Twoje dane wyciekły? Sprawdź, czy należą Ci się pieniądze.

Największy wyciek danych medycznych w historii Polski. Sprawcy wykradli ponad 2 TB danych, a minister cyfryzacji mówił o blisko 19 mln osób. Wiele z nich nigdy nie słyszało o MyDr: wystarczyło, że leczyły się w placówce, która używała tego systemu. Trwa kontrola UODO i śledztwo prokuratury.

Tej sprawie poświęciliśmy osobną stronę: jak sprawdzić, czy jesteś w wycieku, kogo można pozwać (przychodnię czy MyDr) i ile realnie zasądzają sądy.

To nie jest nowy atak, tylko sprawa z wiosny 2024 r., o której NFZ poinformował dopiero przy akcie oskarżenia. Sprawcy weszli na konta pracowników placówek medycznych i przez nie wysyłali do systemu eWUŚ masowe zapytania. Według prokuratury było ich ponad 18 mln, a sprawcy pozyskali dane ponad 13 mln osób. NFZ podaje liczbę ok. 11,1 mln i zaznacza, że zabezpieczenia jego własnych systemów nie zostały przełamane.

Zakres danych jest węższy niż przy wyciekach medycznych z 2026 r.: imię, nazwisko, PESEL i informacja, czy dana osoba miała prawo do świadczeń. Nie ma tu informacji o chorobach ani wizytach. Sam PESEL z nazwiskiem wystarcza jednak do prób wyłudzeń, dlatego NFZ wprost zaleca jego zastrzeżenie i ostrzega przed pożyczkami zaciąganymi na cudze dane.

Sprawa jest odrębna od sierpniowego wycieku z MyDr. Jeśli leczysz się w Polsce, możesz być w obu zbiorach.

Ktoś przejął konto administracyjne i przez kilka godzin (1 października, ok. 4:00-12:00) mógł pobierać dane pacjentów wybranych gabinetów. Firma zauważyła to 5 października i wskazuje 36 konkretnych placówek. Jeśli leczysz zęby w gabinecie, który korzysta z IQ Dental, placówka powinna Cię powiadomić. Możesz też zapytać ją wprost (art. 15 RODO).

Osoba podająca się za sprawcę twierdzi, że ma dane 2,4 mln pacjentów razem z receptami i dokumentacją, i żąda okupu za ich nieujawnianie. Firma potwierdziła atak, ale mówi o dostępie do ok. 10% danych z bazy i nadal ustala rzeczywistą skalę.

Za tym atakiem najpewniej nie stoi „Fingerprint”, który przyznał się do włamań do MyDr, Medyc i Fakturowni. To osobny sprawca, a cel jest typowo przestępczy: okup.

Dokumentacja stomatologiczna to dane o zdrowiu, chronione przez RODO szczególnie. Jeśli Twój gabinet korzysta z FELG Dent, ma obowiązek ocenić ryzyko i powiadomić Cię, gdy jest wysokie.

Przestępcy przejęli dane części klientów, w tym dane paszportowe. Firma nie doprecyzowała, czy chodzi o numer dokumentu, czy o skan. Według firmy dane nie pozwalają zalogować się do panelu klienta, a atak nie objął płatności. Osoby, których to dotyczy, miały dostać powiadomienie.

Od 27 września (ok. 3:20) do 28 września (ok. 17:45) ktoś miał nieuprawniony dostęp do systemów Fakturowni. Firma przyznała, że incydent dotyczy każdego konta. Do włamania przyznał się „Fingerprint”, ten sam sprawca, który stoi za wyciekami z MyDr i Medyc. Mówi o 6 TB danych.

Choć klientami Fakturowni są firmy, w wycieku są też dane osób prywatnych: jeśli kiedykolwiek dostałeś fakturę wystawioną w Fakturowni, Twoje imię, nazwisko, adres, a czasem e-mail i telefon są w danych kontrahentów. To samo dotyczy jednoosobowych działalności, gdzie dane firmy to dane właściciela.

Według firmy nie wyciekły certyfikaty KSeF, dane logowania do banków ani dane kart. Hasła były zapisane jako skróty (hasze). Ministerstwo Finansów potwierdziło, że incydent nie objął KSeF.

enel-med wykrył cyberatak 24 września i poinformował, że naruszenie może dotyczyć ok. 3% bazy pacjentów. Pacjenci, których dotyczy incydent, powinni dostać powiadomienie od spółki.

Sprawcy wykorzystali lukę w aplikacji (SQL injection) i wyprowadzili zaszyfrowane archiwum bazy danych. Do ataku przyznaje się „Fingerprint” i twierdzi, że ma dane 5 mln pacjentów oraz 8 mln zdjęć. Tej liczby nikt niezależnie nie potwierdził, a dane nie pojawiły się dotąd publicznie.

Część danych była zaszyfrowana, ale sam dostawca zalecił traktować je tak, jakby były odczytane wprost. Potwierdzone pobranie dotyczy m.in. pacjentów Oddziału Dziennego ośrodka leczenia uzależnień w Inowrocławiu (dane z okresu od lipca 2024 do sierpnia 2026).

Minister cyfryzacji zarzucił Qbusoft, że nie zgłosił incydentu do CERT Polska. Prezes UODO zapowiedział kontrolę w firmie. Qbusoft podaje, że lukę usunął w dniu wykrycia ataku.

Przestępcy weszli do systemów przez konto zewnętrznego dostawcy usług. Wyciekły dane pracowników i partnerów sieci, prawdopodobnie też części klientów. Skradzione dane wystawiono na sprzedaż za 5 tys. euro. Według ministra cyfryzacji incydent nie objął aplikacji Żappka ani danych transakcyjnych. Sprawę bada Prokuratura Rejonowa Poznań-Wilda.

W kwietniu firma zauważyła nietypowe obciążenie serwerów. Okazało się, że od 20 do 24 kwietnia ktoś miał nieuprawniony dostęp do danych klientów. Spółka sama zgłosiła sprawę do UODO i organów ścigania i mówi, że dotyczy ona „części klientów”. Prokuratura podaje konkretną liczbę: 2 870 697 rekordów.

Wśród danych są PESEL i dane z dokumentów tożsamości, czyli zestaw, który najbardziej ułatwia wyłudzenie kredytu lub zawarcie umowy na cudze nazwisko. Sprawca nie został ustalony.

Na forum przestępczym pojawiła się baza klientów obu sklepów. Sklepy potwierdziły nieautoryzowany dostęp, zresetowały hasła i zapowiedziały zgłoszenie sprawy do UODO. Danych kart płatniczych nie przechowywały.