Włamanie na maila krakowskiego szpitala. Były tam wrażliwe dane pacjentów

„Szpital Uniwersytecki w Krakowie zawiadamia, że 2 marca 2026 r. stwierdzono naruszenie ochrony danych osobowych przetwarzanych w systemie poczty elektronicznej pracownika Szpitala. (…) W systemie poczty elektronicznej Szpitala poprzez celowe i szkodliwe działanie przestępcy internetowego doszło do uzyskania dostępu do skrzynki e-mail pracownika Szpitala. Dotychczasowe ustalenia wskazują, że w skrzynce tej znajdowała się korespondencja zawierająca dane osobowe pacjentów Szpitala diagnozowanych przede wszystkim w ramach tzw. szybkiej ścieżki onkologicznej (Karta DILO)” – przekazano w komunikacie placówki z 10 marca br.

Stwierdzono, że w skrzynce mogły znajdować się różne rodzaje danych, takie jak m.in.:

• imię i nazwisko;
• PESEL;
• numer telefonu;
• adres e-mail;
• miejsce zamieszkania;
• informacje o stanie zdrowia.

Skutki i przeciwdziałanie

Krakowski szpital jasno podkreśla, że obecnie nie posiada informacji wskazujących na wykorzystanie lub upublicznienie ww. danych. Placówka zgłosiła incydent do odpowiednich organów oraz zmieniła poświadczenia logowania.

Szpital Uniwersytecki rekomenduje m.in.:

• ostrożność wobec prób nieoczekiwanych kontaktu;
• nieufność wobec nieznanych linków oraz załączników;
• rozważenie założenia konta w systemie informacji kredytowej lub gospodarczej;
• rozważenie zastrzeżenia numeru PESEL (co warto zrobić nawet w sytuacji, gdzie nasze dane nie uległy naruszeniu ochrony – przyp. red.);
• informowanie odpowiednich organów o wszelkich próbach nieautoryzowanego wykorzystania naszych danych.

Kolejny taki incydent

Na przestrzeni ostatniego roku wiele podmiotów publicznych informowało o włamaniach na skrzynki e-mailowe. Może to wskazywać na wzrost świadomości administratorów. Mowa tu m.in. o poniższych incydentach w podmiotach publicznych:

• 04.2025: włamania na skrzynki trzech organizacji;
• 09.2025: włamanie na skrzynkę ośrodka pomocy społecznej poprzez „przełamanie hasła";
• 01.2026: włamanie na skrzynkę jednego z wydziałów starostwa;
• 01.2026: ujawnienie przekierowań wiadomości ze skrzynki gminy (prawdopodobnie atak typu BEC (Business E-mail Compromise), który ma na celu m.in. wyłudzenie środków poprzez wysyłanie fałszywych wiadomości w ramach już prowadzonej korespondencji).

Jak się chronić?

Podstawową metodą ochrony naszych kont jest dwuetapowe uwierzytelnianie, które polega na wykorzystaniu dodatkowego składnika podczas logowania. Mowa tutaj o m.in.:

• kodach z SMS-ów;
• kodach z aplikacji uwierzytelniających;
• potwierdzeniach w dedykowanych aplikacjach mobilnych;
• wykorzystaniu fizycznego klucza (U2F).

Warto zwrócić uwagę na to, że nie powinniśmy przesyłać danych osobowych drogą mailową bez wcześniejszego szyfrowania.

„Pamiętaj, aby nigdy nie wysyłać ważnych danych (np. numeru PESEL, czy haseł dostępu) bez dodatkowego szyfrowania. Jeśli musisz je komuś przekazać, nie rób tego w jednej wiadomości e-mail, wykorzystaj mieszane kanały komunikacji – np. hasło do zaszyfrowanego pliku prześlij SMS-em” – stwierdzono w jednym z poradników Ministerstwa Cyfryzacji z 2022 roku.