trwa wyjaśnianie jednego z najpoważniejszych incydentów cyberbezpieczeństwa dotyczących sektora ochrony zdrowia. W wyniku ataku na firmę MyDr – dostawcę systemów wykorzystywanych przez lekarzy, gabinety i placówki medyczne – zagrożone mogły zostać dane blisko 19 mln osób.

Sprawa budzi szczególny niepokój, ponieważ systemy medyczne przetwarzają nie tylko podstawowe dane identyfikacyjne, lecz także informacje dotyczące zdrowia. Pacjenci powinni zachować spokój, ale jednocześnie zwiększyć czujność wobec prób oszustwa i śledzić oficjalne komunikaty.

Czym jest MyDr?

MyDr to firma dostarczająca rozwiązania informatyczne dla ochrony zdrowia, w tym narzędzia służące do obsługi gabinetów oraz elektronicznej dokumentacji medycznej. Z usług tego typu systemów korzystają lekarze i placówki w różnych częściach kraju.

W praktyce oprogramowanie medyczne może służyć m.in. do rejestracji wizyt, prowadzenia dokumentacji, obsługi pacjentów czy wystawiania e-recept. To oznacza, że zakres danych przetwarzanych przez dostawcę takich systemów może być bardzo szeroki.

Wyciek danych z MyDr – co wiadomo?

Według informacji przekazanych 12 sierpnia 2026 roku przez ministra cyfryzacji Krzysztofa Gawkowskiego, incydent może dotyczyć danych blisko 19 mln obywateli. Doniesienia wskazują także na znaczną skalę wykradzionych materiałów – baza danych ma obejmować ponad 2 TB informacji.

Służby oraz firma badają obecnie okoliczności ataku, rzeczywisty zakres przejętych danych i ewentualne skutki dla pacjentów. Na etapie trwającego postępowania nie należy przesądzać, że każda osoba korzystająca z placówki używającej tego typu rozwiązań została objęta wyciekiem. Skala zdarzenia oznacza jednak, że ryzyka nie można bagatelizować.

Jakie dane mogły znaleźć się w rękach przestępców?

Pełna lista danych objętych incydentem wymaga potwierdzenia przez firmę i właściwe instytucje. W systemach przeznaczonych do obsługi medycznej mogą jednak występować dane takie jak:

imię i nazwisko;
numer PESEL;
dane kontaktowe, np. numer telefonu lub adres e-mail;
informacje o terminach wizyt;
informacje związane z receptami i lekami;
dokumentacja lub informacje przekazywane lekarzowi;
dane dotyczące stanu zdrowia, diagnoz, zaleceń lub leczenia.

Dane o zdrowiu są objęte szczególną ochroną prawną. Ujawnienie ich może naruszać prywatność pacjenta, a w połączeniu z PESEL-em i kontaktem telefonicznym może zostać wykorzystane do precyzyjnych prób wyłudzenia informacji lub pieniędzy.

Dlaczego wyciek danych medycznych jest groźny?

Cyberprzestępcy nie zawsze wykorzystują dane bezpośrednio po ataku. Często próbują je sprzedawać, publikować fragmentami albo wykorzystywać do przygotowania wiarygodnych wiadomości phishingowych.

W przypadku wycieku związanym z ochroną zdrowia szczególnie prawdopodobne są oszustwa podszywające się pod:

przychodnię, lekarza lub rejestrację;
aptekę albo system obsługi e-recept;
Internetowe Konto Pacjenta;
firmę medyczną oferującą „potwierdzenie wizyty”;
bank, ubezpieczyciela lub urząd proszący o pilne potwierdzenie danych.

Przykładowo pacjent może otrzymać SMS z informacją o rzekomej e-recepcie, wyniku badania albo konieczności dopłaty za wizytę. Wiadomość może zawierać link prowadzący do fałszywej strony logowania lub płatności. Jeżeli oszust zna imię, numer telefonu czy informacje o leczeniu, komunikat staje się znacznie bardziej przekonujący.

Co powinni zrobić pacjenci?

