Po potwierdzeniu ataku na firmę MyDr część placówek, w tym lecznica Larmed w Krakowie, rozesłała do pacjentów wiadomości e-mail i SMS z informacją o naruszeniu ochrony danych. Ministerstwo Cyfryzacji wskazało, że incydent ujawniono w połowie sierpnia 2026 r., a jego zakres może obejmować blisko 19 mln osób. Placówki lokalne informują, że zespoły zabezpieczające zablokowały dostęp do dotkniętych systemów i prowadzą analizy śledcze.
Jakiego rodzaju dane mogły wyciec?
Ustalono, że przejęte pliki zajmują około 2 TB i pochodzą głównie z lat wcześniejszych, w tym z 2024 roku. Zbiór może zawierać imiona i nazwiska, numery PESEL, dane kontaktowe oraz informacje związane z receptami, przepisanymi lekami i przebiegiem wizyt. Nie wszystkie rekordy muszą zawierać pełen zestaw danych — część wpisów ma charakter archiwalny.
Czy systemy publiczne zostały naruszone?
Centrum e-Zdrowia oświadczyło, że incydent dotyczy dostawcy komercyjnego i nie objął centralnych usług e-zdrowia. System P1, obsługujący e-recepty, e-skierowania i Internetowe Konto Pacjenta, pozostaje nienaruszony. Jednocześnie instytucja zwiększyła monitoring i utrzymuje podwyższony poziom gotowości.
Jakie działania prowadzą organy i operatorzy?
Sprawę badają służby państwowe, w tym Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem prokuratury, a Urząd Ochrony Danych Osobowych analizuje zabezpieczenia MyDr. Firma deklaruje współpracę z ekspertami od cyberbezpieczeństwa i obserwację dark webu w poszukiwaniu śladów udostępnienia danych. MyDr zapowiada też kontakt z klientami, których systemy zostały dotknięte.
Co robią placówki w Krakowie i jakie obowiązki mają lekarze?
Jedna z krakowskich placówek poinformowała pacjentów o „naruszeniu poufności” i o działaniach naprawczych; jednocześnie placówka podała, że nie ma dowodów na publiczne udostępnienie danych. Okręgowa Izba Lekarska w Krakowie przypomina, że podmioty lecznicze pełnią rolę administratora danych, więc muszą przeprowadzić ocenę ryzyka i, jeśli zajdzie taka konieczność, zgłosić naruszenie do Prezesa UODO oraz powiadomić osoby, których dotyczy incydent. Izba udostępniła praktyczne wskazówki i wzory pism dla lekarzy pełniących funkcję administratorów.
Jakie kroki są przewidziane dla pacjentów?
Rząd uruchomił serwis bezpiecznedane.gov.pl, na którym po przekazaniu przez podmioty medyczne będzie można sprawdzić, czy dany numer PESEL znalazł się w ujawnionych zasobach. Można też zastrzec numer PESEL w aplikacji mObywatel, na stronie Gov.pl, osobiście w urzędzie gminy lub w placówce banku. Eksperci rekomendują stosowanie mocnych i unikalnych haseł, włączenie uwierzytelniania wieloskładnikowego oraz zachowanie ostrożności wobec podejrzanych wiadomości e-mail i SMS.
Postępowanie wyjaśniające prowadzą organy państwowe; na obecnym etapie nie ma potwierdzenia, że dane zostały upublicznione.
