Noční recepční a 13 milionů čísel PESEL. Dva příběhy s MyDr, které se snadno pletou

Je noc. Ordinace je už několik hodin zavřená, na recepci se nesvítí, počítače spí. A přesto jeden z účtů této ordinace pracuje jako nikdy předtím: ptá se státního systému, zda je osoba s daným číslem PESEL – polskou obdobou rodného čísla – pojištěná. Dostane odpověď: jméno, příjmení, stav. Zeptá se na další číslo. A na další. Nedělá si přestávku na kávu, nesplete číslice, nejde domů.

Tuhle scénu nikdo neviděl a nevíme, v kolik hodin ani z kolika účtů se to doopravdy dělo – tyto podrobnosti vyšetřovatelé neuvedli. Známe ale konečný účet: přibližně 18 milionů dotazů a údaje více než 13 milionů lidí. Je to první ze dvou příběhů, v nichž se objevuje název MyDr. Druhý, hlasitější, se odehrál o dva roky později a týká se téměř 19 milionů lidí. Na několik srpnových dní roku 2026 oba splynuly v jeden – neprávem.

První dějství: jaro 2024. Recepční, která nikdy nespí

Abychom pochopili, co se stalo, je třeba vědět, co je eWUŚ. Je to služba polského Národního fondu zdraví (NFZ), díky níž recepce během několika sekund ověří, zda má pacient nárok na hrazenou péči. Recepční zadá PESEL, systém odpoví. Tak to má být: rychle, bez papírů, u okénka.

Ordinační programy – jako MyDr, na kterém pracují tisíce zdravotnických zařízení – mají tento dotaz vestavěný. A právě tady začíná zápletka. Ze sdělení Regionální prokuratury v Poznani vyplývá, že pachatelé získali neoprávněný přístup k účtům zaměstnanců několika zdravotnických subjektů, které platformu používaly. Poté s využitím toho, jak je program postaven, spustili skript, který posílal dotazy do eWUŚ hromadně.

Nikdo v NFZ nevyrážel dveře. Nikdo nevynášel databázi ze serverovny. Pachatelé vešli vchodem pro personál a dělali přesně to, k čemu tento vchod slouží – jen milionkrát. Systém viděl přihlášeného zaměstnance ordinace a zdvořile odpovídal: jméno, příjmení, PESEL, nárok na pojištění, nebo jeho absence.

Zdravotnická dokumentace, recepty ani diagnózy v tomto úlovku nebyly. To je důležité a ještě se k tomu vrátíme.

Druhé dějství: čtyři dny

8. dubna 2024 zahajuje prokuratura po oznámeních předsedy NFZ vyšetřování. 12. dubna začíná v eWUŚ platit denní limit dotazů pro subjekty využívající vyhrazené služby – „z bezpečnostních důvodů“.

Čtyři dny rozdílu. CyberDefence24 se při popisu případu u této shody zastavuje a ptá se přímo: jak je možné, že předtím šlo stáhnout údaje tolika milionů lidí?

Odpověď je ve své jednoduchosti nepříjemná. Služba, která na dotaz na PESEL odpoví jménem a příjmením, je pro útočníka věštírnou. Číslo PESEL má známou strukturu a kontrolní součet, takže platná čísla lze vyrábět jako na běžícím pásu. Pokud věštírna otázky nepočítá a nediví se, že se malá ordinace najednou zajímá o polovinu země, stává se jedinou ochranou celého registru heslo k účtu na recepci.

Třetí dějství: dva roky ticha

Pak případ mizí z dohledu. Veřejnost o něm neví; vyšetřování běží svým tempem. Prokuratura spolu s Ústředním úřadem pro potírání kyberkriminality vypátrá podezřelé a – jak později oznámí – získá zpět celou nezákonně pořízenou databázi dříve, než se dostala k dalšímu prodeji.

Je to dobrá zpráva, i když stojí za to číst ji pozorně. „Získání zpět“ údajů znamená zajištění kopií, ke kterým se vyšetřovatelé dostali. Není to matematický důkaz, že žádná jiná nikdy nevznikla.

