19 MILIONÓW REKORDÓW W RĘKACH PRZESTĘPCÓW. CZEGO WYCIEK Z MYDR UCZY INFORMATYKÓW W SAMORZĄDACH

12 sierpnia 2026 roku wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził jeden z największych incydentów bezpieczeństwa danych w historii Polski. Z systemów firmy MyDr, dostawcy oprogramowania do elektronicznej dokumentacji medycznej używanego przez ponad 10 tysięcy przychodni i gabinetów lekarskich, wyciekło ponad 2 terabajty danych obejmujących blisko 19 milionów rekordów. W bazie znalazły się informacje o receptach, wizytach i innych formach wsparcia medycznego, które w wielu przypadkach da się powiązać z konkretną osobą po numerze PESEL. Dla ciebie, jako informatyka odpowiedzialnego za systemy teleinformatyczne w urzędzie gminy, powiatu czy urzędzie marszałkowskim, ten incydent nie jest odległą historią z branży medycznej. To sygnał pokazujący, jak wygląda dziś skala i mechanika ataków na podmioty przetwarzające dane wrażliwe obywateli, w tym instytucje, które od niedawna objęto rozszerzonym Krajowym Systemem Cyberbezpieczeństwa.

 Rys.1 Źródło: Boitumelo on Unsplash

Do wycieku doszło w weekend poprzedzający ujawnienie sprawy przez ministra. MyDr dostarcza platformę i system elektronicznej dokumentacji medycznej, za pomocą którego miesięcznie realizuje się około 3 milionów wizyt lekarskich i wystawia około 2,7 miliona recept. Skradziona baza obejmuje 19 milionów rekordów, czyli liczbę zbliżoną do połowy populacji Polski. Gawkowski podkreślił, że obecnie nic nie wskazuje na udział obcego państwa w ataku i że najbardziej prawdopodobnym scenariuszem jest działanie grupy przestępczej zainteresowanej korzyściami finansowymi. Śledztwo operacyjne prowadzi Centralne Biuro Zwalczania Cyberprzestępczości we współpracy z prokuraturą, a sama spółka MyDr prowadzi równoległe postępowanie wyjaśniające z udziałem zewnętrznych ekspertów do spraw cyberbezpieczeństwa.

Największym problemem w tym przypadku nie jest sama liczba rekordów, tylko sposób w jaki dane da się ze sobą łączyć. Numer PESEL zestawiony z historią recept i wizyt pozwala zbudować profil zdrowotny konkretnej osoby, a taki profil ma dużą wartość na czarnym rynku, bo umożliwia wyłudzenia kredytów, oszustwa metodą na pracownika NFZ czy ukierunkowany phishing odwołujący się do realnych danych medycznych ofiary. Rząd uruchomił portal bezpiecznedane.gov.pl, w którym obywatele będą mogli sprawdzić, czy ich dane znalazły się w wycieku, a ministerstwo apeluje o zastrzeżenie numeru PESEL przez aplikację mObywatel lub osobiście w urzędzie.

Co ten incydent zmienia w obowiązkach samorządu?

Sprawa MyDr zbiega się w czasie z rozszerzeniem Krajowego Systemu Cyberbezpieczeństwa. Gawkowski wskazał wprost, że liczba podmiotów objętych obowiązkami wynikającymi z ustawy rośnie z około tysiąca do czterdziestu tysięcy. W tej grupie znajdują się jednostki samorządu terytorialnego, które od teraz odpowiadają za cyberbezpieczeństwo na zasadach zbliżonych do dużych operatorów infrastruktury krytycznej. Oznacza to obowiązek przeprowadzenia audytu bezpieczeństwa systemu informacyjnego, wyznaczenia osoby odpowiedzialnej za cyberbezpieczeństwo, wdrożenia systemu zarządzania bezpieczeństwem informacji oraz zgłaszania poważnych incydentów do właściwego CSIRT w ustawowo określonych terminach. Jeżeli twój urząd jeszcze nie przeprowadził takiego audytu albo traktuje go jak formalność do odhaczenia, przypadek MyDr pokazuje, ile kosztuje zaniedbanie tego obowiązku w praktyce.

Twój system może być bezpieczny tylko wtedy, gdy wiesz, co naprawdę posiadasz.

Pierwszym zadaniem administratora nie jest instalowanie kolejnego narzędzia bezpieczeństwa. Pierwszym zadaniem jest pełna identyfikacja zasobów.

Czy potrafisz w ciągu kilku minut wskazać wszystkie serwery posiadające dostęp do Internetu? Czy wiesz, które aplikacje internetowe działają na tych serwerach? Czy znasz wersje systemów operacyjnych, baz danych, bibliotek, frameworków oraz komponentów firm trzecich? Czy wiesz, które konta posiadają uprawnienia administratora? Czy masz listę wszystkich usług wystawionych na portach TCP i UDP? Czy potrafisz wskazać urządzenie, które od sześciu miesięcy nie otrzymało aktualizacji?

Jeżeli odpowiedź na któreś z tych pytań brzmi "nie", masz lukę w procesie zarządzania bezpieczeństwem.

