MyDr: 19 mln PESEL u dostawcy, którego nie znałeś z wizyty
Nie padł szpital. Nie padł IKP. Padł dostawca oprogramowania do elektronicznej dokumentacji medycznej, którego nazwy większość pacjentów nigdy nie widziała na drzwiach gabinetu. MyDr. W sierpniu 2026 Ministerstwo Cyfryzacji mówiło o bazie ponad 2 TB i o liczbie w okolicach 19 milionów osób, przy około 12 tysiącach placówek na tym oprogramowaniu. To mniej więcej połowa kraju w jednym komercyjnym silosie.
To jest ten rodzaj historii, który na Wykope kończy się w trzech komentarzach: „PESEL i tak wyciekł sto razy”, „zastrzegłem”, „a kto to w ogóle jest”. Trzecie pytanie jest właściwe. Reszta jest leniwa.
Co wiemy bez plotki z forów
Prokuratura Okręgowa w Warszawie i CBZC prowadzą sprawę nieuprawnionego dostępu do systemów administrowanych przez MyDr. Nieuprawniony dostęp: najpóźniej 6 sierpnia 2026. Firma i służby mówią o kradzieży danych, nie o klasycznym ransomware z zaszyfrowanymi dyskami i zatrzymaną przychodnią. Model: wyciągnąć bazę, potem „oferta” albo groźba publikacji. Ministerstwo Zdrowia podkreślało, że centralne usługi e-zdrowia (P1, recepty w państwowym kanale) nie padły razem z MyDr. Pacjent dalej dostaje e-receptę. Problem siedzi w warstwie dostawcy EDM dla tysięcy gabinetów.
Zakres, o którym mówiły komunikaty: imiona, nazwiska, PESEL, telefony, maile, dane zdrowotne w rodzaju notatek z wizyt i informacji o receptach. MyDr wskazywało, że chodzi głównie o dane historyczne, sprzed 12 kwietnia 2024. To nie znaczy „bezpiecznie, bo stare”. PESEL się nie dezaktualizuje. Rozpoznanie psychiatryczne sprzed trzech lat też nie.
Na początku września pacjenci dostawali SMS-y od placówek o naruszeniu u podmiotu przetwarzającego. Brzmi jak phishing. Część była prawdziwym powiadomieniem RODO. Chaos komunikacyjny to osobny wektor: ktoś podszywa się pod „MyDr / Twoja przychodnia, kliknij tu”.
Dlaczego to nie jest „kolejny szpital”
Szpital ma ściany, kontrakt z NFZ i adres, który kojarzysz. MyDr to warstwa SaaS pod spodem. Gabinet podpisuje umowę, wrzuca dokumentację, pacjent wypełnia ankietę „zgoda na przetwarzanie”. Nazwa procesora wypada w PDF-ie regulaminu, którego nikt nie czyta. Przy 12 tysiącach klientów jeden błąd konfiguracji, jeden sekret w repozytorium, jedna niewykryta eksfiltracja terabajtów robi skalę państwową.
UODO mówiło wprost o ryzyku koncentracji: zbyt dużo wrażliwych danych w jednym miejscu. Prezes urzędu zapowiadał kontrole w MyDr i szerszy przegląd sektora zdrowia. To nie jest moralitet „chmura zła”. To konstatacja: rynek EDM dla małych praktyk zbiegł się do kilku dużych platform, a odpowiedzialność formalna (administrator = placówka) nie pokrywa się z tym, kto faktycznie trzyma infrastrukturę.
W 2023 MyDr weszło w orbitę Docplanner / ZnanyLekarz. Skala wizyt i recept na platformie była reklamowana w milionach miesięcznie. Skala ataku bierze się stąd, nie z „hakera z filmu”.
Ścieżka ataku: ostrożnie z wersją sprawców
Redakcja Zaufanej Trzeciej Strony dostała od osób podających się za sprawców opis: XXE przy obsłudze certyfikatów PKCS#12, stąd RCE, klucz API do GitHuba, kod, potem infrastruktura w chmurze. ZTS zaznaczyła, że nie zweryfikowała tego łańcucha niezależnie. Gawkowski mówił później, że służby wiedzą, gdzie był błąd i że został załatany, bez publicznego potwierdzenia każdego kroku z tej narracji.
Biorę z tego tylko mechanikę znaną z innych wycieków SaaS: aplikacja → sekrety → repo → chmura. Nie PoC. Nie checklistę „jak powtórzyć”. Jeśli ktoś obiecuje Ci pełny dump „bo wyciekł”, traktuj to jak phishing z lepszym storytellingiem.
