Wyciek danych medycznych Polaków. Ustalenia RMF FM

Będzie kontrola Urzędu Ochrony Danych Osobowych w firmie Qbusoft, która tworzy oprogramowanie Medyc do zarządzania dokumentacją medyczną - dowiedział się reporter RMF FM Michał Dobrołowicz. Doszło w niej do incydentu naruszenia cyberbezpieczeństwa. O wycieku danych pacjentów poinformował w czwartek Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, który korzystał z tego oprogramowania.

Zdj. ilustracyjne (fot. Marko Lukunic/PIXSELL) /PAP/EPA

Gawkowski: Będą wyciągnięte bezwzględne konsekwencje

Sprawę wycieku bada Centralne Biuro Zwalczania Cyberprzestępczości. Reporter RMF FM Michał Dobrołowicz potwierdził, że za ten proceder odpowiadają osoby powiązane z dużym, sierpniowym wyciekiem danych z firmy MyDr. 

Ministerstwo Cyfryzacji - tak jak w przypadku poprzednich wycieków - rekomenduje zastrzeżenie numeru PESEL, które chroni przed zaciągnięciem kredytu na nasze dane.

Firma Qbusoft Sp. z o. o. jak dotąd nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska lub CSiRT CeZ. W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje - zapowiadał w czwartek w mediach społecznościowych szef resortu cyfryzacji Krzysztof Gawkowski. 

Co wiemy o wycieku danych?

Na razie na profilach społecznościowych i stronie internetowej promującej oprogramowanie Medyc nie pojawiła się żadna informacja o incydencie. Podstawowe szczegóły przekazał Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, który nagłośnił sprawę.

Ustalenia dokonane przez Qbusoft przy wsparciu ekspertów zajmujących się analizą śledczą wskazują, że osoba nieuprawniona w dniach 22–23 sierpnia 2026 r. wykorzystała błąd bezpieczeństwa w interfejsie aplikacji (podatność typu SQL injection). Doprowadziło to do skutecznego wytransferowania zaszyfrowanego archiwum bazy danych poza środowisko systemowe dostawcy. Incydent ten został wykryty w nocy z 8 na 9 września 2026 r.

Zgodnie z oficjalnym i ostatecznym stanowiskiem dostawcy oprogramowania, polecenia eksportu danych nie były ograniczone czasowo, co oznacza, że wyciekły dane osobowe pacjentów Oddziału Dziennego z okresu od 1.07.2024 do 23.08.2026.

Wśród danych, których pobranie z bazy zostało jednoznacznie udowodnione, znalazły się Pani/Pana: imię, nazwisko, numer PESEL, adres zamieszkania/pobytu, numer telefonu oraz adres e-mail - czytamy w obszernym komunikacie. 

Jak wyjaśniono, choć dane osobowe były zaszyfrowane, uzasadnione jest podejrzenie, że cyberprzestępcy pozyskali je w formie jawnej. Prawdopodobne jest też wykradzenie dokumentacji medycznej.