Blisko 19 milionów osób, ponad 2 terabajty informacji i zbiór, w którym obok imienia, nazwiska oraz numeru PESEL mogły znaleźć się dane o receptach, lekach i wizytach u lekarza. Tak wygląda skala cyberataku na firmę MyDr, dostawcę oprogramowania dla przychodni i gabinetów w całej Polsce. To incydent, który dotyczy więcej niż co drugiego mieszkańca kraju, a informacje o zdrowiu należą do najbardziej wrażliwych, jakie w ogóle o sobie zostawiamy. Tłumaczymy, co dokładnie wiadomo o ataku, dlaczego wiadomość o wycieku dostaniesz najpewniej nie od MyDr, tylko od swojej przychodni, i jakie kroki warto wykonać jeszcze dziś.
★ W skrócie: najważniejsze fakty
- 🗄️ Z systemów firmy MyDr wykradziono ponad 2 TB danych dotyczących blisko 19 mln osób.
- 💊 W zbiorze mogły znaleźć się imiona, nazwiska, numery PESEL, dane kontaktowe oraz informacje o receptach, lekach i wizytach.
- 🏥 Z oprogramowania korzystało około 12 tys. placówek ochrony zdrowia i to one, a nie MyDr, mają obowiązek powiadomić pacjentów.
- 🔒 Ruch, który możesz wykonać od razu, to zastrzeżenie numeru PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy.
- 🎣 Największe ryzyko na najbliższe miesiące to precyzyjny phishing, czyli fałszywe SMS-y i telefony „z przychodni”, oraz próby szantażu.
- 🕵️ Sprawę bada Prokuratura Okręgowa w Warszawie wspólnie z Centralnym Biurem Zwalczania Cyberprzestępczości, a UODO zapowiedział kontrolę w spółce.
Co dokładnie wiadomo o ataku na MyDr
MyDr to nie przychodnia ani szpital, tylko firma technologiczna, która dostarcza oprogramowanie do obsługi placówek medycznych i prowadzenia elektronicznej dokumentacji medycznej. Z jej systemów korzystają zarówno duże centra medyczne, jak i lekarze prowadzący jednoosobowe gabinety. Z publicznie dostępnych informacji wynika, że w sumie mowa o mniej więcej 12 tysiącach podmiotów, a przez platformę przechodzi około 3 milionów wizyt miesięcznie. Z MyDr współpracuje też serwis ZnanyLekarz.
Informację o skali incydentu przekazało publicznie Ministerstwo Cyfryzacji. Wykradziona baza ma ponad 2 TB i dotyczy blisko 19 mln obywateli. Sprawcy, którzy skontaktowali się z branżowym portalem Zaufana Trzecia Strona, twierdzą, że w ich rękach znalazło się ponad 18,8 mln unikatowych numerów PESEL. Sama firma potwierdziła „incydent związany z danymi” i podała, że atak objął przede wszystkim zasoby archiwalne, głównie z 2024 roku i lat wcześniejszych.
W komunikacie opublikowanym we wtorek MyDr zapewnił, że jest „na końcowym etapie ustalania zakresu incydentu”, w tym tego, które dane oraz którzy klienci i pacjenci mogli zostać nim dotknięci. Firma deklaruje, że wszystkie jej systemy działają normalnie i są bezpieczne, a partnerzy do spraw cyberbezpieczeństwa monitorują dark web i jak dotąd nie stwierdzili, aby skradzione dane zostały gdziekolwiek upublicznione. Nie oznacza to jednak, że sprawa jest zamknięta, bo takie zbiory potrafią pojawić się w obiegu nawet po wielu miesiącach.
Dlaczego wyciek danych medycznych jest groźniejszy niż wyciek numeru karty
Skradzioną kartę płatniczą można zastrzec, a bank wyda nową w kilka dni. Z informacją o tym, że ktoś leczy się psychiatrycznie, przechodził terapię uzależnień albo przyjmuje konkretny lek, nie da się zrobić nic podobnego. Danych o zdrowiu nie można zmienić jak hasła i pozostaną prawdziwe przez całe życie. To właśnie dlatego eksperci mówią o tym incydencie jako o zupełnie innej kategorii zagrożenia niż typowy wyciek loginów.
