FELG Dent: Horus, 2 mln rekordów, okup i IDOR
Jeszcze nie ostygła Fakturownia, a już kolejny polski SaaS gabinetowy. Tym razem stomatologia: FELG Dent (felgdent.com), oprogramowanie FELG Software dla około 16 tysięcy gabinetów. 1 października 2026 Sekurak i Niebezpiecznik opublikowały to, co sprawcy sami im wysłali. Firma potwierdziła incydent tego samego dnia.
Inna etykieta niż przy MyDr, Medyc i Fakturowni. Nie Fingerprint. Grupa podpisuje się Horus. FELG w komunikacie do klientów napisał o “hakerze podającym się za fingerprint”. Sam Fingerprint zdementował i, według Niebezpiecznika, zaoferował firmie darmową pomoc. Sezon jest taki, że nawet to brzmi wiarygodnie.
Co mówią sprawcy, co mówi firma
Horus do redakcji: 2,4 mln pacjentów (PESEL, imię, nazwisko, adres, telefon, gabinet, NIP), personel, 1,2 mln recept, dokumentacja wizyt, e-ZLA, tabele eWUŚ, pliki i zdjęcia z paneli. “Pełna historia leczenia”. Pierwsza liczba personelu brzmiała jak 712 tys.; po kontakcie z Sekurakiem firma zdementowała tę skalę, a sprawcy zeszli do około 28 tys. i tłumaczyli pierwszą wersję duplikatami. Liczby sprawców to deklaracja, nie audyt.
FELG Software (prezes Grzegorz Stawarz, odpowiedzi dla Sekuraka w mniej niż godzinę): incydent potwierdzony, skala w trakcie ustalania. Wstępny szacunek, częściowo z deklaracji sprawców: około 2 mln rekordów pacjentów. Rekordy nie równają się osobom jeden do jednego. Potencjalny zakres: identyfikatory i kontakty, dane medyczne, e-recepty, e-ZLA, eWUŚ. W komunikacie do gabinetów: osoba podająca się za sprawcę twierdzi, że ma około 10% bazy i żąda okupu. Prokuratura i UODO powiadomione. Status: status.felg.cloud/incydent.
Horus u Niebezpiecznika: pobranie 9 września, szantaż firmy, brak okupu, oferta sprzedaży bazy za 100 tys. zł. Próbki z nazwiskami znanymi z mediów. Redakcja nie potwierdziła telefonów ani PESEL-i testowych w dumpie. Traktuję próbkę jak teatr nacisku, dopóki gabinet albo forensics nie domknie rekordu.
Wektor: klasa IDOR, bez checklisty
Sprawcy opisują prostą dziurę: IDOR, enumeracja danych po identyfikatorach, rzekomo z konta demo z dostępem do produkcji. Firma mówi, że wektor zidentyfikowała, szczegółów technicznych nie publikuje.
Nie rozpisuję endpointów ani ścieżki. Klasa wystarczy. Cross-tenant IDOR w softcie medycznym w 2026 to nie “zaawansowany APT”. To brak izolacji najemców i kontroli uprawnień na poziomie obiektu. Jeśli demo widziało produkcję, to osobna porażka architektury, nie pech jednego endpointu.
Co robi FELG z gabinetami
Wstępny mail poszedł do wszystkich klientów. To nie znaczy, że każdy gabinet jest w dumpie. Firma prosi, żeby placówki nie zgłaszały jeszcze naruszenia do UODO na własną rękę, dopóki FELG nie potwierdzi, że konkretny gabinet jest objęty. Po weekendzie (czyli na początku października) zapowiada indywidualne informacje: gotowe zgłoszenie do UODO i narzędzie do powiadamiania pacjentów tam, gdzie naruszenie się potwierdzi. Reszcie: pisemne “was nie dotyczy”.
Dla pacjenta to znowu ten sam lag: administrator = gabinet, procesor = FELG, Ty czekasz na SMS albo mail, który może przyjść za tydzień albo wyglądać jak phishing.
Sezon SaaS medycznego nie zwalnia
MyDr: rząd wielkości 19 mln. Medyc: rząd miliona+. Fakturownia: faktury i rachunki, nie zęby. FELG Dent: kolejny silos branżowy, węższy (stomatologia), nadal milionowa skala deklaracji. Horus podkreśla niezależność od Fingerprinta. Na pacjenta to bez różnicy. Dane i tak siedzą u procesora, którego nazwy nie ma na drzwiach gabinetu.
Psychotropowa wątek w mailu sprawców (lista lekarzy, “pseudo lekarze”) to klasyczny szantaż wizerunkowy, nie śledztwo. Nie dokarmiam go listami ani nazwiskami. Jeśli ktoś obiecuje Ci “pełny dump dentystyczny, sprawdź PESEL”: traktuj jak phishing z lepszą legendą.
Jeśli byłeś u dentysty na FELG Dent
Jak po MyDr: zastrzeżenie PESEL, jeśli jeszcze nie. Unikalne hasła do portalu pacjenta, 2FA. Uważaj na maile i SMS-y “bo wyciek FELG / Twój gabinet, kliknij”. Numer rachunku i dane do “dopłaty za wizytę” potwierdzaj znanym kanałem gabinetu, nie linkiem z wiadomości.
Brak powiadomienia nie znaczy, że Cię nie ma w dumpie. Znaczy, że FELG jeszcze nie domknął listy gabinetów albo Twój dentysta nie siedział na tym softcie. Listy “czy ja jestem” na Telegramie odłóż.
Dla rynku morał z lata wraca bez zmian. Soft gabinetowy to koncentracja danych zdrowotnych pod jedną marką. IDOR i demo na produkcji to test, którego część dostawców nadal nie zdaje. Jesień 2026 zbiera rachunki.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.
Czytaj w kontekście
Wycieki danych. Co właściwie wyciekło?
Fakturownia, FELG Dent, Medyc, MyDr i Wakacje.pl. Czytanie komunikatów o incydentach bez mieszania dostępu do systemu z potwierdzoną kradzieżą danych.