Wyciek z systemu MyDr. Dane nawet 19 mln pacjentów w rękach nieuprawnionych osób

Według dostępnych informacji 12 sierpnia 2026 r. doszło do incydentu w systemie medycznym MyDr. Osoby nieuprawnione uzyskały dostęp do bazy danych systemu, a skala wycieku plasuje go wśród największych incydentów dotyczących danych medycznych w Polsce.

Skala wycieku

• dane dotyczą około 19 milionów pacjentów,
• objętość wykradzionych informacji to ponad 2 TB,
• są to dane historyczne, zgromadzone do kwietnia 2024 r.

To, że dane są „historyczne”, nie oznacza, że są mniej groźne. Imię, nazwisko, PESEL czy historia wizyt nie tracą ważności po dwóch latach — a dla oszustów wciąż są cenne.

Jak doszło do wycieku?

Incydent polegał na nieautoryzowanym dostępie do bazy danych. Oznacza to, że ktoś bez uprawnień dostał się bezpośrednio do miejsca, w którym system przechowywał informacje — z pominięciem zabezpieczeń, które normalnie decydują o tym, kto i co może zobaczyć. Szczegóły techniczne ataku nie zostały na razie podane do publicznej wiadomości.

Dlaczego dane medyczne są tak cenne dla przestępców?

Dane medyczne należą do szczególnie chronionych kategorii danych osobowych. W przeciwieństwie do numeru karty płatniczej nie da się ich „zastrzec” i wymienić na nowe. Mogą posłużyć do kradzieży tożsamości, wyłudzeń, szantażu, a przede wszystkim do tworzenia bardzo przekonujących, spersonalizowanych oszustw.

Co zrobić, jeśli korzystałeś z tej placówki lub systemu?

1. Zastrzeż numer PESEL — bezpłatnie w aplikacji mObywatel lub na gov.pl. Utrudni to wzięcie kredytu albo zawarcie umowy na Twoje dane.
2. Włącz alerty w BIK, żeby dostawać powiadomienie o każdej próbie sprawdzenia Cię przy wniosku kredytowym.
3. Uważaj na wiadomości „od przychodni”, „od lekarza” i „od NFZ”. Wyciekłe dane medyczne są idealnym materiałem do bardzo wiarygodnego phishingu — oszust może znać Twoje nazwisko, datę wizyty, a nawet nazwisko lekarza. Nie klikaj w linki do „dopłat”, „wyników badań” czy „aktualizacji danych” i nie podawaj danych logowania.
4. Nie daj się zastraszyć. Jeśli ktoś grozi ujawnieniem Twoich danych medycznych i żąda pieniędzy — nie płać, zachowaj wiadomości i zgłoś sprawę na policję.
5. Zmień hasła, jeśli miałeś konto pacjenta w danym systemie, a zwłaszcza jeśli tego samego hasła używałeś gdzie indziej.
6. Skorzystaj ze swoich praw. Możesz zapytać placówkę, czy Twoje dane były objęte incydentem i jakie dokładnie. Jeśli uważasz, że Twoje dane były źle chronione, możesz złożyć skargę do Prezesa UODO.