. Na obecnym etapie nic nie wskazuje na atak obcego państwa - za kradzieżą stoją najprawdopodobniej cyberprzestępcy. Polskie władze kategorycznie wykluczyły zapłatę okupu.
MyDr potwierdził, że prowadzi postępowanie wyjaśniające, uruchomił procedury reagowania na incydenty, zaangażował zewnętrznych ekspertów i doradców prawnych oraz zawiadomił organy ścigania. Firma podkreśliła, że ściśle współpracuje z instytucjami rządowymi, ale do zakończenia dochodzenia nie ujawni szczegółów technicznych. Skontaktowała się też ze swoimi klientami - placówkami i lekarzami - i przekazała im zestaw odpowiedzi na najczęstsze pytania. Odrębny, uspokajający komunikat dla swoich pacjentów wydała także prywatna sieć medyczna enel-med.
Jak sprawdzić, czy twoje dane wyciekły - i dlaczego to na razie takie trudne
W chwili publikacji nie istnieje w pełni wiarygodny, publiczny sposób, by potwierdzić, czy twój numer PESEL znalazł się akurat w tym zbiorze. Oto dlaczego i co można zrobić.
Docelowe narzędzie: rządowy portal Bezpieczne Dane
Rząd zapowiedział, że informacje o skradzionych danych trafią do bazy Bezpieczne Dane pod adresem bezpiecznedane.gov.pl. To działający od 2023 roku serwis Ministerstwa Cyfryzacji, prowadzony we współpracy z zespołem CERT Polska i NASK. Docelowo każdy obywatel ma tam sprawdzić, czy jego dane znalazły się wśród wykradzionych.
Jak korzysta się z serwisu w standardowej sytuacji:
- Wejdź na stronę bezpiecznedane.gov.pl.
- Zaloguj się, potwierdzając tożsamość - przez Profil Zaufany, bankowość elektroniczną lub aplikację mObywatel.
- Po zalogowaniu wpisz swój adres e-mail lub inne dane, których dotyczy dana wyszukiwarka.
- System pokaże, czy twoje dane pojawiły się w którymś ze zidentyfikowanych wycieków.
Serwis warto sprawdzać regularnie, bo baza jest na bieżąco aktualizowana.
Dwie ważne przeszkody
Pierwsza to wydolność techniczna. Zaraz po ogłoszeniu wycieku strona bezpiecznedane.gov.pl bywała niedostępna - najprawdopodobniej z powodu ogromnej liczby osób próbujących z niej skorzystać jednocześnie. Jeśli trafisz na komunikat o niedostępności, spróbuj później.
Druga przeszkoda jest poważniejsza i ma charakter prawny. Jak zwraca uwagę redaktor naczelny Zaufanej Trzeciej Strony Adam Haertle, MyDr jest w świetle RODO jedynie podmiotem przetwarzającym dane, a administratorami są poszczególne placówki ochrony zdrowia - a tych są tysiące. Z prawnego punktu widzenia MyDr nie może po prostu przekazać danych ofiar zespołowi CERT Polska, żeby umieścić je w serwisie Bezpieczne Dane. W praktyce dopisanie tego wycieku do rządowej wyszukiwarki może wymagać dodatkowych rozwiązań i zająć wiele dni, chyba że rząd znajdzie odrębną ścieżkę prawną. Do tego czasu brak wpisu w serwisie nie jest dowodem, że twoich danych w wycieku nie ma.
Powiadomienie od placówki - podstawowa droga według prawa
Zgodnie z RODO to nie MyDr, lecz administratorzy danych, czyli placówki korzystające z jego oprogramowania, mają obowiązek zawiadomić osoby dotknięte naruszeniem. Potwierdził to w komunikacie UODO. Gdy ustalony zostanie zakres incydentu, MyDr ma poinformować placówki, czyje i jakie dane wyciekły, a te powinny bez zbędnej zwłoki powiadomić pacjentów. W powiadomieniu powinny opisać charakter naruszenia, przybliżoną liczbę osób i rekordów oraz możliwe konsekwencje. Jeśli więc korzystałeś z konkretnej przychodni, to od niej możesz otrzymać oficjalną informację.