Ważniejsze od dramaturgii XXE jest coś nudniejszego. Prezes UODO zwracał uwagę, że ponad 2 TB nie spływa w sekundę. Eksfiltracja musiała trwać. Brak wczesnego alarmu na ruchu wychodzącym to osobna porażka, obok pierwotnej dziury.
Co z publikacją i bezpiecznedane.gov.pl
Firma i eksperci współpracujący przy incydencie mówili o monitoringu darknetu bez potwierdzonej masowej publikacji. CBZC w komunikacie z połowy sierpnia tłumaczyło, dlaczego na tym etapie nie wrzuca listy PESEL na bezpiecznedane.gov.pl: dobro postępowania. Portal i tak padał pod ruchem w dniu oficjalnych komunikatów. Pacjent zostaje z radą ogólną: zastrzeż PESEL, uważaj na SMS-y, nie klikaj w „zweryfikuj wyciek” z nieznanego numeru.
Zastrzeżenie PESEL w mObywatelu / gov.pl ogranicza część scenariuszy kredytowych. Nie cofa faktu, że ktoś mógł dostać Twoją historię leków. Nie usuwa numeru telefonu z cudzej bazy. To mitigacja skutków finansowych, nie cofnięcie czasu.
Chaos u pacjentów i u gabinetów
Po miesiącu od nagłówków pacjenci często nie wiedzą, które ich dane konkretnie poszły. Placówki też nie zawsze umieją odpowiedzieć precyzyjnie, bo zakres jest po stronie procesora. Część ludzi pisze do przychodni z żądaniem odszkodowania. Prawnicy przypominają, że to idzie przez sąd, nie przez mail z kwotą „20 tys. natychmiast”. Bombardowanie recepcji nie przyspiesza forensics.
Tu wraca stary problem RODO w modelu SaaS: administrator (gabinet) ma obowiązki wobec pacjenta, a technicznie siedzi na cudzym stacku. Ministerstwo Cyfryzacji zapowiadało pakiet „Cyber Piątka”: certyfikacja dużych procesorów medycznych, minima techniczne, transparentność wobec pacjenta, powiadomienia o zdarzeniach medycznych w mObywatel / mojeIKP, sztywniejsze obowiązki przy skali (ponad 100 administratorów albo ponad 100 tys. osób). Na razie to kierunek legislacyjny, nie obowiązujące jutro prawo.
Co z tego wynika poza zdrowiem
Jeśli prowadzisz firmę i trzymasz dane klientów u jednego dostawcy „bo wygodnie i tanio”, MyDr jest case study, nie medycznym wyjątkiem. Te same trzy punkty wracają w logistyce, edukacji, HR SaaS:
- Koncentracja robi blast radius.
- Umowa „odpowiedzialność po stronie klienta” nie zatrzymuje terabajtów.
- Wykrycie eksfiltracji bywa słabsze niż marketing „jesteśmy w AWS”.
Dla osoby prywatnej checklista jest krótka i nieheroiczna. Zastrzeż PESEL, jeśli jeszcze tego nie zrobiłeś po sierpniowych komunikatach. Sprawdzaj oficjalne źródła (MC, MZ, CBZC, UODO), nie „listy wycieków” z Telegrama. Traktuj SMS o MyDr jak potencjalny phishing, dopóki nie potwierdzisz kanału u swojej placówki. Hasła do poczty i banku: unikalne, menedżer, 2FA. Historia chorób w cudzych rękach to nie to samo co hasło do Instagrama, ale socjotechnika lubi łączyć obie rzeczy w jednym telefonie.
Morał, bez kazania
Największy polski wyciek medyczny roku nie wymagał, żebyś „wszedł na darknet”. Wystarczyło, że Twój dentysta albo internista kupił popularny soft. To jest właśnie prywatność w 2026: nie kaptur i Tor, tylko pytanie, ile Twojego życia siedzi u firmy, której nazwy nie umiesz wymienić.
Źródła do weryfikacji faktów: komunikaty Ministerstwa Zdrowia, CBZC, relacje PAP / MC z sierpnia, materiały UODO o kontrolach, timeline i kontekst biznesowy m.in. u analityków opisujących incydent po faktach publicznych. Wątpliwości techniczne oznaczam jako niezweryfikowane, gdy pochodzą wyłącznie od osób podających się za sprawców.