Cyberatak na spółkę MyDr, jednego z największych w Polsce dostawców systemów elektronicznej dokumentacji medycznej, uruchomił w połowie sierpnia 2026 roku reakcję trzech instytucji naraz: Ministerstwa Zdrowia, Urzędu Ochrony Danych Osobowych i służb podległych Ministerstwu Cyfryzacji. Skala podawana publicznie — ponad 2 terabajty danych i blisko 19 milionów osób — plasuje incydent wśród największych naruszeń w historii polskiego sektora ochrony zdrowia. 1 Poniżej rozdzielamy to, co zostało potwierdzone przez instytucje, od tego, co pozostaje szacunkiem lub deklaracją strony.

TL;DR

  • Podmiot: MyDr — dostawca platformy i systemu elektronicznej dokumentacji medycznej (EDM) dla placówek ochrony zdrowia.
  • Skala według ministra cyfryzacji: ponad 2 TB danych, potencjalnie blisko 19 mln osób. 1
  • Zasięg instytucjonalny: według doniesień medialnych przywoływanych przez UODO naruszenie może dotyczyć około 12 tysięcy podmiotów leczniczych. 2
  • Rodzaj danych: dane identyfikacyjne z numerem PESEL, dane kontaktowe oraz informacje o wizytach, receptach i leczeniu.
  • Stanowisko spółki: potwierdzony cyberatak, ale — według oświadczenia — na zasoby archiwalne, głównie z 2024 roku i wcześniejszych okresów; brak dowodów na publikację danych w sieci. 3
  • Stanowisko resortu zdrowia: centralne usługi e-zdrowia nie zostały naruszone, dostęp pacjentów do świadczeń jest zachowany. 4
  • Pierwszy ruch dla obywatela: zastrzeżenie numeru PESEL, następnie czujność wobec telefonów i wiadomości nawiązujących do leczenia. 5

Co zostało potwierdzone przez instytucje

Ministerstwo Zdrowia opublikowało komunikat 12 sierpnia 2026 roku. Resort potwierdził incydent cyberbezpieczeństwa w firmie MyDr i zaznaczył, że sprawa jest monitorowana przez służby i instytucje państwa, a działania koordynuje Centrum e-Zdrowia. Komunikat nie wymienia kategorii danych ani liczby osób — zawiera natomiast zapewnienie, że centralne usługi e-zdrowia nie zostały naruszone, a pacjenci zachowują dostęp do świadczeń. 4

Dzień później, 13 sierpnia, Prezes UODO poinformował o kontroli w spółce MyDr. Urząd sprawdzi zastosowane środki techniczne i organizacyjne, w tym analizę ryzyka: czy uwzględniała realne zagrożenia, czy została wdrożona i czy zabezpieczenia były regularnie testowane wobec zmieniających się warunków. W tym samym komunikacie UODO wskazuje, że według doniesień medialnych naruszenie może dotyczyć około 12 tysięcy podmiotów leczniczych. 2

Rozróżnienie ról jest tu kluczowe dla pacjenta. MyDr występuje jako podmiot przetwarzający, natomiast administratorami danych pozostają poszczególne placówki medyczne. To one — nie dostawca oprogramowania — mają obowiązek zgłosić naruszenie i zawiadomić pacjentów, jeżeli występuje wysokie ryzyko naruszenia ich praw. 6 Praktyczna konsekwencja jest taka, że powiadomienia będą spływać nierównomiernie: część przychodni wyśle je szybko, część z opóźnieniem, a część może ich w ogóle nie wysłać.

Czego nie potwierdzono

Liczba 19 milionów osób i wolumen ponad 2 TB pochodzą z wypowiedzi wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego, który mówił także o tym, że służby ustalają grupę odpowiedzialną za kradzież danych. 1 Nie jest to jednak wynik zakończonej analizy powłamaniowej, lecz wstępny szacunek zasięgu bazy. Ostateczna liczba osób objętych incydentem może się różnić po zakończeniu prac.

Spółka MyDr w swoim oświadczeniu potwierdziła cyberatak, ale zawęziła jego zakres do zasobów archiwalnych, głównie z 2024 roku i wcześniejszych. Zadeklarowała również, że jej systemy pozostają bezpieczne i operacyjne, a do momentu publikacji oświadczenia nie stwierdzono dowodów ujawnienia danych w internecie. 3 Deklaracja o braku dowodów publikacji nie jest równoznaczna z tym, że dane nie zostały wykradzione — oznacza tyle, że nie odnaleziono ich w monitorowanych miejscach.

Nieznana pozostaje także droga wejścia atakującego oraz to, czy incydent miał charakter kradzieży danych z żądaniem okupu. Do czasu publikacji ustaleń przez UODO lub służby każde twierdzenie o mechanizmie ataku jest spekulacją.