Uwaga na fałszywe wyszukiwarki - to może być kolejne oszustwo
Skoro miliony osób szukają teraz sposobu, by sprawdzić swój PESEL, przestępcy z pewnością spróbują to wykorzystać. Weryfikacja przez nieznane, przypadkowe strony internetowe może sama w sobie być oszustwem, którego celem jest wyłudzenie dodatkowych danych lub pieniędzy. Zapamiętaj prostą zasadę: jedynym miejscem, w którym sprawdzasz obecność w wyciekach, jest oficjalny rządowy serwis bezpiecznedane.gov.pl. Nie wpisuj numeru PESEL na stronach, które podszywają się pod tego typu usługę.
Co zrobić już teraz - lista kroków dla każdego dorosłego
Eksperci i instytucje są zgodni: nie należy czekać na wyniki śledztwa ani na potwierdzenie, że akurat nasze dane wyciekły. Warto działać profilaktycznie. Poniżej zestaw działań od najważniejszego.
1. Zastrzeż numer PESEL
To krok numer jeden, wskazywany przez ministra cyfryzacji, UODO i niezależnych ekspertów. Zastrzeżenie PESEL blokuje możliwość zaciągnięcia na twoje dane kredytu, założenia konta bankowego czy podpisania niektórych umów bez wcześniejszego, świadomego odblokowania numeru. Co istotne, od 1 czerwca 2024 roku, jeśli oszust wykorzysta zastrzeżony PESEL do zaciągnięcia kredytu, poszkodowany nie odpowiada za jego spłatę - banki mają obowiązek weryfikować Rejestr Zastrzeżeń Numerów PESEL.
Numer PESEL zastrzeżesz na trzy sposoby:
Przez aplikację mObywatel:
- Otwórz aplikację i zaloguj się.
- Wejdź w zakładkę Usługi.
- Wybierz Zastrzeż PESEL.
- Potwierdź operację. Zmiana statusu następuje od razu.
Przez internet bez aplikacji:
- Wejdź na stronę gov.pl, na podstronę usługi zastrzegania numeru PESEL.
- Zaloguj się profilem zaufanym, e-dowodem, podpisem kwalifikowanym lub przez bankowość elektroniczną.
- Wybierz Zastrzeż PESEL i potwierdź.
W urzędzie gminy (dla osób, które nie korzystają z internetu):
- Weź dokument tożsamości. Nie musi to być urząd właściwy dla miejsca zamieszkania.
- Wypełnij i podpisz wniosek o zastrzeżenie numeru PESEL.
- Odbierz potwierdzenie.
Dobrą praktyką jest trzymanie PESEL zastrzeżonego na stałe i odblokowywanie go tylko na moment, w którym rzeczywiście bierzemy kredyt czy podpisujemy umowę. Ponowne zastrzeżenie po odblokowaniu trwa od 30 minut do 12 godzin - to celowe zabezpieczenie przed oszustwami metodą na wnuczka czy na policjanta.
2. Włącz alerty w Biurze Informacji Kredytowej
Usługa BIK Alert natychmiast powiadamia, gdy ktoś próbuje sprawdzić twoją historię kredytową lub złożyć wniosek o pożyczkę na twoje dane. To druga warstwa ochrony przed nadużyciami finansowymi. Warto też sprawdzić, czy nie figurujemy już w rejestrach dłużników.
3. Zmień hasła i włącz weryfikację dwuetapową
Choć wyciek dotyczy danych medycznych, a nie loginów do banku, eksperci radzą przy okazji uporządkować higienę haseł. Zmień hasła do ważnych kont, zwłaszcza jeśli używasz tego samego w kilku miejscach, i wszędzie tam, gdzie to możliwe, włącz weryfikację dwuetapową. Rządowe wskazówki zalecają też przeskanowanie komputera programem antywirusowym i zmianę haseł z bezpiecznego, sprawdzonego urządzenia.
