Ochrona zdrowia w Polsce mierzy się z rosnącą falą cyberzagrożeń. W 2025 r. odnotowano 1,4 tys. incydentów, o ponad 60 proc. więcej niż rok wcześniej. Jednocześnie 29 proc. placówek nie prowadzi regularnych przeglądów oceny ryzyka. Wśród zagrożeń są ransomware, wycieki poświadczeń i błędnie zabezpieczone usługi. Skutki ponoszą pacjenci i placówki.
Cyberprzestępcy coraz częściej biorą na cel ochronę zdrowia. Skutki ataków mogą odczuć zarówno placówki, jak też miliony pacjentów. Rosnąca liczba incydentów, wycieki danych medycznych i kary UODO pokazują, że problem rośnie.
Cyberatak na MyDr może być jednym z największych wycieków danych związanych z ochroną zdrowia w Polsce. Według ministra cyfryzacji skradziona baza ma ponad 2 TB i obejmuje dane sięgające blisko 19 mln Polaków. MyDr, dostawca oprogramowania dla placówek medycznych, potwierdził atak, ale zastrzega, że nie zna jeszcze jego pełnego zakresu.
Dane pacjentów warte miliony
Po co przestępcom dane medyczne? Mogą je wykorzystać do kradzieży tożsamości, oszustw ubezpieczeniowych i szantażu, a także sprzedać na czarnym rynku. Ich wartość rośnie również dlatego, że informacji o chorobach czy leczeniu nie można po prostu anulować i zastąpić nowymi jak w przypadku karty płatniczej.
Według raportu firmy TrendAI dostęp do małych zbiorów danych medycznych kosztuje od 65 do 400 USD, średniej wielkości od 1 do 8 tys. USD, natomiast same dane pozyskane z ośrodków opieki zdrowotnej mogą osiągać wartość 500 tys. USD, a dane szpitalne nawet milionów dolarów.
Przypadek MyDr wpisuje się w szerszy trend. Liczba cyberincydentów w sektorze ochrony zdrowia rośnie, a ich konsekwencje wykraczają poza ryzyko ujawnienia danych pacjentów. W 2025 r. CSIRT CeZ (Computer Security Incident Response Team Centrum e-Zdrowia), czyli wyspecjalizowany zespół zajmujący się cyberbezpieczeństwem sektora ochrony zdrowia w Polsce, odnotował 1,4 tys. zdarzeń. Wśród nich było pięć poważnych i osiem ataków z wykorzystaniem ransomware.
Kartę zablokujesz, tych danych nie. Wielki wyciek dał nowe paliwo oszustom
Baza wykradziona z MyDr obejmuje dane blisko 19 mln osób, w tym numery PESEL i informacje medyczne. Konta i karty można zabezpieczyć na nowo, ale wykradzionych danych o zdrowiu już nie. Zastrzeżenie PESEL, 2FA i Alerty BIK zmniejszają szansę wyłudzenia, ale nie eliminują ryzyka.
Ochrona zdrowia coraz częściej celem cyberataków
„Analizując ostatnie lata widzimy, że tendencja wzrostowa się utrzymuje” — wskazują autorzy raportu „Krajobraz cyberbezpieczeństwa w sektorze ochrony zdrowia”. W porównaniu z 2024 r. liczba incydentów wzrosła o ponad 60 proc.
W statystykach CSIRT CeZ najwięcej było oszustw komputerowych (580 przypadków) oraz podatnych usług (344 przypadki), czyli takich, w których wykryto luki w zabezpieczeniach albo błędną konfigurację. Łącznie obie kategorie stanowiły 64 proc. wszystkich odnotowanych incydentów. Następne pod względem liczby były wycieki poświadczeń (148), złośliwe oprogramowanie (146) oraz obraźliwe i nielegalne treści (74). Pozostałe kategorie, takie jak naruszenie dostępności zasobów, atak na bezpieczeństwo informacji czy próba włamań, liczyły po mniej niż 40 przypadków.
Nie wszystkie incydenty mają groźny charakter, jednak w raporcie opisano przypadek, który został zakwalifikowany przez CSIRT CeZ jako „poważny incydent” w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Był nim atak ransomware na SPZOZ MSWiA w Krakowie, do którego doszło 8 marca 2025 r. Przestępcy zaszyfrowali pliki. W konsekwencji szpital utracił dostęp do części systemów informatycznych. Otrzymał wsparcie Centralnego Biura Zwalczania Cyberprzestępczości (CBZC), Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego NASK (CSIRT NASK) oraz CSIRT CeZ, które obejmowało odbudowę i zabezpieczenie infrastruktury oraz przywracanie systemów.