Dlaczego wyciek danych medycznych jest trwalszy niż wyciek hasła

Hasło można zmienić w minutę. Numeru PESEL, historii recept ani rozpoznań zmienić się nie da — to dane, które opisują osobę na stałe. Dlatego skutki tego typu naruszenia rozkładają się na lata, a nie tygodnie.

Ryzykiem numer jeden jest phishing o wysokiej wiarygodności. Osoba dzwoniąca lub pisząca, która zna imię, nazwisko, PESEL, nazwę przychodni i przyjmowany lek, brzmi jak pracownik placówki, a nie jak oszust. Klasyczne odruchy obronne — nieufność wobec obcego, który nic o nas nie wie — w takim scenariuszu zawodzą.

Drugie ryzyko to nadużycie tożsamości: kredyty, zakupy na raty, duplikat karty SIM. Tutaj skutecznym narzędziem pozostaje zastrzeżenie numeru PESEL, ponieważ zobowiązanie zaciągnięte na zastrzeżony numer nie wiąże osoby, której dane wykorzystano. 5

Trzecie ryzyko ma charakter społeczny i jest najtrudniejsze do odwrócenia: informacja o leczeniu ujawniona pracodawcy, ubezpieczycielowi lub otoczeniu. Tego skutku nie da się cofnąć żadnym zastrzeżeniem.

Co zrobić w 24-48 godzin

  1. Zastrzeż numer PESEL. Aplikacja mObywatel, bankowość elektroniczna lub urząd gminy. Zalecenie pojawia się zarówno w komunikacie UODO, jak i resortu zdrowia. 5 4
  2. Załóż, że rozmówca może znać Twoją historię leczenia. Placówka medyczna, NFZ ani bank nie proszą przez telefon o kod z SMS-a, hasło ani o instalację aplikacji do „weryfikacji”. Rozłącz się i oddzwoń na numer z oficjalnej strony placówki.
  3. Zmień powtórzone hasła i włącz uwierzytelnianie dwuskładnikowe. Resort zdrowia rekomenduje silne, unikalne hasła do każdej usługi oraz MFA (uwierzytelnianie wieloskładnikowe). 4
  4. Zapytaj swoją przychodnię wprost. Czy korzysta z systemu MyDr, czy zgłosiła naruszenie i czy planuje zawiadomienie pacjentów. Obowiązek informacyjny leży po stronie placówki. 6
  5. Monitoruj aktywność finansową. Nietypowe zapytania kredytowe, wnioski o duplikat SIM, nieznane rachunki — reaguj natychmiast, jeżeli się pojawią.

Jeśli placówka nie odpowiada na żądania lub nie zawiadamia o naruszeniu mimo ryzyka, przysługuje skarga do Prezesa UODO. 5

Dla podmiotów leczniczych

Placówki korzystające z systemu MyDr występują w tym incydencie jako administratorzy danych. Rekomendowane podejście obejmuje: ustalenie z dostawcą zakresu danych objętych naruszeniem, ocenę ryzyka dla praw i wolności pacjentów, zgłoszenie naruszenia organowi nadzorczemu w wymaganym terminie oraz — przy wysokim ryzyku — zawiadomienie pacjentów. Warto również przygotować zespół rejestracji na falę telefonów od zaniepokojonych osób i na próby podszywania się pod pacjentów w celu wyłudzenia dodatkowych danych.

Incydenty należy zgłaszać do CSIRT NASK (dawniej CERT Polska), a naruszenia ochrony danych osobowych — do UODO. Kontrola zapowiedziana przez urząd dotyczy dostawcy, ale nie zwalnia administratorów z ich własnych obowiązków. 2 6

Źródła

Zobacz też

Przypisy

  1. Wicepremier i minister cyfryzacji o skali incydentu: ponad 2 TB danych, blisko 19 mln osób; służby ustalają sprawców. — pap.pl › cyberatak na firme mydr gawkowski sluzby sa juz… ↩ ↩2 ↩3

  2. Komunikat UODO z 13 sierpnia 2026 r. o kontroli w spółce MyDr i zakresie badanych zabezpieczeń. — uodo.gov.pl ↩ ↩2 ↩3

  3. Oświadczenie spółki MyDr potwierdzające cyberatak i wskazujące na archiwalny charakter zasobów. — cyfrowa.rp.pl › art44987801 mydr potwierdza cyberatak dane nawet… ↩ ↩2

  4. Komunikat Ministerstwa Zdrowia z 12 sierpnia 2026 r.: koordynacja Centrum e-Zdrowia, brak naruszenia centralnych usług e-zdrowia, zalecenia dla obywateli. — gov.pl › informacja w zwiazku z incydentem dotyczacym fir… ↩ ↩2 ↩3 ↩4

  5. Zalecenia UODO dla osób dotkniętych wyciekiem, w tym zastrzeżenie numeru PESEL i prawo skargi. — uodo.gov.pl ↩ ↩2 ↩3 ↩4

  6. Obowiązki administratora przy naruszeniu, do którego doszło u podmiotu przetwarzającego. — uodo.gov.pl ↩ ↩2 ↩3