Medyc / Qbusoft: drugi dostawca EDM w tym sezonie
Kilka tygodni po MyDr ta sama warstwa rynku: oprogramowanie gabinetowe, którego nazwy pacjent zwykle nie widzi na drzwiach. Tym razem Medyc olsztyńskiej firmy Qbusoft. 24 września 2026 minister cyfryzacji potwierdził, że CBZC zajmuje się incydentem. Placówki już wcześniej zaczęły pisać do pacjentów.
Skala wygląda mniejsza niż przy MyDr. Wzorzec siedzi w tym samym miejscu: dane medyczne u procesora SaaS, administrator = przychodnia, pacjent dowiaduje się SMS-em albo mailem.
Co wiemy z komunikatów placówek
Zaufana Trzecia Strona i Sekurak zebrały to, co placówki dostały od dostawcy. Atak: 22-23 sierpnia 2026. Wektor w komunikatach: SQL Injection. Wykradzione miało być zaszyfrowane archiwum bazy. Firma o incydencie dowiedziała się w nocy z 8 na 9 września. Luka, według dostawcy, usunięta tego samego dnia, w którym atak wykryto.
Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu napisał pacjentom wprost: podmiot przetwarzający to Qbusoft, producent Medyc. Zakres czasowy dla ich oddziału dziennego, według stanowiska dostawcy: od 1 lipca 2024 do 23 sierpnia 2026. Eksport nie był ograniczony czasowo. To samo miejsce wcześniej informowało o MyDr. Dwa procesory, jedna terapia.
W oświadczeniach wracają pola: imię, nazwisko, PESEL, adres, telefon, e-mail. Imię, nazwisko i PESEL miały być w bazie zaszyfrowane. Dostawca kazał jednak przyjąć scenariusz, że przy zastosowanym kodzie odszyfrowanie było łatwe, więc należy założyć dostęp w formie jawnej. Dodatkowo: skrypty poszły w tabele z danymi medycznymi. Bardzo prawdopodobne pozyskanie dokumentacji, w tym kart informacyjnych leczenia szpitalnego (wypisów).
Nie rozpisuję tu PoC ani ścieżki SQLi. Klasa podatności wystarczy: aplikacja medyczna w 2026 z dziurą znaną od dekad to zaniedbanie, nie “zaawansowany APT”.
Skala: miliony w plotce, pewność w setkach placówek
Producent chwali się rzędem dziesięciu tysięcy wizyt dziennie. Z3S szacuje, przez analogię do proporcji MyDr, że baza mogła trzymać dane powyżej miliona osób. CyberDefence24 mówi o setkach placówek i co najmniej milionie, mniej niż MyDr. Osoby podające się za sprawców miały mówić o 5 mln osób i milionach zdjęć medycznych. Tego nikt oficjalnie nie potwierdził. Trzymam się komunikatów placówek i MC.
Centrum eZdrowia Sp. z o.o. (spółka komercyjna, nie rządowe CeZ) na swoich stronach pisze o obsłudze 500 tys.+ pacjentów. Ile z tego weszło w ten dump, nie wiadomo z samego marketingu.
Co powiedział resort
Gawkowski 24 IX: CBZC prowadzi działania ws. producenta Medyc. Według MC firma nie zgłosiła incydentu do CERT Polska ani do CSIRT CeZ. Wśród objętych danych mogły znaleźć się dane kontaktowe, PESEL i dane dotyczące zdrowia. Ton jak po MyDr: jeśli prywatny dostawca naruszył procedury, będą konsekwencje.
MyDr i Medyc łączy też narracja o sprawcach. Z3S pisze, że za Medyc stoją te same osoby co przy MyDr. Fingerprint sprawców wracał w komunikacji już pod koniec sierpnia z zapowiedzią “kolejnego incydentu”. To nie wyrok sądu. To trop medialny, który warto oznaczyć jako niezweryfikowany poza redakcjami branżowymi.
Szyfrowanie, które nie broni
Zaszyfrowane imię i PESEL w bazie brzmią dobrze w PDF-ie “bezpieczeństwo danych”. Jak dostawca sam każe założyć, że da się to łatwo odwrócić, szyfrowanie było atrapą albo kluczem leżącym obok zamka. Przy danych zdrowotnych to nie detal. Wypis z oddziału uzależnień albo psychiatrii waży inaczej niż lista PESEL z przychodni rodzinnej. Ten ośrodek w Inowrocławiu jest właśnie takim przypadkiem.
Co z tego dla pacjenta
Jeśli dostałeś SMS albo mail o Medyc / Qbusoft: traktuj treść jak potencjalny phishing, dopóki nie potwierdzisz kanału u swojej placówki. Potem zastrzeżenie PESEL, jeśli jeszcze nie masz. Unikalne hasła do portalu pacjenta, 2FA. Historia leczenia w cudzej bazie nie znika po zastrzeżeniu numeru.
Brak SMS-a nie znaczy, że Cię nie ma w dumpie. Znaczy, że Twoja placówka jeszcze nie napisała albo nie korzystała z Medyc. Listę “czy ja jestem” na Telegramie odłóż. Oficjalne źródła: placówka, MC, CBZC, UODO.
Dla gabinetów i przychodni morał z MyDr wraca bez zmian. Umowa z procesorem nie przenosi fizycznej kontroli nad bazą. SQLi w EDM w 2026 to porażka podstawowa. Część rynku zaliczyła ją dwa razy w jednym sezonie.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.
Czytaj w kontekście
Wycieki danych. Co właściwie wyciekło?
Fakturownia, FELG Dent, Medyc, MyDr i Wakacje.pl. Czytanie komunikatów o incydentach bez mieszania dostępu do systemu z potwierdzoną kradzieżą danych.