Polskie przychodnie informują o cyberatakach. Wyciekły dane

18 września br. informowaliśmy o włamaniu do bazy danych pacjentów NZOZ Śródmieście, prowadzące pięć placówek POZ w Gdyni i Redzie. Wówczas w komunikacie nie padła nazwa systemu – obecnie w zawiadomieniu znajduje się wskazanie, że mowa o „MedicalData”, czyli oprogramowaniu do „kompleksowej obsługi przychodni oraz indywidualnych gabinetów lekarskich”. Udało nam się również dotrzeć do trzech kolejnych komunikatów dotyczących tego systemu.

Pod koniec października cztery podmioty z sektora medycznego poinformowały o incydencie w systemie EuroSoft (wdrożeniu Mantis), służącym do obsługi zgłoszeń technicznych. Zdarzenie skutkowało nieuprawnionym dostępem do danych osobowych, w tym informacji o zdrowiu.

MedicalData

„Potwierdzono nieuprawniony dostęp do systemu oraz wyprowadzenie części wyników zapytań do bazy danych” – czytamy w zaktualizowanym komunikacie NZOZ Śródmieście.

We wrześniowym artykule podkreślialiśmy, że NZOZ jest właścicielem logotypu MedicalData. Wspomnieliśmy też o resecie haseł do systemu „w związku z wyciekiem danych z innego programu”.

Co najgorsze, nie ustalono liczby osób, których dotyczy incydent.

„Zakończona zasadnicza analiza techniczna nie pozwoliła wiarygodnie odtworzyć pełnego zakresu wyprowadzonych danych ani listy osób” – stwierdzono w zawiadomieniu.

Jednocześnie zapewniono o braku potwierdzenia skopiowania całej bazy danych, pełnych kopii zapasowych bądź dokumentacji medycznej.

Incydent może obejmować poniższy zestaw danych:

• imię i nazwisko;
• numer PESEL;
• adres zamieszkania (jeśli podano);
• numer telefonu;
• informacje dotyczące zdrowia i leczenia (jeśli „znajdowały się w danych objętych zdarzeniem").

Kolejne placówki informują o incydencie

14 października o incydencie w systemie MedicalData poinformowała Miejska Stacja Pogotowia Ratunkowego w Gdyni SP ZOZ.

„Według aktualnych ustaleń podmiotu obsługującego system nieuprawniona aktywność mogła mieć miejsce w okresie od około godz. 03:00 w dniu 19 sierpnia 2026 r. do około godz. 15:13 w dniu 2 września 2026 r” – czytamy na stronie.

26 października komunikat w sprawie wydała placówka „MK – Medycyna i Kosmetologia” z Gdańska. Zawiadomienie opublikował również Niepubliczny Zakład Opieki Zdrowotnej Obłuże-Oksywie z Gdyni.

Na podstawie najnowszych ustaleń przekazanych nam przez dostawcę w dniu 30.10.2026 r. wynika, że dostawca nie jest w stanie precyzyjnie wskazać których placówek i których konkretnie pacjentów dane zostały skopiowane.
NZOZ Obłuże-Oksywie z Gdyni

W każdym z zawiadomień znajduje się informacja o tym, że nieznany jest dokładny zakres zdarzenia – placówki nie są w stanie wskazać, czyje dane uległy naruszeniu ochrony z racji na brak takiej informacji od podmiotu przetwarzającego (MedicalData).

Wśród działań naprawczych podmiotu obsługującego system znalazło się m.in. wdrożenie wieloskładnikowego uwierzytelniania oraz objęcie środowiska wzmożonym monitoringiem. Należy podkreślić, że dwa wspomniane elementy to podstawy zabezpieczenia systemów i powinny być bezwzględnie wdrożone wszędzie tam, gdzie przetwarzane są wrażliwe dane.

Liczba osób i placówek dotkniętych zdarzeniem pozostaje nieznana. Obecnie na stronie MedicalData nie widnieje żaden komunikat o incydencie.

EuroSoft (Mantis)

Kolejny cyberatak dotyczy systemu Mantis w ramach infrastruktury informatycznej EuroSoft, służącego do zgłoszeń technicznych (serwisowych). Samo rozwiązanie jest otwartoźródłowe i służy do obsługi zgłoszeń. Incydent dotyczy instancji Mantis wdrożonej przez EuroSoft.

