Wyciek danych z MyDr to jeden z najpoważniejszych incydentów bezpieczeństwa danych w Polsce w ostatnim czasie. W sierpniu 2026 roku cyberprzestępcy uzyskali dostęp do historycznych danych znajdujących się w systemach firmy MyDr, która dostarcza oprogramowanie wykorzystywane przez placówki medyczne. Według informacji Ministerstwa Cyfryzacji incydent może dotyczyć około 19 mln osób oraz 12 tys. placówek medycznych.
Wśród danych objętych incydentem mogą znajdować się m.in. imiona, nazwiska, numery PESEL i dane kontaktowe. W części przypadków zakres informacji może być jednak znacznie szerszy i obejmować dane związane z leczeniem, wizytami lekarskimi, receptami czy przyjmowanymi lekami. Zakres informacji może różnić się w zależności od konkretnego pacjenta.
Dla użytkowników najważniejsze pytanie brzmi teraz: czy mój PESEL znalazł się wśród danych z incydentu? Od 29 sierpnia można to sprawdzić w rządowym serwisie Bezpieczne Dane.
Bezpieczne Dane – jak działa serwis?
Bezpieczne Dane to państwowy serwis, który pozwala sprawdzić, czy nasze dane pojawiły się w znanych incydentach bezpieczeństwa. W przypadku MyDr system weryfikuje numer PESEL użytkownika względem danych związanych z tym konkretnym zdarzeniem. Dostęp wymaga wcześniejszego uwierzytelnienia, dzięki czemu przypadkowa osoba nie może wpisać cudzego numeru PESEL i sprawdzić jego statusu. Portal nie udostępnia pełnej bazy ani dokumentacji medycznej. Wynik pozwala przede wszystkim ustalić, czy dany numer PESEL znalazł się w zbiorze powiązanym z incydentem. Pozytywny rezultat nie oznacza więc automatycznie, że ujawniono wszystkie informacje dotyczące konkretnej osoby. Szczegółowych informacji o zakresie naruszenia powinien udzielić właściwy administrator danych.
Jak krok po kroku sprawdzić PESEL?
1. Wejdź na oficjalną stronę
Otwórz rządowy serwis:
Zawsze sprawdzaj adres strony przed wpisaniem danych logowania. Nie korzystaj z przypadkowych witryn ani linków przesłanych w nieoczekiwanych SMS-ach, e-mailach lub wiadomościach w komunikatorach.
2. Wybierz opcję sprawdzania danych
Na stronie wybierz funkcję „Sprawdź dane”. Następnie przejdź do sekcji dotyczącej monitorowanych danych i znajdź informacje związane z incydentem MyDr.
3. Potwierdź swoją tożsamość
Serwis wymaga logowania. Możesz skorzystać m.in. z aplikacji mObywatel, profilu zaufanego, e-dowodu lub bankowości elektronicznej. Takie zabezpieczenie chroni informacje przed dostępem osób postronnych.
4. Sprawdź wynik
Po zalogowaniu system pokaże, czy znalazł Twój numer PESEL w danych powiązanych z incydentem. Jeśli system znajdzie PESEL, oznacza to, że numer znajduje się w zbiorze dotyczącym tego zdarzenia. Nie oznacza to jednak, że baza zawiera wszystkie informacje na Twój temat. Jeśli system nie znajdzie PESEL-u, portal nie potwierdzi jego obecności w zbiorze danych wykorzystanym do weryfikacji. Bezpieczne Dane nie pokazują pełnej dokumentacji medycznej. Jeśli chcesz ustalić, jakie informacje dotyczące Twojej osoby znajdowały się w systemie, skontaktuj się z odpowiednią placówką medyczną.