Liczby z raportu CSIRT CeZ pokazują jednak tylko część obrazu. Nie każdy problem związany z cyberbezpieczeństwem w ochronie zdrowia musi bowiem trafić do statystyk tego zespołu. Pełniejszy obraz wyłania się dopiero po ich zestawieniu z informacjami o naruszeniach danych osobowych, cyberatakach na konkretne placówki oraz przypadkach ujawnianych przez same szpitale i inne instytucje odpowiedzialne za cyberbezpieczeństwo.
UODO karze za niewystarczającą ochronę danych
Decyzje i komunikaty Urzędu Ochrony Danych Osobowych (UODO) pokazują konsekwencje dla bezpieczeństwa danych pacjentów, ale też samych firm. W 2025 r. łączna wysokość nałożonych kar przez prezesa UODO sięgnęła rekordowego poziomu ponad 64,3 mln zł. Emilia Martynowicz-Mamajek i Krzysztof Jeromin z firmy Grant Thornton wskazują, że nie ma już miejsca na tłumaczenie się brakiem doświadczenia czy nieświadomością. W raporcie „Kto płaci za brak ochrony danych osobowych?” zwracają uwagę, że prezes UODO w decyzjach regularnie podnosi zarzuty dotyczące braku szkoleń podnoszących świadomość pracowników, korzystania z nieaktualnego oprogramowania, nieweryfikowania podmiotów, którym powierzane są dane, czy rozmytej odpowiedzialności w strukturze organizacyjnej.
W 2025 r. prezes UODO nałożył dwie kary o łącznej wysokości 1,14 mln zł na Centrum Medyczne Ujastek. Uznał za niezgodne z RODO stosowanie monitoringu w dwóch salach szpitalnych oddziału neonatologii, w tym przetwarzanie danych dotyczących zdrowia, oraz za niewdrożenie odpowiednich środków bezpieczeństwa dotyczących danych zapisanych na kartach pamięci urządzeń monitorujących. Wojewódzki Sąd Administracyjny w Warszawie (WSA) oddalił skargę centrum medycznego.
W 2024 r. prezes UODO nałożył 1,44 mln zł kary na spółkę zidentyfikowaną w późniejszych publikacjach jako American Heart of Poland, a spółka zaskarżyła decyzję do WSA. Urząd wskazał, że nieuprawnione osoby uzyskały dostęp do danych pacjentów i pracowników. O wycieku danych poinformowali hakerzy, którzy zażądali 3 mln USD okupu za nieujawnienie przechwyconych danych. Firma powiadomiła o incydencie prezesa UODO, a osoby, których dane wyciekły, poinformowała o zagrożeniu związanym z incydentem.
UODO podjął również działania w związku z incydentem w firmie ALAB. W listopadzie 2023 r. polska sieć laboratoriów diagnostycznych padła ofiarą ataku ransomware. W wyniku incydentu osoby nieuprawnione uzyskały dostęp do danych pacjentów, w tym danych osobowych oraz wyników badań laboratoryjnych. Część pozyskanych danych została następnie opublikowana przez sprawców w internecie.
Ryzyko wciąż niedoszacowane
Opisane przypadki dotyczą stosunkowo poważnych zdarzeń, ale UODO może wszcząć postępowanie także w sprawie pozornie mniej spektakularnego incydentu, jeśli firma niewłaściwie zarządza ryzykiem. Przykładowo w 2025 r. UODO nałożył 32,8 tys. zł na niepubliczny ZOZ w Pyskowicach w związku z dokumentacją ośmiorga pacjentów pozostawioną w samochodzie, który skradziono. Tu również problemem była m.in. ocena ryzyka i sposób zabezpieczenia dokumentacji.
Raport przygotowany przez CSIRT CeZ pokazuje istotne problemy w zakresie zarządzania ryzykiem, wdrażania polityk bezpieczeństwa i szkoleń kadry zarządzającej. Z przeprowadzonego badania wynika, że 76 proc. placówek deklaruje wdrożenie systemu zarządzania bezpieczeństwem informacji, ale 28 proc. nie ma opublikowanej polityki bezpieczeństwa, a 29 proc. szefów ankietowanych ośrodków nie dokonuje regularnych przeglądów oceny ryzyka.
Scamming out! to akcja edukacyjna Bankier.pl i „Pulsu Biznesu”. Kliknij, aby dowiedzieć się więcej!
