Wyciek danych w systemach firmy MyDr: co już wiemy oraz o czym warto pamiętać?

• Wyciek danych firmy MyDr
• Co dalej?
• Co to wszystko oznacza dla przeciętnego obywatela?
• Dostęp do 18 814 422 unikalnych numerów PESEL
• Zastrzeżenie numeru PESEL
• Ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących kwestii zdrowia

Wyciek danych firmy MyDr

Firma specjalizuje się w usługach informatyczno-technologicznych dla lekarzy i placówek medycznych, oferuje im m.in. system MyDr EDM, który służy m.in. do prowadzenia elektronicznej dokumentacji medycznej, zarządzania wizytami i danymi pacjentów oraz wystawiania e-recept i e-skierowań. System był również zintegrowany z rozwiązaniami państwowego systemu e-zdrowia.

Po cyberataku z systemów firmy skradziono bazę danych o wielkości ponad 2 TB. Wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał 12 sierpnia 2026 r., że mówimy o wycieku danych dotyczących blisko 19 mln osób. Z kolei 13 sierpnia firma MyDR poinformowała, że "Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji" Firma MyDr potwierdziła, że padła celem celowego działania przestępczego. Przekazała, że incydent objął część danych, najpewniej z 2024 roku i lat wcześniejszych.

Spółka potwierdziła, że systemy firmy "są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy", a "partnerzy zajmujący się cyberbezpieczeństwem aktywnie monitorują dark web i potwierdzili, że na moment publikacji nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie".

Co dalej?

MyDr zaznaczyło, że klienci nie muszą obecnie podejmować żadnych działań. Firma ma skontaktować się z podmiotami objętymi incydentem, gdy ustali, których placówek i jakich danych dotyczy sprawa. Zapowiedziała również pomoc w dokonaniu zgłoszeń odpowiednim organom ochrony danych osobowych oraz w komunikacji z pacjentami, jeżeli okaże się to konieczne. Ponieważ dochodzenie jest wciąż w toku, na tym etapie nie możemy udostępnić dalszych szczegółów technicznych ani spekulować na temat kolejnych ustaleń - zaznaczono w komunikacie.

Spółka przeprosiła również za niepokój, który mógł wywołać incydent. Na chwilę obecną wiele wskazuje na to, że sprawcy kierowali się motywacją kryminalną, a ich celem mogła być próba wymuszenia okupu od firmy. Sprawą zajmują się m.in. Centralne Biuro Zwalczania Cyberprzestępczości, prokuratura, Ministerstwo Cyfryzacji, Ministerstwo Zdrowia oraz Urząd Ochrony Danych Osobowych.

Co to wszystko oznacza dla przeciętnego obywatela?

Dla pacjenta najważniejsze jest to, że ze swojej perspektywy właściwie nie widzi on, że dana placówka korzysta z usług MyDr. Jeżeli przychodnia lub gabinet używa tego oprogramowania, lekarz może prowadzić w nim dokumentację pacjenta, obsługiwać wizytę czy wystawiać receptę - podczas gdy pacjent ma kontakt wyłącznie z konkretną placówką.

Taki model działalności wyjaśnia, dlaczego atak na jedną firmę może mieć konsekwencje dla milionów osób. Faktem jest, że cyberprzestępcy nie musieli włamywać się osobno do tysięcy gabinetów. Uzyskanie dostępu do infrastruktury dostawcy obsługującego tak wiele podmiotów dawało potencjalnie dostęp do danych pochodzących z całego ekosystemu jego klientów. Nawet jeśli wyciek dotyczył danych historycznych, czyli jak poinformowała firma MyDr pochodzących z 2024 r. oraz lat wcześniejszych to warto zastrzec swój numer PESEL.

Zakres danych osobowych jest bardzo szeroki, wśród przejętych informacji znalazły się numery PESEL, dane osobowe oraz informacje związane z wizytami i receptami. Skala incydentu jest szczególnie duża właśnie dlatego, że MyDr dostarcza oprogramowanie tysiącom placówek medycznych.

Dostęp do 18 814 422 unikalnych numerów PESEL

Osoby podające się za sprawców twierdzą, że uzyskały dostęp do 18 814 422 unikalnych numerów PESEL, w przekazanej próbce znajdowały się m.in. imię i nazwisko, data urodzenia, PESEL, dwa numery telefonu, region NFZ oraz informacje o receptach. Część tych danych została niezależnie zweryfikowana jako prawdziwa.

Zastrzeżenie numeru PESEL

Najważniejszym krokiem jest teraz zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, w serwisie mObywatel lub w urzędzie miasta czy gminy.

Warto jednak mieć świadomość, że zastrzeżenie utrudnia wykorzystanie numeru PESEL m.in. do zaciągnięcia kredytu lub pożyczki czy dokonania innych czynności, przy których instytucja ma obowiązek sprawdzić status numeru w rejestrze zastrzeżeń. Trzeba pamiętać, że jeśli mamy zastrzeżony numer PESEL a chcemy np. otworzyć konto bankowe, zaciągnąć kredyt, czy choćby sprawdzić nasza zdolność kredytową to najpierw musimy odblokować zastrzeżenie np. w aplikacji mObywatel, w serwisie mObywatel lub w urzędzie miast czy gminy. Odblokowanie działa od razu po kliknięciu w systemie. Natomiast aby ponownie zablokować PESEL trzeba odczekać 30 minut od momentu, gdy cofnięto zastrzeżenie.

Ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących kwestii zdrowia

Pamiętajcie również aby zachować szczególną ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących kwestii zdrowia. Dane z wycieku mogą pozwolić oszustom przygotować znacznie bardziej wiarygodny phishing. Znajomość numeru PESEL, nazwiska, numeru telefonu, placówki medycznej czy informacji o recepcie nie jest dowodem, że osoba kontaktująca się z nami rzeczywiście reprezentuje przychodnię lub inną instytucję, tutaj musimy zachować szczególną ostrożność gdyby ktoś np. miał niekompletne nasze dane i chciał je uzupełnić chociażby o numer PESEL.

Rząd przygotowuje również możliwość sprawdzenia swoich danych w serwisie Bezpieczne Dane. Ministerstwo Cyfryzacji zapowiedziało, że po identyfikacji danych poszczególnych osób będą one sukcesywnie przekazywane do serwisu, gdzie obywatele będą mogli sprawdzić, czy incydent ich dotyczy. Proces może potrwać kilka dni, ponieważ administratorami danych są poszczególne gabinety i placówki ochrony zdrowia. Nawet jeśli po sprawdzeniu okaże się, że nasze dane nie wyciekły, warto zastrzec numer PESEL dla własnego bezpieczeństwa.