Dva roky má tedy tento příběh začátek a prostředek, ale nemá publikum. Dostane ho teprve tehdy, když se stane něco mnohem většího.

Čtvrté dějství: srpen 2026. Stejný název, úplně jiný případ

V srpnu 2026 se název MyDr dostává na titulní stránky. Tentokrát nebyly údaje vytaženy ze státního registru přes cizí účty – unikly ze samotné platformy. Podle vládních informací se incident může týkat přibližně 18,8 milionu lidí a více než 12 tisíc zařízení; v oběhu se ujalo zaokrouhlení na 19 milionů. A co je nejdůležitější, mezi údaji jsou informace o zdraví.

Společnost uvádí, že dokončuje zjišťování rozsahu porušení a že nezjistila zveřejnění údajů. Předseda polského úřadu pro ochranu osobních údajů UODO ohlašuje kontrolu technických a organizačních opatření firmy včetně analýz rizik. Do 17. září úřad obdrží více než 50 stížností a podnětů od občanů a více než 2 tisíce ohlášení porušení od zařízení. V září úřad rozhoduje o širších kontrolách zpracování údajů o zdraví.

A tehdy, 18. srpna, přímo uprostřed této bouře, zveřejňuje Regionální prokuratura v Poznani sdělení o případu starém dva roky. Třináct milionů lidí. MyDr v pozadí. Čísla skoro sedí, název je stejný – a dva příběhy se během jediného večera slepí v komentářích do jednoho vyprávění o „úniku, o kterém se dávno vědělo“.

Páté dějství: rozplétání

Jako první to uvádějí na pravou míru lidé z oboru. Zaufana Trzecia Strona, polský bezpečnostní web citovaný serverem CyberDefence24, píše, že čísla jsou podobná náhodou a firma v pozadí je stejná, ale jiní jsou pachatelé, jiná metoda, jiný cíl, jiný zdroj údajů a jiný průběh událostí.

Postavme oba případy vedle sebe:

Ten rozdíl není akademický. Jméno, příjmení a PESEL stačí k pokusům o podvod. Informace o zdraví jsou materiálem pro vydírání, diskriminaci a podvody, při nichž volající „z ordinace“ zná vaše léky a datum poslední návštěvy. Heslo lze změnit. Zdravotní anamnézu ne.

Šesté dějství: říjen 2026. Soudní síň, ale zatím bez rozsudku

V srpnu prokuratura mluvila o pěti podezřelých a o závěrečné fázi řízení. 5. října 2026 oznámila, že podala obžalobu proti pěti mužům ke Krajskému soudu v Poznani.

Obvinění zahrnují mimo jiné překonávání zabezpečení, neoprávněný přístup k informacím, neoprávněné zpracování osobních údajů, vytvoření a zpřístupnění programů sloužících k takovým trestným činům a v jednom případě také praní špinavých peněz. Hrozí za to tresty odnětí svobody až na 8 a až na 12 let. Podle prokuratury se jednotliví podezřelí přiznali a podali rozsáhlá vysvětlení.

Tady je namístě přesnost: ke dni zveřejnění tohoto textu rozsudek nepadl. V mnoha shrnutích se o pěti mužích už píše jako o „odsouzených“ – to je o jednu fázi příliš brzy. Jsou obžalovaní a o vině rozhodne soud.

Ponaučení: co tento příběh učí

Nejsnazší by bylo uzavřít ho větou „zase MyDr“. Bylo by to pohodlné a nepravdivé. Stejně nepravdivé by bylo tvrzení, že oba případy nic nespojuje. Jaro 2024 ukázalo, že účet v ordinačním programu je plnohodnotnou bránou do státních systémů – a že varovný signál zazněl dlouho před srpnem 2026.

