Wyciek danychMyDr

To najpoważniejszy wyciek danych w historii Polski. 10 sierpnia 2026 roku serwis Zaufana Trzecia Strona opisał ofertę sprzedaży bazy danych, którą przestępcy mieli wykraść z systemów firmy MyDr. Dwa dni później sprawę potwierdził wicepremier i minister cyfryzacji Krzysztof Gawkowski, zwołując posiedzenie Połączonego Centrum Operacji Cyberbezpieczeństwa.

MyDr nie jest przychodnią ani szpitalem. To dostawca oprogramowania do prowadzenia elektronicznej dokumentacji medycznej, z którego korzysta około 12 tysięcy placówek ochrony zdrowia w całym kraju. Właśnie dlatego skala jest tak duża: jeden atak na dostawcę systemu sięgnął pacjentów tysięcy niezależnych przychodni, gabinetów i laboratoriów naraz. Pacjent nie miał żadnego wpływu na wybór tego oprogramowania i najczęściej nawet nie wiedział, że jego dane trafiają do systemu tej firmy.

Według deklaracji sprawców baza zawiera ponad 18,8 miliona unikatowych numerów PESEL i waży ponad 2 terabajty. Wicepremier mówił o danych blisko 19 milionów obywateli, czyli około połowy populacji Polski. Dziennikarze Zaufanej Trzeciej Strony sprawdzili próbkę: dane powiązane z trzema z pięciu weryfikowanych numerów PESEL faktycznie zgadzały się z rzeczywistością, a w zakresie, w jakim dało się to sprawdzić, nie znaleziono niezgodności w twierdzeniach sprawców.

Co dokładnie znalazło się w bazie

Według dotychczasowych ustaleń zbiór zawiera numer PESEL, imię i nazwisko, datę urodzenia oraz numer telefonu. To już wystarcza do podszycia się pod pacjenta w rozmowie telefonicznej. Znacznie poważniejszy jest jednak drugi zakres: informacje związane ze stanem zdrowia, odbytymi wizytami oraz wystawionymi receptami.

Dane medyczne różnią się od haseł jedną cechą, która przesądza o powadze tego incydentu. Hasło można zmienić w minutę. Numeru PESEL, daty urodzenia ani historii leczenia zmienić się nie da. Raz ujawnione, pozostają aktualne przez całe życie i można je wykorzystywać latami po samym wycieku.

Dlaczego to groźne w praktyce

Największe realne ryzyko to nie włamanie na konto, tylko wiarygodne oszustwo. Osoba, która zna Twój PESEL, datę urodzenia, numer telefonu i to, u jakiego specjalisty byłeś w zeszłym miesiącu, może zadzwonić i przedstawić się jako pracownik przychodni, NFZ albo ubezpieczyciela. Rozmowa brzmi przekonująco, bo rozmówca zna szczegóły, których nie powinien znać nikt postronny.

Drugie ryzyko to próby zaciągnięcia zobowiązań na cudze dane. Numer PESEL razem z imieniem, nazwiskiem i datą urodzenia bywa wykorzystywany przy weryfikacji tożsamości w usługach finansowych.

Trzecie ryzyko dotyczy szczególnie wrażliwych rozpoznań. Informacja o leczeniu psychiatrycznym, uzależnieniu, ciąży czy chorobie przewlekłej może posłużyć do szantażu albo trafić do osób, przed którymi pacjent świadomie ją chronił.

Co zrobić

Rząd zapowiedział udostępnienie możliwości sprawdzenia własnych danych w portalu Bezpieczne Dane. To jedyne miejsce, w którym da się zweryfikować numer PESEL, bo żaden komercyjny serwis nie ma i nie powinien mieć dostępu do takiej bazy.

Najpilniejszym krokiem jest zastrzeżenie numeru PESEL w aplikacji mObywatel lub w urzędzie gminy. Zastrzeżenie blokuje możliwość wzięcia kredytu czy zawarcia umowy na Twoje dane i jest bezpłatne. Warto to zrobić niezależnie od tego, czy Twoje dane znalazły się w tym konkretnym zbiorze.

Drugi krok to nieufność wobec telefonów i wiadomości powołujących się na placówki medyczne, NFZ czy ubezpieczyciela. Jeśli rozmówca zna Twoje dane, nie znaczy to, że jest tym, za kogo się podaje. Rozłącz się i oddzwoń na numer znaleziony samodzielnie na oficjalnej stronie.

Trzeci krok dotyczy numeru telefonu, który również znalazł się w tym zbiorze. Numer bywa używany do odbierania kodów jednorazowych, więc warto ustawić u operatora dodatkowe potwierdzenie przy wymianie karty SIM, a w ważnych usługach zamienić kody SMS na aplikację uwierzytelniającą.