Nocna rejestratorka i 13 milionów PESEL-i. Dwie historie z MyDr, które łatwo pomylić

Jest noc. Przychodnia jest zamknięta od kilku godzin, w rejestracji nie pali się światło, komputery śpią. A mimo to jedno z kont tej przychodni pracuje jak nigdy wcześniej: pyta państwowy system, czy osoba o podanym numerze PESEL jest ubezpieczona. Dostaje odpowiedź — imię, nazwisko, status. Pyta o następny numer. I o następny. Nie robi przerwy na kawę, nie myli cyfr, nie idzie do domu.

Tej sceny nikt nie widział i nie wiemy, o której godzinie ani z ilu kont naprawdę to się działo — tych szczegółów śledczy nie podali. Znamy za to rachunek końcowy: około 18 milionów zapytań i dane ponad 13 milionów osób. To pierwsza z dwóch historii, w których pojawia się nazwa MyDr. Druga, głośniejsza, wydarzyła się dwa lata później i dotyczy blisko 19 milionów ludzi. Przez kilka sierpniowych dni 2026 roku obie zlały się w jedną — niesłusznie.

Akt pierwszy: wiosna 2024. Rejestratorka, która nigdy nie śpi

Żeby zrozumieć, co się stało, trzeba wiedzieć, czym jest eWUŚ. To usługa Narodowego Funduszu Zdrowia, dzięki której rejestracja w kilka sekund sprawdza, czy pacjent ma prawo do świadczeń. Rejestratorka wpisuje PESEL, system odpowiada. Tak ma być: szybko, bez papierów, przy okienku.

Programy gabinetowe — takie jak MyDr, na którym pracują tysiące placówek — mają to pytanie wbudowane. I właśnie tu zaczyna się intryga. Z komunikatu Prokuratury Regionalnej w Poznaniu wynika, że sprawcy uzyskali nieuprawniony dostęp do kont pracowników kilku podmiotów medycznych korzystających z platformy. Potem, wykorzystując budowę programu, uruchomili skrypt, który zadawał pytania do eWUŚ masowo.

Nikt nie wyważał drzwi w NFZ. Nikt nie wynosił bazy z serwerowni. Sprawcy weszli wejściem dla personelu i robili dokładnie to, do czego to wejście służy — tylko miliony razy. System widział zalogowanego pracownika przychodni i grzecznie odpowiadał: imię, nazwisko, PESEL, prawo do ubezpieczenia albo jego brak.

Dokumentacji medycznej, recept ani rozpoznań w tej zdobyczy nie było. To ważne i jeszcze do tego wrócimy.

Akt drugi: cztery dni

8 kwietnia 2024 roku, po zawiadomieniach Prezesa NFZ, prokuratura wszczyna śledztwo. 12 kwietnia w eWUŚ zaczyna obowiązywać dzienny limit zapytań dla podmiotów korzystających z dedykowanych usług — „ze względów bezpieczeństwa”.

Cztery dni różnicy. CyberDefence24, opisując sprawę, zatrzymuje się przy tej zbieżności i pyta wprost: jak to możliwe, że wcześniej dało się pobrać dane tylu milionów osób?

Odpowiedź jest niewygodna w swojej prostocie. Usługa, która na pytanie o PESEL odpowiada imieniem i nazwiskiem, jest dla atakującego wyrocznią. Numer PESEL ma znaną budowę i sumę kontrolną, więc poprawne numery można wytwarzać taśmowo. Jeśli wyrocznia nie liczy pytań i nie dziwi się, że mała przychodnia nagle interesuje się połową kraju, jedynym zabezpieczeniem całego rejestru staje się hasło do konta w rejestracji.

Akt trzeci: dwa lata ciszy

Potem sprawa znika z pola widzenia. Opinia publiczna o niej nie wie; śledztwo toczy się swoim rytmem. Prokuratura razem z Centralnym Biurem Zwalczania Cyberprzestępczości namierza podejrzanych i — jak później poinformuje — odzyskuje całą nielegalnie uzyskaną bazę, zanim trafiła do dalszej sprzedaży.

To dobra wiadomość, choć warto czytać ją uważnie. „Odzyskanie” danych oznacza zabezpieczenie kopii, do których dotarli śledczy. Nie jest matematycznym dowodem, że żadna inna nigdy nie powstała.

