Wyciek danych 19 mln Polaków. Lekcja z incydentu MyDr

Cyberatak na firmę MyDr może być jednym z największych incydentów związanych z wyciekiem danych w historii Polski. Według informacji przekazanych 12 sierpnia przez ministra cyfryzacji Krzysztofa Gawkowskiego sprawcy mogli wejść w posiadanie danych blisko 19 mln Polaków. Sprawa jest szczególnie poważna, ponieważ dotyczy dostawcy systemu elektronicznej dokumentacji medycznej wykorzystywanego przez tysiące placówek ochrony zdrowia.

Dla osób, których dane mogły znaleźć się w wykradzionych zasobach, oznacza to konieczność zachowania szczególnej ostrożności. Dla firm i instytucji ten incydent powinien być natomiast impulsem do zadania sobie znacznie szerszego pytania: czy wiemy, gdzie znajdują się nasze najbardziej wrażliwe dane, kto ma do nich dostęp i czy potrafilibyśmy wystarczająco szybko wykryć próbę ich kradzieży?

Co wydarzyło się w MyDr?

MyDr jest dostawcą systemów wykorzystywanych przez placówki medyczne, między innymi do obsługi elektronicznej dokumentacji medycznej. 12 sierpnia polskie władze poinformowały o poważnym incydencie cyberbezpieczeństwa dotyczącym infrastruktury firmy. Według ministra cyfryzacji skala zdarzenia może obejmować dane blisko 19 mln obywateli, a z systemów MyDr korzystało około 12 tys. placówek.

Sama firma podkreśla jednak, że analiza incydentu nadal trwa. Zgodnie z jej komunikatem dane objęte zdarzeniem najprawdopodobniej mają charakter historyczny i pochodzą przede wszystkim z 2024 roku oraz lat wcześniejszych. MyDr zaznacza również, że informacje mogą nie dotyczyć wszystkich klientów firmy ani wszystkich ich pacjentów. Na obecnym etapie nie został też ostatecznie potwierdzony dokładny zakres przejętych informacji.

Według MyDr nie ma obecnie dowodów na publiczne udostępnienie przejętych informacji. Eksperci współpracujący z firmą monitorują między innymi dark web pod kątem pojawienia się danych pochodzących z incydentu.

Ministerstwo Zdrowia poinformowało jednocześnie, że naruszenie nie objęło centralnych usług e-zdrowia i nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie ochrony zdrowia.

Dlaczego ten wyciek jest tak poważny?

W cyberbezpieczeństwie nie wszystkie informacje mają taką samą wartość. Dane związane ze zdrowiem należą do najbardziej wrażliwych kategorii informacji.

W kontekście systemów obsługujących dokumentację medyczną mogą pojawiać się informacje dotyczące wizyt, recept, przyjmowanych leków czy stanu zdrowia pacjenta. Minister cyfryzacji wskazywał właśnie na tego rodzaju dane jako potencjalnie zagrożone w związku z incydentem. Trzeba jednak zaznaczyć, że MyDr nie potwierdził jeszcze publicznie pełnego zakresu informacji, które faktycznie zostały przejęte.

Problem nie kończy się przy tym w momencie samej kradzieży danych.

Informacje pochodzące z dużych wycieków mogą być wykorzystywane długo po incydencie, przede wszystkim w próbach phishingu, podszywania się pod instytucje, socjotechniki czy wyłudzania kolejnych informacji. Im więcej danych o konkretnej osobie posiada przestępca, tym bardziej wiarygodną wiadomość, telefon lub scenariusz oszustwa może przygotować.

Dlatego konsekwencje dużego wycieku danych należy rozpatrywać w perspektywie miesięcy, a czasami nawet lat.

Co powinny zrobić osoby, które obawiają się o swoje dane?

Ministerstwo Zdrowia rekomenduje przede wszystkim zastrzeżenie numeru PESEL, na przykład za pomocą aplikacji mObywatel. Zaleca również stosowanie różnych, silnych haseł do poszczególnych usług, korzystanie z uwierzytelniania wieloetapowego, zwiększoną ostrożność wobec e-maili, SMS-ów oraz telefonów nakłaniających do podania danych, a także regularne monitorowanie aktywności na kontach internetowych.

Warto także śledzić rządowy serwis Bezpieczne Dane. Na 13 sierpnia 2026 roku dane związane z incydentem MyDr nie zostały jeszcze dodane do jego bazy. Mają zostać udostępnione po ich przekazaniu przez podmioty dotknięte cyberatakiem.

Szczególną ostrożność warto zachować wobec wiadomości wykorzystujących temat wycieku. Duże i medialne incydenty szybko stają się pretekstem do kolejnych oszustw. Wiadomość z informacją „Twoje dane wyciekły, kliknij tutaj, aby je zabezpieczyć” sama może być próbą phishingu.

To także ważna lekcja dla firm

Z perspektywy cyberbezpieczeństwa incydent MyDr przypomina o problemie, który dotyczy praktycznie każdej współczesnej organizacji: dane nie funkcjonują dziś wyłącznie wewnątrz jednej infrastruktury.

