Incydent MyDr: Największy wyciek danych medycznych w historii Polski

Utworzone przez Dawid Bakaj • sobota, 30.08.2026, 21:22 • Cyberzagrożenia i ataki – analiza przypadków

12 sierpnia 2026 roku Ministerstwo Cyfryzacji oficjalnie potwierdziło informację, która wstrząsnęła całą Polską: cyberprzestępcy wykradli dane medyczne niemal 19 milionów obywateli z systemów firmy MyDr. Skala incydentu – 2,5 terabajta skradzionych informacji, 12 tysięcy placówek medycznych, 47 tysięcy gabinetów lekarskich – czyni go największym wyciekiem danych w historii naszego kraju. Poniżej przedstawiamy szczegółową analizę tego, co się wydarzyło, jakie dane wyciekły, jak przebiegał atak od strony technicznej i co powinni zrobić zarówno pacjenci, jak i administratorzy systemów medycznych.

Czym jest system MyDr?

MyDr to jeden z wiodących polskich dostawców oprogramowania do prowadzenia Elektronicznej Dokumentacji Medycznej (EDM). Platforma oferuje zintegrowany ekosystem obejmujący:

• Elektroniczną dokumentację medyczną i historię wizyt pacjentów
• System e-recept i e-skierowań zintegrowany z platformą P1
• Moduł telemedycyny umożliwiający wizyty zdalne
• Zarządzanie grafikiem wizyt i rejestracją pacjentów
• Wystawianie elektronicznych zwolnień lekarskich (e-ZLA)

System był wykorzystywany przez ponad 12 000 placówek medycznych w całej Polsce, obsługując około 3 miliony wizyt i 2,7 miliona recept miesięcznie. Wśród użytkowników znajdowały się zarówno niewielkie gabinety lekarskie, jak i duże sieci medyczne, w tym jednostki współpracujące z Narodowym Funduszem Zdrowia.

Chronologia incydentu – od włamania do reakcji rządu

Rekonstrukcja przebiegu zdarzeń na podstawie oficjalnych komunikatów i ustaleń śledczych:

Jakie dane wyciekły?

Skala i charakter skradzionych informacji są bezprecedensowe w polskiej historii cyberbezpieczeństwa. Według ustaleń prokuratury i deklaracji atakujących, baza danych obejmuje:

Dane identyfikacyjne

• 18 814 422 unikalne numery PESEL – to niemal połowa populacji Polski
• Imiona i nazwiska pacjentów
• Daty urodzenia
• Numery telefonów
• Adresy e-mail

Dane medyczne (szczególna kategoria danych wg RODO)

• Historia wizyt lekarskich i notatki lekarzy
• Informacje o wystawionych receptach i przyjmowanych lekach
• Dane dotyczące stanu zdrowia i diagnoz
• Dokumentacja medyczna przekazywana lekarzom

Łączny wolumen skradzionych danych to około 2-2,5 terabajta. Atakujący potwierdzili autentyczność danych, publikując numer PESEL, numery telefonów i 25 recept jednego z czołowych polskich polityków.

Warto podkreślić, że dane medyczne stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 RODO. Ich ujawnienie niesie wyjątkowo poważne konsekwencje – od ryzyka dyskryminacji po szantaż i kradzież tożsamości medycznej.

Wektor ataku – analiza techniczna

Osoby odpowiedzialne za atak ujawniły mediom branżowym szczegóły dotyczące wykorzystanego łańcucha eksploitacji. Choć firma MyDr nie potwierdziła oficjalnie tych informacji, niezależna weryfikacja przeprowadzona przez ekspertów potwierdziła wiarygodność twierdzeń atakujących.

Łańcuch ataku krok po kroku

1. Punkt wejścia – podatność XXE w obsłudze certyfikatów PKCS#12

Atakujący zidentyfikowali podatność typu XML External Entity (XXE) w module odpowiedzialnym za przetwarzanie certyfikatów w formacie PKCS#12. Ten format jest powszechnie stosowany do przechowywania kluczy prywatnych i certyfikatów cyfrowych – w kontekście systemów medycznych służy m.in. do uwierzytelniania komunikacji z platformą P1 (Elektroniczna Platforma Gromadzenia, Analizy i Udostępniania zasobów cyfrowych o Zdarzeniach Medycznych).

Podatność XXE pozwala atakującemu na wstrzyknięcie zewnętrznych encji XML, co w tym przypadku umożliwiło zdalne wykonanie kodu (Remote Code Execution – RCE) na serwerze aplikacji.

2. Eskalacja – przejęcie klucza API GitHub

Po uzyskaniu RCE atakujący przeprowadzili rekonesans w środowisku serwerowym i odnaleźli klucz API do repozytorium GitHub firmy MyDr. Przechowywanie sekretów (takich jak klucze API, tokeny dostępu czy dane uwierzytelniające) w środowisku produkcyjnym bez odpowiedniej izolacji to klasyczny błąd konfiguracyjny, który regularnie pojawia się w raportach z testów penetracyjnych.

