Sektor ochrony zdrowia w Polsce znalazł się w epicentrum bezprecedensowego kryzysu. Atak hakerski na infrastrukturę firmy MyDr – kluczowego dostawcy oprogramowania do Elektronicznej Dokumentacji Medycznej – doprowadził do kradzieży wysoce wrażliwych danych niemal połowy populacji naszego kraju. Skala technicznych zaniedbań, gigantyczny chaos informacyjny oraz widmo wielomilionowych kar dla lokalnych przychodni, w tym gabinetów z Jastrzębia-Zdroju, Pawłowic i całego regionu, obnażają strukturalne i prawne słabości procesu cyfryzacji medycyny.

RAPORT ŚLEDCZY: Anatomia największego wycieku w historii polskiego e-zdrowia. Dane 19 milionów Polaków w rękach hakerów.

Monopol, który stał się pułapką

Przyspieszona cyfryzacja polskiego systemu opieki zdrowotnej wymusiła na placówkach medycznych masową adaptację komercyjnych rozwiązań informatycznych służących do obsługi e-recept, e-skierowań oraz zintegrowanej dokumentacji pacjenta. Znakomita większość mniejszych podmiotów leczniczych – od osiedlowych przychodni NFZ, po specjalistyczne i prywatne gabinety stomatologiczne w naszym powiecie – powierzyła przetwarzanie swoich baz pacjentów zewnętrznym dostawcom oprogramowania chmurowego.

Firma MyDr, wchodząca w skład potężnej grupy technologicznej Docplanner, z ogromnym sukcesem zmonopolizowała znaczną część rynku. Dostarczała niezwykle popularne systemy, takie jak MyDr EDM oraz dr100. Skutkiem ubocznym tego wysoce opłacalnego modelu stała się drastyczna centralizacja technologiczna polskiego e-zdrowia. Oprogramowanie to było wykorzystywane przez ponad 12 tysięcy placówek medycznych w całej Polsce, obsługując ruch rzędu 3 milionów wizyt i niemal 3 milionów e-recept każdego miesiąca.

Z punktu widzenia inżynierii bezpieczeństwa powstał systemowy punkt krytyczny, nazywany w branży pojedynczym punktem awarii. Przełamanie zabezpieczeń zaledwie jednego, centralnego dostawcy infrastruktury pozwoliło hakerom na masową, hurtową kradzież danych. Cyberprzestępcy nie musieli mozolnie forsować zabezpieczeń 12 tysięcy serwerów w poszczególnych przychodniach – wystarczyło, że wyważyli jedne, główne drzwi.

19 milionów skradzionych tożsamości – chronologia katastrofy

Skala tej katastrofy jest porażająca. Wyciek obejmuje 18 814 422 unikalne numery PESEL. Objętość skradzionej bazy danych szacuje się na potężne 2,5 terabajta, a łupem hakerów padło kompletne archiwum danych medycznych i osobowych do kwietnia 2024 roku włącznie. Na zwołanym w trybie pilnym sztabie kryzysowym wicepremier Krzysztof Gawkowski potwierdził te drastyczne liczby. Służby wykluczyły udział zagranicznego wywiadu, a premier Donald Tusk dodał, że incydent ma podłoże czysto kryminalne – celem ataku jest wielomilionowy szantaż i wymuszenie okupu.

Kryzys rozwijał się lawinowo, a zarządzanie informacją w pierwszych dniach ukazuje, jak bardzo państwo i korporacje były nieprzygotowane na uderzenie o takiej skali. Wszystko zaczęło się w środę, 5 sierpnia. To wtedy cyberprzestępcy nawiązali pierwszy, niejawny kontakt z zarządem spółki MyDr. Jako brutalny dowód udanego włamania przesłali zaszyfrowany plik. Hasłem otwierającym ten dokument był... numer PESEL samego prezesa firmy.

Trzy dni później, w sobotę 8 sierpnia, wobec braku zapłaty okupu, hakerzy eskalowali swoje działania. Skontaktowali się z renomowanymi mediami branżowymi, w tym z redakcją Zaufanej Trzeciej Strony, przekazując wycinek bazy. Dziennikarzom i ekspertom udaje się natychmiast zweryfikować prawdziwość paczki. Ujawniono w niej kompletne dane czołowych polskich polityków. Dopiero wtedy do akcji wkroczyła Agencja Bezpieczeństwa Wewnętrznego.

