Jak sprawdzić, czy moje dane wyciekły z systemu MyDr – to pytanie zadaje sobie w czwartek 13 sierpnia 2026 r. kilkanaście milionów Polaków. Rządowa odpowiedź brzmi: przez serwis bezpiecznedane.gov.pl, ale kompletu rekordów z bazy MyDr jeszcze tam nie ma. Wicepremier Krzysztof Gawkowski oświadczył rano, że resort wie już, gdzie był błąd w oprogramowaniu, a firma MyDr wydała oświadczenie, w którym po raz pierwszy potwierdziła „zewnętrzne, celowe działanie o charakterze przestępczym”.
Poniżej zbieramy wszystko, co ustalono w czwartek: stanowisko Ministerstwa Cyfryzacji, pełną treść komunikatu spółki MyDr, reakcję sieci Lux Med, relację dziennikarza, z którym skontaktowali się sami sprawcy, oraz to, co realnie może dziś zrobić pacjent – zastrzec numer PESEL, sprawdzić się w rządowej bazie i rozpoznać oszustwo, które przyjdzie SMS-em albo telefonem. Wcześniejszy przebieg sprawy opisaliśmy w tekście Wyciek danych medycznych MyDr. Przestępcy mają dane 19 mln Polaków.
Wyciek danych MyDr. Co ustalono w czwartek 13 sierpnia
Doba od konferencji wicepremiera przyniosła trzy rzeczy: deklarację, że luka jest już zamknięta, pierwsze pełne oświadczenie firmy i falę pytań o serwis, który miał dać pacjentom odpowiedź, a przez kilkanaście godzin nie odpowiadał w ogóle. Chronologicznie wygląda to tak:
– 10 sierpnia, godz. 15.00: MyDr publikuje pierwszy komunikat o „postępowaniu wyjaśniającym” dotyczącym części swoich systemów
– 12 sierpnia, przed południem: Krzysztof Gawkowski potwierdza na konferencji skalę incydentu, mówi o blisko 19 mln rekordów i około 2 terabajtach danych
– 12 sierpnia, godz. 18.35: MyDr aktualizuje oświadczenie i po raz pierwszy pisze o „celowym działaniu o charakterze przestępczym”
– 12 sierpnia, wieczorem: serwis bezpiecznedane.gov.pl, do którego odsyła rząd, przestaje odpowiadać pod naporem wejść
– 13 sierpnia, rano: wicepremier oświadcza, że resort zna już przyczynę i że „luki są uszczelnione”
– 13 sierpnia: Lux Med przekazuje mediom własne stanowisko i ostrzega pacjentów przed próbami wyłudzeń
„Wiemy, gdzie był błąd”. Gawkowski o luce w oprogramowaniu
Wicepremier i minister cyfryzacji powiedział w czwartek, że przyczyna włamania jest już znana, choć szczegółów technicznych nie ujawnił. Zapewnił jednocześnie, że wykradziony materiał nie krąży po sieci: nie trafił na fora, nie został wystawiony na sprzedaż, nie pojawił się w żadnym z miejsc, które monitorują służby i prywatne firmy zajmujące się cyberbezpieczeństwem.
My już wiemy, gdzie był błąd w oprogramowaniu, jakie elementy dotyczące procesu i zarządzania tym systemem nie zagrały
Krzysztof Gawkowski, wicepremier i minister cyfryzacji, 13 sierpnia 2026 r.
Minister dodał, że „luki są uszczelnione”, a nad rozpracowaniem grupy odpowiedzialnej za atak pracują służby. Nic – jak zaznaczył – nie wskazuje na udział obcego państwa; to wersja, którą resort powtarza od pierwszego dnia. O ewentualnej karze administracyjnej dla spółki resort mówi, że zapadnie po zakończeniu wyjaśnień. Terminu nie podano.
Oświadczenie MyDr w całości. Firma przyznaje: celowe działanie przestępcze
Spółka prowadzi osobną stronę poświęconą incydentowi i aktualizuje ją z podaniem godziny. Publikujemy komunikat w brzmieniu z 12 sierpnia 2026 r., godz. 18.35, bo to on jest w tej chwili oficjalnym stanowiskiem dostawcy oprogramowania, z którego korzysta kilkanaście tysięcy przychodni.
Na tym etapie trwającego dochodzenia potwierdzamy, że staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych.
Naszym priorytetem jest zapewnienie bezpieczeństwa i integralności naszych systemów oraz pełne zbadanie tej sprawy. Dane objęte incydentem najprawdopodobniej mają charakter historyczny – pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów.
Na dzień dzisiejszy potwierdzamy, że: nasze systemy są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy; nasi partnerzy zajmujący się cyberbezpieczeństwem aktywnie monitorują dark web i potwierdzili, że na moment publikacji nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie.
Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji.
Nasi klienci nie muszą obecnie podejmować żadnych działań. Skontaktujemy się proaktywnie z klientami, których dotyczy incydent, zapewniając im wsparcie i wskazówki, gdy tylko ustalimy, które placówki i jakie dane zostały nim objęte.