4. Miesiącami zachowuj czujność wobec phishingu
To być może najważniejsze ostrzeżenie na dłuższą metę. Specjaliści podkreślają, że po dużych wyciekach najgroźniejsza jest druga fala - phishing i próby wyłudzeń. Ten wyciek jest tu szczególnie niebezpieczny, bo prawdziwe dane medyczne czynią fałszywą wiadomość dużo bardziej wiarygodną.
Wyobraź sobie SMS lub e-mail rzekomo z przychodni, w której faktycznie się leczysz, z prośbą o drobną dopłatę do recepty, potwierdzenie wizyty czy aktualizację danych. Jeśli wiadomość zawiera twoje prawdziwe nazwisko, nazwę placówki albo termin niedawnej wizyty, znacznie łatwiej uśpi twoją czujność. Przestępca nie musi znać całej twojej dokumentacji - wystarczy kilka prawdziwych szczegółów.
Zasady obrony:
- Nie klikaj w linki przesłane w takich wiadomościach.
- Jeśli dostajesz SMS lub e-mail rzekomo od placówki medycznej, skontaktuj się z nią innym, znanym ci kanałem - zadzwoń pod oficjalny numer.
- Pod żadnym pozorem nie podawaj przez telefon ani przez internet dodatkowych danych, numerów kart czy haseł.
- Uważaj na telefony od osób podszywających się pod lekarzy, urzędy czy banki.
5. Monitoruj konto bankowe
Regularnie sprawdzaj historię operacji i wyciągi bankowe. Zwracaj uwagę na nieznane próby logowania do bankowości elektronicznej. Im szybciej wychwycisz nietypową aktywność, tym łatwiej ograniczyć szkody.
6. Zadbaj o dokumenty w świecie offline
UODO przypomina też o podstawach, o których łatwo zapomnieć. Nie zostawiaj dowodu osobistego w zastaw, nie zgadzaj się bez potrzeby na kopiowanie dokumentów, niszcz papiery przed wyrzuceniem i trwale usuwaj dane ze starych telefonów, dysków i pendrive'ów. Ograniczaj liczbę danych podawanych w formularzach i programach lojalnościowych - każda dodatkowa informacja ułatwia oszustom podszycie się pod ciebie.
Czego nie da się już cofnąć
PESEL można zastrzec, hasło zmienić, kartę zablokować. Ale informacji o przebytym leczeniu, przyjmowanych lekach czy odwiedzanej poradni nie da się unieważnić. Te dane, jeśli rzeczywiście wyciekły, pozostaną w obiegu. Dlatego eksperci mówią, że w tej sprawie trzeba zachować ostrożność nie przez tydzień, lecz przez wiele miesięcy. To także argument w toczącej się od lat dyskusji, czy komplet danych - adres, telefon, PESEL, nazwisko - naprawdę musi być łącznie przetwarzany przez tak wiele podmiotów.
Wymiar prawny i możliwe konsekwencje dla MyDr
Kluczowe będzie postępowanie wyjaśniające i ustalenie, w jakiej roli MyDr przetwarzał poszczególne kategorie danych oraz czy zastosował środki bezpieczeństwa adekwatne do skali i wrażliwości informacji.
Choć MyDr jest podmiotem przetwarzającym, RODO nakłada obowiązki związane z bezpieczeństwem przetwarzania bezpośrednio także na procesorów. Prawo nie wyłącza więc odpowiedzialności firmy. W komentarzach pojawiają się głosy, że przy tej skali i wrażliwości danych może grozić rekordowa kara.
Równolegle biegną obowiązki administratorów, czyli placówek. Zgodnie z RODO administrator, który stwierdzi naruszenie, powinien bez zbędnej zwłoki - w miarę możliwości nie później niż w ciągu 72 godzin - zgłosić je prezesowi UODO, a także powiadomić osoby, których dane dotyczą.
Jeśli podejrzewasz, że twoje dane zostały naruszone, możesz samodzielnie zgłosić sprawę do UODO przez formularz zgłaszania naruszeń na stronie urzędu. UODO udostępnił też poradnik, jak chronić dane wrażliwe i jak postępować po wycieku.
Głosy ekspertów
Sprawę komentują czołowi polscy specjaliści od cyberbezpieczeństwa i ochrony danych.
