Wyciek danych MyDr: co się stało i jak się chronić?

Ponad 2 terabajty danych i nawet 19 milionów rekordów pacjentów – tak wygląda bilans jednego z największych wycieków w historii polskiego internetu. Firma MyDr, z której korzysta 12 tysięcy przychodni obsługujących 3 miliony wizyt miesięcznie, przez blisko tydzień nie potrafiła powiedzieć, co dokładnie wyciekło. My sprawdziliśmy, co już wiadomo, kto za to odpowiada i dlaczego „zastrzeż PESEL” to dopiero początek, a nie koniec listy rzeczy do zrobienia.

Co się stało: anatomia ataku na MyDr

Historia zaczęła się nie od komunikatu firmy, tylko od dziennikarzy. Serwis Zaufana Trzecia Strona poinformował, że skontaktowali się z nim rzekomi sprawcy włamania, twierdząc, że mają dostęp do danych pacjentów wielu polskich przychodni. Żeby uwiarygodnić przekaz, przesłali redakcji zrzuty ekranu z rekordami – w tym danymi jednego z czołowych polskich polityków. Według włamywaczy w ich rękach miało się znaleźć niemal 18,8 miliona unikatowych numerów PESEL.

Dopiero po tych doniesieniach głos zabrał wicepremier i minister cyfryzacji Krzysztof Gawkowski, który potwierdził, że doszło do „nadzwyczajnego wycieku danych, sięgającego blisko 19 mln osób”. Skradziona baza – jak przekazał – ma ponad 2 TB. Sama spółka MyDr przez dłuższy czas ograniczała się do lakonicznych komunikatów, aż w końcu opublikowała oficjalne oświadczenie, w którym przyznała, że stała się celem „zewnętrznego, celowego działania o charakterze przestępczym”. Firma zastrzegła jednocześnie, że nie jest w stanie na tym etapie potwierdzić ani ilości, ani rodzaju ujawnionych danych – co samo w sobie mówi więcej o skali chaosu niż jakikolwiek szczegół techniczny.

Według dostępnych informacji z bazy mogły wyciec imiona i nazwiska, numery PESEL, numery telefonów, adresy e-mail oraz dane o stanie zdrowia – wizytach, receptach i przebiegu leczenia. To właśnie ta kombinacja – tożsamość plus historia medyczna – czyni ten wyciek wyjątkowo groźnym, bo w przeciwieństwie do hasła czy numeru karty, diagnozy się nie zmieni.

Kim jest MyDr i dlaczego firma, o której nikt nie słyszał, ma dane 19 milionów ludzi

MyDr to dostawca oprogramowania do prowadzenia elektronicznej dokumentacji medycznej i zarządzania przychodnią – system, w którym lekarz umawia wizyty, wystawia recepty i prowadzi kartę pacjenta. Z usług firmy korzysta ok. 12 tysięcy placówek medycznych w Polsce, prywatnych i publicznych, a przez system przepływa miesięcznie 3 mln wizyt i 2,7 mln recept. To pokazuje strukturalny problem, który wykracza poza samą firmę: pacjent nigdy nie wybrał MyDr, nie podpisał z nim żadnej umowy i najczęściej nawet nie wiedział, że jego dane w ogóle trafiają do prywatnego podmiotu trzeciego, obsługującego infrastrukturę jego przychodni.

Firma tłumaczyła, że naruszone dane mają charakter „historyczny” i pochodzą głównie z 2024 roku oraz lat wcześniejszych, co miałoby oznaczać, że nie obejmują wszystkich klientów ani wszystkich pacjentów. Wiceminister cyfryzacji Michał Gramatyka zasugerował z kolei, że przyczyną incydentu mógł być błąd ludzki, a nie wyłącznie zaawansowana technika włamania – co, jeśli się potwierdzi, będzie jeszcze bardziej kłopotliwe niż atak state-of-the-art hakerów, bo oznacza zaniedbanie podstaw.