• Účet recepční je privilegovaný účet. Pokud se z ordinačního programu lze dotazovat státních registrů, chrání přihlašovací jméno a heslo mnohem víc než kalendář návštěv.
• Ověřovací služba nesmí být věštírnou. Potřebuje limity na účet a na zařízení a poplach, když se někdo ptá na osoby, které nikdy nebyly jeho pacienty.
• Integrace dědí důvěru. Registr důvěřuje softwaru, software důvěřuje přihlášenému uživateli. Stačí ovládnout nejslabší článek a lze využít důvěru celého řetězce.
• Jeden dodavatel je jedno velké riziko. Platforma obsluhující tisíce zařízení způsobuje, že jediný incident má celostátní rozsah – bez ohledu na pečlivost konkrétní ordinace.
• Odhalování se počítá stejně jako prevence. Osmnáct milionů dotazů nevznikne za hodinu. Každý den dřívějšího poplachu znamená menší databázi v rukou pachatelů.

Pokud jste pacient

• Zablokujte si číslo PESEL v aplikaci mObywatel nebo na úřadě. Je to nejúčinnější ochrana před závazky sjednanými na vaše údaje.
• Ověřte si, zda se vás únik týká – ve vládní službě Bezpieczne Dane, do níž má být tento soubor doplněn – a čtěte oznámení od zařízení, ve kterých jste se léčili.
• Zapněte si upozornění v úvěrových a hospodářských registrech.
• Nevěřte telefonátům „z ordinace“, které znají podrobnosti léčby a žádají doplatek, kód, instalaci aplikace nebo kliknutí na odkaz. Znalost vašich zdravotních údajů přestala být důkazem, že volá zařízení.
• Změňte heslo do pacientského portálu své ordinace a nepoužívejte ho nikde jinde.

Pokud vedete zdravotnické zařízení

• Vícefaktorové ověřování pro každý účet v ordinačním systému – bez výjimek „protože recepce spěchá“.
• Jmenné účty, žádné sdílení. Společné přihlášení na pracovišti znemožňuje zjistit, kdo a kdy dotaz položil.
• Žádné účty po bývalých zaměstnancích ani testovací účty.
• Kontrola logů: dotazy na osoby mimo seznam pacientů, práce mimo otevírací dobu, neobvyklý počet operací. Noční recepční z prvního odstavce zanechává stopy – stačí se na ně dívat.
• Smlouva o zpracování údajů nezbavuje dohledu. Správcem údajů zůstává zařízení: právě ono ohlašuje porušení úřadu UODO a informuje pacienty.
• Plán pro incident u dodavatele: kdo ohlašuje, v jaké lhůtě, jak informovat pacienty a jak pracovat, když je systém nedostupný.

Epilog, který ještě neexistuje

První příběh čeká na rozsudek. Druhý – na zjištění, co přesně uniklo, a na výsledky kontroly. Otevřená zůstává i otázka, kterou CyberDefence24 položil už v srpnu: zda byly po jaru 2024 vyvozeny závěry, které jdou dál než k dennímu limitu dotazů.

Protože pokud jediným poučením z noci, kdy cizí účet vyzpovídal půl Polska, bylo počitadlo na dveřích – pak druhý příběh není náhoda. Je to pokračování.

Zdroje

Článek vznikl na základě textu Oskara Klimczuka „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób“ („Druhý příběh s MyDr. Před dvěma lety byly odcizeny údaje 13 milionů lidí“), zveřejněného 18. srpna 2026 na serveru CyberDefence24.pl. Odtud pocházejí zjištění o incidentu z roku 2024, uvedená podle sdělení Regionální prokuratury v Poznani, rozlišení obou případů a postřeh o datu zavedení limitu dotazů v eWUŚ. Úvodní scéna ilustruje mechanismus popsaný prokuraturou, není to reportáž z konkrétního zařízení. Technická hodnocení a doporučení jsou naše. Informace o pozdějším průběhu obou případů jsme doplnili z ostatních níže uvedených zdrojů.

• CyberDefence24.pl, Oskar Klimczuk, „Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób“, 18. srpna 2026 (polsky): cyberdefence24.pl
• TVN24 Biznes, o obžalobě v případu z roku 2024, 5. října 2026 (polsky): tvn24.pl
• Úřad pro ochranu osobních údajů (UODO), sdělení o kontrolách po únicích zdravotních údajů, 25. září 2026 (polsky): uodo.gov.pl
• Polsat News, prohlášení společnosti o zjišťování rozsahu incidentu, 18. srpna 2026 (polsky): polsatnews.pl