Pilny komunikat w sprawie wycieku danych. Tyle osób może być poszkodowanych
Pilny komunikat Urzędu Ochrony Danych Osobowych w sprawie kolejnego cyberataku. Mogło dojść do ujawnienia danych około 5 mln osób. Nt. sprawy wypowiedział się też ekspert ESET. Ostrzega, że jeśli sprawca ataku na Medyc jest odpowiedzialny także za atak na MyDr, to konsekwencje mogą być dużo poważniejsze. – Dwa zbiory stworzą profil człowieka – tłumaczy analityk Kamil Sadkowski.
Z tego artykułu dowiesz się:
- Co wiadomo o ataku hakerskim na oprogramowanie Medyc firmy Qbusoft.
- Dlaczego UODO zdecydował o kontroli firmy odpowiedzialnej za system.
- Jakiej skali może być wyciek danych i kto podaje szacunki dotyczące nawet 5 mln osób.
- Dlaczego połączenie danych z kilku wycieków może zwiększać ryzyko oszustw i szantażu.
Pilny komunikat UODO w sprawie ataku hakerów na Medyc
W czwartek 24 września minister cyfryzacji Krzysztof Gawkowski potwierdził doniesienia o kolejnym masowym ataku hakerskim, który miał miejsce w polskiej cyberprzestrzeni. Wcześniej kilka placówek medycznych informowało swoich pacjentów o incydencie z wyciekiem danych. Chodzi o oprogramowanie medyczne Medyc, stworzone przez olsztyńską firmę Qbusoft. Jak przekazał Gawkowski, firma Qbusoft Sp. z o. o. wcześniej nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska lub CSiRT CeZ, ale w przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje.
Dotąd nie było dokładnie wiadomo, jaka może być skala wycieku. Portal cyberdefence.pl przekazał, że chodzi o nawet 5 mln osób, których dane mogły zostać ujawnione. Komunikat w tej sprawie wydał szef UODO, zapowiadając, że podejmie działania kontrolne w firmie Qbusoft.
Już wcześniej prezes UODO Mirosław Wróblewski zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia. Dodatkowe kontrole mają odbywać się jeszcze przed końcem roku.
To może być bardzo groźny wyciek. Ekspert ESET ostrzega
Portal Zaufana Trzecia Strona sugerował wcześniej, że za ostatnim wyciekiem stoi ta sama osoba, która odpowiedzialna jest za atak na MyDr, do którego doszło przed kilkoma tygodniami. Choć w komunikacie nt. nowego wycieku mówi się przede wszystkim o ujawnieniu sztywnych danych, jak imię, nazwisko, numer PESEL, adres, numer telefonu i adres e-mail, analityk cyberzagrożeń w ESET Kamil Sadkowski ostrzega, że jeszcze większe ryzyko pojawia się, jeśli informacje pochodzące z kilku różnych incydentów trafią do tego samego sprawcy. Wcześniejszy atak dotyczył bowiem danych historycznych, sprzed 2024 roku.
– Dwóch wycieków nie powinniśmy automatycznie traktować jak dwóch całkowicie niezależnych zdarzeń. Jeżeli część osób występuje zarówno w zbiorze MyDr, jak i Medyc, wspólne identyfikatory, takie jak PESEL, numer telefonu czy adres e-mail, mogą pozwolić połączyć informacje pochodzące z różnych systemów. Wtedy dwa fragmentaryczne zbiory mogą zacząć tworzyć znacznie dokładniejszy profil konkretnego człowieka – tłumaczy Kamil Sadkowski.
To może mieć znacznie poważniejsze konsekwencje. – W cyberbezpieczeństwie wartość danych nie zawsze rośnie liniowo. Kolejny wyciek może zwiększyć użyteczność informacji zdobytych wcześniej. To, co w jednej bazie było pojedynczym fragmentem historii człowieka, po zestawieniu z kolejnym źródłem może ujawnić znacznie więcej. Im więcej prawdziwych informacji uda się powiązać z jedną osobą, tym większe możliwości oszustwa, manipulacji czy wywierania na nią presji – mówi ekspert.
– W przypadku danych dotyczących leczenia uzależnień pojawia się zagrożenie, którego nie mamy przy zwykłym wycieku adresów e-mail czy numerów telefonów. Sama groźba ujawnienia informacji dotyczących terapii rodzinie, pracodawcy czy innym osobom może zostać wykorzystana do wywierania presji na konkretną osobę. Nie mamy informacji, że takie próby już występują, ale charakter przejętych danych sprawia, że ryzyka szantażu nie można ignorować – ostrzega Sadkowski.
Połączenie informacji z kilku źródeł może również zwiększyć wiarygodność ataków socjotechnicznych. W typowym phishingu cyberprzestępca próbuje przekonać ofiarę, że naprawdę kontaktuje się z nią bank, firma kurierska czy inna znana instytucja. W przypadku danych medycznych może dysponować informacjami, które z perspektywy pacjenta powinny być znane wyłącznie jemu i placówce. To może w oczach pacjenta potwierdzać wiarygodność rozmówcy. Ekspert jednak ostrzega, że mimo to musimy potwierdzać, z kim rozmawiamy.
Źródło: Radio ZET/uodo.gov.p/ESET
Byłeś świadkiem czegoś niespodziewanego? Masz temat, którym powinniśmy się zająć?
Zgłoś sprawę przez Czerwony telefon Radia ZET
![Kobieta z krótkimi włosami w czarnej kurtce, patrzy z zamyśleniem w dal. Czarno-białe zdjęcie.](https://s.eurozet.pl/cbz/2026/10/14/38b586e6/2500473-179x101-ee76096b38.png "Kadr z filmu "Beata"")
![Mężczyzna z krótkimi włosami, skupioną miną, ubrany w ciemną kurtkę. Tło lekko rozmyte.](https://s.eurozet.pl/cbz/2026/10/15/0d0755f6/2501453-179x101-84674b63ec.jpg "Bogusław Linda w "Dekalog VII"")
![Dwie kobiety w historycznych strojach rozmawiają na kanapie w stylu klasycznym.](https://s.eurozet.pl/cbz/2026/10/16/08a7f8eb/2502433-179x101-329c120897.jpg ""Quo Vadis" z 1913 roku")