Analiza: kto zawinił i dlaczego reakcja była spóźniona

To tutaj robi się politycznie gorąco. Premier Donald Tusk i minister Gawkowski przekazywali, że nic nie wskazuje na udział obcych służb, a same dane – według ustaleń Zaufanej Trzeciej Strony – nie zostały jeszcze opublikowane ani wystawione na sprzedaż w sieci. To pewna ulga, ale nie zmienia faktu, że od pierwszego kontaktu przestępców z mediami do konkretnego oświadczenia firmy minęło kilka dni, w trakcie których miliony Polaków nie miały pojęcia, czy ich dane są bezpieczne.

Mecenas Michał Czarnuch, cytowany w rozmowie dla TVN24, zwracał uwagę, że numer PESEL otwiera dostęp do wielu systemów, bo kluczowe obszary życia obywatela są dziś podpięte do jednej cyfrowej tożsamości – od bankowości po ubezpieczenia. W debacie publicznej pojawiły się głosy, że wyciek to kolejna porażka rządu Donalda Tuska w obszarze cyfryzacji, a minister Gawkowski powinien ponieść polityczną odpowiedzialność. Rząd odpowiada, że winę ponosi prywatna firma, a nie systemy państwowe – Centrum e-Zdrowia zapewniło, że centralne usługi e-zdrowia, w tym dostęp do recept i świadczeń w publicznym systemie ochrony zdrowia, nie zostały naruszone.

Problem w tym, że dla przeciętnego pacjenta ten podział na „państwowe” i „prywatne” systemy jest kompletnie niewidoczny. Idąc do przychodni, nikt nie sprawdza, czy korzysta ona z MyDr, z systemu innego dostawcy, czy z rozwiązania własnego. Odpowiedzialność jest rozproszona między setki administratorów danych – same przychodnie – co w praktyce oznacza, że to one, a nie MyDr, mają obowiązek bezpośrednio poinformować pacjentów o ryzyku, zgodnie z RODO. Przy 12 tysiącach placówek egzekwowanie tego obowiązku graniczy z fikcją.

Wyciek danych MyDr w Polsce — skala problemu, którego nie da się zignorować

Ten incydent nie wydarzył się w próżni. Sektor ochrony zdrowia w Polsce od dwóch lat jest jednym z najczęstszych celów cyberprzestępców, a liczby pokazują trend, który powinien niepokoić każdego, kto ma kartę pacjenta w jakimkolwiek systemie elektronicznym. Centrum e-Zdrowia odnotowało 1028 incydentów bezpieczeństwa w sektorze zdrowia w 2024 roku – to 2,5 raza więcej niż rok wcześniej, a wcześniej, w 2023 roku, było ich około 411. Zespół CSIRT CeZ obsłużył w 2025 roku już 1441 incydentów, co oznacza wzrost o ponad 60% rok do roku. Analitycy nie mają złudzeń: jeśli tempo się utrzyma, 2026 rok może przekroczyć 1500–2000 incydentów w samym sektorze zdrowia.

Marzec 2026 był tego dobitnym przykładem – w ciągu zaledwie 25 dni doszło do czterech poważnych cyberataków na polskie placówki medyczne, w tym ransomware na Bonifraterskie Centrum Medyczne w Warszawie i atak na Szpital Wojewódzki w Szczecinie, gdzie skala zakłóceń była na tyle duża, że do przywracania systemów zaangażowano żołnierzy Wojsk Obrony Terytorialnej. To pokazuje, że MyDr nie jest odosobnionym wypadkiem przy pracy, tylko kolejnym epizodem w serii, która trwa od miesięcy.

