Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził 12 sierpnia 2026 roku, że w wyniku cyberataku na firmę MyDr wyciekły dane blisko 19 milionów Polaków. Wykradziona baza liczy ponad 2 TB i zawiera m.in. numery PESEL, dane medyczne oraz informacje o receptach. To jeden z największych incydentów tego typu w historii Polski. Rząd uruchomił procedury kryzysowe, a obywatele mogą zastrzec swój PESEL w aplikacji mObywatel.
Co potwierdził rząd
12 sierpnia o godzinie 12:00 zebrało się Połączone Centrum Operacji Cyberbezpieczeństwa (PCOC). Po posiedzeniu Gawkowski poinformował na konferencji prasowej, że skala wycieku jest znacznie większa, niż początkowo zakładano.
„Z przykrością muszę poinformować, że doszło do nadzwyczajnego wycieku danych, sięgającego blisko 19 milionów obywateli Polski, które w różnych kategoriach korzystały z wsparcia medycznego” – powiedział wicepremier, cytowany przez PAP. Dodał, że „mamy do czynienia z jednym z największych incydentów w historii Polski”.
Według ministra wykradziona baza ma ponad 2 terabajty i obejmuje 19 milionów rekordów powiązanych z danymi pacjentów. W systemie MyDr znajdują się informacje o receptach, umawianych wizytach, zapisywanych lekach oraz dokumentach przedstawianych lekarzom. Gawkowski określił to jako „duży pakiet danych wrażliwych”.
Minister zaznaczył, że na obecnym etapie nic nie wskazuje na atak zewnętrzny ani na działania innego państwa. Systemy MyDr zostały zablokowane i – według zapewnień rządu – mają już działać bezpiecznie. Nad sprawą pracują Centralne Biuro Zwalczania Cyberprzestępczości oraz prokuratura.
Jak odkryto wyciek
Pierwsze informacje o możliwym włamaniu pojawiły się 10 sierpnia na portalu Zaufana Trzecia Strona. Do redakcji zgłosiły się osoby podające się za sprawców ataku, które twierdziły, że posiadają 18 814 422 unikatowe numery PESEL wraz z imionami, nazwiskami, datami urodzenia i numerami telefonów.
Dziennikarze Zaufanej Trzeciej Strony przeprowadzili częściową weryfikację. Poprosili włamywaczy o sprawdzenie numerów PESEL czterech ochotników z branży. Dla dwóch z nich otrzymano rekordy z wykradzionej bazy. Łącznie z PESEL-em autora artykułu, trzy z pięciu sprawdzonych numerów miały swoje odpowiedniki w skradzionych danych.
„W takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie” – napisał Adam Haertlé, redaktor Zaufanej Trzeciej Strony, zastrzegając jednocześnie, że możliwości weryfikacji twierdzeń cyberprzestępców są ograniczone.
Sprawcy mieli uzyskać dostęp do infrastruktury firmy przez podatność typu XXE przy obsłudze certyfikatów PKCS#12, co pozwoliło im poznać klucz API do GitHuba, a stamtąd – kod źródłowy serwisu i dostęp do infrastruktury na AWS. Zaufana Trzecia Strona nie była w stanie niezależnie potwierdzić tego scenariusza.
Co wyciekło i kogo dotyczy
MyDr to jeden z największych polskich dostawców systemu Elektronicznej Dokumentacji Medycznej. Platforma obsługuje około 3 milionów wizyt miesięcznie i wystawia 2,7 miliona recept miesięcznie. Korzysta z niej około 12 tysięcy placówek ochrony zdrowia – przychodni, gabinetów lekarskich i punktów medycznych w całym kraju.
Według informacji przekazanych przez Gawkowskiego skradzione zasoby obejmują dane wrażliwe: numery PESEL, imiona, nazwiska, numery telefonów oraz informacje medyczne. Minister nie chciał przesądzać, czy dane pacjentów były nieodpowiednio zabezpieczone. Wymienił możliwe przyczyny: błąd ludzki, błąd systemu, akt sabotażu lub niedopatrzenie firmy.
Placówki ochrony zdrowia korzystające z MyDr działają normalnie. Rozpoczęła się procedura informowania wszystkich lekarzy i podmiotów, które korzystały z tego systemu.
Co zrobić, jeśli Twoje dane mogły wyciec
Gawkowski wskazał pierwszy krok dla osób, które znajdą się na liście poszkodowanych: zastrzeżenie numeru PESEL. „To jest pierwsza, podstawowa, elementarna higiena cyfrowa. Zastrzeżenie numeru PESEL dzisiaj w mObywatelu trwa pięć sekund” – powiedział minister. PESEL można zastrzec także w urzędzie gminy.
Rząd zapowiedział udostępnienie informacji o wykradzionych danych w serwisie bezpiecznedane.gov.pl, który agreguje wycieki danych Polek i Polaków. Na razie nie wiadomo dokładnie, kiedy baza zostanie zaktualizowana o dane z MyDr.
Beniamin Szczepankiewicz, analityk zagrożeń z firmy ESET, ostrzegł, że po dużych wyciekach szczególnie niebezpieczna jest ich druga fala: phishing, próby przejęcia kont i wyłudzenia pieniędzy. Wiadomość o konieczności potwierdzenia wizyty, dopłacie do badania czy aktualizacji danych może wyglądać znacznie bardziej przekonująco, jeśli zawiera prawdziwe informacje o odbiorcy.
Problem prawny: kto musi powiadomić pacjentów
Wyciek z MyDr ujawnia istotny problem wynikający z konstrukcji RODO. MyDr jest jedynie „podmiotem przetwarzającym” – administratorem danych są poszczególne placówki ochrony zdrowia, których jest około 12 tysięcy. Z prawnego punktu widzenia firma nie może samodzielnie przekazać listy poszkodowanych na przykład zespołowi CERT Polska.
Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski przypomniał, że obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach korzystających z usług MyDr. Zgodnie z art. 33 ust. 1 RODO administrator musi zgłosić naruszenie organowi nadzorczemu w ciągu 72 godzin. Jeśli naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, zgodnie z art. 34 RODO administrator musi bez zbędnej zwłoki zawiadomić o tym również samych pacjentów.
W praktyce oznacza to, że informacja o wycieku będzie docierać do pacjentów za pośrednictwem ich przychodni i gabinetów – a to może zająć wiele dni.
Śledztwo i stanowisko rządu
Gawkowski zapewnił, że pozostaje w stałym kontakcie z ministrem koordynatorem służb specjalnych Tomaszem Siemoniakiem, minister zdrowia Jolantą Sobierańską-Grendą oraz prezesem UODO. Sprawę operacyjnie prowadzą CBZC i prokuratura.
Minister nie chciał ujawnić kwoty, jakiej zażądali sprawcy za zwrot skradzionej bazy. Podkreślił jednak stanowczo: „Tu nikt nie będzie z nikim dyskutował. Nikt nie podda się też żadnym szantażom”.
Zaufana Trzecia Strona zwróciła uwagę na nietypowy profil sprawców. Komunikują się po angielsku, ale ich język brzmi jak tekst przepuszczony przez model AI z instrukcją stylizacji na osobę słabo znającą angielski. W wiadomościach pojawiają się też elementy rosyjskiej interpunkcji emotikonowej. Portal ocenił to jako próbę sprowadzenia śledztwa na fałszywe tropy.