Nasze zespoły Bezpieczeństwa, Inżynierii i Infrastruktury, wspierane przez zewnętrznych ekspertów do spraw cyberbezpieczeństwa, pracują dzień i noc, aby zbadać tę sprawę. Ponieważ dochodzenie jest wciąż w toku, na tym etapie nie możemy udostępnić dalszych szczegółów technicznych ani spekulować na temat kolejnych ustaleń.
MyDr, komunikat „Incydent MyDr”, aktualizacja z 12 sierpnia 2026 r., godz. 18.35 CET
Dwa zdania z tego tekstu warto przeczytać powoli. Pierwsze: firma nie wie, ile i jakich danych wypłynęło – a więc żaden pacjent nie usłyszy dziś od niej wiążącej odpowiedzi. Drugie: „nasi klienci nie muszą obecnie podejmować żadnych działań” dotyczy klientów, czyli przychodni, nie pacjentów. Rekomendacje dla obywateli wydaje Ministerstwo Cyfryzacji i to one, nie komunikat spółki, są dziś praktyczną instrukcją.
Jak sprawdzić, czy moje dane wyciekły
Rządowym narzędziem jest serwis Bezpieczne Dane pod adresem bezpiecznedane.gov.pl. Po zalogowaniu profilem zaufanym pokazuje, czy numer PESEL użytkownika znalazł się w incydencie zgłoszonym do bazy. Problem polega na tym, że rekordy z systemu MyDr trafiają tam stopniowo – dane muszą najpierw przekazać poszczególne placówki, a część materiału jest w rękach prokuratury. Resort zapowiada, że proces potrwa kilka dni.
W środę wieczorem, kilka godzin po tym, jak rząd wskazał ten adres w mediach, strona przestała się otwierać. Skala wejść była większa, niż przewidziano. Jeśli serwis nie odpowiada, nie ma sensu odświeżać go co minutę – brak wyniku dziś nie oznacza, że danej osoby wyciek nie dotyczy. Oznacza tylko, że baza jeszcze nie zawiera kompletu rekordów.
Rozsądne założenie na najbliższe dni jest takie: jeśli w ostatnich latach korzystałeś z przychodni, która wystawiała e-recepty przez MyDr, przyjmij, że twoje dane mogły być w bazie, i zachowaj się tak, jakby były. To tańsze niż czekanie na potwierdzenie.
Zastrzeżenie numeru PESEL. Co daje i jak to zrobić
Zastrzeżenie numeru PESEL to jedyna czynność, która realnie zamyka przestępcy drogę do najbardziej kosztownych nadużyć. Gawkowski nazwał ją „elementarną higieną cyfrową”. Rejestr działa od 2023 r., a instytucje mają obowiązek go sprawdzać – kredyt udzielony mimo zastrzeżenia nie obciąża poszkodowanego.
– w aplikacji mObywatel: zakładka Twoje dane, kafelek Zastrzeż PESEL, potwierdzenie kodem
– na stronie mObywatel.gov.pl po zalogowaniu profilem zaufanym, e-dowodem lub bankowością elektroniczną
– w urzędzie gminy, osobiście, z dowodem osobistym
– w placówce Poczty Polskiej albo w banku, jeśli oferuje taką usługę
Zastrzeżenie można cofnąć na chwilę, gdy naprawdę bierzemy kredyt, a potem włączyć z powrotem. Warto namówić na to rodziców i dziadków – najczęściej to oni są celem, bo rzadziej sprawdzają rejestry i częściej odbierają nieznane numery. Osobna rzecz dotyczy lekarzy: eksperci radzą unieważnić dotychczasowy certyfikat służący do wystawiania e-recept i wygenerować nowy.
„Skontaktowali się ze mną cyberprzestępcy”. Co naprawdę mają sprawcy
Najwięcej o zawartości bazy wiadomo nie od firmy i nie od rządu, lecz od dziennikarza, do którego napisali sami włamywacze. Adam Haertle, prowadzący serwis Zaufana Trzecia Strona, dostał od nich zrzuty ekranu i próbki rekordów. Wśród nich były dane jednego z czołowych polskich polityków oraz – co pozwoliło zweryfikować autentyczność – dane samego dziennikarza.
Przekazali mi informacje zawierające również moje dane osobowe i według mojej wiedzy były to rzeczywiście dane, które w tej bazie się znajdowały
Adam Haertle, Zaufana Trzecia Strona
Sprawcy podają liczbę precyzyjniejszą niż rząd: 18 814 422 unikatowe numery PESEL. Poza numerem ewidencyjnym w rekordach powtarzają się imię i nazwisko, data urodzenia, numer telefonu oraz informacje o receptach i wizytach. Cała baza ma ponad 2 terabajty. Haertle zastrzegł, że materiał nie został opublikowany, i zwrócił uwagę na to, co byłoby najgroźniejsze – nie kradzież sama w sobie, lecz to, do czego wiedza o czyimś leczeniu daje się użyć.
