Wyciek danych zdrowotnych połowy populacji Polaków. Minister cyfryzacji zaleca natychmiastowe zastrzeżenie numeru PESEL

W środę 12 sierpnia 2026 r. wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o nadzwyczajnym wycieku danych obejmującym blisko 19 milionów obywateli Polski. Dane pochodzą z systemów firmy MyDr – jednego z największych dostawców systemu do Elektronicznej Dokumentacji Medycznej (EDM), z którego korzystają tysiące przychodni, gabinetów i placówek medycznych w całym kraju.

Według oficjalnych informacji wykradziona baza liczy ponad 2 terabajty. Sprawcy, którzy wcześniej skontaktowali się z portalami zajmującymi się cyberbezpieczeństwem, deklarowali posiadanie dokładnie 18 814 422 unikatowych numerów PESEL. Rząd po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa potwierdził, iż skala wycieku rzeczywiście sięga blisko 19 milionów osób.

Jakie dane wyciekły? Wśród skradzionych informacji znajdują się nie tylko podstawowe dane osobowe (imię, nazwisko, data urodzenia, numer PESEL, numery telefonów), ale także dane powiązane z korzystaniem z opieki zdrowotnej – m.in. informacje o receptach, regionie NFZ oraz elementach historii wizyt. Próbki przekazane przez osoby podające się za sprawców zawierały m.in. dane jednego z czołowych polskich polityków, które częściowo udało się zweryfikować jako prawdziwe.

Minister Gawkowski podkreślił, iż nie chodzi o pełną historię leczenia każdego pacjenta, ale o pakiet danych, które da się ze sobą łączyć. Jednocześnie zaznaczył, iż incydent dotyczy danych historycznych przechowywanych w systemach MyDr i nie wpływa na bieżące funkcjonowanie placówek medycznych ani na wystawianie recept czy dostęp do świadczeń.

Reakcja państwa Sprawą zajęły się Centralne Biuro Zwalczania Cyberprzestępczości, prokuratura, CERT Polska, Urząd Ochrony Danych Osobowych oraz inne służby. Ministerstwo Cyfryzacji zapowiedziało, iż dane z wycieku będą sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl, gdzie każdy będzie mógł sprawdzić, czy jego informacje się tam znalazły. Proces ten może potrwać kilka dni, ponieważ administratorami danych są poszczególne placówki medyczne.

Gawkowski ocenił, iż nic nie wskazuje na atak zewnętrzny (np. ze strony państwa obcego). Najbardziej prawdopodobny jest scenariusz klasycznej działalności cyberprzestępczej motywowanej finansowo. Rząd wykluczył płatność okupu.

Zalecenia dla obywateli Minister stanowczo zalecił natychmiastowe zastrzeżenie numeru PESEL – najlepiej przez aplikację mObywatel (zajmuje to kilka sekund). Zastrzeżenie utrudnia wykorzystanie danych do zaciągnięcia kredytów czy pożyczek. Zaleca się też ostrożność wobec podejrzanych wiadomości e-mail, SMS-ów i telefonów, które mogą wykorzystywać wyciekłe informacje medyczne do bardziej wiarygodnego phishingu.

MyDr należy do grupy związanej ze ZnanyLekarz. Firma potwierdziła incydent, uruchomiła procedury bezpieczeństwa i współpracuje ze służbami. Systemy zostały zabezpieczone i działają normalnie.

Incydent uznawany jest za jeden z największych w historii polskiego cybersbezpieczeństwa. Dane zdrowotne należą do kategorii szczególnie chronionych, a skala wycieku – obejmująca niemal połowę dorosłej populacji kraju – sprawia, iż sprawa ma charakter nadzwyczajny.

Władze zapewniają, iż będą na bieżąco informować o dalszych ustaleniach.