IQ Dental: przejęte konto administratora i co najmniej 36 placówek objętych incydentem

1 października 2026 r. doszło do incydentu w systemie IQ Dental. Został on wykryty 5 października, a według dostępnych informacji objął co najmniej 36 placówek medycznych.

Jak doszło do incydentu?

Atakujący uzyskał nieuprawniony dostęp do konta administratora — tzw. przejęcie konta admina. To jeden z najgroźniejszych scenariuszy: konto administratora ma zwykle dostęp do wszystkiego, co system przechowuje, i pozwala zarządzać innymi użytkownikami.

W jaki sposób przejęto konto, nie zostało na razie podane do publicznej wiadomości. Najczęstsze przyczyny takich incydentów to:

• hasło wykradzione w innym wycieku i użyte ponownie (tzw. credential stuffing),
• phishing wymierzony w administratora,
• słabe lub domyślne hasło,
• brak uwierzytelniania wieloskładnikowego (MFA), przez co samo hasło wystarcza do zalogowania.

Konta administratorów powinny być chronione co najmniej drugim składnikiem logowania (np. aplikacją uwierzytelniającą lub kluczem sprzętowym), unikalnym hasłem i ograniczeniem dostępu do zaufanych miejsc.

Co oznacza to dla pacjentów?

Ponieważ incydent dotyczy wielu placówek jednocześnie, pacjenci mogą nawet nie wiedzieć, że ich gabinet korzysta z IQ Dental. Warto zwracać uwagę na komunikaty od swojej placówki — w przypadku naruszenia ochrony danych, które może powodować wysokie ryzyko, administrator danych ma obowiązek poinformować o tym osoby, których dane dotyczą.

Co zrobić, jeśli korzystałeś z tej placówki lub systemu?

1. Zastrzeż numer PESEL — bezpłatnie w aplikacji mObywatel lub na gov.pl. Utrudni to wzięcie kredytu albo zawarcie umowy na Twoje dane.
2. Włącz alerty w BIK, żeby dostawać powiadomienie o każdej próbie sprawdzenia Cię przy wniosku kredytowym.
3. Uważaj na wiadomości „od przychodni”, „od lekarza” i „od NFZ”. Wyciekłe dane medyczne są idealnym materiałem do bardzo wiarygodnego phishingu — oszust może znać Twoje nazwisko, datę wizyty, a nawet nazwisko lekarza. Nie klikaj w linki do „dopłat”, „wyników badań” czy „aktualizacji danych” i nie podawaj danych logowania.
4. Nie daj się zastraszyć. Jeśli ktoś grozi ujawnieniem Twoich danych medycznych i żąda pieniędzy — nie płać, zachowaj wiadomości i zgłoś sprawę na policję.
5. Zmień hasła, jeśli miałeś konto pacjenta w danym systemie, a zwłaszcza jeśli tego samego hasła używałeś gdzie indziej.
6. Skorzystaj ze swoich praw. Możesz zapytać placówkę, czy Twoje dane były objęte incydentem i jakie dokładnie. Jeśli uważasz, że Twoje dane były źle chronione, możesz złożyć skargę do Prezesa UODO.