Mapa artykułu
Spis treści
W sierpniu 2026 roku doszło w Polsce do jednego z największych incydentów bezpieczeństwa danych w historii kraju – wyciek danych MyDr objął nawet 19 milionów pacjentów. Sprawcy twierdzą, że wykradli m.in. blisko 18,8 mln numerów PESEL. Poniżej wyjaśniamy, co dokładnie wiadomo, jak sprawdzić, czy dotyczy to Ciebie, oraz jak firmy z sektora medycznego mogą ograniczać ryzyko podobnych incydentów.
Co się stało? Fakty o wycieku danych z MyDr
Do ataku doszło na systemy firmy MyDr – dostawcy oprogramowania dla przychodni, gabinetów lekarskich i innych placówek ochrony zdrowia. Według doniesień medialnych incydent mógł objąć nawet 12 tysięcy placówek medycznych, zarówno prywatnych, jak i publicznych. Skradzione dane mają charakter archiwalny i pochodzą głównie z 2024 roku oraz wcześniejszych lat.
Ważny szczegół prawny: MyDr pełni w rozumieniu RODO rolę podmiotu przetwarzającego, a nie administratora danych. Administratorami pozostają poszczególne placówki medyczne, które korzystały z oprogramowania MyDr. Oznacza to, że to placówki – zgodnie z art. 34 RODO – są zobowiązane poinformować pacjentów o naruszeniu, a MyDr ma obowiązek niezwłocznie zgłosić incydent tym placówkom. Zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych powinno nastąpić nie później niż w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO).
Jak sprawdzić, czy Twoje dane wyciekły z MyDr?
W momencie pisania tego artykułu nie ma jednego, w pełni wiarygodnego narzędzia, które pozwoli samodzielnie i jednoznacznie zweryfikować, czy konkretna osoba znalazła się w wykradzionym zbiorze danych. Rząd uruchomił jednak portal bezpiecznedane.gov.pl, w którym po zalogowaniu Profilem Zaufanym można sprawdzać, czy dane trafiły do znanych baz wyciekowych. Dane z incydentu MyDr mają zostać dodane do tego serwisu w najbliższym czasie.
Do czasu pełnego uruchomienia weryfikacji warto podjąć kilka praktycznych kroków:
- Sprawdzaj regularnie portal bezpiecznedane.gov.pl po zalogowaniu Profilem Zaufanym.
- Śledź komunikaty od placówek medycznych, z których usług korzystałeś – to one mają obowiązek Cię poinformować.
- Zachowaj czujność wobec nietypowych telefonów, SMS-ów i e-maili podszywających się pod placówki medyczne, ZUS, NFZ czy bank – wyciek danych osobowych i numerów PESEL bywa wykorzystywany do dalszych prób oszustw.
To nie pierwszy taki atak – sektor medyczny na celowniku
Wyciek z MyDr to najgłośniejszy, ale nie jedyny incydent bezpieczeństwa w polskiej ochronie zdrowia w 2026 roku. W ciągu zaledwie jednego miesiąca doszło do czterech ataków ransomware na polskie podmioty medyczne: Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie, Bonifraterskie Centrum Medyczne (trzy szpitale i osiem innych placówek), Centrum Medyczne „Eskulap” w Raciborzu oraz Świętokrzyskie Centrum Rehabilitacji w Czarnieckiej Górze. Kolejne ataki dotknęły Wielkopolskiego Centrum Medycznego oraz placówki PaKK-MED. W niektórych przypadkach skutkiem było przejście na obsługę pacjentów „na kartkę i długopis” z powodu niedostępności systemów IT.
Ten wzorzec pokazuje, że placówki medyczne stały się jednym z najczęściej atakowanych sektorów w Polsce – piszemy o tym szerzej w artykule o tym, jak nowa generacja ataków ransomware zagraża firmom i instytucjom oraz jak skutecznie się przed nimi chronić.
Co powinny zrobić firmy i placówki, które przetwarzają dane wrażliwe?
Wyciek danych MyDr i seria ataków ransomware na polskie placówki medyczne pokazują, że incydenty bezpieczeństwa w sektorach przetwarzających dane wrażliwe nie są kwestią „czy”, ale „kiedy”. Dla firm i instytucji, które zarządzają danymi osobowymi lub medycznymi swoich klientów i pacjentów, kluczowe jest wdrożenie kilku podstawowych mechanizmów ochrony:
- Regularny audyt bezpieczeństwa i zgodności z RODO, obejmujący sposób przechowywania i przetwarzania danych osobowych.
- Testy penetracyjne infrastruktury IT, które pozwalają wykryć luki, zanim zrobią to cyberprzestępcy.
- Monitoring bezpieczeństwa w trybie ciągłym (SOC), umożliwiający szybkie wykrycie i reakcję na próby ataku.
- Plan reagowania na incydenty, w tym jasne procedury powiadamiania klientów i organów nadzorczych zgodnie z wymogami RODO.
Jeśli Twoja firma lub placówka przetwarza dane osobowe klientów, pacjentów lub pracowników, warto sprawdzić, czy obecne zabezpieczenia rzeczywiście chronią przed atakiem – zanim zrobi to za nas kolejny incydent podobny do wycieku MyDr.
Najczęściej zadawane pytania
Czy muszę się martwić, jeśli nigdy nie byłem pacjentem placówki korzystającej z MyDr?
Jeśli Twoja placówka medyczna nie korzystała z oprogramowania MyDr, wyciek Cię bezpośrednio nie dotyczy. Warto jednak sprawdzić u swojego lekarza lub w przychodni, z jakiego systemu korzystają, ponieważ MyDr obsługiwał tysiące placówek w całej Polsce.
Co grozi w przypadku wykorzystania skradzionego numeru PESEL?
Skradziony PESEL może posłużyć do prób wyłudzeń, zaciągnięcia zobowiązań finansowych na czyjeś dane lub podszywania się pod ofiarę w kontaktach z urzędami i bankami. Warto monitorować swoją historię kredytową i zachować czujność wobec nietypowych wiadomości.
Czy dane medyczne również wyciekły, czy tylko dane osobowe?
Według dostępnych informacji wyciek obejmował przede wszystkim dane identyfikacyjne, w tym numery PESEL, pochodzące głównie z danych archiwalnych sprzed 2024 roku. Pełny zakres skradzionych informacji powinny doprecyzować placówki medyczne w oficjalnych komunikatach do pacjentów.
