Wyciek z aplikacji Medyc (Qbusoft). Ponad milion pacjentów, w tle SQL injection
Pod koniec sierpnia 2026 r. dane ponad miliona pacjentów z aplikacji Medyc firmy Qbusoft zostały wykradzione przez lukę typu SQL injection. Incydent wykryto dopiero po ponad dwóch tygodniach.
Do ataku na aplikację Medyc firmy Qbusoft doszło 22–23 sierpnia 2026 r. Incydent został jednak wykryty dopiero 8–9 września — przez ponad dwa tygodnie nikt nie wiedział, że dane pacjentów wyciekły.
Skala wycieku
Według dostępnych informacji incydent dotyczy ponad 1 miliona pacjentów.
Czym jest SQL injection?
Do wycieku miało dojść przez podatność typu SQL injection — jedną z najstarszych i najlepiej znanych klas błędów w aplikacjach internetowych.
Aplikacja komunikuje się z bazą danych za pomocą zapytań w języku SQL. Jeśli programista „sklei” zapytanie z tekstem wpisanym przez użytkownika (np. w polu wyszukiwania czy logowania) i nie sprawdzi go odpowiednio, atakujący może wpisać tam własny fragment polecenia. Baza danych wykona je tak, jakby pochodziło od samej aplikacji — a to może oznaczać odczytanie całych tabel z danymi.
SQL injection od lat znajduje się na listach najgroźniejszych błędów w aplikacjach (m.in. OWASP Top 10). Skuteczna ochrona jest dobrze znana: zapytania parametryzowane, walidacja danych wejściowych i ograniczanie uprawnień konta bazy danych.
Dlaczego czas wykrycia ma znaczenie?
Ponad dwa tygodnie między atakiem a jego wykryciem to dużo. W tym czasie wykradzione dane mogły już trafić na fora przestępcze albo zostać użyte w kampaniach oszustw — zanim pacjenci w ogóle dowiedzieli się, że powinni zachować szczególną ostrożność.
Co zrobić, jeśli korzystałeś z tej placówki lub systemu?
- Zastrzeż numer PESEL — bezpłatnie w aplikacji mObywatel lub na gov.pl. Utrudni to wzięcie kredytu albo zawarcie umowy na Twoje dane.
- Włącz alerty w BIK, żeby dostawać powiadomienie o każdej próbie sprawdzenia Cię przy wniosku kredytowym.
- Uważaj na wiadomości „od przychodni”, „od lekarza” i „od NFZ”. Wyciekłe dane medyczne są idealnym materiałem do bardzo wiarygodnego phishingu — oszust może znać Twoje nazwisko, datę wizyty, a nawet nazwisko lekarza. Nie klikaj w linki do „dopłat”, „wyników badań” czy „aktualizacji danych” i nie podawaj danych logowania.
- Nie daj się zastraszyć. Jeśli ktoś grozi ujawnieniem Twoich danych medycznych i żąda pieniędzy — nie płać, zachowaj wiadomości i zgłoś sprawę na policję.
- Zmień hasła, jeśli miałeś konto pacjenta w danym systemie, a zwłaszcza jeśli tego samego hasła używałeś gdzie indziej.
- Skorzystaj ze swoich praw. Możesz zapytać placówkę, czy Twoje dane były objęte incydentem i jakie dokładnie. Jeśli uważasz, że Twoje dane były źle chronione, możesz złożyć skargę do Prezesa UODO.