Wyciek danych pacjentów z MyDr. Jak reagują placówki medyczne?

Za oprogramowanie, którego dotyczy cyberatak, odpowiada MyDr – dostawca systemu elektronicznej dokumentacji medycznej wykorzystywanego przez placówki ochrony zdrowia. Firma poinformowała, że incydent objął część jej systemów i był efektem "zewnętrznego, celowego działania o charakterze przestępczym".

Na tym etapie nie ustalono jeszcze dokładnej liczby ani rodzaju danych, które mogły zostać ujawnione. MyDr zapewnia, że jego systemy są obecnie "w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy". Firma poinformowała również, że zewnętrzni specjaliści od cyberbezpieczeństwa monitorują dark web. Według komunikatu MyDr na moment jego publikacji nie było dowodów na publiczne udostępnienie danych.

Skala sprawy może być jednak ogromna. Wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o danych dotyczących blisko 19 mln osób, które korzystały z różnego rodzaju świadczeń medycznych. Według przekazanych przez niego informacji z oprogramowania firmy korzysta ok. 12 tys. placówek.

Skontaktowaliśmy się z kilkunastoma placówkami medycznymi z zapytaniem, jak informacje o incydencie wpłynęły na ich funkcjonowanie.

W krakowskim Centrum Medycznym UNIMED, jak usłyszeliśmy, nie odnotowano problemów związanych z wyciekiem. Placówka zaczęła korzystać z systemu MyDr dopiero w lutym 2026 roku, dlatego – biorąc pod uwagę obecne informacje o okresie, z którego mogą pochodzić dane – jej pacjenci nie powinni być objęci tym incydentem.

– My z MyDr korzystamy od lutego 2026. Natomiast wyciek najprawdopodobniej dotyczył danych z 2024 i niżej, więc nas to nie dotyczy – mówi w rozmowie z Wirtualną Polską Agata Junger-Kłosowska z Centrum Medycznego UNIMED z Krakowa.

Informacje te potwierdza komunikat firmy dostępny na stronie dostawcy, zaktualizowany 12 sierpnia. MyDr przekazał, że dane objęte zdarzeniem najprawdopodobniej mają charakter historyczny – mogą pochodzić z 2024 roku oraz lat wcześniejszych. Firma podkreśliła jednocześnie, że incydent może nie dotyczyć wszystkich jej klientów ani wszystkich pacjentów korzystających z usług tych placówek.

Jak dodaje Junger-Kłosowska, pacjenci nie zgłaszają obecnie pytań ani obaw związanych ze sprawą. Placówka opublikowała jednak informacje w mediach społecznościowych odnośnie incydentu. Podkreślono w nim, że głównym systemem wykorzystywanym przez CM UNIMED do prowadzenia i obsługi dokumentacji medycznej jest mMedica, natomiast MyDr pełni jedynie funkcję uzupełniającą i obejmuje niewielką część procesów związanych z dokumentacją oraz obsługą pacjentów.

"Na ten moment nie otrzymaliśmy od MyDr informacji, że incydent objął dane Pacjentów CM UNIMED. Nie stwierdziliśmy również żadnego przypadku naruszenia bezpieczeństwa danych naszych Pacjentów w związku z tym zdarzeniem" – podkreślono w komunikacie.

Z rozmów Wirtualnej Polski z placówkami wynika, że informacje o incydencie nie wywołały dotąd większej fali niepokoju wśród pacjentów. Rejestratorki z różnych przychodni i centrów medycznych przekazywały, że pacjenci na ogół nie dzwonią z pytaniami o wyciek ani nie zgłaszają obaw dotyczących bezpieczeństwa swoich danych.

W Mrukmed w Rzeszowie, jak przekazano WP, nie zauważono dotąd żadnych nieprawidłowości, a pacjenci nie zgłaszali pytań w związku z informacjami o cyberataku. Podobnie w Alfa-Med, MM Dental Clinic czy Szpitalu św. Wojciecha w Poznaniu. Z kolei w jednej z placówek we Wrocławiu, której przedstawiciele poprosili o niepodawanie jej nazwy, pojawiło się zaledwie jedno pytanie od pacjenta dotyczące bezpieczeństwa danych w związku z incydentem.

– Na razie cisza jest, nie wiem, może jeden telefon od pacjenta był z pytaniem, czy jego dane są bezpieczne. No i to tyle – tłumaczyła przedstawicielka placówki. – Jeszcze to aż tak wśród pacjentów nie jest rozdmuchane, mi się wydaje. Nie zauważyłam też, żeby pacjenci odwoływali wizyty.

Do części podmiotów wysłaliśmy również pytania drogą mailową z prośbą o odniesienie się do sprawy, w tym do Dimedic, Mediclinici, przychodni Doktor Kabata. Przedstawiciele części placówek zapisali nasz numer telefonu i zapowiedzieli, że oddzwonią, jeśli otrzymają dodatkowe informacje dotyczące incydentu.

Co ważnie, nie wszystkie placówki, z którymi skontaktowała się Wirtualna Polska, zdecydowały się odnieść do incydentu. Kilka z nich odmówiło udzielenia jakiegokolwiek komentarza na temat możliwego wycieku danych i jego wpływu na funkcjonowanie placówki.

Sama firma apeluje obecnie do klientów o oczekiwanie na wyniki prowadzonego dochodzenia. Zgodnie z komunikatem MyDr placówki nie muszą na tym etapie samodzielnie podejmować dodatkowych działań ani dokonywać zgłoszeń związanych z incydentem.

MyDr zapowiada, że skontaktuje się bezpośrednio z podmiotami, których dane rzeczywiście zostały objęte zdarzeniem. Firma deklaruje również pomoc w komunikacji z pacjentami i zgłoszeniach do odpowiednich organów ochrony danych osobowych, jeżeli okaże się to konieczne.

– Skontaktujemy się proaktywnie z klientami, których dotyczy incydent, zapewniając im wsparcie i wskazówki, gdy tylko ustalimy, które placówki i jakie dane zostały nim objęte – przekazała firma.

Postępowanie wyjaśniające nadal trwa. MyDr współpracuje z organami ścigania, instytucjami państwowymi i zewnętrznymi ekspertami ds. cyberbezpieczeństwa. Firma zastrzega, że dopóki analiza nie zostanie zakończona, nie może podać dokładnego zakresu incydentu ani szczegółów technicznych.

Na razie z rozmów WP z placówkami wynika, że cyberatak nie doprowadził do widocznych zakłóceń w ich codziennej pracy. Najważniejszą kwestią pozostaje jednak ustalenie, które podmioty oraz dane których pacjentów rzeczywiście znalazły się w zbiorze objętym incydentem.