Wyciek danych pacjentów. Policja ostrzega przed oszustami

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi postępowanie dotyczące nieuprawnionego dostępu do systemu firmy MyDr i przechowywanych tam informacji. Jak wynika z komunikatu policji z 18 sierpnia, śledczy pod nadzorem Prokuratury Okręgowej w Warszawie nadal ustalają okoliczności zdarzenia, jego rzeczywistą skalę oraz próbują ustalić osobę lub osoby odpowiedzialne za incydent. Sprawa budzi szczególne obawy, ponieważ dotyczy danych pacjentów, w tym informacji wrażliwych związanych ze stanem zdrowia.

Jakie dane mogły zostać ujawnione

Prokuratura potwierdziła, że postępowanie obejmuje dane osobowe osób korzystających z placówek będących klientami MyDr. Wśród nich znajdują się imiona i nazwiska, numery PESEL, numery telefonów oraz adresy e-mail. To jednak nie wszystko. Śledczy wskazują również na informacje dotyczące zdrowia pacjentów, w tym treść notatek z wizyt lekarskich oraz dane o wystawionych receptach. To właśnie charakter tych informacji sprawia, że sprawa jest szczególnie poważna.

Śledczy wciąż ustalają skalę wycieku

Według Prokuratury Okręgowej w Warszawie do nieuprawnionego dostępu doszło nie później niż 6 sierpnia 2026 roku. Pierwsze czynności CBZC zostały podjęte z urzędu 10 sierpnia, natomiast formalne dochodzenie wszczęto 12 sierpnia. Prokuratura poinformowała także, że część pozyskanych danych została ujawniona poprzez przesłanie wycinka informacji do redakcji serwisu Zaufana Trzecia Strona.

Na obecnym etapie nie ma jednak podstaw, by wskazać konkretną, potwierdzoną liczbę pacjentów, których dane zostały przejęte. Ministerstwo Cyfryzacji informowało wcześniej, że firma potwierdziła nieuprawniony dostęp do danych historycznych, obejmujących okres do kwietnia 2024 roku, a incydent może dotyczyć 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Jednocześnie Urząd Ochrony Danych Osobowych zaznaczył, że pełna skala naruszenia nadal nie jest znana. Również najnowszy komunikat CBZC potwierdza, że ustalanie rozmiaru wycieku wciąż trwa.

W praktyce oznacza to, że liczby podawanej wcześniej nie należy traktować jako ostatecznie potwierdzonej liczby osób, których konkretne dane zostały wykradzione. Śledczy podkreślają, że proces weryfikacji nadal trwa i dopiero jego zakończenie pozwoli na bardziej precyzyjną ocenę skali zdarzenia.

Nie sprawdzimy tego jeszcze w rządowym serwisie

Policja przekazała również ważną informację dla osób, które próbują samodzielnie ustalić, czy zostały objęte incydentem. Na obecnym etapie numery PESEL pacjentów obsługiwanych przez system MyDr nie są publikowane w serwisie bezpiecznedane.gov.pl. Jak wyjaśnia CBZC, upublicznienie tych informacji teraz mogłoby utrudnić prowadzone czynności procesowe i operacyjne.

Kontrolę zapowiada także UODO

Sprawą zajmuje się również Urząd Ochrony Danych Osobowych. 13 sierpnia prezes UODO zapowiedział kontrolę w spółce MyDr. Urząd chce sprawdzić, jakie środki techniczne i organizacyjne zostały zastosowane do ochrony danych, czy były one regularnie testowane oraz czy analiza ryzyka uwzględniała zagrożenia związane z przetwarzaniem tak wrażliwych informacji. Istotne będzie także ustalenie, czy wyniki tej analizy były rzeczywiście wdrażane w praktyce.

UODO przypomina przy tym, że administratorami danych pacjentów są placówki ochrony zdrowia korzystające z usług MyDr. To właśnie na nich spoczywa obowiązek poinformowania osób, których dotyczy naruszenie, o ile spełnione są przesłanki wymagające takiego zawiadomienia. Dla pacjentów oznacza to konieczność uważnego śledzenia komunikatów przekazywanych bezpośrednio przez przychodnie, gabinety i inne placówki medyczne korzystające z tego systemu.

Policja ostrzega przed oszustami

CBZC zwraca uwagę, że naruszenie poufności danych osobowych i medycznych może zostać wykorzystane do kolejnych przestępstw. Wśród najpoważniejszych zagrożeń wymieniane są próby kradzieży tożsamości, wyłudzeń finansowych oraz phishing. Przestępcy mogą wykorzystywać prawdziwe dane, by uwiarygodnić kontakt i nakłonić ofiarę do przekazania kolejnych informacji lub wykonania niekorzystnych działań.

Policja zaleca przede wszystkim zastrzeżenie numeru PESEL. Można to zrobić bezpłatnie w aplikacji mObywatel, za pośrednictwem serwisu Gov.pl albo w urzędzie. Według CBZC jest to najskuteczniejszy sposób ochrony przed próbami zaciągania zobowiązań finansowych na cudze dane, takich jak kredyty czy pożyczki.

Drugim ważnym zaleceniem jest zachowanie szczególnej ostrożności wobec wiadomości SMS, e-maili oraz połączeń telefonicznych. Oszuści mogą podszywać się pod placówki medyczne, banki lub instytucje państwowe. Znając prawdziwe dane pacjenta, są w stanie stworzyć wiarygodny scenariusz rozmowy lub wiadomości i nakłonić odbiorcę do kliknięcia w fałszywy link, podania hasła albo danych do bankowości internetowej. Podobnie ostrzega UODO, wskazując, że raz zdobyte informacje mogą posłużyć do wyłudzenia kolejnych danych i przejęcia dostępu do innych usług.

Co jeszcze warto zrobić

CBZC rekomenduje także sprawdzenie haseł używanych do portali pacjenta i internetowych kont medycznych. Jeżeli to samo hasło było stosowane również w innych serwisach, powinno zostać niezwłocznie zmienione. Dodatkową warstwą ochrony może być włączenie uwierzytelniania dwuskładnikowego wszędzie tam, gdzie dana usługa udostępnia taką funkcję.

Podejrzane wiadomości SMS można przekazywać do CERT Polska pod bezpłatny numer 8080. Jeśli natomiast doszło już do przestępstwa na szkodę konkretnej osoby, policja zaleca jak najszybsze zgłoszenie sprawy odpowiednim służbom.

Pacjenci powinni zachować czujność

Postępowanie w sprawie wycieku danych z systemu MyDr nadal trwa, a jego pełna skala nie została jeszcze potwierdzona. Już dziś wiadomo jednak, że sprawa dotyczy szczególnie wrażliwych informacji, których wykorzystanie może prowadzić nie tylko do naruszenia prywatności, ale także do realnych strat finansowych. Dlatego dla pacjentów najważniejsze pozostaje jedno: uważnie śledzić komunikaty swojej placówki medycznej, zabezpieczyć numer PESEL i zachować daleko idącą ostrożność wobec każdego niespodziewanego kontaktu dotyczącego zdrowia, finansów lub danych osobowych.