Wyciek danych z MyDr to sprawa, która dotyczy nie tylko dostawcy oprogramowania medycznego. Stawia pytania o bezpieczeństwo informacji powierzanych gabinetom, obowiązki placówek i ochronę pacjentów przed oszustwami, które mogą pojawić się po incydencie. Co zostało potwierdzone, a co nadal wymaga wyjaśnienia?
Co wiadomo o wycieku danych z MyDr?
12 sierpnia 2026 roku Ministerstwo Cyfryzacji poinformowało, że doszło do nieuprawnionego dostępu do danych historycznych przechowywanych w systemach MyDr. Według komunikatu dane pochodziły z okresu do kwietnia 2024 roku, a incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Są to liczby opisujące możliwy zasięg zdarzenia. Nie oznaczają, że w przypadku każdej z tych osób ujawniono ten sam zakres informacji.
Prokuratura prowadzi dochodzenie dotyczące nieuprawnionego dostępu do systemu oraz danych pacjentów. Wśród informacji objętych postępowaniem wymienia się imiona i nazwiska, numery PESEL, numery telefonów, adresy e-mail oraz dane o zdrowiu, w tym treść notatek z wizyt i informacje o receptach. Zakres danych różni się jednak między osobami objętymi incydentem.
Nie ustalono jednoznacznie, że przyczyną ataku był phishing. Łączenie wycieku z kliknięciem w fałszywy e-mail byłoby więc spekulacją.
Jakie konsekwencje może mieć wyciek dla pacjentów?
Informacje o zdrowiu należą do najbardziej osobistych danych, jakie przekazujemy innym. Ich przejęcie może oznaczać utratę prywatności, stres i obawę przed dalszym wykorzystaniem informacji. UODO wskazuje, że ujawnienie danych medycznych może wiązać się między innymi z ryzykiem dyskryminacji lub naruszenia dóbr osobistych. Jeśli naruszenie obejmuje także imię, nazwisko i numer PESEL, pojawia się ryzyko wykorzystania tych danych do oszustwa.
Wyciek może również stać się pretekstem do kolejnych prób wyłudzenia. Wiadomość o „konieczności potwierdzenia danych po incydencie” albo telefon od osoby podającej się za pracownika placówki mogą brzmieć przekonująco, bo odnoszą się do prawdziwego wydarzenia. Są to możliwe scenariusze oszustwa, a nie potwierdzony opis działań sprawców w sprawie MyDr. UODO zaleca ostrożność wobec e-maili i SMS-ów, przez które ktoś może próbować zdobyć dodatkowe dane lub dostęp do usług.
Osoba, która otrzyma zawiadomienie o naruszeniu, powinna sprawdzić wskazany w nim zakres danych i zalecenia. W razie wątpliwości warto skontaktować się z placówką przez numer znaleziony samodzielnie na jej oficjalnej stronie, zamiast korzystać z linku lub numeru podanego w nieoczekiwanej wiadomości. Ze względu na fakt, iż wśród danych, które wyciekły wymieniany jest numer PESEL, jednym z działań, które warto rozważyć, jest jego zastrzeżenie. Nawiasem mówiąc, warto to zrobić, nawet jeśli wiemy, że nasze dane nie wyciekły - tak profilaktycznie.
Jakie konsekwencje grożą MyDr i placówkom medycznym?
Wyjaśnienie incydentu wymaga ustalenia, do jakich danych uzyskano dostęp, które placówki zostały dotknięte i jakie działania ograniczą skutki naruszenia. Dla MyDr oznacza to także konieczność wykazania, jak chroniono powierzone informacje. Prezes UODO podjął decyzję o kontroli spółki. Urząd bada zastosowane środki techniczne i organizacyjne oraz analizę ryzyka. Sama kontrola nie przesądza o naruszeniu przepisów ani o nałożeniu kary.
Obowiązki mają również gabinety i placówki korzystające z systemu. To one są administratorami danych swoich pacjentów. Po potwierdzeniu, że incydent dotyczy danych danej placówki, potrzebna jest ocena ryzyka i ustalenie, czy należy zgłosić naruszenie do UODO oraz zawiadomić pacjentów. Zawiadomienie osób jest wymagane, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności.
Do możliwych kosztów dochodzą analiza techniczna i prawna, obsługa pytań pacjentów oraz odbudowa zaufania. Ich rzeczywista skala zależy od dalszych ustaleń. Dziś nie ma podstaw, by przypisywać MyDr konkretną kwotę strat albo przesądzać o wyniku postępowania UODO.
Dlaczego po wycieku warto ćwiczyć reakcję na phishing?
Pracownik rejestracji, lekarz czy osoba zarządzająca placówką mogą otrzymać wiadomość, która powołuje się na incydent i żąda pilnego działania: otwarcia „raportu”, zalogowania się do „panelu bezpieczeństwa” albo przesłania listy pacjentów. Prawdziwe wydarzenie sprawia, że taki pretekst łatwiej uznać za wiarygodny.
Sama instrukcja, by uważać na podejrzane e-maile, może wówczas nie wystarczyć. Symulowane testy phishingowe pozwalają przećwiczyć konkretną decyzję - czy pracownik rozpozna nietypową prośbę, sprawdzi jej źródło innym kanałem i zgłosi wiadomość. Po ćwiczeniu zespół powinien dostać krótkie wyjaśnienie sygnałów ostrzegawczych oraz jasną procedurę postępowania, również na wypadek kliknięcia.
Takie testy nie zastępują zabezpieczeń systemu, kontroli dostępu ani nadzoru nad dostawcami. Pomagają jednak przygotować ludzi na sytuację, w której oszust wykorzystuje prawdziwy kryzys, aby skłonić ich do ujawnienia kolejnych danych.
W przypadku MyDr nadal trzeba oddzielać ustalone fakty od możliwych następstw. Wiadomo, że doszło do nieuprawnionego dostępu do danych. Nie wiadomo publicznie, że rozpoczął się on od phishingu. Wiadomo natomiast, że po wycieku zarówno pacjenci, jak i pracownicy placówek mają dobry powód, by uważniej weryfikować wiadomości dotyczące ich danych.
