Najważniejsze informacje

• Cyberatak dotyczy MyDr, dostawcy systemów wykorzystywanych przez placówki medyczne.
• Dokładna liczba poszkodowanych oraz zakres ujawnionych informacji nadal są ustalane.
• Na 15 sierpnia dane z incydentu MyDr nie zostały jeszcze dodane do serwisu Bezpieczne Dane.
• Nie należy zakładać, że wyciek objął każdego pacjenta korzystającego z opieki zdrowotnej.
• Zastrzeżenie PESEL jest bezpłatne i nie utrudnia wizyt lekarskich, realizacji recept ani otrzymywania emerytury.
• Znajomość nazwiska, numeru PESEL lub informacji o przychodni nie potwierdza tożsamości osoby dzwoniącej.
• Nie należy podawać przez telefon haseł, kodów SMS, kodów BLIK ani danych karty.

Co wiadomo o wycieku danych MyDr?

MyDr dostarcza oprogramowanie służące między innymi do prowadzenia elektronicznej dokumentacji medycznej, obsługi wizyt oraz wystawiania e-recept i e-skierowań. Z systemów tego rodzaju korzystają przychodnie, gabinety lekarskie i inne placówki ochrony zdrowia.

Według informacji Polskiej Agencji Prasowej, opublikowanych między innymi przez Bankier.pl w relacji o cyberataku na MyDr, minister cyfryzacji informował o bazie zawierającej około 19 milionów rekordów i ponad 2 TB danych. W działania zostały zaangażowane między innymi CERT Polska, Policja oraz Urząd Ochrony Danych Osobowych.

Trzeba przy tym odróżnić liczbę rekordów od liczby osób. Jedna osoba może występować w bazie więcej niż raz, na przykład w związku z różnymi wizytami, receptami lub placówkami. Nadal nie ma podstaw, aby twierdzić, że każdemu pacjentowi ujawniono cały przebieg leczenia.

MyDr przekazało mediom, że bada charakter, chronologię i potencjalny zakres nieuprawnionego dostępu. Dopóki dochodzenie nie zostanie zakończone, ostrożnie należy traktować szczegółowe listy danych krążące w mediach społecznościowych.

Czy moje dane z MyDr można już sprawdzić?

Nie — na 15 sierpnia 2026 roku danych związanych z incydentem MyDr nie ma jeszcze w państwowej wyszukiwarce. Oficjalny serwis informuje, że zostaną one udostępnione po przekazaniu przez podmioty dotknięte cyberatakiem. Ma temu towarzyszyć osobny komunikat.

Na stronie BezpieczneDane.gov.pl można bezpłatnie sprawdzać numery telefonu, adresy e-mail, loginy i numery PESEL w danych pochodzących z obsługiwanych już wycieków. Konieczne jest zalogowanie się do usługi.

Negatywny wynik uzyskany przed dodaniem danych MyDr nie potwierdza więc, że dana osoba nie została objęta tym konkretnym incydentem. Warto wrócić do serwisu po opublikowaniu zapowiadanego komunikatu.

Kogo może dotyczyć incydent?

Incydent może dotyczyć pacjentów placówek wykorzystujących oprogramowanie MyDr. Pacjent nie zawsze musi wiedzieć, z jakiego systemu informatycznego korzysta jego przychodnia. Brak własnego konta w portalu MyDr również nie przesądza, że w systemie nie było danych wprowadzonych przez placówkę.

Jednocześnie samo korzystanie z usług lekarza, NFZ, Internetowego Konta Pacjenta albo e-recepty nie oznacza automatycznie, że dane znajdowały się w bazie objętej cyberatakiem.

Dlaczego dane medyczne mogą ułatwić oszustwo?

Dane dotyczące zdrowia są wrażliwe, ale zagrożenie nie ogranicza się do naruszenia prywatności. Informacja o nazwie przychodni, terminie wizyty, recepcie albo specjalizacji lekarza może sprawić, że fałszywy telefon zabrzmi wiarygodnie.

Oszust może twierdzić, że trzeba:

• potwierdzić dane pacjenta po awarii systemu;
• zapłacić za receptę, badanie albo przesyłkę z lekiem;
• podać kod otrzymany w wiadomości;
• zainstalować aplikację do „zabezpieczenia konta”;
• cofnąć zastrzeżenie PESEL;
• przenieść pieniądze na rzekomo bezpieczny rachunek;
• przekazać dane bankowe w celu otrzymania refundacji.

