Baza wykradziona z MyDr obejmuje dane blisko 19 mln osób, w tym numery PESEL i informacje medyczne. Konta i karty można zabezpieczyć na nowo, ale wykradzionych danych o zdrowiu już nie. Zastrzeżenie PESEL, 2FA i Alerty BIK zmniejszają szansę wyłudzenia, ale nie eliminują ryzyka.
O skali incydentu 12 sierpnia poinformował wicepremier i minister cyfryzacji Krzysztof Gawkowski: wykradziona baza ma ponad 2 TB, a z systemu MyDr korzystało około 12 tys. placówek medycznych. Pacjent, który rejestrował się na wizytę, zwykle nie wie, jakie oprogramowanie obsługuje jego przychodnię, i nie widzi umowy między nią a dostawcą technologii. Kiedy dochodzi do włamania po stronie firmy IT, dane trafiają w obieg niezależnie od decyzji chorego.
Jak zastrzec PESEL
Zastrzeżenie numeru PESEL jest bezpłatne i uruchamia się je od ręki w aplikacji mObywatel, w serwisie gov.pl albo w urzędzie gminy. Blokada zaczyna działać natychmiast. Banki, firmy pożyczkowe, operatorzy telekomunikacyjni przy wydaniu duplikatu karty SIM oraz notariusze przy części czynności dotyczących nieruchomości mają obowiązek sprawdzić status PESEL przed konkretną operacją.
„Jeśli ktokolwiek chciałby wziąć kredyt lub pożyczkę na nasze dane, przy zastrzeżonym numerze PESEL nie będzie mógł tego zrobić. Co ważne, jeśli mimo zastrzeżenia podmiot udzieliłby takiego zobowiązania, nie będziemy zobowiązani do jego spłaty" - wyjaśnia w komunikacie Agnieszka Wachnicka, wiceprezes Związku Banków Polskich.
Blokada obejmuje też wypłatę gotówki w placówce banku, jeśli kwota przekracza trzykrotność minimalnego wynagrodzenia. Bank nie zrealizuje takiej dyspozycji od razu, obowiązuje 12-godzinny okres oczekiwania. Ten czas ma pomóc klientowi zorientować się, że działa pod dyktando oszusta „na wnuczka" albo „na policjanta".
Co daje zastrzeżenie PESEL?
Zakres ochrony jest wąski. Nie wszystkie firmy mają obowiązek sprawdzać status PESEL przed zawarciem umowy z klientem.
- Zastrzeżenie PESEL-u jest ważne, ale nie chroni przed każdym oszustwem, ponieważ nie wszystkie firmy muszą sprawdzać, czy został on zastrzeżony. Przestępcy nadal mogą wykorzystać skradziony numer do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu czy zakupu towaru z odroczonym terminem płatności. Innym zagrożeniem jest założenie firmy na przejęte dane, a następnie próba wyłudzenia kredytu biznesowego - mówi Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Z badania IMAS International z kwietnia 2026 r., zrealizowanego na zlecenie ChronPESEL.pl i Krajowego Rejestru Długów (CAWI, próba 1011 osób w wieku 18–74 lat), wynika, że 69 proc. Polaków zastrzegłoby PESEL po jego kradzieży. Później monitorować numer i historię kredytową zamierza jednak tylko 33 proc. badanych, a 16 proc. nie wiedziałoby, jak się w takiej sytuacji zachować.
Poza samym PESEL-em wyciek uderza w hasła i sposób logowania. Uwierzytelnianie dwuskładnikowe (2FA) utrudnia przejęcie kont pocztowych i społecznościowych nawet wtedy, gdy hasło jest już w rękach przestępcy. Powtarzanego hasła w kilku serwisach lepiej się pozbyć. Historię zapytań kredytowych można kontrolować w BIK, a Alerty BIK informują o każdym zapytaniu związanym z wnioskiem kredytowym.
Wyciek żyje dłużej niż incydent
Wykradzione informacje krążą dalej i są łączone z tym, co przestępcy zdobyli wcześniej.
- Dane przejęte w jednym incydencie nie muszą funkcjonować jako odrębna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, a taki połączony zestaw pozwala znacznie dokładniej poznać potencjalną ofiarę. Szczególną kategorią są informacje związane ze zdrowiem, ponieważ nie możemy ich później zmienić jak hasła czy numeru karty. Jeżeli wydostaną się poza kontrolę właściciela, mogą zachować swoją wartość przez bardzo długi czas - mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń w ESET.
Znajomość szczegółów zmienia charakter phishingu. Nazwisko, PESEL, nazwa placówki, data ostatniej wizyty czy informacja o leczeniu ułatwiają podszycie się pod przychodnię, lekarza, NFZ albo bank. W wiadomościach mogą pojawić się fałszywe informacje o wynikach badań, receptach lub zaległych płatnościach.
- Im więcej prawdziwych informacji może wykorzystać oszust, tym mniej jego kontakt przypomina typowy phishing. Kilka poprawnych szczegółów wystarczy czasem, aby odbiorca uwierzył, że rzeczywiście rozmawia z przedstawicielem znanej mu instytucji. Dopiero później pojawia się prośba o przekazanie dodatkowych danych, instalację aplikacji, potwierdzenie operacji czy wykonanie płatności - mówi Paweł Pudo z DAGMA Bezpieczeństwo IT.
Nie chodzi tylko o wyłudzenie pieniędzy
Konsekwencje sięgają dalej niż wyłudzenie pieniędzy. Informacje o leczeniu psychiatrycznym, chorobach przewlekłych czy uzależnieniach mogą posłużyć do zastraszania i prób szantażu. Paweł Pudo zwraca uwagę, że ryzyko rośnie w przypadku osób publicznych, polityków, przedstawicieli służb i menedżerów z dostępem do poufnych informacji, u których pojedyncza pozycja z bazy może mieć wyjątkową wartość, także dla obcych służb.
- Nie należy klikać w przesłane linki ani podawać haseł, kodów jednorazowych czy danych karty płatniczej. Najlepiej przerwać kontakt i samodzielnie zadzwonić do danej instytucji, korzystając z numeru zamieszczonego na jej oficjalnej stronie - radzi z kolei Bartłomiej Drozd.
Skala incydentów rośnie, co potwierdzają statystyki UODO. W 2025 r. administratorzy zgłosili ponad 22 tys. naruszeń ochrony danych osobowych wobec około 15 tys. rocznie w dwóch poprzednich latach. Sektorowy zespół CSIRT Centrum e-Zdrowia obsłużył w 2025 r. 1441 incydentów w ochronie zdrowia, o ponad 60 proc. więcej niż rok wcześniej, a w tym roku doliczono się już 729 kolejnych.
Ministerstwo Cyfryzacji zapowiedziało przeniesienie informacji o skradzionych danych do rządowego serwisu Bezpieczne Dane, w którym każdy będzie mógł sprawdzić, czy jego dane znalazły się w bazie pochodzącej z ataku na MyDr.
Scamming out! to akcja edukacyjna Bankier.pl i „Pulsu Biznesu”. Kliknij, aby dowiedzieć się więcej!