28 czerwca br. Mantis poinformowało o wykryciu krytycznej podatności (CVE-2026-47156. Aktualizację opublikowano 1 lipca. Dotychczas nie wiadomo, czy incydent jest spowodowany tą luką w oprogramowaniu, choć dzięki jednemu zawiadomieniu wiemy, że nieuprawniony dostęp miał być możliwy dzięki wykorzystaniu podatności.

22 października o incydencie poinformowała Klinika Nova (prowadząca m.in. poradnie i szpital), zaś cztery dni później o cyberataku na ten system zawiadomiła NZOZ Biogenes.

„Z informacji przekazanych przez EuroSoft sp. z o.o. wynika, że w dniach 8–9 października 2026 r. doszło do cyberataku na system zgłoszeń serwisowych Mantis, wykorzystywany przez EuroSoft do obsługi zgłoszeń technicznych przekazywanych przez placówki medyczne” – czytamy w komunikacie Niepublicznego Zakładu Opieki Zdrowotnej.

Komunikaty w tej sprawie wydały również Zespół Poradni Specjalistycznych Nr 1 w Tychach oraz Penta Hospitals (sieć 7 szpitali oraz 8 przychodni).

„Incydent został zgłoszony przez EuroSoft do CSIRT Centrum e-Zdrowia w dniu 14 października 2026 r. nr zgłoszenia: CSIRT CeZ #5970” – podkreśla Penta Hospitals.

Osoba nieuprawniona uzyskała dostęp do serwera i pobrała przechowywane w systemie załączniki do zgłoszeń.
Penta Hospitals

Pozornie może wydawać się, że incydent nie obejmuje danych pacjentów – wiemy natomiast, że doszło do naruszenia ochrony danych osobowych (w tym medycznych). W zaktualizowanym komunikacie Kliniki Nova wymieniono poniższe rodzaje informacji, które uległy naruszeniu ochrony:

• imię i nazwisko;
• numer PESEL;
• data urodzenia;
• numer telefonu;
• adres zamieszkania;
• miejsce udzielania świadczeń zdrowotnych;
• dane dotyczące aktywnej deklaracji POZ;
• recepty;
• zrealizowane wizyty.

„Dane te znajdowały się w treści zgłoszenia serwisowego” – podkreśla Klinika. W przypadku jednego pacjenta ujawniono pojedynczy wynik badania laboratoryjnego.

Działania naprawcze i skala

W komunikacie NZOZ Biogenes podkreślono, że zaatakowany serwer został odłączony od sieci.

(...) wdrożono rozwiązania mające zapobiegać zamieszczaniu numerów PESEL bezpośrednio w treści zgłoszeń serwisowych oraz przekazywaniu niezaszyfrowanych załączników
NZOZ Biogenes o działaniach EuroSoft

Obecnie nie wiadomo ilu placówek bądź osób dotyczy incydent. Znamy jednak skalę incydentu w przypadku Kliniki Nova: pierwotnie wynosiła 42 osoby, zaś kilka dni później została rozszerzona do 56 pacjentów.

Obecnie nie ma informacji wskazujących na to, aby główne serwery EuroSoft padły ofiarą ataku – opisywane incydenty dotyczą systemu zgłoszeń serwisowych. Obecnie na stronie EuroSoft nie ma komunikatu o incydencie.

Co dalej?

Nie znamy pełnej skali incydentów w MedicalData oraz EuroSoft (dotyczących systemu Mantis). Skierujemy pytania prasowe do spółek odpowiedzialnych za systemy w tej sprawie oraz instytucji odpowiedzialnych za cyberbezpieczeństwo.

Wiemy, że o incydencie w MedicalData zawiadomiono Prezesa UODO, CSIRT Centrum e-Zdrowie oraz Policję (CBZC). W przypadku incydentu w systemie Mantis (EuroSoft) informacje przekazano m.in. PUODO, CSIRT CeZ oraz organom ścigania (w tym prokuraturze).

Omawiane incydenty to zaledwie kolejne z wielu cyberataków na polski sektor ochrony zdrowia – sprawę szerzej opisywaliśmy na naszych łamach po wycieku z MyDr. Wówczas nie wiedzieliśmy jeszcze o wycieku z Medyc/Qbusoft (najprawdopodobniej ok. 5 mln osób) oraz FELG Dent (ok. 2 mln rekordów).

Niezmiennie zalecamy zastrzeżenie numeru PESEL oraz ostrożność wobec prób kontaktu.

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.