Znajomość prawdziwych danych nie dowodzi, że dzwoni pracownik przychodni, Narodowego Funduszu Zdrowia lub banku. Szczegół mógł pochodzić z wcześniejszego wycieku, publicznego profilu albo rozmowy przeprowadzonej z inną osobą.

Praktyczną instrukcję reagowania zawiera poradnik po60.com o tym, jak rozpoznać oszustwo podczas rozmowy z nieznanego numeru.

Wyciek danych MyDr — co zrobić teraz?

1. Zastrzeż PESEL.
   Można to zrobić w aplikacji lub serwisie mObywatel oraz osobiście w dowolnym urzędzie gminy. Usługa jest bezpłatna. Szczegółowe instrukcje znajdują się w poradniku jak szybko zastrzec PESEL.
2. Nie czekaj na wynik wyszukiwarki, aby uruchomić podstawową ochronę.
   PESEL można zastrzec profilaktycznie. Nie trzeba przedstawiać dowodu, że dane zostały wykradzione.
3. Sprawdź, czy hasło było powtarzane.
   Jeżeli hasło używane w koncie pacjenta występuje również w poczcie elektronicznej, sklepie lub innym serwisie, zmień je w każdym z tych miejsc. Każde konto powinno mieć oddzielne hasło.
4. Zacznij od poczty elektronicznej.
   Dostęp do skrzynki może pozwolić przestępcy resetować hasła w innych usługach. Włącz uwierzytelnianie dwuskładnikowe, jeśli operator poczty je udostępnia.
5. Sprawdź konto bankowe i ustaw powiadomienia.
   Warto przejrzeć operacje oraz włączyć informacje o płatnościach i przelewach. Nie trzeba zamykać rachunku wyłącznie z powodu informacji o wycieku.
6. Ostrzeż bliskich.
   Ustalcie zasadę, że żadna prośba o pieniądze związana z leczeniem nie jest realizowana bez oddzwonienia na wcześniej zapisany numer.
7. Zachowaj podejrzane wiadomości.
   Nie odpowiadaj i nie otwieraj linków. Podejrzany SMS można przekazać do CERT Polska na numer 8080.

Czego zastrzeżenie PESEL nie załatwi?

Zastrzeżony PESEL utrudnia wykorzystanie danych do określonych umów i czynności finansowych, ale nie blokuje każdego rodzaju oszustwa. Nie zatrzyma przelewu, który właściciel konta sam zatwierdzi pod wpływem rozmówcy. Nie zabezpieczy też konta, jeśli przestępca zdobędzie jego hasło i kod autoryzacyjny.

Zastrzeżenie nie przeszkadza w korzystaniu z wizyt lekarskich, realizowaniu recept ani logowaniu do Internetowego Konta Pacjenta. Nie blokuje również zwykłych płatności kartą, przelewów, wypłat z bankomatu czy wypłaty emerytury.

Codzienne zasady chronienia kont, płatności i aplikacji opisuje materiał o bankowości i bezpieczeństwie w internecie.

Najczęstsze błędy po informacji o wycieku

Klikanie w link prowadzący rzekomo do listy poszkodowanych

Do sprawdzania danych należy używać adresu wpisanego samodzielnie. Fałszywy formularz może służyć do zebrania numeru PESEL, danych dowodu albo danych logowania.

Podawanie kodu w celu „potwierdzenia tożsamości”

Kod z banku lub aplikacji może zatwierdzać operację finansową, zmianę ustawień albo dodanie nowego urządzenia. Należy przeczytać cały komunikat i nie przekazywać kodu rozmówcy.

Cofanie zastrzeżenia PESEL na polecenie dzwoniącego

Bank, Policja, przychodnia ani urząd nie potrzebują, aby podczas niespodziewanej rozmowy natychmiast wyłączyć ochronę. Taką prośbę należy potraktować jako poważny sygnał ostrzegawczy.

Zmiana wszystkich haseł przez link z wiadomości

Hasła zmienia się po samodzielnym otwarciu oficjalnej strony lub aplikacji. Więcej wskazówek zawiera poradnik wyjaśniający, co zrobić przed otwarciem linku z pilnego SMS-a.

