W wyniku cyberataku na systemy firmy MyDr doszło do wycieku danych medycznych niemal 19 milionów pacjentów z ponad 12 tysięcy placówek w Polsce. Eksperci ostrzegają, że wykradzione informacje, obejmujące historię leczenia do kwietnia 2024 roku, mogą zostać wykorzystane do precyzyjnych oszustw finansowych i szantaży.
W sierpniu 2026 roku doszło do jednego z największych incydentów cyberbezpieczeństwa w historii polskiej służby zdrowia. Nieuprawniony dostęp do systemów firmy MyDr, dostawcy oprogramowania dla placówek medycznych, objął dane historyczne 18,8 miliona osób. Wykradzione informacje dotyczą ponad 12 tysięcy przychodni, poradni i indywidualnych praktyk lekarskich, które korzystały z tego oprogramowania.
W ręce cyberprzestępców trafiły wyjątkowo wrażliwe dane, w tym dokumentacja medyczna, historie wizyt, a także informacje o wystawionych receptach i skierowaniach do kwietnia 2024 roku. Jak ostrzegał 11 września na antenie Radia Super FM ekspert ds. cyberbezpieczeństwa Rafał Jaworski, tak szczegółowa wiedza o stanie zdrowia pacjentów stwarza ogromne pole do nadużyć.
Cyberprzestępcy mogą wykorzystać wykradzione informacje, aby uwiarygodnić swoje działania i oszukać pacjentów. Ekspert opisał jeden z najbardziej prawdopodobnych scenariuszy, który polega na wyłudzeniu pieniędzy pod pretekstem konieczności uregulowania płatności za usługi medyczne.
Przykładowo, jakaś osoba twierdzi, że dzwoni do nas z przychodni – a zna informacje na temat tego, że mieliśmy tam wizyty – i wskazuje, że niezbędna jest na przykład dopłata. Myślimy, że dopłacamy, a tak naprawdę dodajemy zaufanego odbiorcę do konta i nim się zorientujemy, to tak naprawdę cyberprzestępcy są w stanie wyczyścić, kolokwialnie mówiąc, nasz rachunek.
Innym poważnym zagrożeniem jest szantaż. Przestępcy, posiadając wiedzę o tym, do jakich specjalistów uczęszcza dana osoba, mogą grozić ujawnieniem tych informacji w jej miejscu pracy lub otoczeniu w celu wyłudzenia okupu. To pokazuje, jak kluczowe staje się ograniczone zaufanie do nieoczekiwanych telefonów i wiadomości z prośbą o płatność, nawet jeśli rozmówca dysponuje naszymi danymi.
W odpowiedzi na kryzys, rząd podjął działania w koordynacji z ministrem koordynatorem służb specjalnych. Ministerstwo Cyfryzacji zapowiedziało pilne zmiany w prawie, które mają uszczelnić system ochrony danych medycznych. Nowe regulacje mają na celu objęcie firm masowo przetwarzających takie dane, jak MyDr, dodatkowymi obowiązkami i większą odpowiedzialnością za ich bezpieczeństwo.
Do tej pory główna odpowiedzialność prawna spoczywała na administratorach danych, czyli bezpośrednio na placówkach medycznych. Po wycieku tysiącom przychodni i gabinetów grożą potencjalne odszkodowania dla pacjentów i wysokie kary finansowe. Planowane zmiany mają przenieść część tej odpowiedzialności na dużych dostawców oprogramowania, aby ograniczyć ryzyko podobnych incydentów w przyszłości.
Andrzej Kutys, „Cyberbezpieczeństwo w Rozmowie Radia Super FM”, Super FM, 2026. https://super.fm/wiadomosci/8938/cyberbezpieczenstwo-w-rozmowie-radia-super-fm
„Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa”, Gov.pl, 2026. https://www.gov.pl/web/cyfryzacja/komunikat-po-spotkaniu-polaczonego-centrum-operacyjnego-cyberbezpieczenstwa
„Będą zmiany w prawie po wycieku danych 19 mln Polaków. Nowe obowiązki i państwowy nadzór”, Rzeczpospolita, 2026. https://www.rp.pl/dane-osobowe/art45056531-beda-zmiany-w-prawie-po-wycieku-danych-19-mln-polakow-nowe-obowiazki-i-panstwowy-nadzor
„Wyciek danych medycznych 19 mln Polaków. Kary grożą tysiącom przychodni”, Rzeczpospolita, 2026. https://www.rp.pl/dane-osobowe/art44987521-wyciek-danych-medycznych-19-mln-polakow-kary-groza-tysiacom-przychodni
„Będą nowe zasady ochrony danych medycznych. Pomoc ma cyberpiątka”, wnp.pl, 2026. https://www.wnp.pl/tech/beda-nowe-zasady-ochrony-danych-medycznych-pomoc-ma-cyberpiatka,1094510.html
