Seria ataków na polski sektor ochrony zdrowia. MyDr to najpoważniejszy przykład

W sierpniu miał miejsce największy wyciek danych osobowych w historii Polski. Obecnie wciąż nie znamy szczegółowego zakresu danych, których bezpieczeństwo (na pewno) uległo naruszeniu.

Możliwość sprawdzenia wycieku w „Bezpiecznych Danych” została dodana 17 dni po potwierdzeniu wystąpienia incydentu przez wicepremiera Krzysztofa Gawkowskiego podczas konferencji prasowej.

Sprawie poświęcone było posiedzenie komisji cyfryzacji, opisane szczegółowo na naszych łamach. W jego trakcie Joanna Karczewska podkreśliła, że w 2026 roku mieliśmy inne poważne cyberataki na polski sektor ochrony zdrowia. Postanowiliśmy je przeanalizować i opisać, aby uwypuklić szerszy zakres problemu.

Wyciek z MyDr jest najpoważniejszy i największy. Musimy jednak zdawać sobie sprawę, że na przestrzeni ostatnich kilku miesięcy niektóre placówki zmuszone były do powrotu do działania w oparciu o „kartkę i długopis”.

Jako opinia publiczna dość mało wiemy o skali opisywanych incydentów, nawet przy potwierdzeniu nieuprawnionego dostępu do danych.

Ataki na polską ochronę zdrowia

Zacznijmy od konkretów. Poniżej znajduje się tabela obrazująca kto, kiedy i jak został zaatakowany.

Wycieki danych

Z punktu widzenia pacjenta kluczowe jest to, czy jego dane zostały wykradzione przez cyberprzestępców. MyDr nie był jedynym przypadkiem, gdzie wiemy, że faktycznie do tego doszło.

„Podająca się za Białorusinów grupa hakerska wykradła dane pacjentów i ich próbka jest już opublikowana w internecie. Do ataku doszło najprawdopodobniej przy wykorzystaniu głośnej ostatnio dziury w CPanelu” – czytamy w aktualizacji artykułu Niebezpiecznika, opisującego wyciek danych z laboratoriów Optimed.

Dotychczas nie podano publicznie skali wycieku, zaś dane nie zostały zamieszczone w „Bezpiecznych Danych”.

W tym przypadku mamy publiczne potwierdzenie, że faktycznie doszło do wycieku danych (choć jego dokładna skala nie jest znana publicznie). Warto jednak przytoczyć inne incydenty, gdzie stwierdzono, że do takiej sytuacji mogło dojść:

• „Ze względu na specyfikę działania ransomware istnieje wysokie prawdopodobieństwo, że dane osobowe zostały przejęte w sposób nieuprawniony przez cyberprzestępców przed ich zaszyfrowaniem" - Szpital Zespolony w Szczecinie;
• „Na ten moment nie mamy żadnego potwierdzenia, że doszło do wycieku Państwa danych. Nie możemy jednak tego całkiem wykluczyć" - Bonifraterskie Centrum Medyczne;
• „Istnieje wysokie prawdopodobieństwo, że dane osobowe mogły zostać w sposób nieuprawniony pozyskane przez sprawców przed ich zaszyfrowaniem" - Centrum Medyczne Eskulap;
• „(...) wykryliśmy incydent polegający na nieuprawnionym dostępie do danych osobowych" - WCM Remedium;
• „Na tę chwilę nie mamy potwierdzenia, że Państwa dane osobowe zostały przejęte przez sprawców. Ze względu na charakter ataku nie możemy jednak wykluczyć takiego ryzyka" - PaKK-Med;
• „Choć obecnie trwają zaawansowane analizy śledcze, na tym etapie nie możemy jednoznacznie wykluczyć, że w trakcie ataku doszło również do naruszenia poufności, a skopiowane dane mogły zostać ujawnione osobom nieupoważnionym" - SPZOZ Warszawa-Ursynów.

„Kartka i długopis”

Ataki ransomware nie dotykają jedynie cyberprzestrzeni, lecz bezpośrednio wpływają na świadczenie usług medycznych. Tragicznym przykładem tego aspektu cyberataków jest incydent w Synnovis, obsługującym m.in. badania i transfuzje krwi w londyńskiej ochronie zdrowia (NHS – cyberatak spowodował opóźnienie w uzyskaniu wyników badań krwi, co przyczyniło się do zgonu pacjenta.

Sky News podało, że atak doprowadził również m.in. do ponad 1,1 tys. opóźnionych terapii onkologicznych, 2 tys. odwołanych wizyt ambulatoryjnych oraz ponad tysiąca przesuniętych zabiegów chirurgicznych.

W przypadku Polski cyberataki również wpłynęły na codzienną pracę placówek ochrony zdrowia – na szczęście nie w takim stopniu jak w Wielkiej Brytanii.

„W efekcie ataku Szpital Wojewódzki pilnie wdrożył procedury awaryjne w tym m.in. przejście na papierowy tryb pracy” – podkreślał szczeciński Szpital Zespolony. Tymczasowo wstrzymano m.in. rejestrację do poradni kardiologicznych.

(...) wszystkie wymagane procedury medyczne i administracyjne trwają dłużej. W związku z tym prosimy pacjentów, by – w miarę możliwości – kierowali się do innych placówek.
SPWSZ Szczecin

Przejście na „papierowy tryb pracy” deklarowało również PaKK-Med. Pokazuje to ważny aspekt ciągłości działania w przypadku niedostępności systemów informatycznych.

Nic bezpośrednio nie wskazuje na to, aby życie i zdrowie pacjentów polskich szpitali było zagrożone wskutek cyberataków.

Ochrona zdrowia na celowniku

Z punktu widzenia pacjenta kluczowa jest informacja o tym, czy jego dane trafiły w niepowołane ręce. Artykuł 34 RODO dopuszcza wydanie publicznego komunikatu w sytuacji, gdy zawiadamianie wymaga „niewspółmiernie dużego wysiłku”.

Wyciek z MyDr oraz opisane wyżej incydenty dotyczą często praktycznie najbardziej wrażliwych kategorii danych – dlatego „po ludzku” każdy z nas zasługuje na informację o szczegółowym zakresie wycieku. Nie tylko o tym, co „mogło”, lecz „było” wykradzione. I tak to, co wyciekło, już nie „odcieknie”.

W styczniu br. wskazywałem, że o niektórych wyciekach nie słyszeliśmy. W lutym podkreślałem, aby mówić więcej o powstrzymanych atakach.

Wszystkie osoby, których dane mogły ulec naruszeniu ochrony i chcą uzyskać więcej informacji o sprawie powinny skontaktować się z inspektorem ochrony danych (jeśli organizacja takiego wyznaczyła).

Zacznijmy stawiać pytania o ochronę naszych danych medycznych, tak jak robi to Rzecznik Praw Pacjenta. Niezależnie od statusów prawnych podmiotów zasługujemy na możliwość „spania spokojnie”, bez obaw o nasze dane, które przecież musimy podać do świadczenia usługi medycznej.

Chcesz coś przekazać? Polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.