W sierpniu 2026 roku pojawiły się informacje o poważnym incydencie cyberbezpieczeństwa dotyczącym firmy MyDr, dostawcy systemu wykorzystywanego przez placówki medyczne do prowadzenia elektronicznej dokumentacji medycznej. Urząd Ochrony Danych Osobowych odnosi się do doniesień o wycieku danych dotyczącym niemal 19 mln osób. Jednocześnie dokładny zakres naruszenia w odniesieniu do poszczególnych placówek i pacjentów wymaga indywidualnego ustalenia. (UODO)
Ministerstwo Zdrowia poinformowało, że sprawa jest monitorowana przez właściwe służby i instytucje państwowe, a Centrum e-Zdrowia współpracuje przy działaniach mających ograniczyć potencjalne skutki incydentu. (Gov.pl)
W przypadku podejrzenia, że dane pacjenta mogły znaleźć się w wycieku, najważniejsze jest podjęcie kilku działań zabezpieczających. Sam fakt ujawnienia danych nie oznacza jeszcze, że zostały one wykorzystane przez przestępców. Odpowiednia reakcja może jednak znacząco zmniejszyć ryzyko wyłudzenia kredytu, przejęcia konta lub skutecznego ataku phishingowego.
1. W pierwszej kolejności warto zastrzec numer PESEL
Jednym z najważniejszych działań po wycieku danych zawierających numer PESEL jest jego zastrzeżenie. Można zrobić to bezpłatnie między innymi w aplikacji mObywatel, za pośrednictwem serwisu mObywatel.gov.pl lub osobiście w dowolnym urzędzie gminy. Zastrzeżenie jest realizowane od razu. (Gov.pl)
Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzania, czy PESEL klienta jest zastrzeżony między innymi przed zawarciem umowy kredytu lub pożyczki. Zastrzeżenie ogranicza również możliwość wykorzystania danych do otwarcia nowego rachunku bankowego, zakupu na raty, wykonania określonych czynności notarialnych czy otrzymania kopii karty SIM. (Gov.pl)
Co ważne, zastrzeżony PESEL nie utrudnia korzystania z opieki zdrowotnej. Nadal można zarejestrować się do lekarza, skorzystać ze świadczenia czy zrealizować receptę. Możliwe jest również wykonywanie przelewów oraz wypłacanie pieniędzy z bankomatu. (Gov.pl)
Należy jedynie pamiętać o szczególnych sytuacjach, w których zastrzeżenie trzeba czasowo cofnąć. Dotyczy to między innymi wypłaty w placówce bankowej gotówki przekraczającej trzykrotność minimalnego wynagrodzenia. Jeżeli dyspozycja takiej wypłaty zostanie złożona w czasie, gdy PESEL jest zastrzeżony, bank może wstrzymać realizację wypłaty na 12 godzin, nawet jeśli następnie zastrzeżenie zostanie cofnięte. Dlatego w takiej sytuacji należy najpierw cofnąć zastrzeżenie, a dopiero później złożyć dyspozycję w banku. (Gov.pl)
2. Warto sprawdzić, czy dane rzeczywiście znalazły się w wycieku MyDr
Do sprawdzania informacji o ujawnionych danych służy państwowy serwis BezpieczneDane.gov.pl. Pozwala on po zalogowaniu zweryfikować między innymi numer PESEL, adres e-mail, numer telefonu czy login.
Według stanu na 14 sierpnia 2026 roku dane związane z incydentem MyDr nie zostały jeszcze umieszczone w bazie BezpieczneDane.gov.pl. Serwis informuje, że zostaną udostępnione po ich przekazaniu przez podmioty dotknięte cyberatakiem. (bezpiecznedane.gov.pl)
Brak wyniku w wyszukiwarce w tym momencie nie powinien być więc traktowany jako potwierdzenie, że dane konkretnego pacjenta nie zostały ujawnione.
Warto również zachować szczególną ostrożność wobec stron, wiadomości SMS i reklam obiecujących natychmiastowe sprawdzenie, czy dana osoba znajduje się w bazie MyDr. Tego rodzaju zainteresowanie incydentem może zostać wykorzystane przez przestępców do tworzenia fałszywych formularzy służących do przejmowania kolejnych danych.
3. Należy szczególnie uważać na telefony, SMS-y i wiadomości e-mail
Jednym z największych zagrożeń po wycieku danych jest phishing i socjotechnika. Oszust dysponujący prawdziwymi informacjami może przygotować znacznie bardziej wiarygodną wiadomość lub rozmowę telefoniczną.
Jeżeli ujawnione zostały dane związane z opieką medyczną, próba oszustwa może odnosić się na przykład do recepty, wizyty lekarskiej, badania, płatności za usługę medyczną albo konieczności potwierdzenia danych pacjenta. Znajomość rzeczywistego imienia, nazwiska, numeru PESEL czy innych informacji nie jest dowodem, że rozmówca rzeczywiście reprezentuje placówkę medyczną, NFZ, bank lub inną instytucję.