Inwentaryzacja nie może ograniczać się do tabeli z nazwą komputera i adresem IP. Powinna obejmować sprzęt, systemy operacyjne, oprogramowanie, usługi sieciowe, aplikacje, konta uprzywilejowane, połączenia zewnętrzne, integracje, certyfikaty, dane oraz zależności pomiędzy systemami. NIST Cybersecurity Framework 2.0 traktuje identyfikację zasobów i zarządzanie nimi jako jeden z fundamentów zarządzania ryzykiem cyberbezpieczeństwa.

Cztery rzeczy do sprawdzenia w tym tygodniu.

Z dotychczasowych ustaleń dotyczących sprawy MyDr wynika kilka konkretnych wniosków, które możesz od razu przełożyć na infrastrukturę, za którą odpowiadasz.

Sprawdź szyfrowanie danych w spoczynku. Baza o wielkości ponad 2 terabajtów, którą dało się wynieść w całości, sugeruje brak segmentacji i brak ograniczeń na eksport dużych wolumenów danych. W systemach dziedzinowych urzędu, takich jak ewidencja ludności, systemy podatkowe czy systemy pomocy społecznej, zweryfikuj, czy bazy danych są szyfrowane algorytmem AES-256 i czy klucze szyfrujące są przechowywane osobno od samych danych, najlepiej w dedykowanym module HSM lub w usłudze zarządzania kluczami.

Wprowadź limity i alarmy na nietypowy ruch wychodzący. Atak na tej skali zwykle wiąże się z długotrwałą eksfiltracją danych, którą da się wykryć po nagłym wzroście transferu do nieznanych adresów IP. Narzędzia klasy SIEM, na przykład otwartoźródłowy Wazuh albo komercyjny Splunk, pozwalają ustawić reguły wykrywające takie anomalie i wysyłać alert do administratora w czasie rzeczywistym.

Wdróż zasadę najmniejszych uprawnień i uwierzytelnianie wieloskładnikowe dla każdego konta z dostępem do danych osobowych, także dla kont serwisowych dostawców zewnętrznych. Wielu dostawców oprogramowania dziedzinowego dla administracji publicznej łączy się z systemami urzędu zdalnie w celach serwisowych, a taki dostęp bez MFA i bez ograniczenia czasowego należy do najczęstszych wektorów ataku w sektorze publicznym.

Przetestuj plan reagowania na incydent, zanim będziesz go potrzebować. Sprawdź, czy masz aktualną listę kontaktów do lokalnego CSIRT, czy wiesz w jakim terminie musisz zgłosić incydent zgodnie z ustawą o Krajowym Systemie Cyberbezpieczeństwa i czy masz gotowy szablon zawiadomienia do Urzędu Ochrony Danych Osobowych na wypadek naruszenia ochrony danych osobowych, które zgodnie z RODO trzeba zgłosić w ciągu 72 godzin od wykrycia.

Ryzyko, o którym zapominasz: twój dostawca.

Osobną lekcją z przypadku MyDr jest ryzyko związane z dostawcami zewnętrznymi. Urząd może mieć poprawnie skonfigurowaną własną infrastrukturę i mimo to ponieść konsekwencje wycieku, jeśli dane trafiły do systemu podmiotu trzeciego, na przykład firmy obsługującej system oświatowy, system opieki zdrowotnej gminy czy zewnętrzny portal do obsługi mieszkańców. Przed podpisaniem lub przedłużeniem umowy z dostawcą oprogramowania zażądaj od niego dokumentu potwierdzającego zgodność z normą ISO 27001 albo raportu z ostatniego testu penetracyjnego. W samej umowie zapisz obowiązek informowania cię o incydencie bezpieczeństwa w ciągu 24 godzin od jego wykrycia.

Sprawa MyDr nie jest odosobniona. W listopadzie 2023 roku doszło do wycieku danych z laboratoriów ALAB, w wyniku którego w sieci opublikowano wyniki badań kilkuset tysięcy pacjentów wraz z numerami PESEL. Urząd Ochrony Danych Osobowych nałożył wówczas na spółkę karę finansową i wskazał na braki w zabezpieczeniach systemu, z którego dane wyciekły. Oba przypadki łączy ten sam mechanizm: dane medyczne trafiają do systemu, którego zabezpieczenia nie nadążają za skalą i wrażliwością gromadzonych informacji. W administracji samorządowej gromadzisz dane o zbliżonej wrażliwości, choćby w systemach pomocy społecznej czy w rejestrach mieszkańców korzystających ze świadczeń zdrowotnych finansowanych przez gminę.

Wyciek z MyDr powinien być dla ciebie konkretnym punktem odniesienia przy najbliższym przeglądzie zabezpieczeń, a nie tylko newsem do przeczytania między jednym zgłoszeniem serwisowym a drugim. Zaplanuj audyt szyfrowania baz danych w tym kwartale, wymuś MFA na wszystkich kontach z dostępem do danych wrażliwych i sprawdź, czy twoi dostawcy zewnętrzni mają realne, a nie tylko deklaratywne procedury bezpieczeństwa. Skala tego incydentu pokazuje, że koszt zaniedbania liczy się dziś w milionach rekordów, a nie w pojedynczych naruszeniach.

Źródła:

PAP;  Gigantyczny wyciek danych Polaków. Gawkowski: niebywały i bardzo duży incydent

PAP;  Wyciek danych medycznych 19 mln osób. Minister cyfryzacji zabrał głos

AI ACT- Niniejszy tekst i/lub grafika zostały wygenerowane lub poprawione przy użyciu narzędzi SI, oraz opracowane przez człowieka.