Nie ma potrzeby wykonywania pochopnych działań ani reagowania na niesprawdzone informacje z mediów społecznościowych. Warto jednak wdrożyć kilka prostych zasad bezpieczeństwa.

1. Śledź wyłącznie oficjalne komunikaty

Informacji o incydencie należy szukać przede wszystkim w komunikatach placówki medycznej, firmy MyDr, Ministerstwa Cyfryzacji, CERT Polska oraz innych właściwych instytucji. Władze zapowiedziały możliwość sprawdzania, czy dana osoba mogła być objęta incydentem, za pośrednictwem serwisu Bezpieczne Dane.

2. Uważaj na SMS-y, telefony i e-maile

Nie należy klikać w linki przesyłane w nieoczekiwanych wiadomościach dotyczących recept, wizyt, wyników badań czy płatności. W razie wątpliwości najlepiej samodzielnie wejść na stronę placówki, skorzystać ze znanego numeru rejestracji lub sprawdzić informacje po zalogowaniu do Internetowego Konta Pacjenta.

Przychodnia, bank ani urząd nie powinny żądać przez telefon podania hasła, kodu SMS, danych karty płatniczej lub pełnych danych logowania.

3. Rozważ zastrzeżenie numeru PESEL

Zastrzeżenie PESEL można wykonać m.in. w aplikacji mObywatel lub przez serwis gov.pl. Mechanizm ten ma ograniczać ryzyko wykorzystania danych do zawarcia niektórych umów czy zaciągnięcia zobowiązań finansowych na cudze dane.

Warto pamiętać, że zastrzeżenie PESEL nie chroni przed wszystkimi formami oszustwa. Nadal potrzebna jest ostrożność wobec phishingu, podszywania się pod instytucje i prób wyłudzenia kodów autoryzacyjnych.

4. Włącz alerty i kontroluj swoją historię kredytową

Dobrym rozwiązaniem może być aktywowanie powiadomień o zapytaniach kredytowych, np. w Biurze Informacji Kredytowej. Dzięki temu użytkownik może szybciej zauważyć, że ktoś próbuje posłużyć się jego danymi przy składaniu wniosku o kredyt, pożyczkę lub zakup ratalny.

5. Zadbaj o bezpieczeństwo poczty elektronicznej

Skrzynka e-mail często jest kluczowa dla odzyskiwania haseł do innych usług. Warto więc:

stosować długie, unikalne hasło;
nie używać jednego hasła w wielu serwisach;
włączyć uwierzytelnianie dwuskładnikowe;
regularnie sprawdzać historię logowań i urządzenia mające dostęp do konta.

Czy trzeba zmienić hasła?

Sama informacja o wycieku nie oznacza automatycznie konieczności masowej zmiany wszystkich haseł. Jeżeli jednak użytkownik zakładał konto w usłudze powiązanej z MyDr, korzystał z identycznego hasła w innych serwisach lub otrzyma oficjalne potwierdzenie naruszenia danych logowania, zmiana hasła będzie zasadna.

Najważniejsza zasada brzmi: każde ważne konto – zwłaszcza poczta elektroniczna, bankowość, profil zaufany czy media społecznościowe – powinno mieć inne hasło. Warto także korzystać z menedżera haseł, który pozwala tworzyć i przechowywać silne, unikalne dane dostępowe.

Wyciek danych a prywatność pacjentów

Atak na system wykorzystywany w ochronie zdrowia przypomina, że bezpieczeństwo cyfrowe jest dziś częścią bezpieczeństwa pacjenta. Dokumentacja medyczna nie powinna być traktowana wyłącznie jako zbiór danych technicznych – zawiera często bardzo prywatne informacje o zdrowiu, leczeniu i życiu pacjenta.

Najważniejsze na obecnym etapie jest korzystanie z potwierdzonych źródeł, zachowanie ostrożności w kontaktach elektronicznych oraz zabezpieczenie najważniejszych kont i danych. W przypadku otrzymania podejrzanej wiadomości warto nie reagować impulsywnie, samodzielnie zweryfikować nadawcę i zgłosić próbę oszustwa odpowiednim służbom.