12 sierpnia* Ministerstwo Cyfryzacji potwierdziło to, o czym od kilku dni krążyły plotki. Dzień później sama firma przyznała, że padła ofiarą celowego ataku. Liczby, które wtedy padły, są największe w historii polskich wycieków: 18 814 422* unikalne numery PESEL i ponad dwa terabajty* danych.
W materiałach, które opisali dziennikarze, powtarzają się: imię i nazwisko, data urodzenia, PESEL, numer telefonu, oddział NFZ oraz dane recept i wizyt. Czyli informacja o tym, na co ktoś choruje, co przyjmuje i kiedy był u lekarza.
Takich danych nie da się zastrzec ani zmienić. PESEL można zastrzec. Historii leczenia - nie.
Jak się to stało - i dlaczego to nie był wyczyn
Za atakiem stoją ludzie, którzy sami opowiedzieli, jak weszli. Ich relację opisała Zaufana Trzecia Strona. Warto przełożyć ją na polski, bo w oryginale brzmi jak wyższa magia, a jest czymś dokładnie odwrotnym.
Krok pierwszy. System obsługiwał pliki z certyfikatami. Certyfikat to cyfrowy dowód tożsamości - programy pokazują je sobie nawzajem, żeby udowodnić, kim są. Funkcja, która te dowody czytała, była napisana tak, że wykonywała polecenia ukryte w czytanym pliku. Zamiast przeczytać dowód, robiła to, co było na nim napisane.
Wyobraźmy sobie recepcjonistę, któremu kazano czytać na głos każdą kartkę podaną przez okienko. Ktoś podaje kartkę z napisem „otwórz sejf”. Recepcjonista otwiera sejf, bo tak brzmiała instrukcja.
Ten błąd ma nazwę - XXE - i figuruje na standardowych listach znanych podatności od lat. Nie jest odkryciem. Jest pozycją z listy kontrolnej.
Krok drugi. Skoro można było wykonać własne polecenie, napastnicy rozejrzeli się po maszynie. Znaleźli klucz dostępu do repozytorium kodu - GitHub to serwis, w którym firmy przechowują kod źródłowy swoich programów. Coś jak magazyn z kompletem projektów technicznych całego systemu.
Klucz do tego magazynu leżał w miejscu, do którego przejęty proces miał dostęp. Wracając do porównania: klucz od sejfu wisiał na haczyku przy okienku recepcji.
I to jest cała historia. Żadnych łączy satelitarnych, żadnych kodów wykradzionych z instytucji rządowych. Dwa błędy, oba opisane w podręcznikach: podatność z listy znanych oraz poświadczenie zostawione w zasięgu procesu wystawionego na zewnątrz. Drugi z nich jest najczęstszym ustaleniem audytów środowisk chmurowych.
Pełnego przebiegu ataku wciąż nie znamy i trzeba to powiedzieć wprost. Ale ten fragment wystarcza do jednego wniosku: zdarzenie, któremu zapobiegłyby dwa dobrze znane zabezpieczenia, nie jest klęską żywiołową. Jest zaniedbaniem utrzymania.
Skala wzięła się z modelu, nie z ataku
Drugi element to liczba poszkodowanych. MyDr nie jest programem stojącym w rejestracji jednej przychodni. To usługa w chmurze, z której korzysta około 12 tysięcy* placówek medycznych. Dane pacjentów z tysięcy niezależnych podmiotów leżą w infrastrukturze jednego dostawcy.
Jedna dziura, jeden zasięg - obejmujący pół kraju. Gdyby ten sam błąd zdarzył się w programie zainstalowanym lokalnie w przychodni, wyciekłaby jedna kartoteka.
Zdziwienie jest tu najbardziej zaskakujące
Reakcja publiczna brzmiała: jak to możliwe. Odpowiedź jest przykra, bo liczby są znane od dawna.
CERT Polska zarejestrował w 2025 roku 260 783* incydenty - średnio 30 na godzinę* - na podstawie 658 320* zgłoszeń. Rok do roku liczba incydentów wzrosła o 152%*. Wicepremier i minister cyfryzacji nazwał to rekordem, jakiego w Polsce nie było. Ten sam minister mówi wprost, że Polska jest najczęściej atakowanym krajem w Europie. W grudniu 2025 uderzono w polską infrastrukturę energetyczną: farmy wiatrowe, fotowoltaiczne i elektrociepłownię ogrzewającą blisko pół miliona* osób.