W najbliższych tygodniach i miesiącach szczególną uwagę powinny zwracać:
- wiadomości zawierające linki do rzekomych recept, wyników badań, zwrotów pieniędzy, dopłat lub formularzy potwierdzających dane,
- telefony z prośbą o podanie numeru PESEL, danych karty płatniczej, hasła lub kodu otrzymanego SMS-em,
- próby wywołania presji czasu, np. informacja o konieczności natychmiastowego działania, utracie pieniędzy lub problemie z leczeniem,
- prośby o instalację programu umożliwiającego zdalny dostęp do telefonu lub komputera,
- wiadomości zachęcające do logowania do bankowości, Internetowego Konta Pacjenta albo innego serwisu za pomocą przesłanego linku.
Jeżeli pojawia się podejrzany telefon, najlepiej zakończyć rozmowę i samodzielnie znaleźć oficjalny numer danej placówki, banku lub instytucji. Nie należy oddzwaniać na numer podany przez rozmówcę ani kierować się wyłącznie numerem widocznym na ekranie telefonu, ponieważ identyfikacja numeru połączenia może zostać sfałszowana.
4. Należy zabezpieczyć najważniejsze konta
Kolejnym krokiem powinno być zwiększenie bezpieczeństwa usług internetowych, z których korzysta pacjent. Szczególnego znaczenia nabierają poczta elektroniczna i bankowość, ponieważ dostęp do nich może umożliwić przejęcie kolejnych kont lub zatwierdzanie operacji wykonywanych przez oszustów.
Warto przede wszystkim zmienić hasła, jeżeli to samo lub podobne hasło było używane w kilku różnych serwisach. Każda ważna usługa powinna mieć własne, unikalne hasło. Tam, gdzie jest to możliwe, należy również włączyć uwierzytelnianie dwuskładnikowe.
Po incydencie warto przez dłuższy czas regularnie kontrolować historię rachunków bankowych i zwracać uwagę na nierozpoznane operacje. Można również monitorować informacje w Biurze Informacji Kredytowej oraz biurach informacji gospodarczej pod kątem zapytań lub zobowiązań, których dana osoba sama nie zaciągała.
Nie należy zakładać, że zagrożenie mija po kilku dniach od wycieku. Dane mogą być wykorzystywane również po wielu tygodniach lub miesiącach.
5. Co zrobić w przypadku próby oszustwa?
Podejrzane wiadomości i strony internetowe można zgłaszać do CERT Polska. Oficjalny formularz zgłaszania incydentów znajduje się w serwisie CERT Polska. Podejrzaną wiadomość SMS można natomiast bezpłatnie przesłać na numer 8080. (NASK)
Jeżeli doszło już do faktycznego wykorzystania danych, np. zaciągnięcia zobowiązania, przejęcia środków lub innej szkody, należy możliwie szybko skontaktować się z właściwą instytucją finansową i poinformować ją o podejrzeniu oszustwa. W zależności od sytuacji należy również złożyć zawiadomienie na Policji lub w prokuraturze.
Warto zachować wszystkie materiały mogące dokumentować próbę oszustwa: wiadomości SMS i e-mail, numery telefonów, potwierdzenia transakcji, zrzuty ekranu oraz informacje o czasie i przebiegu kontaktu z oszustem.
6. Pacjent ma prawo uzyskać informacje dotyczące naruszenia
W przypadku naruszenia ochrony danych odpowiedzialność za ocenę sytuacji spoczywa na administratorze danych, którym w przypadku dokumentacji pacjentów jest co do zasady konkretna placówka medyczna korzystająca z usług podmiotu przetwarzającego dane.
UODO przypomina, że jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osoby fizycznej, administrator powinien bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą. Informacja powinna między innymi opisywać charakter naruszenia, możliwe konsekwencje oraz środki podjęte lub proponowane w celu ograniczenia jego skutków. (UODO)
Pacjent może więc zwrócić się do swojej placówki z pytaniem, czy incydent MyDr dotyczył jego danych oraz jaki zakres informacji został objęty naruszeniem. Ma także prawo dostępu do swoich danych i może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uzna, że jego prawa związane z ochroną danych zostały naruszone.
Wyciek danych MyDr – najważniejsze działania
Po uzyskaniu informacji, że dane mogły zostać objęte incydentem MyDr, nie należy wpadać w panikę. Sam wyciek nie oznacza automatycznie, że doszło do kradzieży pieniędzy, zaciągnięcia kredytu czy przejęcia konta.
Najważniejsza jest szybka reakcja. W pierwszej kolejności warto zastrzec numer PESEL, następnie obserwować oficjalne komunikaty i sprawdzać serwis BezpieczneDane.gov.pl, gdy informacje z incydentu MyDr zostaną w nim udostępnione. Równocześnie należy zachować zwiększoną ostrożność wobec telefonów, SMS-ów i wiadomości e-mail wykorzystujących informacje związane ze zdrowiem, wizytami lekarskimi czy receptami.
W kolejnych miesiącach warto również monitorować rachunki bankowe i informacje kredytowe oraz zabezpieczyć najważniejsze konta internetowe. Takie działania nie usuwają danych, które mogły zostać ujawnione, ale istotnie ograniczają możliwości ich wykorzystania przez osoby nieuprawnione.