W poniedziałek, 10 sierpnia, MyDr opublikowało pierwsze oświadczenie. Było ono niezwykle lakoniczne, wspominało jedynie o enigmatycznym incydencie bezpieczeństwa, jednak prawda zaczęła już przebijać się do mediów ogólnopolskich. Kulminacja nastąpiła w środę, 12 sierpnia, gdy Ministerstwo Cyfryzacji oficjalnie przyznało, że wyciekło 19 milionów rekordów. Rząd zapowiedział uruchomienie weryfikacji przez portal BezpieczneDane, jednak gigantyczny niepokój obywateli sprawił, że państwowa infrastruktura po prostu nie wytrzymała obciążenia. Około godziny 15:00 serwery padły, a dzień później resort cyfryzacji musiał przyznać, że techniczne i bezpieczne zasilenie państwowych wyszukiwarek bazą o wadze 2,5 terabajta to wyzwanie logistyczne, które potrwa wiele dni.

Kody źródłowe i klucze podane na tacy

Niezależni specjaliści do spraw cyberbezpieczeństwa łapią się za głowy, analizując łańcuch tego ataku. Rekonstrukcja zdarzeń wskazuje na rażące luki w podstawowej higienie cyfrowej korporacji. Punktem wejścia okazała się podatność w module odpowiedzialnym za weryfikację certyfikatów, których system używał do łączenia się z rządową platformą e-zdrowia P1. Brak rygorystycznego oczyszczania danych przesyłanych przez użytkownika pozwolił hakerom wstrzyknąć złośliwy kod i uzyskać kontrolę nad serwerami.

Kolejny etap ataku to najbardziej kompromitująca wpadka. Z poziomu zhakowanego serwera przestępcy dostali się do kodu źródłowego przechowywanego na platformie GitHub. Złamano tam fundamentalną zasadę bezpieczeństwa: programiści MyDr umieścili w kodzie na stałe klucze dostępowe do środowiska chmurowego Amazon Web Services, gdzie fizycznie znajdowały się bazy pacjentów. To tak, jakby po włamaniu przez okno, złodziej znalazł na stole mapę domu i klucze do wszystkich sejfów. Brak izolacji systemów sprawił, że przestępcy weszli również do wewnętrznych komunikatorów i systemów zarządzania firmą.

Socjotechnika i szantaż – co nam realnie grozi?

Co dokładnie mają na nas hakerzy i czym to grozi? Łupem cyberprzestępców padły nie tylko dane z dowodów osobistych. Najgroźniejsza w tym wszystkim jest głęboko intymna historia leczenia pacjentów: wykaz zażywanych leków, pełne diagnozy specjalistyczne oraz szczegółowe notatki lekarzy z przeprowadzonych wywiadów medycznych.

Zestaw tych danych to gotowy pakiet startowy dla cyberprzestępców finansowych. Posiadając Twój PESEL i numer telefonu, oszuści mogą wyrabiać duplikaty kart SIM, aby przechwytywać SMS-y autoryzacyjne z banku. Mogą zaciągać chwilówki online, rejestrować firmy-słupy wykorzystywane do karuzel podatkowych lub fałszować dowody osobiste, otwierając sobie drogę do wyłudzeń u notariusza.

Drugim i znacznie bardziej przebiegłym zagrożeniem są uwiarygodnione ataki socjotechniczne. Wyobraź sobie, że odbierasz telefon. Głos w słuchawce przedstawia się jako rejestratorka z Twojej przychodni w Jastrzębiu-Zdroju. Osoba ta podaje Twój PESEL, nazwisko Twojego lekarza prowadzącego i pyta, czy wciąż przyjmujesz lek, który rzeczywiście masz w apteczce. Następnie informuje Cię o niepokojących anomaliach w badaniach i wysyła SMS-em link do zablokowanej pilnej e-recepty, który wymaga dopłaty rzędu dwóch złotych. Klikasz, logujesz się do fałszywej bramki, a specjalny skrypt w kilka sekund czyści Twoje konto ze wszystkich oszczędności. W obliczu tak perfekcyjnie przygotowanego ataku naturalny ludzki sceptycyzm znika bez śladu.