Drugi problem to łączenie baz. Przestępcy rzadko korzystają z jednego zbioru. Zestawienie danych z kilku wycieków pozwala zbudować bardzo dokładny profil konkretnej osoby, a im więcej szczegółów, tym łatwiej uwiarygodnić oszustwo. Wiadomość, w której ktoś zna nasze imię, nazwisko, numer PESEL i nazwę przychodni, w której faktycznie byliśmy, brzmi zupełnie inaczej niż anonimowy spam.
| Rodzaj danych | Jak może zostać wykorzystany |
|---|---|
| 🆔 Imię, nazwisko, PESEL | próby wyłudzenia kredytu lub pożyczki, zwłaszcza w firmach spoza sektora bankowego |
| 📱 Numer telefonu i e-mail | kampanie SMS i telefoniczne podszywające się pod przychodnię, aptekę albo NFZ |
| 💊 Recepty i przyjmowane leki | bardzo wiarygodny phishing typu „dopłać za refundację”, a także szantaż |
| 🩺 Historia wizyt i specjalizacja lekarza | podszywanie się pod konkretną poradnię: „prosimy o dopłatę za ostatnią wizytę” |
| 🧾 Powiązanie z konkretną placówką | fałszywe wezwania do uzupełnienia dokumentów i formularze wyłudzające dane logowania |
Powiadomi cię przychodnia, a nie MyDr
To najczęściej mylony element całej sprawy. W świetle RODO MyDr jest podmiotem przetwarzającym dane, czyli firmą, której przychodnie i lekarze powierzyli obsługę dokumentacji. Administratorem danych pozostaje jednak placówka medyczna. Urząd Ochrony Danych Osobowych przypomniał wprost, że obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach, którzy korzystali z usług spółki.
W praktyce łańcuch wygląda tak: MyDr ustala, czyje dane zostały objęte incydentem, i przekazuje tę informację poszczególnym placówkom. Te mają następnie 72 godziny na zgłoszenie naruszenia do UODO, licząc od momentu potwierdzenia, że sprawa dotyczy również ich pacjentów. Kolejny krok to indywidualne zawiadomienie każdego pacjenta. RODO nie wyznacza tu sztywnego terminu, mówi jedynie o działaniu „bez zbędnej zwłoki”, i nie narzuca formy. Może to być SMS, e-mail albo list, ale samo powieszenie komunikatu na stronie internetowej to za mało.
Z takiej wiadomości powinieneś dowiedzieć się trzech rzeczy: co się stało, jakie mogą być tego konsekwencje i jak możesz im przeciwdziałać. Jeśli dostaniesz komunikat, który tego nie zawiera, masz prawo dopytać placówkę o szczegóły, w tym o zakres danych, które wyciekły.
Zastrzeżenie numeru PESEL, czyli ruch na dziś
Nie musisz czekać na pismo z przychodni, żeby się zabezpieczyć. Najprostszym i najskuteczniejszym krokiem jest zastrzeżenie numeru PESEL. Wpis w rejestrze zastrzeżeń sprawia, że banki, kasy oszczędnościowo kredytowe oraz firmy udzielające kredytu konsumenckiego mają obowiązek sprawdzić, czy dany numer nie jest zablokowany. Jeśli jest, umowa nie powinna zostać zawarta. Zastrzeżenie utrudnia też między innymi wydanie duplikatu karty SIM na twoje dane oraz sprzedaż nieruchomości aktem notarialnym.
| Gdzie zastrzeżesz PESEL | Co jest potrzebne |
|---|---|
| 📲 Aplikacja mObywatel | telefon z aktywną aplikacją, cała operacja to kilka kliknięć |
| 💻 Serwis gov.pl | profil zaufany, e-dowód albo logowanie przez bankowość elektroniczną |
| 🏛️ Urząd gminy lub miasta | dowód osobisty, rozwiązanie dla osób, które nie korzystają z internetu |
| 🏦 Wybrane placówki bankowe i pocztowe | dokument tożsamości, warto wcześniej sprawdzić, czy dana placówka to obsługuje |
Zastrzeżenie nie jest decyzją na zawsze. Możesz je cofnąć w każdej chwili, na przykład wtedy, gdy faktycznie starasz się o kredyt, a potem włączyć ponownie. Warto o tym pamiętać, bo obawa przed utrudnieniami przy formalnościach to najczęstszy powód, dla którego ludzie odkładają ten krok.
