Kolejny gigantyczny wyciek danych. choćby 5 mln Polaków zagrożonych. Sprawą zajmuje się UODO i CBZC

To kolejny ogromny incydent dotyczący danych pacjentów, ale tym razem nie chodzi o MyDr. Urząd Ochrony Danych Osobowych poinformował 25 września, iż nowy cyberatak na system Medyc firmy Qbusoft może obejmować dane choćby 5 mln Polaków. Skalę zdarzenia przez cały czas ustalają służby, sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości, a prezes UODO Mirosław Wróblewski zapowiedział kontrolę firmy odpowiedzialnej za oprogramowanie. Pierwsze placówki medyczne zaczęły już informować swoich pacjentów. Jest wśród nich także klinika z Warszawy.

Fot. Shutterstock

UODO mówi o choćby 5 mln osób. Ta liczba nie została jeszcze ostatecznie potwierdzona

Komunikat UODO jest bardzo mocny, ale zawiera ważne zastrzeżenie. Urząd pisze o pojawiających się informacjach, według których incydent może obejmować dane medyczne choćby 5 mln Polaków. Nie oznacza to jeszcze, iż służby oficjalnie potwierdziły wyciek kompletnej dokumentacji dokładnie takiej liczby osób. Trwa ustalanie rzeczywistego zakresu zdarzenia. Pewne jest natomiast, iż doszło do ataku na oprogramowanie Medyc firmy Qbusoft, z którego korzystają placówki medyczne do obsługi pacjentów i elektronicznej dokumentacji medycznej. Sam producent przedstawia system jako narzędzie używane przez ponad 8 tys. specjalistów, obsługujące ponad 10 tys. wizyt każdego dnia.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, iż CBZC prowadzi działania dotyczące incydentu w ramach szerszego śledztwa. Zwrócił również uwagę na kwestie związane ze zgłoszeniem zdarzenia. Według informacji przytoczonej 25 września przez UODO firma Qbusoft nie zgłosiła wcześniej incydentu do CERT Polska ani CSIRT Centrum e-Zdrowia. Minister zapowiedział, iż jeżeli zostanie stwierdzone naruszenie procedur bezpieczeństwa, zostaną wyciągnięte konsekwencje. Prezes UODO zdecydował natomiast o przeprowadzeniu kontroli Qbusoft.

Pacjenci z Warszawy już dostają ostrzeżenia. Klinika przy Narbutta potwierdziła naruszenie

Sprawa nie jest odległym incydentem dotyczącym bliżej nieokreślonych placówek gdzieś w Polsce. PODOS Klinika Leczenia Ran przy ul. Narbutta 46/48 w Warszawie opublikowała 25 września zawiadomienie skierowane do swoich pacjentów. Placówka poinformowała wprost, iż Qbusoft, będący jej podmiotem przetwarzającym dane, padł ofiarą cyberataku i doszło do naruszenia poufności danych osobowych. Według informacji przekazanych klinice przez Medyc osoba atakująca uzyskała nieuprawniony dostęp do danych w systemie EDM i przez około 4 godziny miała możliwość działania w środowisku systemowym.

Warszawska klinika podaje, iż atakujący skopiował przechowywaną w chmurze bazę danych pacjentów. Co szczególnie istotne, placówka nie jest w stanie wykluczyć skopiowania również dokumentacji medycznej. W zakresie danych objętych incydentem mogły znajdować się imię, nazwisko, adres zamieszkania, numer telefonu, adres e-mail, numer PESEL oraz dane dotyczące zdrowia. W przypadku osób upoważnionych do dokumentacji pacjenta zakres mógł obejmować także imię i nazwisko, PESEL lub datę urodzenia oraz informację o relacji z pacjentem.

Atakujący wykorzystał podatność SQL injection. Włamanie wykryto ponad 2 tygodnie później

Więcej informacji o technicznej stronie ataku ujawnił Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, który również korzystał z systemu Medyc. Z komunikatu placówki, opartego na ustaleniach Qbusoft i ekspertów prowadzących analizę śledczą, wynika, iż osoba nieuprawniona zaatakowała system w dniach 22-23 sierpnia 2026 roku. Wykorzystana została podatność typu SQL injection, czyli błąd pozwalający poprzez odpowiednio przygotowane zapytania ingerować w komunikację aplikacji z bazą danych. Atak doprowadził do wytransferowania archiwum bazy poza środowisko dostawcy.

