Wyciek danych 19 mln Polaków: co zrobić po ataku na MyDr

Wyciek danych 19 milionów Polaków to jeden z największych incydentów bezpieczeństwa cybernetycznego w historii kraju. 12 sierpnia Ministerstwo Cyfryzacji potwierdziło, że systemy firmy MyDr padły ofiarą ataku hakerów z grupy Fingerprint, którzy uzyskali dostęp do wrażliwych informacji pacjentów, w tym numerów PESEL, danych o lekach i receptach.

Co się stało: przebieg incydentu

Grupa hakerów Fingerprint ogłosiła o sukcesie ataku na platformie Infosec Exchange w sobotę, 12 sierpnia. Według komunikatu hakerów, nie będą oni upubliczniać ani sprzedawać wyciągniętych danych — zamiast tego ogłosili, że pracują nad „czymś jeszcze większym” dla europejskiego rynku. Hakerzy komunikują się wyłącznie za pośrednictwem serwisu Zaufana Trzecia Strona i podkreślają, że rozmawiają tylko z Adamem Haertle. Deklarują, że ich działania mają na celu poprawę bezpieczeństwa cybernetycznego w Europie.

Szef firmy MyDr przeprosił pacjentów za zaistniałą sytuację. Minister Cyfryzacji Krzysztof Gawkowski określił incydent jako „jeden z największych incydentów w historii Polski”, co podkreśla skalę problemu.

Jakie dane wyciekły i kto jest zagrożony?

Hakerzy uzyskali dostęp do trzech kategorii informacji:

Typ danych	Znaczenie dla bezpieczeństwa
Numery PESEL	Możliwość kradzieży tożsamości, założenia kont bankowych, zaciągnięcia kredytów
Informacje o lekach	Ujawnienie stanu zdrowia, możliwość szantażu, dyskryminacji
Dane o receptach	Szczegółowe informacje medyczne, zagrożenie prywatności zdrowotnej

Poszkodowani to wszyscy pacjenci, którzy kiedykolwiek korzystali z usług MyDr — platformy medycznej umożliwiającej konsultacje online i dostęp do historii leczenia. W Polsce liczba takich osób sięga 19 milionów.

Co to oznacza dla Ciebie?

Jeśli kiedykolwiek logowałeś się do aplikacji MyDr lub korzystałeś z jej usług, Twoje dane mogą być w posiadaniu hakerów. Choć grupa Fingerprint zapewnia, że nie będzie ich sprzedawać, historia wycieku danych pokazuje, że takie oświadczenia nie zawsze się sprawdzają. Hakerzy mogą zmienić zdanie lub dane mogą trafić na czarny rynek przez pośredników.

Największym zagrożeniem jest kradzież tożsamości. Posiadając numer PESEL oraz wiedzę o Twoim stanie zdrowia, oszuści mogą:

• Założyć konta bankowe na Twoje nazwisko
• Zaciągnąć kredyty lub pożyczki
• Dokonywać zakupów online
• Ubiegać się o świadczenia społeczne
• Przeprowadzić transakcje finansowe bez Twojej wiedzy

Drugą grupę zagrożeń stanowi szantaż lub dyskryminacja na podstawie ujawnionych informacji medycznych.

Jak się chronić: konkretne kroki

Krok 1: Sprawdź, czy Twoje dane wyciekły

Od soboty, 12 sierpnia, dostępny jest portal bezpiecznedane.gov.pl, który pozwala sprawdzić, czy Twoje dane znalazły się w wycieku. Wejdź na stronę, wpisz wymagane informacje i otrzymaj odpowiedź. To bezpłatny serwis uruchomiony przez władze.

Krok 2: Zastrzeż numer PESEL

Ministerstwo Cyfryzacji rekomenduje zastrzeżenie numeru PESEL w systemie mObywatela. To procedura, która utrudnia oszustom założenie kont na Twoje nazwisko. Aby to zrobić:

1. Zaloguj się do aplikacji mObywatela lub wejdź na portal mObywatela.gov.pl
2. Przejdź do sekcji dotyczącej ochrony PESEL
3. Złóż wniosek o zastrzeżenie numeru
4. Otrzymasz potwierdzenie zastrzeżenia

Zastrzeżenie PESEL oznacza, że każda próba założenia konta bankowego, pożyczki lub innej usługi finansowej na Twój numer będzie wymagać dodatkowej weryfikacji i potwierdzenia Twojej tożsamości.

Krok 3: Monitoruj swoje konta finansowe

Przez co najmniej kilka miesięcy regularnie sprawdzaj wyciągi z kont bankowych, karty kredytowe i aplikacje bankowości elektronicznej. Zwróć uwagę na:

• Nieznane transakcje
• Nowe karty kredytowe lub debetowe, które nie zamawiałeś
• Zmianę danych kontaktowych w banku
• Powiadomienia o nowych logowaniach do konta

Jeśli zauważysz cokolwiek podejrzanego, natychmiast skontaktuj się z bankiem.

Krok 4: Zmień hasło do MyDr i powiązanych kont

Jeśli posługujesz się tym samym hasłem w wielu serwisach, zmień je również w innych miejscach. Hakerzy mogą spróbować użyć wyciągniętych danych logowania do dostępu do Twoich kont e-mail, mediów społecznościowych czy bankowości.

Krok 5: Postaw na uwierzytelnianie dwuskładnikowe

Włącz dwuskładnikowe uwierzytelnianie (2FA) na wszystkich ważnych kontach — e-mailu, banku, mediach społecznościowych. To dodatkowa warstwa ochrony, która wymaga potwierdzenia logowania kodem SMS, aplikacją lub kluczem sprzętowym.

Dochodzenie i konsekwencje prawne

Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej Warszawa. Za tego typu ataki i nieautoryzowany dostęp do danych osobowych grożą kary do trzech lat więzienia. Jednak schwytanie sprawców działających z zagranicy jest skomplikowane i zajmuje wiele czasu.

Czy to będzie ostatni atak?

Grupa Fingerprint zapowiedziała, że pracuje nad „czymś jeszcze większym” niż wyciek MyDr. Choć nie podała szczegółów, sugeruje to, że mogą planować kolejne ataki na polskie firmy lub instytucje. To sygnał, że polska infrastruktura cyfrowa pozostaje celem dla hakerów z całego świata.

Jednocześnie fakt, że hakerzy deklarują misję poprawy bezpieczeństwa cybernetycznego w Europie, wskazuje na możliwość, że mogą ujawniać luki w bezpieczeństwie firm, aby wymusić na nich poprawę systemów — praktyka znana jako „ethical hacking” lub „responsible disclosure”. Jednak takie działania pozostają nielegalne, niezależnie od deklarowanego celu.