3. Dostęp do kodu źródłowego

Posiadając klucz API GitHub, atakujący uzyskali pełny dostęp do repozytoriów z kodem źródłowym systemu MyDr. Analiza kodu źródłowego pozwoliła im na zidentyfikowanie dalszych podatności oraz – co kluczowe – odnalezienie danych uwierzytelniających do infrastruktury chmurowej AWS.

4. Kompromitacja infrastruktury AWS

Finałowym etapem było uzyskanie dostępu do infrastruktury Amazon Web Services (AWS), na której hostowana była baza danych z dokumentacją medyczną. Stamtąd atakujący wyeksportowali 2,5 TB danych zawierających rekordy niemal 19 milionów pacjentów.

Kluczowe wnioski techniczne

Łańcuch ataku ujawnia kilka systemowych zaniedbań bezpieczeństwa:

• Brak regularnych testów penetracyjnych – podatność XXE w module certyfikatów powinna zostać wykryta podczas profesjonalnego testu bezpieczeństwa aplikacji webowej
• Niewłaściwe zarządzanie sekretami – klucze API i dane uwierzytelniające nie powinny być przechowywane w sposób umożliwiający ich odczytanie po uzyskaniu dostępu do jednego komponentu systemu
• Brak segmentacji środowisk – kompromitacja jednego elementu (aplikacja webowa) doprowadziła do przejęcia całej infrastruktury (GitHub → AWS)
• Niewystarczający monitoring – eksfiltracja 2,5 TB danych powinna zostać wykryta przez systemy monitoringu ruchu sieciowego
• Brak zasady najmniejszych uprawnień – klucze API z szerokimi uprawnieniami umożliwiły atakującym swobodne poruszanie się w infrastrukturze

Reakcja instytucji państwowych

Ministerstwo Cyfryzacji

Wicepremier i Minister Cyfryzacji Krzysztof Gawkowski niezwłocznie po potwierdzeniu incydentu podjął kilka kluczowych kroków:

• Publicznie potwierdził skalę wycieku i wezwał obywateli do zastrzeżenia numeru PESEL
• Zlecił Centrum e-Zdrowia prewencyjną wymianę certyfikatów wykorzystywanych do komunikacji z systemem P1 – choć nie stwierdzono, by certyfikaty zostały skradzione lub wykorzystane w ataku, działanie to miało charakter zapobiegawczy
• Zapowiedział, że jeśli kontrola wykaże zaniedbania ze strony MyDr, firmie grozi „jedna z największych kar w historii polskiego rynku”
• Ocenił, że atak miał motywację finansową, a nie polityczną

Ministerstwo Zdrowia

Minister Zdrowia Jolanta Sobierańska-Grenda zapewniła, że incydent nie stanowi zagrożenia dla publicznych systemów ochrony zdrowia. Platforma P1 pozostała bezpieczna i działała bez zakłóceń. Pacjenci mogli nadal korzystać z e-recept, e-skierowań i pozostałych usług cyfrowych.

UODO (Urząd Ochrony Danych Osobowych)

Prezes UODO już 14 sierpnia 2026 roku ogłosił rozpoczęcie kontroli w spółce MyDr. Zakres kontroli obejmuje m.in.:

• Zabezpieczenia techniczne i organizacyjne stosowane przez firmę
• Procedury analizy ryzyka i zarządzania podatnościami
• Czy środki bezpieczeństwa były regularnie testowane i aktualizowane
• Procedury reagowania na incydenty bezpieczeństwa

Do UODO wpłynęły setki zgłoszeń naruszeń od placówek medycznych korzystających z systemu MyDr, a kolejne wciąż napływają.

Organy ścigania

Sprawę prowadzi Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) pod nadzorem Prokuratury Okręgowej w Warszawie. Czyn objęty dochodzeniem zagrożony jest karą do 3 lat pozbawienia wolności. Dotychczas żadna grupa hakerska nie przyznała się oficjalnie do ataku.