Kwestia kar finansowych też nie jest teoretyczna. Najwyższa dotychczasowa kara UODO dla placówki medycznej po ataku ransomware wyniosła 1 440 549 zł – nałożono ją na spółkę American Heart of Poland po ujawnieniu ponad 21 tysięcy rekordów. Przy skali wycieku MyDr, licząc w milionach rekordów, a nie tysiącach, teoretyczny pułap kary RODO sięga 20 mln euro lub 4% rocznego obrotu – i to bez uwzględniania dodatkowych sankcji z dyrektywy NIS2, które od kwietnia 2026 roku obowiązują też placówki medyczne i mogą sumować się z karą RODO. Prokuratura bada obecnie sprawę pod kątem odpowiedzialności karnej, a Centralne Biuro Zwalczania Cyberprzestępczości prowadzi odrębne postępowanie wyjaśniające okoliczności ataku.

Jest jeszcze jeden polski szczegół, o którym warto wspomnieć: mimo apeli UODO i rządu, na 16 sierpnia nie istniał żaden oficjalny portal, w którym pacjent mógłby sprawdzić, czy jego dane rzeczywiście znalazły się w tej konkretnej bazie. Liczby – 18 814 422 numery PESEL, 2,5 terabajta plików – pochodziły wyłącznie od samych przestępców, nie od firmy ani od państwa. To luka, która pokazuje, jak nieprzygotowana jest polska administracja na komunikację kryzysową w skali milionów obywateli.

Co powinieneś zrobić już teraz i dlaczego zastrzeżenie PESEL to za mało

Minister Gawkowski, UODO i Centrum e-Zdrowia są zgodni co do jednego pierwszego kroku: zastrzeżenia numeru PESEL, czego można dokonać w aplikacji mObywatel, na stronie internetowej lub w urzędzie gminy. Zastrzeżenie nie cofnie wycieku danych medycznych – nie usunie ich z bazy przestępców – ale skutecznie ogranicza możliwość wykorzystania PESEL-u do zaciągnięcia kredytu, pożyczki czy podpisania umowy w Twoim imieniu.

To jednak dopiero pierwszy krok. UODO w swoim poradniku zaleca dodatkowo szczególną ostrożność wobec telefonów, SMS-ów i e-maili powołujących się na wyciek i proszących o „weryfikację danych” – to klasyczny scenariusz phishingu, w którym przestępcy wykorzystują panikę wywołaną prawdziwym incydentem, żeby wyłudzić kolejne informacje. Warto też zmienić hasła do kluczowych usług – poczty, bankowości, kont medycznych – i unikać ich powielania między serwisami, a przy podejrzanych połączeniach rozłączyć się i samodzielnie oddzwonić na oficjalny numer instytucji, zamiast ufać rozmówcy.

Formalnie obowiązek bezpośredniego powiadomienia pacjenta o wysokim ryzyku spoczywa na administratorze danych, czyli konkretnej przychodni, w której się leczysz – a nie na samej firmie MyDr. W praktyce oznacza to, że jeśli nie dostałeś żadnego zawiadomienia, nie masz gwarancji, że jesteś bezpieczny – możesz po prostu zapytać wprost swoją przychodnię, czy zgłosiła naruszenie do UODO i czy korzystała z systemów MyDr.

Co to znaczy dla polskiego rynku

Po pierwsze, ten wyciek obnażył fikcję odpowiedzialności rozproszonej. Kiedy dane 19 milionów ludzi trafiają w ręce jednego prywatnego podostawcy IT, a odpowiedzialność prawną ponosi 12 tysięcy niezależnych administratorów, żaden pojedynczy podmiot nie czuje presji wystarczającej, by inwestować w bezpieczeństwo proporcjonalnie do skali ryzyka.

Po drugie, tempo komunikacji było fatalne. Firma odezwała się szerzej dopiero po tym, jak sprawa trafiła do mediów za sprawą samych przestępców – nie dzięki własnej transparentności. To wzorzec, który powtarza się w Polsce przy kolejnych incydentach i podważa zaufanie do jakichkolwiek przyszłych zapewnień „systemy są bezpieczne”.

Po trzecie, brak narzędzia do sprawdzenia, czy konkretna osoba jest objęta wyciekiem, to konkretna porażka infrastruktury państwowej, a nie tylko prywatnej firmy. Przy wcześniejszych dużych wyciekach w Polsce ten sam scenariusz się powtarzał – obietnica portalu weryfikacyjnego pojawia się szybko, jego wdrożenie trwa tygodniami.