Ujawnienie mogłoby stanowić materiał do szantażu. To mogłoby się źle dla Polski skończyć
Adam Haertle, Zaufana Trzecia Strona
Lux Med i sieci medyczne odpowiadają pacjentom
Ponieważ MyDr jest dostawcą oprogramowania dla placówek, a nie ich właścicielem, pytania spadły na sieci medyczne. Lux Med przekazał w czwartek, że zwrócił się do MyDr o pełne wyjaśnienia i prowadzi własną analizę. Firma ocenia wstępnie, że zakres danych mogących dotyczyć jej pacjentów jest „ograniczony i pozostaje nieproporcjonalnie mały w stosunku do skali całego incydentu”, ale konkretnej liczby nie podaje.
Sieć zapowiedziała bezpośredni kontakt z osobami, których sprawa może dotyczyć, i ostrzegła, że przestępcy już próbują wykorzystywać zamieszanie do wyłudzania danych. To samo sygnalizuje Urząd Ochrony Danych Osobowych. Centrum e-Zdrowia apeluje z kolei o silne, unikalne hasła i uwierzytelnianie dwuskładnikowe w Internetowym Koncie Pacjenta.
Fałszywe SMS-y i telefony. Na co uważać w najbliższych dniach
Dane medyczne różnią się od wykradzionej listy adresów e-mail tym, że pozwalają napisać wiadomość, w którą ofiara uwierzy, bo wszystko się w niej zgadza: nazwisko, przychodnia, data wizyty, czasem nazwa leku. Klasyczne sygnały ostrzegawcze przestają wtedy działać, bo treść nie wygląda na przypadkową.
– SMS o „dopłacie do recepty” albo „potwierdzeniu wizyty” z linkiem do płatności
– telefon od rzekomego pracownika przychodni proszącego o potwierdzenie numeru PESEL
– e-mail z załącznikiem podpisanym jako wyniki badań
– wiadomość z żądaniem pieniędzy pod groźbą ujawnienia informacji o leczeniu
– rzekomy konsultant banku ostrzegający przed „wyciekiem” i proszący o przelew na konto techniczne
Zasada jest jedna i stara: rozłączyć się i oddzwonić na numer z oficjalnej strony placówki albo banku. Żadna przychodnia nie prosi SMS-em o PESEL, żaden bank nie każe przelewać pieniędzy „w bezpieczne miejsce”. Podejrzane wiadomości można przesłać na numer 8080, prowadzony przez CERT Polska.
Najczęstsze pytania
Jak sprawdzić, czy moje dane wyciekły z MyDr?
Służy do tego rządowy serwis Bezpieczne Dane pod adresem bezpiecznedane.gov.pl, do którego logujemy się profilem zaufanym. Rekordy z systemu MyDr trafiają tam stopniowo, bo dane muszą przekazać poszczególne placówki, a część materiału bada prokuratura. Brak wyniku 13 sierpnia 2026 r. nie oznacza więc, że dana osoba nie znalazła się w wykradzionej bazie.
Czy MyDr potwierdziło, jakie dane wyciekły?
Nie. W komunikacie z 12 sierpnia 2026 r. spółka napisała wprost: „Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione”. Potwierdziła natomiast, że padła ofiarą celowego działania przestępczego i że dane pochodzą z 2024 roku oraz lat wcześniejszych.
Czy dane z wycieku MyDr są już w internecie?
Według stanu na 13 sierpnia 2026 r. – nie. Wicepremier Krzysztof Gawkowski oświadczył, że dane nie są wystawione na sprzedaż ani udostępnione publicznie, a firmy monitorujące dark web na zlecenie MyDr nie znalazły śladów publikacji. Potwierdza to również dziennikarz, z którym kontaktowali się sprawcy.
Czy muszę zastrzec PESEL po wycieku danych?
Zastrzeżenie numeru PESEL to najskuteczniejsza pojedyncza czynność, jaką może dziś wykonać pacjent. Blokuje ono zaciągnięcie kredytu, otwarcie rachunku, czynność notarialną i wydanie duplikatu karty SIM na cudze dane, a kredyt udzielony mimo zastrzeżenia nie obciąża poszkodowanego. Numer zastrzega się w aplikacji mObywatel, na stronie mObywatel.gov.pl lub w urzędzie gminy.
Czy pacjenci Lux Medu są objęci wyciekiem?
Lux Med przekazał 13 sierpnia 2026 r., że prowadzi własną analizę, a wstępnie ocenia zakres danych mogących dotyczyć jego pacjentów jako „ograniczony i nieproporcjonalnie mały w stosunku do skali całego incydentu”. Sieć zapowiedziała bezpośredni kontakt z osobami, których sprawa może dotyczyć.
Czy za wyciek danych medycznych należy się odszkodowanie?
Podstawą jest artykuł 82 RODO. Zgodnie z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej z 11 kwietnia 2024 r. w sprawie C-741/21 poszkodowany musi wykazać szkodę, ale przepisy nie ustanawiają progu jej wysokości, a szkodą niemajątkową może być sama utrata kontroli nad danymi. Ciężar dowodu spoczywa na administratorze danych.
Tekst aktualizowany. Ostatnia aktualizacja: 13 sierpnia 2026 r.