Przy trzydziestu incydentach na godzinę pytanie nie brzmi, czy ktoś spróbuje. Brzmi, czy w dniu próby zabezpieczenia będą aktualne.
Powód tej pozycji jest geograficzny i organizacyjny naraz. Polska leży na skrzyżowaniu - wschodnia flanka NATO, korytarz logistyczny, granica Unii. Do tego dochodzi opinia rynku, w którym bezpieczeństwo bywa pozycją kosztową do ścięcia w pierwszej kolejności. Pierwszego składnika nie zmienimy. Drugi jest wyłącznie naszą decyzją i to on odpowiada za to, ile prób kończy się powodzeniem.
Kto za to odpowiada - odpowiedź, która zaskakuje
Serwisy ogólne opisały skalę wycieku i to, co ma teraz zrobić pacjent. Pytanie, kto za to odpowiada, trafiło głównie do tytułów prawniczych i branżowych - czyli tam, gdzie nie zagląda właściciel gabinetu, którego ta odpowiedź dotyczy najbardziej.
Odruch podpowiada: dostawca oprogramowania. Prawo mówi coś innego.
W konstrukcji RODO administratorem danych pacjenta jest przychodnia, praktyka albo placówka - ten podmiot decyduje, po co i jak dane są przetwarzane. MyDr jest podmiotem przetwarzającym: robi to na zlecenie i w granicach umowy powierzenia.
Praktyczny skutek jest taki, że pacjent ze swoim roszczeniem idzie do swojej przychodni, a nie do firmy, o której - jak celnie ujął to jeden z tytułów - nigdy wcześniej nie słyszał. I to przychodnia, każda z tych dwunastu tysięcy z osobna, ma własny obowiązek zawiadomienia osób, których dane naruszono, oraz własny termin na zgłoszenie sprawy do UODO. Termin 72 godzin z art. 33 ust. 1* RODO biegnie od chwili, w której administrator dowiaduje się o naruszeniu od podmiotu przetwarzającego - nie od chwili, w której przeczyta o tym w gazecie.
Dla tysięcy gabinetów oznacza to jedno: incydent cudzej firmy jest ich incydentem.
Co zawiodło naprawdę
Tu zaczyna się część, której w relacjach prasowych nie ma. Z perspektywy praktyki compliance widać trzy rzeczy, a tylko jedna z nich jest techniczna.
Koncentracja bez przegród. Umieszczenie danych z dwunastu tysięcy niezależnych placówek w jednym środowisku jest decyzją architektoniczną, nie awarią. Podnosi wygodę i obniża koszt, a jednocześnie zamienia każdą pojedynczą podatność w zdarzenie o skali krajowej. Ta decyzja zapadła długo przed atakiem i to ona zdecydowała o rozmiarze skutku.
Klucz, który otwierał więcej niż jedne drzwi. Z przejętego procesu dało się sięgnąć po poświadczenie do repozytorium kodu. To znaczy, że przejęcie jednego komponentu dawało dostęp do kolejnych - czyli że ruch napastnika w głąb systemu nie napotkał przegrody. To najczęstszy i najbardziej kosztowny błąd w środowiskach chmurowych: zabezpiecza się wejście, a nie to, co dzieje się po wejściu.
Cisza w łańcuchu powiadamiania. Najwięcej mówi to, że tysiące placówek dowiedziały się o sprawie z mediów. Umowa powierzenia ma określać, jak szybko i w jakiej formie przetwarzający zawiadamia administratora. Skoro pierwszym źródłem wiedzy była prasa, ta ścieżka albo nie została opisana, albo nigdy nie została przećwiczona. To jest ta część układanki, która obciąża każdą przychodnię osobno - bo za treść własnej umowy i za sprawdzenie, czy ona działa, odpowiada administrator.
Co z tego wyniknie
UODO zapowiedział kontrolę u dostawcy. Sprawdzane będą zastosowane zabezpieczenia, regularność ich testowania oraz to, czy ryzyko związane z przetwarzaniem danych o zdrowiu zostało w ogóle ocenione. Postępowanie w takiej sprawie to kwestia miesięcy, nie tygodni - i mówi o tym sam organ.
Pacjenci mają otwartą drogę roszczeń na podstawie art. 82* RODO, obejmującą także szkodę niemajątkową. Przy tej liczbie osób pytanie o pozwy grupowe jest kwestią czasu.
