Wyciek z MyDr. Jeden dostawca, 19 milionów pacjentów

Z oprogramowania MyDr, na którym pracuje ponad 12 tysięcy placówek medycznych, wyciekły dane blisko 19 milionów Polaków: numery PESEL, adresy, recepty, diagnozy. Sprawa wyszła na jaw w sierpniu 2026. Wśród poszkodowanych są pacjenci przychodni, które u siebie zrobiły wszystko jak trzeba: firewall, szkolenia, łatane komputery. Nie uchroniło ich to, bo dane i tak leżały u dostawcy, nad którym nie miały żadnej kontroli.

To jest w tej całej historii najważniejsze i najmniej wygodne. Można u siebie zrobić wszystko jak trzeba i przegrać przez cudzy błąd.

Skala robi wrażenie

Ministerstwo Cyfryzacji mówi o około 19 milionach obywateli i ponad 2 TB danych. Sami napastnicy licytują wyżej: 18 814 422 numery PESEL i jakieś 2,5 TB. Dla wyobrażenia, przez MyDr przechodzi około 3 milionów wizyt i 2,7 miliona recept miesięcznie. Gdy w listopadzie 2023 wyciekły dane z laboratoriów ALAB, mówiło się o „największym wycieku danych medycznych w Polsce”. Dotyczył jakichś 200 tysięcy osób. MyDr jest od niego prawie sto razy większy, a minęły niecałe dwa lata.

Firma uspokaja, że dane są „historyczne”, z 2024 i wcześniej. Mnie to akurat nie uspokaja, tylko każe zadać pytanie: dlaczego rekordy sprzed lat wciąż leżały w bazie, do której dało się dostać? Zasada minimalizacji i ograniczania retencji (RODO, art. 5) jest właśnie po to, żeby danych, których nie trzeba trzymać pod ręką, po prostu tam nie było. Diagnoza nie przeterminowuje się jak hasło. Hasło zmienisz, historii choroby nie.

Przyczyna? Oficjalnie niejawna

Minister Gawkowski powiedział tylko, że „wiemy, gdzie był błąd w oprogramowaniu” i że „luki są uszczelnione”. Szczegółów nie znamy i nie ma sensu zgadywać. Ale takie incydenty mają zwykle podobny przebieg: gdzieś jest podatność, gdzieś zabrakło kontroli, która miała ją wyłapać, a dostęp okazał się szerszy, niż powinien.

Dlaczego celem jest ochrona zdrowia

Bo to się opłaca. Skradziony login do konta w mediach społecznościowych wart jest w podziemiu dolara, może dwa. Za komplet danych medycznych jednego pacjenta płaci się, zależnie od źródła, od kilkudziesięciu do kilkuset dolarów. Taki rekord to tożsamość, historia i gotowy materiał do szantażu w jednym. Widać to po liczbach. Zespół CSIRT Centrum e-Zdrowia obsłużył kolejno:

A obrona nie nadąża. Blisko 9 procent placówek nie ma nawet antywirusa czy firewalla, a 60 procent nie monitoruje własnych podatności. Anna Sibilska z NFZ ujęła to zwięźle: „Cyberbezpieczeństwa nie da się podzielić na kawałki tortu, trzeba patrzeć na nie jak na jeden wielki ekosystem”.

Poziom bezpieczeństwa wyznacza najsłabszy dostawca

Taka przychodnia zrobiła u siebie wszystko dobrze, a i tak oberwała, bo jej dane mieszkały u dostawcy. W scentralizowanym, cyfrowym świecie bezpieczeństwo całości jest tak mocne jak najsłabszy dostawca w łańcuchu. Przychodnia nie czyta kodu MyDr. Szpital nie audytuje architektury swojej telemedycyny. A ryzyko dostawcy dziedziczą w całości, jak spadek, którego nikt nie chciał przyjąć.

To nie jest nowość. W 2023 podatność w jednym narzędziu do przesyłania plików, MOVEit, wystawiła dane setek organizacji naraz. Atakujesz jednego dostawcę, dostajesz wszystkich jego klientów. (Głośny SolarWinds działał inaczej, tam był backdoor podrzucony w aktualizacji i użyty do szpiegostwa, ale morał o zaufaniu do dostawcy jest ten sam.)

I nie jest to problem wyłącznie ochrony zdrowia. Operator sieci energetycznej, który wpuszcza integratora do swojego OT, dziedziczy jego ryzyko dokładnie tak samo, jak przychodnia dziedziczy ryzyko MyDr. Zmienia się branża, mechanizm zostaje.

Co z tym zrobić

Regulator akurat nazwał ten problem po imieniu. Dyrektywa NIS2 i wdrażająca ją nowelizacja ustawy o KSC robią z bezpieczeństwa łańcucha dostaw obowiązek, a nie dobrą wolę, i sadzają odpowiedzialność na zarządzie. „To był problem dostawcy” przestaje być linią obrony. W praktyce warto zejść do pięciu rzeczy:

1. Minimalizuj i kasuj. Dane, których nie musisz trzymać online, nie mają jak wyciec. To najtańsza kontrola, a po „danych historycznych” z MyDr widać, że najczęściej pomijana.
2. Szyfruj i pseudonimizuj to, co wrażliwe, zwłaszcza PESEL i dane o zdrowiu. Wyciek zaszyfrowanego zbioru boli dużo mniej niż wyciek czystego tekstu.
3. Wiedz, kto z dostawców ma dostęp do czego i na jak długo. Dawaj najmniej, jak się da, na czas, na jaki trzeba, nie stały klucz do wszystkiego.
4. Segmentuj, żeby wpadka u jednego dostawcy nie oznaczała dostępu do całości.
5. Zapisz bezpieczeństwo w umowie: prawo do audytu, wymóg bezpiecznego wytwarzania oprogramowania i obowiązek zgłaszania incydentów. I miej własny plan zgłoszeń, bo RODO daje na to 72 godziny, a NIS2 swoje terminy.

Co może dziś zrobić pacjent

Póki dane już krążą: zastrzeżcie PESEL w mObywatelu, to kilka sekund, a blokuje kredyt na wasze dane. Sprawdźcie status na oficjalnym bezpiecznedane.gov.pl. Włączcie dwuskładnikowe logowanie tam, gdzie się da. I uważajcie na telefony czy maile, w których ktoś zna wasze choroby i leki, bo brzmi wtedy wyjątkowo wiarygodnie. Żaden urząd ani przychodnia nie poprosi o hasło czy pełny PESEL przez telefon.

Na koniec

19 milionów rekordów pokazało coś, o czym w branży wiedziano od dawna, tylko mówiono ciszej: kiedy oddajesz dane dostawcy, oddajesz też jego ryzyko, i nie ma znaczenia, jak wzorowo pilnujesz własnego podwórka. Te przychodnie nie popełniły błędu. Popełniły założenie, że skoro u siebie zrobiły wszystko, są bezpieczne. Zanim uznacie, że u was jest inaczej, policzcie, ilu dostawców trzyma dziś dane waszych pacjentów albo klientów, i co się stanie, gdy jeden z nich będzie miał gorszy tydzień.

Sicom pomaga oceniać ryzyko łańcucha dostaw i zgodność z NIS2 oraz budować architekturę bezpieczeństwa IT/OT: kontrolę dostępu, segmentację, ochronę danych i punktów końcowych (Falcon DSE) i wsparcie zarządu w zarządzaniu ryzykiem (Tarcza Zarządu). Jeśli nie wiecie, ilu dostawców ma dziś dostęp do waszych danych, to dobre miejsce, żeby zacząć.