Panika i przerywanie leczenia

Cyberatak nie jest powodem do odstawienia leków, rezygnacji z wizyty ani ignorowania prawdziwej wiadomości od lekarza. Jeśli kontakt budzi wątpliwości, należy zadzwonić do placówki na numer znaleziony samodzielnie.

Praktyczna checklista

• □ Sprawdzam, czy mój PESEL jest zastrzeżony.
• □ Nie korzystam z linku do wyszukiwarki otrzymanego w wiadomości.
• □ Czekam na oficjalny komunikat o dodaniu danych MyDr do państwowego serwisu.
• □ Zmieniam powtarzane hasła i zabezpieczam pocztę elektroniczną.
• □ Włączam dodatkowe potwierdzanie logowania tam, gdzie jest dostępne.
• □ Sprawdzam powiadomienia i historię operacji bankowych.
• □ Nie podaję kodów, haseł ani danych karty przez telefon.
• □ Weryfikuję przychodnię, bank lub urząd przez samodzielnie znaleziony numer.
• □ Rozmawiam z bliskimi o możliwym oszustwie „na przychodnię” lub „na refundację”.

FAQ — najczęstsze pytania o wyciek danych MyDr

Czy dane wszystkich pacjentów w Polsce wyciekły?

Nie ma podstaw do takiego stwierdzenia. Incydent dotyczy systemów MyDr, a dokładna liczba osób oraz zakres ujawnionych informacji nadal są weryfikowane.

Czy 19 milionów rekordów oznacza 19 milionów różnych osób?

Niekoniecznie. Jedna osoba może mieć kilka wpisów związanych z różnymi zdarzeniami. Ostateczne ustalenia powinny pochodzić z dochodzenia i oficjalnych zawiadomień.

Czy dane MyDr są już w serwisie Bezpieczne Dane?

Nie. Według komunikatu widocznego 15 sierpnia 2026 roku dane nie zostały jeszcze przekazane do serwisu. Informacja o ich dodaniu ma zostać opublikowana osobno.

Czy brak wyniku oznacza, że moje dane są bezpieczne?

Nie w odniesieniu do MyDr, jeżeli sprawdzenie wykonano przed dodaniem tej bazy. Wynik obejmuje tylko dane dostępne w serwisie w chwili wyszukiwania.

Czy zastrzeżenie PESEL zablokuje wizytę albo receptę?

Nie. Zastrzeżony PESEL nie blokuje rejestracji do lekarza, leczenia, e-recept ani zakupu leku w aptece.

Czy trzeba zmienić hasło do banku?

Jeżeli hasło bankowe jest unikalne i nie zostało nigdzie ujawnione, nie należy zakładać, że zostało przejęte. Trzeba je jednak zmienić, jeśli było powtarzane, wpisane na podejrzanej stronie albo przekazane innej osobie.

Co zrobić, gdy zadzwoni osoba podająca się za pracownika przychodni?

Nie podawaj kodów, haseł ani danych finansowych. Zakończ rozmowę i samodzielnie zadzwoń do placówki na numer znany z wcześniejszych dokumentów albo opublikowany na jej oficjalnej stronie.

Co zrobić po kliknięciu podejrzanego linku?

Jeżeli strona została tylko otwarta, zamknij ją i niczego nie instaluj. Jeśli wpisano hasło, dane karty lub kod, trzeba natychmiast skontaktować się z bankiem znanym kanałem i zmienić przejęte dane dostępowe.

Podsumowanie

Wyciek danych MyDr jest poważnym incydentem, ale jego dokładny zakres nadal jest ustalany. Na 15 sierpnia 2026 roku bazy MyDr nie można jeszcze sprawdzić w serwisie Bezpieczne Dane. Najrozsądniejsze działania to zastrzeżenie PESEL, uporządkowanie powtarzanych haseł oraz ostrożność wobec telefonów i wiadomości wykorzystujących informacje o leczeniu.

Nie trzeba rozpoznawać wszystkich technik cyberprzestępców. Wystarczy jedna procedura: przerwać niespodziewany kontakt, niczego nie zatwierdzać i samodzielnie skontaktować się z przychodnią, bankiem lub inną instytucją.