Obowiązki placówek medycznych po incydencie

UODO jednoznacznie wskazał, że obowiązek powiadomienia pacjentów spoczywa na placówkach medycznych (administratorach danych), a nie na firmie MyDr (podmiocie przetwarzającym). W standardowym modelu polskiego systemu ochrony zdrowia:

• Administrator danych (placówka medyczna) – odpowiada za dane pacjentów i ma obowiązek zgłoszenia naruszenia
• Podmiot przetwarzający (MyDr jako dostawca oprogramowania) – przetwarza dane na zlecenie administratora

Zgodnie z RODO, każda placówka medyczna korzystająca z systemu MyDr jest zobowiązana do:

1. Zgłoszenia naruszenia do UODO w ciągu 72 godzin od uzyskania informacji o wycieku (art. 33 RODO)
2. Powiadomienia pacjentów, których dane mogły zostać naruszone, jeśli naruszenie może powodować wysokie ryzyko naruszenia ich praw i wolności (art. 34 RODO)
3. Udokumentowania incydentu w wewnętrznym rejestrze naruszeń
4. Przeprowadzenia oceny ryzyka i wdrożenia dodatkowych środków zabezpieczających

Biorąc pod uwagę, że wyciek obejmuje dane medyczne (szczególna kategoria) oraz numery PESEL, ryzyko dla pacjentów należy ocenić jako wysokie – co oznacza, że powiadomienie pacjentów jest w praktyce obowiązkowe dla każdej dotkniętej placówki.

Jak sprawdzić, czy Twoje dane wyciekły?

29 sierpnia 2026 roku rządowy serwis bezpiecznedane.gov.pl udostępnił możliwość weryfikacji, czy numer PESEL użytkownika znajduje się wśród danych z wycieku MyDr.

Instrukcja krok po kroku

1. Wejdź na stronę bezpiecznedane.gov.pl
2. Zaloguj się za pomocą jednej z dostępnych metod: aplikacja mObywatel, bankowość elektroniczna, e-Dowód lub Profil Zaufany
3. Przejdź do zakładki „Historia wycieków”
4. Kliknij „Sprawdź swoje wycieki” – system pokaże, które incydenty dotyczą Twojego numeru PESEL i jakiego rodzaju dane zostały ujawnione

Numer PESEL jest monitorowany automatycznie. Jeśli chcesz objąć monitoringiem również adresy e-mail i numery telefonów, włącz tę opcję w ustawieniach profilu na portalu.

Jak się zabezpieczyć? Konkretne kroki ochronne

Niezależnie od tego, czy Twoje dane znalazły się w wycieku, poniższe działania znacząco zmniejszą ryzyko ich wykorzystania przez przestępców:

Działania natychmiastowe

• Zastrzeż numer PESEL – możesz to zrobić przez aplikację mObywatel, na stronie gov.pl lub w dowolnym urzędzie gminy. Zastrzeżony PESEL uniemożliwia zaciągnięcie kredytu, pożyczki czy dokonanie innych czynności prawnych na Twoje dane
• Sprawdź historię logowań we wszystkich serwisach medycznych, z których korzystasz
• Zmień hasła do kont w portalach zdrowotnych, jeśli używałeś tego samego hasła w wielu miejscach

Działania długoterminowe

• Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie, gdzie to możliwe – szczególnie w bankowości elektronicznej i poczcie e-mail
• Monitoruj raporty BIK – regularne sprawdzanie historii kredytowej pozwoli szybko wykryć próby wyłudzeń
• Uważaj na phishing – przestępcy posiadający Twoje dane medyczne mogą tworzyć bardzo wiarygodne wiadomości phishingowe, np. fałszywe powiadomienia o receptach czy wynikach badań
• Nie reaguj na podejrzane telefony i SMS-y dotyczące Twojego stanu zdrowia, recept czy wizyt lekarskich – mogą pochodzić od przestępców wykorzystujących dane z wycieku
• Rozważ założenie alertów w banku na wszelkie próby zaciągnięcia zobowiązań finansowych na Twoje dane

Konsekwencje prawne – potencjalna kara dla MyDr

Choć MyDr pełni rolę podmiotu przetwarzającego (procesora danych), RODO nakłada obowiązki bezpośrednio również na procesorów. Firma nie może uniknąć odpowiedzialności wyłącznie ze względu na swój status.

Zgodnie z art. 83 RODO, za naruszenie obowiązków związanych z bezpieczeństwem przetwarzania danych, firmie może grozić administracyjna kara pieniężna do 10 milionów euro lub do 2% całkowitego rocznego światowego obrotu – zastosowanie ma kwota wyższa.

UODO podkreślił, że przy ocenie ewentualnych naruszeń brane będą pod uwagę:

• Skala incydentu – 19 milionów osób i dane szczególnej kategorii
• Charakter naruszenia – czy firma zastosowała odpowiednie do ryzyka środki techniczne i organizacyjne
• Proaktywność – czy MyDr samodzielnie zgłosiła incydent i poinformowała zainteresowane strony
• Historia zgodności – dotychczasowe podejście firmy do ochrony danych

Sam fakt bycia ofiarą cyberataku nie oznacza automatycznie kary. Kluczowe jest ustalenie, czy firma dopuściła się zaniedbań w zakresie analizy ryzyka, zarządzania podatnościami, kontroli dostępu, aktualizacji oprogramowania czy monitoringu infrastruktury. Biorąc jednak pod uwagę charakter ujawnionego wektora ataku (niezałatana podatność XXE, sekrety przechowywane w dostępnym środowisku, brak segmentacji), istnieją poważne przesłanki do stwierdzenia niedostatecznych zabezpieczeń.

