Kolejne polskie przychodnie informują pacjentów o wycieku danych. Tym razem cyberatak na przychodnie nie uderzył w same placówki, tylko w firmy, które dostarczają im oprogramowanie i obsługę techniczną. 4 listopada 2026 r. serwis CyberDefence24 zebrał komunikaty z ostatnich tygodni – obraz jest niepokojący.
W skrócie
- Co: dwa niezależne incydenty u dostawców – w systemie MedicalData oraz w systemie zgłoszeń serwisowych Mantis firmy EuroSoft.
- Kiedy: MedicalData – od 19 sierpnia do 2 września 2026 r.; EuroSoft – 8–9 października 2026 r.
- Jakie dane: m.in. imię i nazwisko, PESEL, adres, telefon, a częściowo także informacje o zdrowiu, receptach i wizytach.
- Ile osób: nie wiadomo. Dostawcy nie są w stanie wskazać pełnej listy poszkodowanych.
- Lekcja: Twoje dane są tak bezpieczne jak najsłabszy dostawca, który ma do nich dostęp.
Co się stało: dwa ataki, wiele placówek
Oba incydenty wyszły na jaw dopiero dzięki zawiadomieniom, które placówki musiały opublikować dla pacjentów. Ani MedicalData, ani EuroSoft nie zamieściły na swoich stronach komunikatu o incydencie (CyberDefence24).
| System | Okres ataku | Placówki, które poinformowały pacjentów | Dane, których mogło dotyczyć naruszenie |
|---|---|---|---|
| Mantis – system zgłoszeń serwisowych EuroSoft | 8–9 października 2026 | Klinika Nova, NZOZ Biogenes (Wrocław), Zespół Poradni Specjalistycznych nr 1 w Tychach, Penta Hospitals | imię i nazwisko, PESEL, data urodzenia, telefon, adres, deklaracja POZ, recepty, zrealizowane wizyty |
| MedicalData – oprogramowanie do obsługi przychodni | ok. 19 sierpnia – 2 września 2026 | NZOZ Śródmieście (Gdynia, Reda), Miejska Stacja Pogotowia Ratunkowego w Gdyni, MK – Medycyna i Kosmetologia (Gdańsk), NZOZ Obłuże-Oksywie (Gdynia) | imię i nazwisko, PESEL, adres, telefon, informacje o zdrowiu i leczeniu (jeśli były w wykradzionych danych) |
Skala jest nieznana. W Klinice Nova liczba poszkodowanych wzrosła z 42 do 56 osób. W przypadku MedicalData analiza techniczna nie pozwoliła odtworzyć ani pełnego zakresu danych, ani listy osób. Jedna z gdyńskich placówek napisała wprost, że dostawca nie potrafi wskazać, których placówek i pacjentów dotyczy wyciek.
Oba zdarzenia zgłoszono do Prezesa UODO, CSIRT Centrum e-Zdrowia oraz organów ścigania.
Jak doszło do wycieku
EuroSoft: dane pacjentów w zgłoszeniach serwisowych. Zaatakowano nie system medyczny, tylko narzędzie do obsługi zgłoszeń technicznych. Problem w tym, że placówki wysyłały w zgłoszeniach dane pacjentów – w treści i w załącznikach. Napastnik dostał się do serwera i pobrał te załączniki, wykorzystując podatność.
Nie wiadomo, którą podatność… W lipcu twórcy otwarto źródłowego Mantisa załatali krytyczną lukę CVE-2026-47156, ale nie potwierdzono, że to ona została wykorzystana (CyberDefence24). Po ataku EuroSoft odciął serwer od sieci i wprowadził blokadę wpisywania numerów PESEL w zgłoszeniach oraz wysyłania niezaszyfrowanych załączników (Biogenes).
MedicalData: nieuprawniony dostęp do bazy. Napastnik przez prawie dwa tygodnie miał dostęp do systemu i wyprowadził część wyników zapytań do bazy danych. Wśród działań naprawczych dostawca wymienił wdrożenie uwierzytelniania wieloskładnikowego (MFA) i wzmożony monitoring. To podstawy, które powinny działać od początku w każdym systemie z danymi medycznymi.
