Podwójny kryzys MyDr: Wszystko, co wiemy o potężnych wyciekach danych medycznych

Aktualności

19 sierpnia 2026

Podwójny kryzys MyDr: Wszystko, co wiemy o potężnych wyciekach danych medycznych

Systemy medyczne firmy MyDr, jednego z największych w Polsce dostawców oprogramowania do Elektronicznej Dokumentacji Medycznej (EDM), stały się celem bezprecedensowych cyberataków. Jak oficjalnie potwierdziły kluczowe organy państwowe – w tym Ministerstwo Cyfryzacji, NASK, Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) oraz Urząd Ochrony Danych Osobowych (UODO) – spółka ta dotknięta została dwoma potężnymi incydentami bezpieczeństwa. Choć oba wydarzenia dzieli czas i mechanizm działania, łącznie zaważyły one na bezpieczeństwie danych kilkunastu milionów Polaków.

Najnowszy atak (2026 r.) – Wyciek wrażliwej historii chorób

Najnowszy, niezwykle groźny incydent dotyczy bezpośredniego włamania do baz danych EDM. W tym przypadku cyberprzestępcy uzyskali wgląd w najgłębszą prywatność pacjentów.

Kluczowe parametry najnowszego wycieku:

- Skala i liczby: Hakerzy zadeklarowali przejęcie bazy o wadze od 2 do 2,5 terabajtów. Zawiera ona 18 814 422 unikalnych numerów PESEL pacjentów z całego kraju.
- Głębokość naruszenia: Obok danych identyfikacyjnych (imiona, nazwiska, numery telefonów, adresy e-mail), skradziono głęboko prywatne dane o zdrowiu. Są to treści notatek lekarskich z wizyt, szczegóły wystawionych recept oraz spisy przyjmowanych leków.
- Zasięg podmiotowy: Problem dotyka pacjentów około 12 tysięcy placówek medycznych (indywidualnych gabinetów oraz dużych sieci komercyjnych), które korzystają z oprogramowania MyDr.
- Wiek danych: Skradzione rekordy mają charakter historyczny i obejmują okres do kwietnia 2024 roku oraz lata wcześniejsze.

Stan śledztwa i bezpieczeństwo:

Wiceminister cyfryzacji Dariusz Standerski oraz prokuratura przekazali najnowsze ustalenia:

1. Brak publicznej sprzedaży: Służby monitorujące darknet nie stwierdziły dotychczas, aby baza została wystawiona na sprzedaż lub upubliczniona.
2. Luka została załatana: Specjaliści zidentyfikowali błąd w oprogramowaniu MyDr. Wyrwa w zabezpieczeniach została już uszczelniona, a systemy są bezpieczne do bieżącego użytku.
3. Oficjalne postępowanie: Śledztwo w sprawie nieuprawnionego dostępu do systemu (które nastąpiło nie później niż 6 sierpnia 2026 r.) prowadzi Prokuratura Okręgowa w Warszawie.
4. Systemy państwowe są nienaruszone: Ministerstwo Zdrowia uspokaja, że państwowa platforma P1 oraz Internetowe Konto Pacjenta (IKP) pozostają w pełni bezpieczne.

Poprzedni incydent (2024 r.) – Masowe odpytywanie systemu eWUŚ

Obecny kryzys zmusił organy ścigania do ujawnienia szczegółów poprzedniej, utajnionej dotąd afery wokół MyDr z wiosny 2024 roku. Eksperci kategorycznie podkreślają: to dwa zupełnie inne zdarzenia, choć dotyczą tej samej firmy komercyjnej.

Mechanizm ataku z 2024 roku:

Wydarzenia te miały miejsce między 18 a 27 marcem 2024 roku. Przestępcy nie przejęli wtedy gotowych dysków z serwerów firmy, lecz użyli programu MyDr jako narzędzia-pośrednika:

1. Przejęli realne konta personelu medycznego w przychodniach.
2. Wstrzyknęli złośliwy skrypt automatyzujący.
3. Skrypt zaczął masowo „odpytywać” państwowy system eWUŚ (Elektroniczną Weryfikację Uprawnień Świadczeniobiorców) należący do NFZ, służący do sprawdzania ważności ubezpieczenia pacjentów.