Reakcje dużych sieci medycznych

Największe prywatne sieci medyczne w Polsce wydały oświadczenia po potwierdzeniu incydentu:

• Medicover potwierdził, że kilka jego placówek – głównie kliniki stomatologiczne – korzystało z systemu MyDr
• Enel-med wykorzystywał system do obsługi pacjentów w ramach NFZ. Sieć oświadczyła, że nie otrzymała potwierdzenia naruszenia danych swoich pacjentów, lecz monitoruje sytuację
• Lux Med zapewnił, że zakres danych potencjalnie objętych wyciekiem jest ograniczony
• PZU Zdrowie podkreśliło, że korzysta z własnego systemu, choć podjęło odpowiednie działania niezwłocznie po potwierdzeniu incydentu przez Ministerstwo Cyfryzacji

Wnioski dla sektora ochrony zdrowia i branży IT

Incydent MyDr to sygnał alarmowy dla całego polskiego ekosystemu e-zdrowia. Oto kluczowe lekcje, które powinny wyciągnąć zarówno dostawcy oprogramowania medycznego, jak i placówki opieki zdrowotnej:

Dla dostawców oprogramowania medycznego

• Regularne testy penetracyjne – systemy przetwarzające dane medyczne powinny być poddawane profesjonalnym testom bezpieczeństwa co najmniej raz w roku, a krytyczne komponenty (jak moduły uwierzytelniania i obsługi certyfikatów) – częściej
• Zarządzanie sekretami – klucze API, tokeny dostępu i dane uwierzytelniające muszą być przechowywane w dedykowanych systemach zarządzania sekretami (np. AWS Secrets Manager, HashiCorp Vault), nigdy w kodzie źródłowym ani w łatwo dostępnych lokalizacjach
• Segmentacja infrastruktury – kompromitacja jednego komponentu nie powinna umożliwiać dostępu do całej infrastruktury
• Monitoring eksfiltracji danych – transfer 2,5 TB danych powinien zostać wykryty przez systemy DLP (Data Loss Prevention) i anomaly detection
• Zasada najmniejszych uprawnień – każdy komponent systemu powinien mieć dostęp wyłącznie do zasobów niezbędnych do jego funkcjonowania

Dla placówek medycznych

• Due diligence dostawców – przed wyborem systemu EDM należy weryfikować poziom zabezpieczeń dostawcy, w tym wymagać dokumentacji z audytów bezpieczeństwa i testów penetracyjnych
• Umowy powierzenia przetwarzania – umowy z dostawcami IT powinny precyzyjnie określać obowiązki w zakresie bezpieczeństwa, procedury reagowania na incydenty i zakres odpowiedzialności
• Plan ciągłości działania – każda placówka powinna mieć przygotowany plan na wypadek kompromitacji systemu EDM, obejmujący procedury powiadamiania pacjentów i UODO
• Szkolenia personelu – regularne szkolenia z zakresu cyberhigieny i rozpoznawania zagrożeń

Podsumowanie

Incydent MyDr to przełomowe wydarzenie w polskim cyberbezpieczeństwie. Wyciek danych medycznych niemal 19 milionów obywateli pokazuje, że sektor ochrony zdrowia pozostaje jednym z najbardziej narażonych celów cyberataków, a konsekwencje zaniedbań w zakresie bezpieczeństwa IT mogą dotknąć miliony ludzi.

Kluczowe liczby, które warto zapamiętać:

• 18,8 mln – liczba unikalnych numerów PESEL w wycieku
• 2,5 TB – wolumen skradzionych danych
• 12 000+ – liczba placówek medycznych dotkniętych incydentem
• 47 000 – liczba gabinetów lekarskich korzystających z systemu
• do 10 mln EUR – potencjalna kara RODO

Dla pacjentów priorytetem powinno być zastrzeżenie numeru PESEL i sprawdzenie statusu swoich danych na portalu bezpiecznedane.gov.pl. Dla organizacji opieki zdrowotnej – weryfikacja zabezpieczeń dostawców IT, wdrożenie planów reagowania na incydenty oraz regularne testy penetracyjne systemów przetwarzających dane pacjentów.

Sprawa MyDr wciąż się rozwija – trwa kontrola UODO, dochodzenie CBZC, a na portalu bezpiecznedane.gov.pl można sprawdzić, czy nasze dane są bezpieczne. Jeśli Twoja organizacja przetwarza dane medyczne i chcesz zweryfikować poziom zabezpieczeń, wejdź na stronę Kontakt i skonsultuj z naszymi specjalistami strategię ochrony Twojej infrastruktury.

FAQ