19 milionów Polaków w jednej bazie. Wyciek danych z MyDr to nie jest kolejny "incydent" — to obnażenie tego, jak kruche jest Twoje bezpieczeństwo

12 sierpnia 2026 roku, po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, wicepremier i minister cyfryzacji Krzysztof Gawkowski powiedział jedno zdanie, które powinno zatrzymać każdego, kto kiedykolwiek był u lekarza w Polsce:

Nazwał to jednym z największych incydentów w historii polskiej infosfery. To nie retoryka na potrzeby konferencji prasowej. To liczba większa niż połowa ludności kraju.

Źródłem jest MyDr — dostawca systemu Elektronicznej Dokumentacji Medycznej, należący do grupy Docplanner / ZnanyLekarz, jednego z największych graczy e-zdrowia w Polsce. System obsługuje ok. 12 tysięcy gabinetów i placówek medycznych, ok. 3 miliony wizyt i 2,7 miliona recept miesięcznie. Skala wycieku: 18,8–19 milionów unikatowych numerów PESEL, baza o wielkości ponad 2 TB.

Jako detektyw pracujący na co dzień z danymi — ich zdobywaniem, weryfikacją i ochroną — patrzę na to inaczej niż większość mediów. Nie interesuje mnie tylko "co się stało". Interesuje mnie: kto na tym zarobi i jak to wykorzysta przeciwko Tobie.

Dlaczego do tego doszło

MyDr to system klasy "wszystko w jednym" — elektroniczna dokumentacja medyczna, zarządzanie wizytami, obsługa placówek, powiązany z jednym z największych graczy na rynku e-zdrowia w Polsce. To właśnie taka centralizacja jest problemem. Im więcej wrażliwych danych w jednym miejscu, tym większa nagroda dla atakującego i tym większe szkody, gdy zabezpieczenia zawiodą. Firma sama przyznała, że skradzione dane mają charakter historyczny i pochodzą z okresu do kwietnia 2024 roku i wcześniej — czyli leżały w systemie, dostępne, przez długi czas, zanim ktokolwiek to zauważył.

To nie jest wyjątek. To standard w polskich firmach przetwarzających dane wrażliwe: rozrost bazy szybszy niż rozwój zabezpieczeń, brak segmentacji danych, systemy łatane "na już" zamiast projektowane pod kątem bezpieczeństwa od początku.

Kto za tym stoi

Był to nieuprawniony dostęp do systemów MyDr — cyberatak, nie zaniedbanie jednego pracownika. Wykradziona baza, ponad 2 TB, obejmuje: numery PESEL, imiona i nazwiska, daty urodzenia, numery telefonów, informacje o receptach, przyjmowanych lekach i odbytych wizytach, a w części przypadków — dane o konkretnych schorzeniach. Nie każdy z blisko 19 milionów rekordów zawiera pełny komplet danych medycznych, ale sam PESEL w połączeniu z danymi identyfikacyjnymi już wystarcza do poważnych nadużyć.

Według dotychczasowych ustaleń służb, w tym CBZC i ABW, stoi za tym zorganizowana grupa cyberprzestępcza działająca dla korzyści finansowych. Nic na razie nie wskazuje na atak sponsorowany przez obce państwo. Incydent nie wpłynął na bieżące działanie placówek medycznych — wystawianie recept i obsługa pacjentów odbywają się normalnie. To nie pociesza tych, których dane już wyciekły.

Kluczowa rzecz, którą trzeba zrozumieć

To nie jest wyciek "tych, którzy się gdzieś zarejestrowali". MyDr to oprogramowanie dla lekarzy i przychodni — nie zakładałeś tam konta, nie klikałeś "akceptuję regulamin". Jeśli w ciągu ostatnich kilku lat byłeś na wizycie w jednej z ok. 12 tysięcy placówek korzystających z tego systemu, Twoje dane mogły wyciec, nawet jeśli nazwa MyDr nic Ci nie mówi. Nie musiałeś nic "zrobić", żeby się w tej bazie znaleźć — i to jest właśnie najbardziej niepokojące w tej sprawie.

Jak te dane mogą zostać wykorzystane przeciwko Tobie

• Kradzież tożsamości i wyłudzenia kredytowe — sam PESEL w połączeniu z imieniem, nazwiskiem i adresem wystarcza do prób zaciągnięcia zobowiązań finansowych na czyjeś nazwisko.
• Precyzyjny phishing i vishing — atakujący, znając Twoje dane medyczne (np. konkretny lek, wizytę u specjalisty), może zbudować wiadomość lub telefon, który brzmi wiarygodnie i skłania do podania kolejnych danych lub kliknięcia w link.
• Szantaż — informacje o leczeniu psychiatrycznym, uzależnieniach, chorobach przewlekłych czy wizytach ginekologicznych w niepowołanych rękach to gotowy materiał do wymuszeń.
• Oszustwa na "przychodnię" lub "NFZ" — wiarygodne podszywanie się pod placówki medyczne w celu wyłudzenia danych karty płatniczej.
• Namierzanie osób — połączenie danych adresowych z historią wizyt ułatwia namierzenie miejsca pobytu konkretnej osoby, co jest realnym zagrożeniem w sprawach stalkingu i przemocy domowej.

Co zrobić już teraz

• Zastrzeż PESEL natychmiast — przez aplikację mObywatel, to zajmuje kilka sekund. Nie czekaj, aż potwierdzą, że akurat Twoje dane są w bazie. Wtedy może być za późno.
• Monitoruj bezpiecznedane.gov.pl (logowanie Profilem Zaufanym). Oficjalny komunikat na stronie na dziś brzmi: "Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu" — proces przekazywania danych może potrwać kilka dni, bo administratorami są poszczególne placówki, nie jedna centralna instytucja. Sprawdzaj regularnie, nie jednorazowo.
• Zachowaj czujność wobec telefonów i SMS-ów dotyczących recept, wizyt czy płatności — to najbardziej prawdopodobny wektor phishingu w najbliższych tygodniach, bo atakujący dysponują wiarygodnymi szczegółami medycznymi.
• Sprawdź historię swojego kredytu w BIK — pierwsze próby wyłudzeń na skradzionych danych pojawiają się zwykle w ciągu tygodni, nie miesięcy.

Fakt, że dane na dziś nie są jeszcze w otwartej sprzedaży, nie oznacza bezpieczeństwa — oznacza tylko, że zegar jeszcze tyka. Baza tej wielkości, z tym poziomem szczegółowości, prędzej czy później znajdzie nabywcę. Pytanie nie brzmi "czy", tylko "kiedy" i "czy będziesz na to przygotowany".

Jeśli podejrzewasz, że ktoś już wykorzystuje Twoje dane — do wyłudzenia, szantażu, albo namierzenia Cię — to jest dokładnie ten moment, w którym liczy się szybka i dyskretna weryfikacja, zanim sytuacja się pogłębi.