Po czwarte, wejście w życie NIS2 w kwietniu 2026 roku teoretycznie zwiększa presję regulacyjną na sektor zdrowia, obejmując nawet 38 tysięcy podmiotów w kraju. Problem w tym, że – jak wynika z analiz branżowych – aż 78% kierowników szpitali nie ma pełnej świadomości skutków nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, a szacowany koszt dostosowania jednego publicznego szpitala do nowych wymogów to około 4,6 mln zł w perspektywie pięciu lat. Przy budżecie programu KPO na cyfryzację sektora wynoszącym 3,131 mld zł na cały kraj, matematyka nie do końca się spina.

Czy warto ufać deklaracjom „systemy są bezpieczne”?

Tak, warto zachować spokój, jeśli:

• Twoje dane pochodzą wyłącznie z wizyt po 2024 roku i Twoja przychodnia nigdy nie korzystała z MyDr – ryzyko bezpośredniego dotknięcia jest wtedy niższe, choć nie zerowe, dopóki zakres wycieku nie zostanie oficjalnie potwierdzony.
• Już zastrzegłeś PESEL i regularnie zmieniasz hasła do kluczowych usług – wtedy większość realnych wektorów nadużycia (kredyty, przejęcie kont) jest już ograniczona.

Nie, nie warto biernie czekać, jeśli:

• Leczyłeś się w placówce, która mogła korzystać z MyDr, a nie masz pewności co do zakresu swoich danych – w takiej sytuacji lepiej działać zapobiegawczo, niż czekać na oficjalne potwierdzenie, które może nadejść z dużym opóźnieniem.
• Otrzymujesz telefony lub wiadomości powołujące się na „wyciek MyDr” i proszące o podanie dodatkowych danych – to sygnał ostrzegawczy, a nie okazja do „zweryfikowania” swojego bezpieczeństwa.

W nadchodzących miesiącach warto obserwować trzy rzeczy: czy powstanie realnie działające narzędzie do sprawdzenia, czyje dane wyciekły, jaką karę finansową nałoży ostatecznie UODO na MyDr i przychodnie korzystające z jego usług, oraz czy wdrożenie NIS2 w polskich szpitalach realnie przełoży się na spadek liczby incydentów, czy pozostanie papierowym obowiązkiem bez pokrycia w budżetach.

Źródła:

• Zaufana Trzecia Strona — Hakerzy twierdzą, że ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr(sierpień 2026)
• RMF24 — Dane milionów Polaków przejęte przez hakerów. Nowe informacje od MyDr (sierpień 2026)
• Rzeczpospolita (cyfrowa.rp.pl) — Wyciek danych 19 mln Polaków. Atak hakerski na MyDr (14 sierpnia 2026)
• TVN24 — Ogromny wyciek danych pacjentów z platformy MyDr. Jak się chronić? Czy rząd zawiódł? (sierpień 2026)
• Money.pl — Atak hakerów na MyDr. Kiedy sprawdzimy nasze dane? Nieprędko (sierpień 2026)
• Gazeta Prawna — UODO reaguje na gigantyczny wyciek danych. Ważny apel do Polaków (sierpień 2026)
• Wprost — Wyciek danych z MyDr. Służby ścigają sprawców (sierpień 2026)
• Rynek Zdrowia — Wzrost o blisko 600 proc. Cyberataki na polskie szpitale i przychodnie zalewają system (sierpień 2026)
• ManagerPlus — Cyberataki na ochronę zdrowia osiągają bezprecedensową skalę (marzec 2026)
• Prawo.pl — Nasilają się cyberataki na sektor zdrowia, powrót do normy trwa tygodniami (czerwiec 2026)
• wsparciedlaszpitala.pl — Cyberbezpieczeństwo szpitala 2026 – NIS2 i ochrona danych (maj 2026)