Sam incydent został wykryty dopiero w nocy z 8 na 9 września. W przypadku pacjentów placówki w Inowrocławiu jednoznacznie potwierdzono pobranie imion i nazwisk, numerów PESEL, adresów zamieszkania lub pobytu, numerów telefonów oraz adresów e-mail. Część danych była przechowywana w formie zaszyfrowanej, ale dostawca systemu nakazał przyjąć scenariusz, iż ze względu na sposób zastosowania zabezpieczeń atakujący mogli je stosunkowo łatwo odszyfrować i uzyskać informacje w postaci jawnej.

Dokumentacja medyczna również mogła zostać przejęta

Jeszcze poważniejsza jest kwestia informacji o stanie zdrowia. Placówka w Inowrocławiu poinformowała, iż analiza wykazała uruchomienie skryptów skierowanych do tabel zawierających dane medyczne. Według przekazanego jej stanowiska dostawcy jest bardzo prawdopodobne, iż sprawcy pozyskali również dokumentację medyczną, w przypadku tego ośrodka między innymi karty informacyjne leczenia szpitalnego. Warszawski PODOS również ostrzega swoich pacjentów, iż skopiowania dokumentacji medycznej nie można jednoznacznie wykluczyć.

To właśnie odróżnia tego rodzaju incydent od zwykłego wycieku adresów e-mail z internetowego sklepu. Informacja o diagnozie, przebytym leczeniu, specjalizacji lekarza, przyjmowanych lekach czy korzystaniu z konkretnej poradni może ujawniać bardzo prywatne szczegóły życia człowieka. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych chronionych przez RODO. Raz ujawnione nie mogą zostać zmienione tak jak hasło do konta. Człowiek może zastrzec PESEL, zmienić numer telefonu czy adres e-mail, ale nie zmieni swojej historii leczenia.

W ciągu kilku tygodni doszło do kolejnego poważnego incydentu

Nowej sprawy nie należy mylić z głośnym sierpniowym atakiem na MyDr. To 2 różne firmy i 2 odrębne systemy wykorzystywane przez polską ochronę zdrowia. W przypadku MyDr informacje mówiły o danych choćby 19 mln Polaków i około 12 tys. podmiotów medycznych. Do 17 września do UODO wpłynęło już ponad 50 skarg i sygnałów dotyczących tamtego zdarzenia oraz ponad 2 tys. zawiadomień składanych przez administratorów danych.

Skala kolejnych incydentów spowodowała, iż UODO nie zamierza ograniczać się do kontroli 2 dostawców oprogramowania. Już 16 września prezes urzędu zdecydował o przeprowadzeniu do końca 2026 roku dodatkowych kontroli w sektorze ochrony zdrowia. Urząd chce sprawdzać między innymi stosowane zabezpieczenia oraz sposób, w jaki placówki i podmioty przetwarzające analizują ryzyko związane z przechowywaniem danych pacjentów. Kontrole zaplanowane wcześniej w innych sektorach zostały z tego powodu przesunięte na 2027 rok.

Możesz choćby nie wiedzieć, iż twoja przychodnia korzystała z Medyc

To jedna z najtrudniejszych rzeczy z punktu widzenia pacjenta. Medyc nie jest aplikacją, którą każdy musi samodzielnie instalować i zakładać w niej konto. To system wykorzystywany przez gabinety, poradnie i kliniki do prowadzenia rejestracji, historii wizyt oraz elektronicznej dokumentacji. Pacjent może więc od lat chodzić do lekarza i nie znać nazwy programu, w którym placówka przechowywała jego dane. Dopiero zawiadomienie od administratora może ujawnić, iż informacje były przetwarzane właśnie przez Qbusoft.

Nie ma też podstaw, żeby na obecnym etapie zakładać, iż każdy pacjent dowolnej placówki korzystającej z Medyc stracił pełną dokumentację medyczną. Zakres trzeba ustalać dla konkretnych administratorów oraz konkretnych zbiorów. UODO mówi o możliwej skali sięgającej 5 mln osób, natomiast placówki publikujące zawiadomienia opisują dane, których naruszenie zostało stwierdzone lub którego nie są w stanie wykluczyć. Dlatego najważniejsze będą kolejne komunikaty klinik i przychodni oraz wyniki działań CBZC i kontroli UODO.

PESEL znalazł się wśród danych objętych incydentem. To zwiększa ryzyko prób wyłudzeń

Szczególnie istotny jest numer PESEL. Warszawska klinika PODOS w swoim zawiadomieniu wymienia możliwe konsekwencje wykorzystania ujawnionych informacji: próby wyłudzenia pożyczki, zawarcia umów z wykorzystaniem cudzej tożsamości, uzyskania dostępu do informacji o stanie zdrowia czy prowadzenia skuteczniejszych kampanii phishingowych. jeżeli oszust zna jednocześnie imię i nazwisko, PESEL, numer telefonu, adres oraz dodatkowo wie, z jakiej placówki medycznej korzystała dana osoba, znacznie łatwiej przygotować wiarygodną wiadomość lub rozmowę telefoniczną.