★ Plan na najbliższe dni
- ✅ Zastrzeż PESEL, najszybciej w aplikacji mObywatel.
- ✅ Sprawdź swoją historię kredytową w BIK i zajrzyj do rejestrów dłużników, czy nikt nie zaciągnął zobowiązania na twoje dane.
- ✅ Zmień hasła w kluczowych serwisach i włącz uwierzytelnianie dwuskładnikowe, zwłaszcza w banku i skrzynce e-mail.
- ✅ Zaglądaj na bezpiecznedane.gov.pl, gdzie docelowo mają trafić informacje o tym wycieku.
- ✅ Nie klikaj w linki z SMS-ów i e-maili dotyczących wizyt, recept czy dopłat, nawet jeśli wyglądają wiarygodnie.
- ✅ Uprzedź bliskich, szczególnie starszych, bo to oni najczęściej padają ofiarą telefonów „z przychodni” i „z banku”.
Zobacz również:
POLSKA · 18.08.2026Ekstremalne zjawiska pogodowe będą coraz częstsze. Polska nie jest przygotowana na ich skutkiTak może wyglądać oszustwo po tym wycieku
Zwykły phishing rozpoznajemy dziś dość łatwo: literówki, dziwny adres nadawcy, prośba o pilny przelew. Problem w tym, że przy wycieku danych medycznych oszust nie musi zgadywać. Osoba, która rzeczywiście korzystała z poradni ortopedycznej, może dostać SMS z informacją, że trzeba dopłacić za ostatnią wizytę u ortopedy. Ktoś, kto od lat wykupuje ten sam lek, może przeczytać, że „zmieniły się zasady refundacji” i konieczna jest niewielka dopłata. Kwota bywa symboliczna właśnie po to, żeby nie wzbudzać podejrzeń, a link prowadzi do fałszywej bramki płatniczej albo strony podszywającej się pod bank.
Druga kategoria to szantaż. Ludzie chorują na różne rzeczy i nie każdy chce, żeby wiedzieli o tym pracodawca, sąsiedzi albo rodzina. Wiadomość z groźbą ujawnienia informacji o leczeniu w zamian za przelew potrafi zadziałać nawet na osoby, które normalnie nie dałyby się nabrać. Zasada jest tu jedna: nie płacić i zgłosić sprawę policji.
Prosty test, który warto zapamiętać: żadna przychodnia, apteka ani instytucja publiczna nie prosi SMS-em o dopłatę przez podesłany link. Jeśli masz wątpliwości, rozłącz się albo zignoruj wiadomość i zadzwoń do placówki na numer, który sam znajdziesz na jej stronie.
To nie pierwszy problem tego systemu
Przy okazji obecnego incydentu wróciła sprawa sprzed ponad dwóch lat, o której opinia publiczna nie wiedziała. Jak wynika z ustaleń Prokuratury Regionalnej w Poznaniu, między 18 a 27 marca 2024 roku ktoś przełamał zabezpieczenia sieci jednego z centrów medycznych, a następnie wykorzystał usługę MyDr do masowego odpytywania systemu eWUŚ, czyli elektronicznej weryfikacji uprawnień pacjentów do świadczeń.
Do systemu skierowano wtedy około 18 milionów zapytań, co dodatkowo obciążyło sieć i chwilowo pozbawiło dostępu legalnie działające placówki. Według najnowszych ustaleń śledczych sprawcy pozyskali w ten sposób dane ponad 13 milionów osób, przede wszystkim imiona, nazwiska, numery PESEL i informację o posiadaniu aktualnego ubezpieczenia. Śledztwo w tej sprawie wszczęto w kwietniu 2024 roku po zawiadomieniach ze strony Narodowego Funduszu Zdrowia. Na razie nie wiadomo, czy oba zdarzenia mają ze sobą jakikolwiek związek.