Wyciek danych z MyDr – zagrożeniem jest nie tylko PESEL
W przypadku incydentu MyDr uwaga nie powinna koncentrować się wyłącznie na numerach PESEL. Szczególne znaczenie ma możliwość ujawnienia danych dotyczących zdrowia i leczenia. W zależności od zakresu informacji przypisanych do konkretnego pacjenta mogą to być dane dotyczące m.in. wizyt, recept, skierowań, leków czy innych elementów historii leczenia. Takie informacje są szczególnie cenne dla cyberprzestępców, ponieważ mogą zostać wykorzystane do przygotowania znacznie bardziej wiarygodnych ataków socjotechnicznych. Oszust posiadający informacje o konkretnej placówce, lekarzu, odbytej wizycie, wystawionej recepcie czy leczeniu może wykorzystać je podczas rozmowy telefonicznej, w wiadomości SMS lub e-mailu. Dzięki prawdziwym szczegółom dotyczącym pacjenta fałszywy kontakt może wyglądać znacznie bardziej przekonująco niż typowa próba phishingu. Przestępca może przykładowo podszyć się pod przychodnię lub inną instytucję i powołać się na rzeczywistą wizytę albo usługę, a następnie próbować nakłonić odbiorcę do kliknięcia w link, zalogowania się na fałszywej stronie, przekazania dodatkowych danych czy wykonania płatności. Dlatego sama znajomość przez rozmówcę informacji o lekarzu, placówce lub leczeniu nie powinna być traktowana jako potwierdzenie jego tożsamości.
Co zrobić, jeśli PESEL znalazł się w bazie?
Pozytywny wynik nie oznacza, że ktoś już wykorzystał dane. Warto jednak podjąć podstawowe środki ostrożności. Jednym z nich jest zastrzeżenie numeru PESEL, jeśli nie zostało to zrobione wcześniej. Można również zwracać szczególną uwagę na podejrzane telefony, SMS-y i e-maile, zwłaszcza jeśli nadawca wykorzystuje informacje dotyczące zdrowia lub leczenia. Nie należy klikać w podejrzane linki, podawać kodów autoryzacyjnych ani instalować aplikacji na prośbę nieznanej osoby. W przypadku wiadomości rzekomo pochodzącej z placówki medycznej najlepiej samodzielnie skontaktować się z nią, korzystając z danych kontaktowych pochodzących z oficjalnego źródła. Warto przy tym pamiętać, że zastrzeżenie numeru PESEL nie rozwiązuje problemu ujawnienia pozostałych informacji. Numer można zastrzec, natomiast nie da się w podobny sposób zabezpieczyć historii leczenia, informacji o lekarzu czy wcześniejszych wizytach. Dlatego podwyższona ostrożność wobec prób phishingu i innych form socjotechniki może być potrzebna również w dłuższej perspektywie.
Co zrobić, jeśli serwis jest przeciążony?
Duże zainteresowanie sprawą może powodować czasowe problemy z dostępem do Bezpiecznych Danych. Jeżeli serwis chwilowo nie działa lub występują problemy z logowaniem, najlepiej spróbować ponownie później. Nie należy w zamian korzystać ze stron, które obiecują „szybsze sprawdzenie PESEL-u” albo oferują dostęp do baz pochodzących z wycieku. Szczególną ostrożność warto zachować wobec reklam, SMS-ów i wiadomości zachęcających do sprawdzenia, czy dane znalazły się w wycieku. Sam incydent może zostać wykorzystany przez oszustów jako pretekst do wyłudzania kolejnych informacji.
Czy warto sprawdzić PESEL, jeśli od dawna nie korzystaliśmy z usług placówki medycznej?
Tak. Dane znajdujące się w systemach MyDr mają charakter historyczny, dlatego brak niedawnych wizyt nie musi oznaczać, że informacje dotyczące danej osoby nie znalazły się w zbiorze objętym incydentem. Warto więc przeprowadzić weryfikację niezależnie od tego, kiedy ostatnio korzystaliśmy z usług placówki wykorzystującej takie rozwiązania.
Podsumowanie
Cyberatak na MyDr może dotyczyć danych milionów osób. Problem nie sprowadza się przy tym wyłącznie do numerów PESEL. Potencjalne ujawnienie informacji dotyczących leczenia może zwiększać ryzyko skutecznych ataków socjotechnicznych, ponieważ przestępcy mogą wykorzystywać prawdziwe informacje do uwiarygodnienia fałszywych wiadomości i telefonów. Pierwszym krokiem powinno być sprawdzenie swojego numeru PESEL w rządowym serwisie Bezpieczne Dane. W przypadku potwierdzenia jego obecności w zbiorze warto rozważyć zastrzeżenie PESEL-u, ustalić zakres naruszenia oraz zachować szczególną ostrożność wobec kontaktów, w których ktoś powołuje się na informacje dotyczące zdrowia, lekarza, recept czy wcześniejszych wizyt.