Ministerstwo zapowiedziało prace nad zaostrzeniem odpowiedzialności dostawców. To sygnał, że układ, w którym całe ryzyko regulacyjne siedzi po stronie tysięcy małych administratorów, a technologia po stronie jednego dużego przetwarzającego, przestał być akceptowalny.
Jak się przed tym zabezpieczyć
Krótko - reszta zależy od konkretnej umowy i konkretnego środowiska.
Warto wiedzieć, czyje serwery przechowują dane, za które się odpowiada - i mieć to spisane, a nie założone. Warto sprawdzić w umowie z dostawcą jedno zdanie: w jakim czasie i w jaki sposób ma zawiadomić o naruszeniu - i raz zadzwonić pod ten numer, żeby przekonać się, że ktoś odbiera. Warto też przyjąć założenie, które sprawa MyDr właśnie potwierdziła: incydent u dostawcy jest incydentem placówki, niezależnie od tego, gdzie fizycznie stoi serwer.
Reszta to już rozmowa o konkretnej umowie i konkretnym środowisku.
Nasze stanowisko
Uważamy, że rozmowa zeszła na niewłaściwy tor. Dyskusja toczy się o tym, czy dostawca zostanie ukarany i ile dostaną pacjenci, a najważniejsze pytanie brzmi inaczej: model, w którym dane z tysięcy niezależnych podmiotów leżą w jednej infrastrukturze, działa dziś w kilkunastu branżach poza ochroną zdrowia. Ta sprawa nie jest wypadkiem jednej firmy. Jest zapowiedzią.
Zapowiedziane przez ministerstwo zaostrzenie odpowiedzialności dostawców idzie w dobrą stronę. Układ, w którym ryzyko regulacyjne rozkłada się na tysiące małych administratorów, a technologia i decyzje architektoniczne siedzą u jednego dużego przetwarzającego, jest niesprawiedliwy i - co ważniejsze - nieskuteczny. Administrator, który nie ma wpływu na zabezpieczenia, nie poprawi ich strachem przed karą.
Placówki nie są przy tym bez winy. Jedyna rzecz, którą każda z nich kontrolowała w całości - ścieżka powiadomienia w umowie powierzenia - jest tą, która widocznie zawiodła. Tysiące gabinetów dowiedziały się o sprawie z serwisów informacyjnych. To jest problem organizacyjny.
I stąd nasz wniosek, inny niż powszechnie powtarzane „sprawdźcie umowy”: umowy w tym zakresie są zwykle napisane, tylko nigdy nieprzetestowane. Klauzula o powiadomieniu, pod którą nikt nigdy nie zadzwonił, jest ozdobnikiem. Różnica między dokumentem a procedurą polega na tym, że procedurę ktoś kiedyś uruchomił na próbę.
Rzecz, która w tej sprawie boli najbardziej: koszt uniknięcia był nieproporcjonalnie niski wobec skutku. Przegląd procedur i konfiguracji dostępów wykonywany raz w roku to wydatek rzędu kilku do kilkunastu tysięcy złotych - rozpiętość bierze się z wielkości organizacji i liczby systemów, którym powierzono dane. Po drugiej stronie stoi kontrola organu, zawiadomienia dla milionów osób i roszczenia, których liczby nikt dziś nie oszacuje.
Zdarzeń tej klasy - opartych na znanej podatności i na poświadczeniu zostawionym w złym miejscu - audyt wyłapuje, bo szuka dokładnie tego. Nie każdego ataku da się uniknąć. Tych dwóch błędów dało się.
Jeżeli czytają to Państwo z pozycji podmiotu, który powierzył komuś dane swoich klientów albo pacjentów - proszę zadzwonić i zapytać, co da się sprawdzić w Państwa układzie. Rozmowa o tym, gdzie leżą Państwa dane i kto ma obowiązek Państwa zawiadomić, kosztuje mniej niż jeden dzień takiego kryzysu.
Zajmujemy się bezpieczeństwem danych i zgodnością w ochronie zdrowia - od oceny ryzyka i umów powierzenia po obsługę naruszeń wobec UODO. Zobacz zakres.
* Tekst jest bezpośrednim komentarzem do doniesień o opisywanym zdarzeniu. Przytoczone liczby i dane pochodzą z publikacji źródłowych i mogą być obarczone błędem pierwowzoru. Opracowanie redakcji Kancelarii Kozłowski, zatwierdzone przez radcę prawnego. Stan na dzień publikacji.