Kto odpowiada za dane? Przychodnia
To kolejna odsłona problemu znanego z wycieku z MyDr, który mógł objąć dane prawie 19 mln pacjentów. Placówki pozostają administratorami danych, a dostawca je tylko przetwarza. Według „Rzeczpospolitej” przekazanie danych zewnętrznej firmie nie zwalnia administratora z dbania o ich bezpieczeństwo (abcZdrowie). Po ataku na MyDr UODO zapowiedziało dodatkowe kontrole w placówkach medycznych (iMagazine).
Ta zasada nie dotyczy tylko medycyny. Biuro rachunkowe, sklep internetowy czy kancelaria też odpowiadają za dane, które powierzają dostawcom.
Czego cyberatak na przychodnie uczy każdą firmę: 5 porad
- Powinieneś wiedzieć, gdzie są Twoje dane – także u dostawców. Dane klientów nie leżą tylko w głównym systemie. Są też w poczcie, czatach z supportem, systemach zgłoszeń i kopiach zapasowych dostawcy. Spisz, kto i gdzie ma do nich dostęp.
- Nie wysyłaj danych osobowych w zgłoszeniach serwisowych. Opisz problem bez PESEL-u i nazwisk, a zrzuty ekranu zamazuj. Jeśli dostawca naprawdę potrzebuje danych, przekaż je bezpiecznym kanałem i poproś o ich usunięcie po zamknięciu sprawy.
- Wymagaj od dostawcy podstaw bezpieczeństwa. Zapytaj o MFA, aktualizacje, monitoring i to, jak szybko poinformuje Cię o incydencie. Zapisz te wymagania w umowie powierzenia przetwarzania danych.
- Miej plan na incydent u dostawcy. Na zgłoszenie naruszenia do UODO masz tylko 72 godziny od jego stwierdzenia. Ustal wcześniej, kto w firmie zbiera informacje od dostawcy, kto podejmuje decyzje i kto informuje klientów.
- Pilnuj aktualizacji własnych narzędzi. Jeśli sam utrzymujesz system zgłoszeń, CRM czy sklep, krytyczne poprawki instaluj w dniach, nie miesiącach. W przypadku EuroSoft nie potwierdzono związku z lipcową luką, ale od jej załatania do ataku minęły ponad trzy miesiące.
Co powinni zrobić pacjenci
Jeśli leczysz się w którejś z wymienionych placówek albo dostałeś od przychodni zawiadomienie o naruszeniu danych:
- Zastrzeż PESEL. Zrobisz to w aplikacji mObywatel, na gov.pl lub w banku. To utrudnia zaciągnięcie kredytu na Twoje dane.
- Uważaj na telefony, SMS-y i maile. Przestępca, który zna Twoje imię, nazwisko, PESEL i przychodnię, może brzmieć bardzo wiarygodnie – np. jako „rejestracja” albo „NFZ”.
- Przeczytaj komunikat swojej placówki. Znajdziesz w nim zakres danych i kontakt do inspektora ochrony danych.
- Nie podawaj nikomu kodów z SMS-ów ani danych do logowania, nawet jeśli rozmówca zna szczegóły Twojego leczenia.
Podsumowanie: najsłabsze ogniwo często jest poza firmą
Ostatni cyberatak na przychodnie pokazuje, że przestępcy coraz częściej celują w dostawców. Jedno włamanie do firmy, która obsługuje setki klientów, daje im dostęp do danych wszystkich naraz. Po MyDr, Medyc i FELG Dent to kolejny przykład z polskiej ochrony zdrowia w tym roku.
Często firma nie skontroluje serwerowni swojego dostawcy. Może jednak ograniczyć, co mu przekazuje, zapisać wymagania w umowie i być gotowa na dzień, w którym przyjdzie mail „w naszych systemach doszło do incydentu”.
Źródła
- CyberDefence24 – Polskie przychodnie informują o cyberatakach. Wyciekły dane (4.11.2026)
- NZOZ Biogenes – Zawiadomienie o naruszeniu ochrony danych osobowych
- CyberDefence24 – Włamanie do bazy danych pacjentów sieci przychodni z Pomorza (wrzesień 2026)
- abcZdrowie – Skutek cyberataku. Tysiące przychodni mogą dostać kary
- iMagazine – UODO rozszerza kontrole w przychodniach po ataku na MyDr
Tekst powstał przy wykorzystaniu AI.
Dodaj komentarz