Kary mogą sięgnąć milionów, i to nie tylko dla MyDr
Konsekwencje prawne mogą objąć znacznie szersze grono niż jedna spółka. Skoro to przychodnie i lekarze są administratorami danych, to na nich spoczywa obowiązek analizy ryzyka, zgłoszenia naruszenia i poinformowania pacjentów. Zaniedbanie tych obowiązków otwiera drogę do sankcji ze strony prezesa UODO, od upomnienia po kary finansowe. Maksymalne kary przewidziane w RODO sięgają 4 procent rocznego obrotu albo 20 mln euro.
Nie jest to teoria. W głośnej sprawie spółki Fortum, gdzie wyciekły dane około 90 tysięcy osób, administrator danych zapłacił blisko 5 mln zł kary, a podmiot przetwarzający 250 tys. zł. Tutaj skala jest kilkaset razy większa. Do tego dochodzi możliwość dochodzenia odszkodowań przez samych pacjentów. Zanim jednak padną jakiekolwiek rozstrzygnięcia, konieczne będzie ustalenie, gdzie dokładnie zawiodły zabezpieczenia.
Najczęstsze pytania o wyciek danych z MyDr
Jak sprawdzić, czy moje dane wyciekły?
Na ten moment nie ma narzędzia, które da jednoznaczną odpowiedź. Rządowy serwis bezpiecznedane.gov.pl ma zostać zasilony informacjami z tego incydentu, ale w chwili publikacji tego tekstu jeszcze się to nie stało. Najpewniejszym źródłem będzie zawiadomienie od twojej przychodni lub lekarza. Jeśli w ostatnich latach korzystałeś z placówki, która używa systemu MyDr, warto założyć, że twoje dane mogły być w bazie, i zachować się tak, jakby rzeczywiście wyciekły.
Czy zastrzeżenie PESEL faktycznie chroni przed kredytem na moje dane?
W dużej mierze tak. Banki, kasy oszczędnościowo kredytowe i firmy udzielające kredytu konsumenckiego muszą sprawdzić rejestr zastrzeżeń przed zawarciem umowy, a zawarcie jej mimo aktywnego zastrzeżenia obciąża instytucję, a nie klienta. Zastrzeżenie nie działa jednak wstecz, więc nie unieważni zobowiązania, które ktoś zaciągnął wcześniej, i nie zabezpiecza przed każdą formą oszustwa, na przykład przed wyłudzeniem przelewu metodą „na wnuczka”.
Czy powinienem zmienić hasła, skoro wyciekły dane medyczne, a nie loginy?
To dobra praktyka niezależnie od zakresu wycieku. Adres e-mail i numer telefonu z bazy medycznej wystarczą, żeby przygotować bardzo celowaną kampanię, a wielu z nas nadal używa tych samych haseł w kilku serwisach. Najważniejsze jest jednak włączenie uwierzytelniania dwuskładnikowego tam, gdzie chodzi o pieniądze i pocztę.
Jak długo trzeba uważać?
Znacznie dłużej niż kilka tygodni. Skradzione bazy krążą po zamkniętych forach miesiącami, a czasem latami, i bywają wykorzystywane falami. Dobrym nawykiem jest regularne, choćby raz na kwartał, sprawdzanie raportu w BIK oraz szczególna czujność wobec każdej wiadomości, która odwołuje się do twojego zdrowia i wymaga pilnego działania.
Gdzie zgłosić próbę oszustwa?
Podejrzane SMS-y można przekazać bezpłatnie na numer 8080, który obsługuje zespół CERT Polska. Fałszywe strony i wiadomości e-mail zgłasza się przez formularz na stronie incydent.cert.pl. Jeśli doszło do realnej straty finansowej albo do prób szantażu, sprawę należy zgłosić na policję, a w przypadku podejrzenia, że ktoś zaciągnął zobowiązanie na twoje dane, także w danej instytucji finansowej.