Przez dwa lata ta historia ma więc początek i środek, ale nie ma publiczności. Dostanie ją dopiero wtedy, gdy wydarzy się coś znacznie większego.

Akt czwarty: sierpień 2026. Ta sama nazwa, zupełnie inna sprawa

W sierpniu 2026 roku nazwa MyDr trafia na czołówki. Tym razem dane nie zostały wyciągnięte z państwowego rejestru przez cudze konta — wyciekły z samej platformy. Według informacji rządowych incydent może dotyczyć około 18,8 miliona osób i ponad 12 tysięcy placówek; w obiegu przyjmuje się zaokrąglenie do 19 milionów. I, co najważniejsze, wśród danych są informacje o zdrowiu.

Spółka informuje, że kończy ustalanie zakresu naruszenia i że nie stwierdziła opublikowania danych. Prezes UODO zapowiada kontrolę zabezpieczeń technicznych i organizacyjnych firmy, w tym analizy ryzyka. Do 17 września do urzędu wpływa ponad 50 skarg i sygnałów od obywateli oraz ponad 2 tysiące zgłoszeń naruszenia od placówek. We wrześniu urząd decyduje o szerszych kontrolach przetwarzania danych o zdrowiu.

I wtedy, 18 sierpnia, w sam środek tej burzy, Prokuratura Regionalna w Poznaniu publikuje komunikat o sprawie sprzed dwóch lat. Trzynaście milionów osób. MyDr w tle. Liczby prawie się zgadzają, nazwa ta sama — i dwie historie w jeden wieczór sklejają się w komentarzach w jedną opowieść o „wycieku, o którym wiedziano od dawna”.

Akt piąty: rozplątywanie

Pierwsi prostują to ludzie z branży. Zaufana Trzecia Strona, cytowana przez CyberDefence24, pisze, że liczby są przypadkowo podobne i firma w tle ta sama, ale inni są sprawcy, inna metoda, inny cel, inne źródło danych i inny przebieg zdarzeń.

Postawmy obie sprawy obok siebie:

Różnica nie jest akademicka. Imię, nazwisko i PESEL wystarczą do prób wyłudzeń. Informacje o zdrowiu to materiał do szantażu, dyskryminacji i oszustw, w których dzwoniący „z przychodni” zna twoje leki i datę ostatniej wizyty. Hasło można zmienić. Historii choroby — nie.

Akt szósty: październik 2026. Sala sądowa, ale jeszcze bez wyroku

W sierpniu prokuratura mówiła o pięciu podejrzanych i końcowym etapie postępowania. 5 października 2026 roku poinformowała o skierowaniu aktu oskarżenia przeciwko pięciu mężczyznom do Sądu Okręgowego w Poznaniu.

Zarzuty obejmują między innymi przełamywanie zabezpieczeń, nieuprawniony dostęp do informacji, nieuprawnione przetwarzanie danych osobowych, wytworzenie i udostępnienie programów służących do takich przestępstw, a w jednym przypadku także pranie pieniędzy. Grożą za to kary do 8 i do 12 lat pozbawienia wolności. Według prokuratury poszczególni podejrzani przyznali się i złożyli obszerne wyjaśnienia.

Tu potrzebna jest precyzja: na dzień publikacji tego tekstu wyrok nie zapadł. W wielu omówieniach pięciu mężczyzn nazywa się już „skazanymi” — to o jeden etap za wcześnie. Są oskarżeni, a o winie rozstrzygnie sąd.

Morał: czego ta historia uczy

Najłatwiej byłoby zamknąć ją zdaniem „znowu MyDr”. Byłoby to wygodne i nieprawdziwe. Równie nieprawdziwe byłoby twierdzenie, że obie sprawy nic nie łączy. Wiosna 2024 roku pokazała, że konto w programie gabinetowym jest pełnoprawną bramą do systemów państwowych — i że sygnał ostrzegawczy zabrzmiał na długo przed sierpniem 2026 roku.

