Zaledwie miesiąc po wycieku z systemu MyDr, w którym ucierpiało nawet 19 milionów Polaków, do sieci trafiła informacja o kolejnym, równie poważnym incydencie w polskiej ochronie zdrowia. Tym razem chodzi o oprogramowanie Medyc, rozwijane przez firmę Qbusoft i wykorzystywane w placówkach medycznych. Za atakiem stoi według doniesień ta sama grupa, która wcześniej uderzyła w MyDr — Fingerprint. Napastnicy twierdzą, że dysponują danymi około 5 milionów pacjentów, co kilkukrotnie przekracza pierwsze szacunki mówiące o około milionie osób.
Co miało wyciec
Według dostępnych informacji baza obejmuje imiona i nazwiska, numery telefonów, adresy zamieszkania oraz numery PESEL. To jednak nie wszystko: w rękach przestępców mają się znajdować także szczegółowe karty informacyjne z leczenia szpitalnego oraz ponad 8 milionów zdjęć, w tym fotografii klinicznych. Dane mają pochodzić z około siedmiu lat działania systemu. Szczególnie niepokojące są zdjęcia medyczne — w przeciwieństwie do hasła czy numeru karty nie da się ich zmienić ani unieważnić, a ich upublicznienie może być narzędziem szantażu. Na razie nie ma potwierdzenia, że dane zostały opublikowane lub wystawione na sprzedaż.
Jak doszło do włamania
Z relacji medialnych wynika, że atakujący wykorzystali podatność typu SQL Injection, która pozwoliła obejść mechanizmy uwierzytelniania. To jedna z najstarszych i najlepiej opisanych klas błędów w aplikacjach webowych — istnieje od ponad dwudziestu lat, a jej wyeliminowanie sprowadza się do stosowania zapytań parametryzowanych i podstawowej walidacji danych wejściowych. Fakt, że tak prosty błąd mógł otworzyć drogę do milionów rekordów medycznych, pokazuje, że problemem nie są wyrafinowane techniki hakerów, lecz zaniedbania po stronie dostawców oprogramowania. Firma według doniesień nie wydała oficjalnego komunikatu, a sprawą zajęło się Centralne Biuro Zwalczania Cyberprzestępczości. Minister cyfryzacji zapowiedział też zaostrzenie odpowiedzialności podmiotów przetwarzających wrażliwe dane obywateli.
Co możesz zrobić
Jeśli korzystałeś z placówek medycznych, mogłeś trafić do bazy nawet nie wiedząc, że korzysta ona z systemu Medyc. Pierwszym krokiem powinno być zastrzeżenie numeru PESEL w aplikacji mObywatel lub w urzędzie gminy — to bezpłatne i skutecznie utrudnia wyłudzenie kredytu na Twoje dane. Bądź podejrzliwy wobec telefonów, SMS-ów i e-maili podszywających się pod przychodnię, szpital czy NFZ, zwłaszcza gdy powołują się na Twoje leczenie i proszą o kliknięcie linku lub dopłatę. Osoby z wieloma wyciekami na koncie warto zachęcić do skorzystania z monitoringu danych i regularnego sprawdzania, czy ich adres e-mail pojawił się w znanych bazach wycieków. Podejrzane wiadomości zgłaszaj do CERT Polska.
Podsumowanie
Seria wycieków z MyDr, Enel-Med i teraz Medyc pokazuje, że dane pacjentów stały się w Polsce jednym z najłatwiejszych łupów dla cyberprzestępców. Dla użytkownika oznacza to jedno: zakładaj, że Twój PESEL i podstawowe dane już krążą w sieci, i zabezpiecz się z wyprzedzeniem — zastrzeżenie PESEL, czujność wobec wiadomości „od przychodni” oraz unikalne hasła to minimum. Dla firm dostarczających oprogramowanie medyczne to sygnał, że podstawowa higiena bezpieczeństwa aplikacji nie jest opcją, lecz obowiązkiem.
źródło: https://www.chip.pl/2026/09/kolejny-miesiac-kolejny-wyciek-danych-pacjentow-ofiar-moga-byc-miliony