Skala i finał sprawy z 2024 roku:

- Liczba poszkodowanych: Przestępcy wygenerowali wtedy miliony zapytań, nielegalnie pozyskując dane osobowe ponad 13 milionów obywateli Polski.
- Zakres danych: Baza ta nie zawierała historii chorób ani recept. Widniały w niej wyłącznie imiona, nazwiska, numery PESEL oraz status ubezpieczenia w NFZ.
- Sukces CBZC: Po zgłoszeniu anomalii przez Prezesa NFZ w kwietniu 2024 roku, Centralne Biuro Zwalczania Cyberprzestępczości namierzyło i zatrzymało dwie osoby. Służby w całości przejęły i zabezpieczyły skradziony plik, dzięki czemu tamte dane nigdy nie wyciekły do sieci.
- Skutki systemowe: Bezpośrednim efektem tamtego incydentu było wprowadzenie przez NFZ sztywnych, dziennych limitów zapytań do eWUŚ dla podmiotów zewnętrznych.

Dlaczego nie ma jeszcze danych w systemach rządowych?

Mimo wcześniejszych zapowiedzi, dane z najnowszego wycieku (z 2026 roku) nie trafiły jeszcze do rządowej bazy serwisu Bezpieczne Dane. Wynika to z procedur prawnych RODO. Ponieważ MyDr jest dostawcą technologicznym, formalnymi administratorami danych pacjentów są poszczególne placówki medyczne. To przychodnie i szpitale muszą teraz zweryfikować swoje kartoteki, przejść procedurę zgłoszeniową do UODO (urząd otrzymał już kilkaset zgłoszeń) i dopiero wtedy wykazy trafią do rządowego systemu weryfikacji dla obywateli.

Co pilnie musi zrobić każdy pacjent?

W obliczu tak ogromnego naruszenia prywatności, eksperci ds. bezpieczeństwa apelują o wdrożenie trzech kroków ochrony osobistej:

- Zastrzeżenie numeru PESEL: Należy niezwłocznie i bezpłatnie zastrzec swój PESEL. Najprościej zrobić to w aplikacji mObywatel lub przez profil zaufany na portalu gov.pl. Zablokuje to możliwość wyłudzenia na nasze dane pożyczek, kredytów czy zakupu sprzętu na raty.
- Włączenie Alertów BIK: Warto uruchomić powiadomienia w Biurze Informacji Kredytowej, które natychmiast raportują każdą próbę weryfikacji naszej historii finansowej.
- Ograniczone zaufanie (Anty-phishing): Przestępcy, znając historię naszych chorób lub nazwy przyjmowanych leków, mogą próbować uwiarygodnić fałszywe telefony i wiadomości SMS (np. podszywając się pod kliniki lub apteki) w celu wyłudzenia pieniędzy.

Źródła:

- BezpieczneDane.gov.pl: https://bezpiecznedane.gov.pl/
- Prokuratura Okręgowa w Warszawie: https://www.gov.pl/web/po-warszawa/postepowania-przygotowawcze-w-sprawie-bezprawnego-uzyskania-danych-wrazliwych-z-systemu-my-dr-sp-z-oo-i-ich-bezprawnego-przetwarzania
- Krajowy Instytut Bezpieczeństwa: https://kicb.pl/rzekomy-wyciek-danych-medycznych-z-systemu-mydr-co-musisz-wiedziec-i-jak-reaguja-sluzby/
- Onet.pl: https://wiadomosci.onet.pl/kraj/rzad-reaguje-na-wyciek-z-mydr-beda-nowe-obowiazki-dla-firm-przetwarzajacych-dane/95pv2dq
- Zaufana Trzecia Strona: https://zaufanatrzeciastrona.pl/post/hakerzy-twierdza-ze-ukradli-dane-ponad-18-milionow-polek-i-polakow-z-firmy-mydr/
- CyberDefence24: https://cyberdefence24.pl/cyberbezpieczenstwo/wycieki-danych/druga-historia-z-mydr-2-lata-temu-skradziono-dane-13-mln-osob
- Rzeczpospolita: https://www.rp.pl/dane-osobowe/art44980281-wyciek-danych-19-mln-polakow-ekspertka-ostrzega-trzeba-uwazac-miesiacami