Są przetwarzane w chmurze, aplikacjach SaaS, systemach partnerów, urządzeniach końcowych, kopiach zapasowych i środowiskach dostawców usług. Bezpieczeństwo organizacji zależy więc również od bezpieczeństwa całego jej cyfrowego łańcucha dostaw.

Szczególne znaczenie ma to w branżach przetwarzających dane wrażliwe, takich jak ochrona zdrowia, finanse czy administracja.

UODO przypomniał po incydencie MyDr, że administratorzy danych, którzy powierzyli ich przetwarzanie zewnętrznemu podmiotowi, nadal mają określone obowiązki. Powinni przeprowadzić analizę ryzyka i ocenić, czy doszło do naruszenia wymagającego zgłoszenia do Prezesa UODO oraz poinformowania osób, których dane dotyczą. Jeśli wymagane jest zgłoszenie naruszenia, powinno ono nastąpić bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia.

Jak ograniczać ryzyko podobnych incydentów?

Nie znamy jeszcze szczegółowego wektora ataku na MyDr. Bez wyników analizy powłamaniowej nie byłoby więc odpowiedzialne wskazywanie jednej technologii, która mogła zapobiec temu konkretnemu zdarzeniu.

Możemy natomiast wskazać obszary, które mają znaczenie przy ograniczaniu ryzyka kradzieży danych.

Pierwszym jest wiedza o samych danych. Organizacja musi wiedzieć, jakie informacje posiada, gdzie są przechowywane, jak są klasyfikowane i kto ma do nich dostęp. Rozwiązania klasy Data Discovery, Data Classification, DSPM oraz DLP pomagają identyfikować wrażliwe informacje, monitorować sposób ich wykorzystania oraz reagować na próby nieautoryzowanego transferu danych.

Drugim obszarem jest wykrywanie aktywności atakującego. EDR, XDR, NDR oraz SIEM pozwalają obserwować zdarzenia zachodzące na urządzeniach, w sieci i systemach oraz korelować informacje, które osobno mogłyby wyglądać niegroźnie. Celem nie jest wyłącznie zatrzymanie złośliwego pliku. Równie ważne jest zauważenie, że ktoś porusza się po infrastrukturze, uzyskuje dostęp do kolejnych systemów albo zaczyna przygotowywać większy transfer danych.

Trzeci element to kontrola dostępu. MFA, zasada minimalnych uprawnień, odpowiednie zarządzanie kontami administracyjnymi oraz segmentacja infrastruktury mogą utrudnić napastnikowi przechodzenie pomiędzy systemami po uzyskaniu pierwszego dostępu.

Czwarty obszar to gotowość na incydent. Organizacja powinna wiedzieć nie tylko, jak chronić system, ale również jak działać, kiedy ochrona zawiedzie. Obejmuje to procedury reagowania, monitoring, zabezpieczenie logów, kopie zapasowe, możliwość szybkiego odtworzenia systemów oraz jasno określoną odpowiedzialność poszczególnych zespołów.

W portfolio Bakotech znajdują się rozwiązania wspierające te obszary, między innymi technologie DLP i ochrony danych, DSPM, backup i disaster recovery, EDR, XDR, MDR oraz rozwiązania zapewniające widoczność aktywności w infrastrukturze.

Cyberbezpieczeństwo nie zaczyna się w dniu ataku

Największym błędem byłoby potraktowanie incydentu MyDr wyłącznie jako problemu jednej firmy lub jednej branży.

Każda organizacja przechowująca dane klientów, pracowników czy partnerów może znaleźć się w podobnej sytuacji. Różnica polega na tym, jak szybko będzie w stanie zauważyć niepożądaną aktywność, ograniczyć dostęp atakującego, określić zakres naruszenia i rozpocząć reakcję.

Z perspektywy Bakotech właśnie dlatego cyberbezpieczeństwo warto budować warstwowo. Nie istnieje pojedynczy produkt, który zapewni organizacji pełną ochronę. Potrzebne są technologie zapewniające widoczność, kontrolę nad danymi i dostępem, możliwość wykrywania zagrożeń oraz odpowiednio przygotowane procesy i ludzie.

Incydent MyDr pokazuje też coś jeszcze: o wartości zabezpieczeń najlepiej świadczy nie to, jak działają podczas spokojnego dnia, ale to, ile czasu organizacja potrzebuje na wykrycie zagrożenia i ograniczenie jego skutków, kiedy atak rzeczywiście nastąpi.

W Bakotech wspieramy partnerów i organizacje w doborze rozwiązań odpowiadających konkretnym środowiskom i scenariuszom ryzyka. W przypadku ochrony danych szczególnie ważne jest spojrzenie na infrastrukturę jako całość: od miejsca przechowywania informacji, przez kontrolę dostępu, po wykrywanie zagrożeń i przygotowanie na reakcję po incydencie.