• Konto rejestratorki jest kontem uprzywilejowanym. Jeśli z programu gabinetowego można pytać rejestry państwowe, to login i hasło chronią dużo więcej niż terminarz wizyt.
• Usługa weryfikacyjna nie może być wyrocznią. Potrzebuje limitów na konto i na placówkę oraz alarmu, gdy ktoś pyta o osoby, które nigdy nie były jego pacjentami.
• Integracja dziedziczy zaufanie. Rejestr ufa oprogramowaniu, oprogramowanie ufa zalogowanemu użytkownikowi. Wystarczy przejąć najsłabsze ogniwo, żeby skorzystać z zaufania całego łańcucha.
• Jeden dostawca to jedno wielkie ryzyko. Platforma obsługująca tysiące placówek sprawia, że pojedynczy incydent ma skalę kraju — niezależnie od staranności konkretnego gabinetu.
• Wykrywanie liczy się tak samo jak zapobieganie. Osiemnaście milionów zapytań nie powstaje w godzinę. Każdy dzień wcześniejszego alarmu to mniejsza baza w rękach sprawców.

Jeśli jesteś pacjentem

• Zastrzeż numer PESEL w aplikacji mObywatel lub w urzędzie. To najskuteczniejsza ochrona przed zobowiązaniami zaciągniętymi na twoje dane.
• Sprawdź, czy wyciek cię dotyczy — w rządowym serwisie Bezpieczne Dane, do którego zapowiedziano dodanie tego zbioru — i czytaj zawiadomienia od placówek, w których się leczyłeś.
• Włącz alerty w biurach informacji kredytowej i gospodarczej.
• Nie ufaj telefonom „z przychodni”, które znają szczegóły leczenia i proszą o dopłatę, kod, instalację aplikacji albo kliknięcie w link. Znajomość twoich danych medycznych przestała być dowodem, że dzwoni placówka.
• Zmień hasło do portalu pacjenta swojej przychodni i nie używaj go nigdzie indziej.

Jeśli prowadzisz placówkę

• Uwierzytelnianie wieloskładnikowe dla każdego konta w systemie gabinetowym — bez wyjątków „bo rejestracja się spieszy”.
• Konta imienne, bez współdzielenia. Wspólny login na stanowisku uniemożliwia ustalenie, kto i kiedy zadał pytanie.
• Żadnych kont po byłych pracownikach ani kont testowych.
• Przegląd logów: zapytania o osoby spoza listy pacjentów, praca poza godzinami otwarcia, nietypowa liczba operacji. Nocna rejestratorka z pierwszego akapitu zostawia ślady — trzeba tylko na nie patrzeć.
• Umowa powierzenia nie zwalnia z nadzoru. Administratorem danych pozostaje placówka: to ona zgłasza naruszenie do UODO i zawiadamia pacjentów.
• Plan na incydent u dostawcy: kto zgłasza, w jakim terminie, jak zawiadomić pacjentów i jak pracować, gdy system jest niedostępny.

Epilog, którego jeszcze nie ma

Pierwsza historia czeka na wyrok. Druga — na ustalenie, co dokładnie wyciekło, i na wyniki kontroli. Otwarte pozostaje też pytanie, które CyberDefence24 postawił już w sierpniu: czy po wiośnie 2024 roku wyciągnięto wnioski wykraczające poza dzienny limit zapytań.

Bo jeśli jedyną nauką z nocy, w której cudze konto przepytało pół Polski, był licznik na drzwiach — to druga historia nie jest przypadkiem. Jest dalszym ciągiem.

Źródła

Artykuł powstał na podstawie tekstu Oskara Klimczuka „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób”, opublikowanego 18 sierpnia 2026 roku w serwisie CyberDefence24.pl. Stamtąd pochodzą ustalenia dotyczące incydentu z 2024 roku, przytoczone za komunikatem Prokuratury Regionalnej w Poznaniu, rozróżnienie obu spraw oraz obserwacja o dacie wprowadzenia limitu zapytań w eWUŚ. Scena otwierająca tekst jest ilustracją mechanizmu opisanego przez prokuraturę, a nie relacją z konkretnej placówki. Oceny techniczne i zalecenia są nasze. Informacje o późniejszym przebiegu spraw uzupełniliśmy z pozostałych źródeł wymienionych poniżej.

• CyberDefence24.pl, Oskar Klimczuk, „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób”, 18 sierpnia 2026: cyberdefence24.pl
• TVN24 Biznes, o akcie oskarżenia w sprawie z 2024 roku, 5 października 2026: tvn24.pl
• Urząd Ochrony Danych Osobowych, komunikat o kontrolach po wyciekach danych medycznych, 25 września 2026: uodo.gov.pl
• Polsat News, oświadczenie spółki o ustalaniu zakresu incydentu, 18 sierpnia 2026: polsatnews.pl