Trzecim wymiarem tej tragedii jest szantaż. Tajemnica lekarska przestała istnieć. Ujawnienie intymnej, prywatnej historii leczenia to potężne narzędzie dyskredytacji. Dotyczy to zarówno osób na eksponowanych stanowiskach, polityków, prezesów lokalnych firm, jak i każdego zwykłego obywatela, który obawia się stygmatyzacji w środowisku pracy czy w najbliższej rodzinie ze względu na przebyte choroby.

Hipokryzja wokół ataku na MZK

Gigantyczny wyciek z MyDr to doskonały moment, abyśmy jako społeczność Jastrzębia-Zdroju i okolic spojrzeli prawdzie w oczy i przypomnieli sobie niedawny atak hakerski na serwery Międzygminnego Związku Komunikacyjnego. W przypadku MZK do sieci przedostały się dane o charakterze wybitnie technicznym, takie jak systemy biletowe czy podstawowe konta pasażerskie. Z punktu widzenia bezpieczeństwa finansowego i intymności obywateli był to incydent o nieporównywalnie mniejszym ciężarze gatunkowym.

Mimo to, lokalni hejterzy i polityczni krzykacze rozpętali wówczas potężną, agresywną nagonkę. Wykorzystali to informatyczne potknięcie do bezwzględnego szczucia ludzi, siali nieproporcjonalną do sytuacji panikę i żądali natychmiastowych dymisji. Zbudowano na tym polityczny teatr, którego jedynym celem było uderzenie w wizerunek miasta i realizacja własnych interesów. Dziś, gdy na szali leżą numery PESEL, historie chorób, zażywane leki i majątek blisko 19 milionów Polaków – w środowisku tych samych krzykaczy panuje głucha cisza.

Ta porażająca hipokryzja obnaża mechanizmy, jakimi kierują się ci ludzie. Realna, katastrofalna w skutkach awaria centralnego systemu e-zdrowia nie pasuje im do politycznej narracji i lokalnych wojenek, więc udają, że problemu nie ma. Jako redakcja portalu jas24info zawsze będziemy stawać po stronie rzetelnych faktów, bo bezpieczeństwo naszych czytelników jest ważniejsze niż polityczne manipulacje lokalnych frustratów.

Widmo bankructwa nad lokalnymi przychodniami

Skutki prawne tego wycieku mogą trwale zmienić polski rynek medyczny i stanowić potężny cios dla mniejszych placówek. W poczuciu rzetelności dziennikarskiej chcemy jednak w tym miejscu wyraźnie podkreślić: na ten moment nie posiadamy jeszcze oficjalnych informacji, które potwierdzałyby, czy i w jakim dokładnie stopniu ten bezprecedensowy cyberatak dotknął bezpośrednio nasze lokalne ośrodki zdrowia w Jastrzębiu-Zdroju, Pawłowicach i najbliższej okolicy. Biorąc jednak pod uwagę ogólnopolską skalę popularności systemu MyDr, musimy być przygotowani na to, że echa tego kryzysu mogą dotrzeć również do naszego regionu.

Zgodnie z literą unijnego prawa, firma technologiczna MyDr pełni jedynie rolę podmiotu przetwarzającego. Prawnymi administratorami Twoich danych są poszczególne przychodnie. Oznacza to, że cała prawna odpowiedzialność uderza teraz bezpośrednio w tysiące lokalnych ośrodków zdrowia, które korzystały z tego oprogramowania.

