Zastrzegłeś PESEL po wycieku z MyDr? To dopiero połowa zabezpieczenia

Blisko 19 mln Polaków – to skala, którą 12 sierpnia 2026 roku potwierdził wicepremier i minister cyfryzacji Krzysztof Gawkowski, mówiąc o cyberataku na system MyDr, z którego korzystało około 12 tys. przychodni i gabinetów lekarskich w całym kraju. Rząd polecił też natychmiastowo zastrzec PESEL. Jak jednak zwracają uwagę specjaliści, to dopiero połowa zabezpieczenia w takich przypadkach.

Dwójka ludzi odczytuje wiadomości na telefonach. | Fot. Pixabay.

„Doszło do nadzwyczajnego wycieku danych, sięgającego blisko 19 milionów osób” – przyznał minister po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, dodając, iż przestępcy wykradli ponad 2 TB danych, w tym numery PESEL, dane kontaktowe oraz wrażliwe informacje medyczne – o receptach, przyjmowanych lekach i historii leczenia. Sprawą zajmują się już Centralne Biuro Zwalczania Cyberprzestępczości, prokuratura, Ministerstwo Zdrowia oraz Urząd Ochrony Danych Osobowych.

Zastrzeżenie PESEL nie działa wszędzie – i to jest największa pułapka

W takiej sytuacji naturalnym odruchem jest zastrzeżenie numeru PESEL – mechanizm wprowadzony ustawą z 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości (Dz.U. z 2023 r. poz. 1394), która dodała do ustawy o ewidencji ludności rejestr zastrzeżeń numerów PESEL. Sprawdzać status numeru mają obowiązek między innymi banki i firmy pożyczkowe przy zawieraniu umowy kredytu, operatorzy telekomunikacyjni przed wydaniem duplikatu karty SIM oraz notariusze przy wybranych czynnościach dotyczących nieruchomości. Problem w tym, iż ten obowiązek nie obejmuje wszystkich rodzajów transakcji.

– Zastrzeżenie PESEL-u jest ważne, ale nie chroni przed każdym oszustwem, ponieważ nie wszystkie firmy muszą sprawdzać, czy został on zastrzeżony. Przestępcy przez cały czas mogą wykorzystać skradziony numer do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu, czy zakupu towaru z odroczonym terminem płatności. Innym zagrożeniem jest założenie firmy na przejęte dane, a następnie próba wyłudzenia kredytu biznesowego – ostrzega w komunikacie przekazanym przez ChronPESEL.pl Bartłomiej Drozd, ekspert tego serwisu.

Tylko co trzeci Polak monitorowałby swój numer po kradzieży

Skala tego, jak nieprzygotowani na podobne sytuacje są sami Polacy, wynika z badania przeprowadzonego przez IMAS International w kwietniu 2026 roku na zlecenie ChronPESEL.pl i Krajowego Rejestru Długów, na reprezentatywnej próbie 1011 osób w wieku 18-74 lata. 69% respondentów zadeklarowało, iż po kradzieży PESEL zastrzegłoby go w aplikacji mObywatel lub w urzędzie – to sama, pierwsza czynność, którą większość ankietowanych wie, jak wykonać. Znacznie gorzej wypada dalszy krok: tylko 33% monitorowałoby później ten numer oraz swoją historię kredytową, a aż 16%, czyli mniej więcej co szósty Polak, przyznało wprost, iż nie wiedziałoby, jak zachować się w takiej sytuacji.

Skradzione dane medyczne ułatwiają podszywanie się pod przychodnię czy NFZ

Zagrożenie wykracza poza sam numer PESEL, bo w wycieku z MyDr, jak wskazuje ChronPESEL.pl, mogły znaleźć się też imię i nazwisko, numer telefonu, adres e-mail oraz informacje o historii chorobowej – komplet danych, który znacznie ułatwia przygotowanie wiarygodnej próby oszustwa. Mając dostęp do takich informacji, przestępca może podszyć się pod przychodnię, konkretnego lekarza, Narodowy Fundusz Zdrowia, bank lub innego usługodawcę i masowo rozsyłać fałszywe SMS-y czy e-maile o wynikach badań, receptach, rzekomych zaległych płatnościach albo konieczności „potwierdzenia danych”. Celem takich wiadomości jest zwykle nakłonienie ofiary do kliknięcia w niebezpieczny link, podania hasła, jednorazowego kodu albo numeru karty płatniczej, a jeżeli w wycieku znalazły się też dane logowania – przestępcy mogą próbować przejąć pocztę elektroniczną czy konta w mediach społecznościowych.

– To, iż rozmówca zna nasze prawdziwe dane, nazwę przychodni czy informacje o leczeniu, nie oznacza, iż jest tym, za kogo się podaje. Nie należy klikać w przesłane linki ani podawać haseł, kodów jednorazowych czy danych karty płatniczej. Najlepiej przerwać kontakt i samodzielnie zadzwonić do danej instytucji, korzystając z numeru zamieszczonego na jej oficjalnej stronie – radzi, cytowany przez ChronPESEL.pl, Bartłomiej Drozd.

Cyberataki na ochronę zdrowia rosną szybciej niż w innych sektorach

Atak na MyDr nie jest odosobnionym przypadkiem, tylko elementem szerszego trendu. Według danych Centrum e-Zdrowia sektorowy zespół CSIRT CeZ obsłużył w 2025 roku 1441 incydentów bezpieczeństwa związanych z ochroną zdrowia – o ponad 60% więcej niż rok wcześniej, a w samym 2026 roku, jeszcze przed jego zakończeniem, odnotowano już 729 podobnych zdarzeń, jak podaje ChronPESEL.pl. Osoby, których dane mogły wyciec w tym konkretnym incydencie, powinny nie tylko zastrzec PESEL, ale też zmienić powtarzające się w różnych serwisach hasła oraz włączyć uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne. Przez kolejne miesiące warto też regularnie kontrolować rachunki bankowe, historię kredytową, zapytania dotyczące własnych danych oraz informacje o nieznanych próbach logowania czy resetowania haseł – jak zaznacza serwis, skradzione dane bywają wykorzystywane dopiero po pewnym czasie, czasem dopiero po połączeniu z informacjami pochodzącymi z zupełnie innych wycieków.