Szczególną ostrożność trzeba więc zachować wobec telefonów i wiadomości, których nadawca powołuje się na wizytę lekarską, badanie, refundację, receptę albo rzekomą konieczność ponownego potwierdzenia danych. Sam fakt, iż rozmówca zna PESEL, nazwisko lekarza lub szczegół dotyczący leczenia, nie jest dowodem, iż rzeczywiście dzwoni z przychodni. Przy tak wrażliwym wycieku właśnie wiedza o pacjencie może zostać wykorzystana do uwiarygodnienia oszustwa.

Zastrzeżenie PESEL nie blokuje wizyty u lekarza ani realizacji recepty

Najprostszym zabezpieczeniem przed wykorzystaniem ujawnionego numeru do wyłudzeń finansowych jest jego zastrzeżenie. Ministerstwo Cyfryzacji zaleca, aby PESEL był domyślnie zastrzeżony i był czasowo odblokowywany tylko wtedy, gdy rzeczywiście jest to potrzebne. Można to zrobić bezpłatnie w aplikacji mObywatel, w serwisie internetowym mObywatel lub w urzędzie gminy. Instytucje finansowe mają obowiązek sprawdzania statusu numeru między innymi przed zawarciem umowy kredytowej.

Co ważne w tej konkretnej sytuacji, zastrzeżenie numeru nie przeszkadza w normalnym korzystaniu z ochrony zdrowia. Z zastrzeżonym PESEL-em przez cały czas można zarejestrować się do lekarza, odebrać receptę czy załatwiać zwykłe sprawy urzędowe. W aplikacji można również sprawdzić historię weryfikacji swojego numeru i zobaczyć, jakie podmioty sprawdzały jego status. o ile pojawi się tam aktywność, której właściciel numeru nie rozpoznaje, jest to sygnał, którego nie należy ignorować.

Dostałeś wiadomość od przychodni? Nie klikaj odruchowo w link, tylko sprawdź nadawcę

Placówki, których pacjenci zostali objęci naruszeniem wiążącym się z wysokim ryzykiem dla ich praw i wolności, mają na podstawie art. 34 RODO obowiązek zawiadomienia osób, których dane dotyczą. W najbliższym czasie mogą więc pojawiać się kolejne wiadomości wysyłane przez gabinety i przychodnie. Paradoksalnie sam wyciek stwarza jednak idealne warunki do wysyłania fałszywych komunikatów podszywających się pod te placówki. Wiadomość o treści „twoje dane wyciekły, kliknij tutaj, aby je zabezpieczyć” może być zarówno prawdziwym ostrzeżeniem, jak i kolejnym etapem oszustwa.

Jeżeli przychodnia informuje o naruszeniu, najbezpieczniej wejść na jej stronę samodzielnie, wpisując adres w przeglądarce, albo zadzwonić na znany wcześniej numer i potwierdzić komunikat. Nie należy podawać przez telefon haseł, kodów SMS, danych logowania do banku ani kodów z aplikacji mObywatel. W przypadku informacji o Medyc szczególna ostrożność jest uzasadniona właśnie dlatego, iż atakujący mogą dysponować danymi pozwalającymi stworzyć bardzo przekonującą historię.

Nie dostałeś żadnego zawiadomienia? To jeszcze nie daje pewności, iż sprawa cię nie dotyczy

Na tym etapie postępowanie przez cały czas trwa i nie został publicznie przedstawiony kompletny wykaz wszystkich pacjentów ani wszystkich placówek objętych incydentem. o ile ktoś korzystał z prywatnych przychodni, poradni czy gabinetów i chce wiedzieć, czy ich systemem był Medyc, może sprawdzić komunikaty na stronie swojej placówki albo skontaktować się bezpośrednio z jej administratorem danych. Szczególnie uważnie powinny obserwować korespondencję osoby, które już otrzymały formalne zawiadomienie o naruszeniu albo korzystały z placówki publikującej taki komunikat.

Niezależnie od tego, czy konkretna osoba znajdzie się ostatecznie wśród poszkodowanych, zastrzeżony PESEL i ostrożność wobec nieoczekiwanych kontaktów są dziś rozsądnym zabezpieczeniem. UODO zapowiedział kontrolę Qbusoft, CBZC prowadzi czynności, a kolejne placówki zaczynają ujawniać zakres informacji, które mogły zostać przejęte. Dopiero dalsze ustalenia pokażą, czy liczba 5 mln osób się potwierdzi i jak duża część wykradzionego zbioru zawierała rzeczywistą dokumentację medyczną.