Wyciekły dane medyczne 19 mln Polaków. Poszkodowana firma zdradza, o jakie dane chodzi

W środę doszło do wycieku danych dotyczących leków i recept 19 mln Polaków. O sprawie poinformowało Ministerstwo Cyfryzacji. Dane wyciekły z firmy MyDr, dostawcy platformy informatycznej i systemu elektronicznej dokumentacji medycznej (EDM) dla placówek ochrony zdrowia.

System jest przeznaczony zarówno dla indywidualnych praktyk lekarskich, jak i przychodni czy centrów medycznych.

Wyciekły dane 19 mln Polaków

MyDr informuje na swojej stronie, za pomocą platformy realizowanych jest 3 mln wizyt miesięcznie, a lekarze wystawiają 2,7 mln recept każdego miesiąca.

Jeszcze w środę systemy firmy działały bezpiecznie i w normalnym trybie. Wszyscy lekarze, którzy korzystali z systemu, mieli zostać poinformowani. – Mówimy o 12 tys. placówek, które korzystały z tego oprogramowania – mówił minister cyfryzacji Krzysztof Gawkowski.

Dane nie zostały udostępnione

Firma MyDr poinformowała na swojej stronie, że dane, które zostały wykradzione, „najprawdopodobniej mają charakter historyczny – pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów”.

Forma zapewniła, że jej systemy są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy i nie ma dowodów na to, że wykradzione dane zostały opublikowane lub udostępnione publicznie.

„Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji” – czytamy na stronie MyDr.

Bezpieczeństwo systemów publicznych

Centrum e-Zdrowia poinformowało PAP, że w związku z wyciekiem danych nie doszło do naruszenia bezpieczeństwa systemów publicznych.

„Nie doszło do naruszenia bezpieczeństwa systemów publicznych, a pacjenci zachowują pełny dostęp do świadczeń, e-recept i pozostałych usług realizowanych w publicznym systemie ochrony zdrowia. Obecnie nie ma informacji wskazujących, aby osoby nieuprawnione uzyskały dostęp do systemu P1 w związku z incydentem dotyczącym firmy MyDr” – napisał zespół CeZ.

Centrum Medyczne Enel-Med poinformowało z kolei, że "nie otrzymało od MyDr potwierdzenia, że incydent dotyczył danych osobowych pacjentów Enel-Med korzystających z usług w ramach NFZ".

"Ryzyko nie dotyczy pacjentów realizujących usługi komercyjne, w ramach abonamentów oraz ubezpieczeń. Jeżeli pojawią się potwierdzone informacje dotyczące naszych pacjentów, niezwłocznie przekażemy dalsze komunikaty i zalecenia” – dodała sieć placówek medycznych,

Trzeba zastrzec PESEL

– Każda osoba w Polsce powinna mieć zastrzeżony numer PESEL – przypomniał minister cyfryzacji Krzysztof Gawkowski. Jak podkreślają specjaliści, to podstawowy mechanizm bezpieczeństwa naszych danych.

Najłatwiej to zrobić w aplikacji mObywatel. Po jej uruchomieniu, należy kliknąć na dole w przycisk "Usługi". I tam jedną z opcji jest zakładka "Zastrzeż PESEL". Następnie po wejściu w nią to jest kwestia jednego przycisku "Zastrzeż PESEL". Chyba że PESEL już został wcześniej zastrzeżony, to wtedy będzie taka informacja.

W tej zakładce można też sprawdzić historię swoich zmian dotyczących zastrzegania numeru PESEL, a także informacje, jakie instytucje sprawdzały nasz numer PESEL.

W jaki jeszcze sposób może zastrzec PESEL:

• na stronie obywatel.gov.pl w zakładce nowej funkcji "Zastrzeż PESEL",
• osobiści w urzędzie gminy,
• osobiście w banku lub urzędzie pocztowym.

Gawkowski dodał także, że wszelkie informacje na temat wycieków danych można sprawdzić na stronie bezpiecznedane.gov.pl. Ze względu na duże zainteresowanie tematem, strona może nie działać poprawnie w każdym momencie.

– Jeżeli ktokolwiek z polskich obywateli ma wątpliwości, czy jego dane kiedykolwiek wyciekły, w każdym innym wycieku, to na stronie Bezpieczne Dane można je sprawdzić – powiedział.

Sprawą zajmuje się prokuratura

Dochodzenie w sprawie wycieku danych z firmy MyDr prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości nadzoruje Prokuratura Okręgowa w Warszawie nadzoruje prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości dochodzenie w sprawie wycieku danych z firmy MyDr – przekazał w czwartek

– Dochodzenie prowadzone jest „w sprawie uzyskania przez nieustaloną osobę, nie później niż w dniu 6 sierpnia 2026 roku, bez uprawnienia, za pośrednictwem sieci internet, dostępu do całości lub części systemu informatycznego administrowanego przez MyDr oraz przechowywanych na serwerach spółki informacji nieprzeznaczonych dla sprawcy – po uprzednim przełamaniu albo ominięciu informatycznych zabezpieczeń tych informacji, a następnie ujawnienia części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do redakcji serwisu »Zaufana Trzecia Strona«, a tym samym przetwarzania danych osobowych, w tym dotyczących stanu zdrowia, przez osobę, która nie jest do tego uprawniona – powiedział PAP rzecznik prokuratury Piotr Antoni Skiba.

Grozi za to do trzech lat więzienia.