Adam Haertle, redaktor naczelny Zaufanej Trzeciej Strony, ocenił, że organy państwa zareagowały prawidłowo, a sprawą zajęły się CERT Polska, policja i UODO. To on jednocześnie zwrócił uwagę na prawną barierę utrudniającą szybkie sprawdzenie, czy jest się w wycieku.
Piotr Konieczny, założyciel Niebezpiecznika, radzi, by nie zwlekać z zastrzeżeniem PESEL - najlepiej zrobić to od razu. Przypomina apel o wprowadzenie wymogu anonimizacji danych pacjentów, bo nie zawsze komplet danych musi występować i być przetwarzany łącznie.
Beniamin Szczepankiewicz, analityk zagrożeń z ESET, ostrzega, że najgroźniejsza jest druga fala po wycieku - phishing i próby przejęcia kont. Radzi, by w razie wiadomości rzekomo od placówki nie korzystać z przesłanego linku, tylko skontaktować się z nią znanym kanałem, mieć stale zastrzeżony PESEL i regularnie sprawdzać raport BIK.
Paweł Pudo z Dagma Bezpieczeństwo IT apeluje o ostrożność w ocenie deklaracji przestępców. Zwraca uwagę, że część ujawnionych danych mogła pochodzić z innych źródeł, i stawia otwarte pytanie, czy mamy do czynienia z rzeczywistym atakiem, czy ze starannie przygotowaną mistyfikacją.
Dr hab. Marlena Sakowska-Baryła, radczyni prawna, podkreśla, że zastrzeżenie PESEL to dopiero pierwszy krok. Trzeba też zmienić zagrożone hasła i przez kolejne miesiące uważać na phishing i podszywanie się pod zaufane instytucje.
Krzysztof Kaliński, specjalista ds. cyberbezpieczeństwa z Uniwersytetu Civitas, przyznaje, że dotąd nie mieliśmy w Polsce do czynienia z kradzieżą danych na taką skalę. Zaleca zastrzeżenie PESEL, zmianę haseł i sprawdzenie, czy nie figurujemy w rejestrze dłużników.
Najczęstsze pytania
Czy skoro nie znam firmy MyDr, na pewno nie ma mnie w wycieku? Nie. Dane wprowadzają lekarze i placówki korzystające z tego systemu, więc mogłeś się w nim znaleźć, nie wiedząc o jego istnieniu.
Czy wyciekły dane ze ZnanyLekarz? Nie ma na to podstaw. Grupa Docplanner deklaruje, że systemy MyDr i ZnanyLekarz mają odrębną infrastrukturę i nie wymieniają danych medycznych.
Czy mogę już teraz na pewno sprawdzić, czy moje dane wyciekły? Na razie nie w sposób pewny. Docelowo ma to umożliwić serwis bezpiecznedane.gov.pl, ale ze względu na barierę prawną i obciążenie strony może to potrwać. Najbezpieczniej działać profilaktycznie, zaczynając od zastrzeżenia PESEL.
Czy zastrzeżenie PESEL kosztuje? Nie. Usługa jest bezpłatna, dostępna dla każdej pełnoletniej osoby z numerem PESEL.
Co jeśli oszust już wziął kredyt na moje dane? Od 1 czerwca 2024 roku, jeśli kredyt zaciągnięto z użyciem zastrzeżonego numeru PESEL, poszkodowany nie odpowiada za jego spłatę. Sprawę warto zgłosić do banku, policji i UODO.
Podsumowanie
Wyciek danych z MyDr to zdarzenie o skali bez precedensu w Polsce. Choć śledztwo dopiero się toczy, a część informacji pochodzi od samych sprawców, potwierdzona przez ministra cyfryzacji skala - blisko 19 milionów osób i ponad 2 terabajty danych - każe traktować sprawę poważnie. Nie czekaj na potwierdzenie, że akurat twoje dane wyciekły. Zastrzeż PESEL, włącz alerty w BIK, uporządkuj hasła i przez najbliższe miesiące uważaj na podejrzane wiadomości. Weryfikuj informacje wyłącznie na oficjalnych rządowych stronach i nie daj się złapać na fałszywe wyszukiwarki, które same są narzędziem oszustwa.