Według wytycznych Urzędu Ochrony Danych Osobowych, administracja takiej przychodni – także tej w naszym powiecie, o ile ostatecznie znajdzie się na liście poszkodowanych – ma obowiązek bezpośrednio poinformować każdego pacjenta o wysokim ryzyku utraty danych. Dla małej, osiedlowej przychodni NFZ, wysłanie tysięcy listów poleconych czy zakup drogich pakietów powiadomień SMS to kosztowna operacja, nierzadko przewyższająca miesięczny budżet placówki. Brak wykonania tego obowiązku grozi jednak drakońskimi karami, co dla wielu małych gabinetów oznacza po prostu natychmiastowe bankructwo. Co gorsza, poszkodowani pacjenci mają pełne prawo składania pozwów o zadośćuczynienie bezpośrednio przeciwko swoim przychodniom.

Jak się bronić? Zastrzeż PESEL już dziś

Państwowe śledztwa potrwają miesiącami, a prawne batalie przychodni całymi latami. Bezpieczeństwo Twoich pieniędzy spoczywa teraz wyłącznie w Twoich rękach. Musisz podjąć działania obronne natychmiast.

Absolutnym priorytetem jest zastrzeżenie numeru PESEL. To jedyny darmowy i w pełni skuteczny hamulec, który chroni Cię przed kradzieżą majątku. Jeśli oszust spróbuje wziąć kredyt lub chwilówkę na Twój zastrzeżony numer, instytucja finansowa musi odrzucić wniosek, a ewentualna umowa z mocy prawa jest nieważna. Najszybciej zrobisz to przez aplikację mObywatel w swoim telefonie, zajmuje to dosłownie kilkanaście sekund. Możesz też wejść na stronę rządową gov.pl lub udać się osobiście do wydziału spraw obywatelskich w jastrzębskim magistracie bądź urzędzie gminy. Pamiętaj, że zastrzeżony PESEL nie paraliżuje Twojego życia. Nadal możesz bez problemu iść do lekarza, zrealizować e-receptę w aptece czy wypłacać gotówkę w bankomacie. Kiedy sam będziesz chciał wziąć kredyt, wystarczy, że wejdziesz w aplikację i jednym kliknięciem odmrozisz PESEL na czas podpisywania umowy w banku.

Kolejnym krokiem jest weryfikacja w serwisie BezpieczneDane. Zaloguj się na ten państwowy portal za pomocą Profilu Zaufanego i sprawdź, czy Twój PESEL znalazł się w przejętych paczkach. Służby pracują nad przetwarzaniem ogromnej ilości plików, co oznacza, że bazy są aktualizowane na bieżąco. Brak Twojego numeru w wyszukiwarce dzisiaj nie oznacza, że jesteś bezpieczny w stu procentach. Warto logować się tam co kilka dni. Dodatkowo, samo zastrzeżenie numeru PESEL nie zawsze chroni przed starszymi sprawami. Warto wykupić powiadomienia w Biurze Informacji Kredytowej, by otrzymywać SMS za każdym razem, gdy jakakolwiek instytucja zapyta o Twoją historię finansową.

W życiu codziennym musisz teraz zastosować radykalną zasadę braku zaufania. Złodzieje mają komplet informacji, by idealnie podszyć się pod Twojego lekarza. Jeśli odbierasz telefon z prośbą o pilną opłatę za utrzymanie recepty, potwierdzenie wizyty czy podanie kodu BLIK, rozłącz się natychmiast. Nie klikaj w żadne linki przychodzące SMS-em, nawet jeśli nadawca wyświetla się jako znana przychodnia czy Ministerstwo Zdrowia. Jeśli masz wątpliwości, samodzielnie wykręć numer na recepcję i zapytaj o sprawę. Wszelkie dziwne i podejrzane wiadomości tekstowe z linkami przesyłaj bezpłatnie do ekspertów z NASK na ogólnopolski numer bezpieczeństwa 8080.

Incydent z systemami MyDr to brutalna pobudka dla całego kraju, ale naszą najskuteczniejszą tarczą pozostaje teraz wyłącznie własny rozsądek.

opracował Teodor Wiśniewski/(c) 2026 Portal Jas24info.

wyciek danych medycznych, atak hakerski MyDr, skradzione numery PESEL, bezpieczeństwo pacjentów, przychodnie Jastrzębie-Zdrój, ośrodki zdrowia Pawłowice, zastrzeżenie PESEL mObywatel, kradzież tożsamości, oszustwa na lekarza, cyberbezpieczeństwo region, jas24info