Jedno kliknięcie w mObywatelu nagle stało się sprawą dla milionów osób. Incydent w systemach firmy MyDr może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Wśród przejętych informacji znajdują się dane, które dla oszustów mają szczególną wartość: imię i nazwisko, numer PESEL, telefon, adres e-mail, a także informacje dotyczące zdrowia. W takiej sytuacji pierwszym ruchem powinno być zastrzeżenie numeru PESEL. Cała operacja zajmuje chwilę, jest bezpłatna i można ją wykonać z telefonu.

Sprawa wyszła daleko poza typowy wyciek loginów czy adresów e-mail. Prokuratura Okręgowa w Warszawie potwierdziła, że nieuprawniony dostęp objął między innymi dane pacjentów, numery PESEL, telefony, adresy poczty elektronicznej, treść notatek z wizyt lekarskich oraz informacje o wystawionych receptach. Ministerstwo Cyfryzacji podało z kolei, że chodzi o dane historyczne przechowywane w systemach MyDr, sięgające do kwietnia 2024 roku.

Wyciek danych MyDr może dotyczyć niemal 19 mln osób

MyDr dostarcza oprogramowanie używane przez gabinety lekarskie i placówki ochrony zdrowia. Według komunikatu Ministerstwa Cyfryzacji nieuprawniony dostęp może obejmować dane 18,8 mln osób oraz ponad 12 tys. placówek. To właśnie ta skala sprawiła, że incydent jest opisywany jako jeden z największych, a według części mediów największy wyciek danych osobowych w historii Polski.

Śledczy podają, że sprawca uzyskał dostęp do systemu najpóźniej 6 sierpnia 2026 roku. Dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie ruszyło formalnie 12 sierpnia. Prokuratura informuje również, że fragment przejętych danych został wcześniej przesłany do redakcji serwisu Zaufana Trzecia Strona.

Ważne jest też to, czego atak według oficjalnych komunikatów nie objął. Ministerstwo Zdrowia podało, że centralne usługi e-zdrowia zachowały bezpieczeństwo, a pacjenci mogą korzystać ze świadczeń, recept i publicznych usług zdrowotnych na dotychczasowych zasadach. Problem dotyczy danych przechowywanych w systemach firmy MyDr, a nie centralnych systemów państwowych.

Jak zastrzec PESEL po wycieku danych

Najprościej zrobić to w aplikacji mObywatel. Po zalogowaniu trzeba wejść do usługi „Zastrzeż PESEL”, sprawdzić aktualny status numeru i wybrać opcję zastrzeżenia. Zmiana jest bezpłatna. Tę samą sprawę można załatwić przez serwis mObywatel.gov.pl albo w urzędzie gminy.

Po zastrzeżeniu numer trafia do rejestru, który sprawdzają między innymi banki, firmy pożyczkowe, operatorzy telekomunikacyjni i notariusze w sytuacjach wskazanych przez przepisy. Zastrzeżony PESEL blokuje wykorzystanie danych przy zaciąganiu kredytu lub pożyczki, zakupach na raty, otwieraniu rachunku bankowego, wyrabianiu kopii karty SIM oraz przy części czynności notarialnych. Ochrona obejmuje też wypłatę gotówki w placówce banku powyżej trzykrotności minimalnego wynagrodzenia, czyli według aktualnych danych 14 418 zł.

Codzienne sprawy pozostają dostępne. Z zastrzeżonym PESEL można iść do lekarza, zrealizować receptę, korzystać z Profilu Zaufanego, wykonywać przelewy, wypłacać pieniądze z bankomatu, wyjechać za granicę i załatwiać zwykłe sprawy urzędowe. Samo zastrzeżenie nie unieważnia dowodu osobistego ani paszportu.

Jeżeli numer trzeba czasowo odblokować, mObywatel pozwala ustawić automatyczne ponowne zastrzeżenie na wybraną datę i godzinę. To wygodniejsza opcja niż bezterminowe cofnięcie ochrony. Po bezterminowym cofnięciu zastrzeżenia ponowne włączenie blokady może wymagać odczekania co najmniej 30 minut, więc lepiej zaplanować taką zmianę przed wizytą w banku, zakupem na raty czy czynnością u notariusza.

Sprawdzenie PESEL to dopiero początek. Największe ryzyko może przyjść SMS-em lub telefonem

Wyciek danych medycznych daje przestępcom coś więcej niż zestaw przypadkowych rekordów. Im więcej informacji da się połączyć z jedną osobą, tym łatwiej przygotować wiarygodną wiadomość lub rozmowę telefoniczną. Oszust może znać nazwisko, numer telefonu, adres e-mail, numer PESEL, a w części przypadków również szczegóły związane z leczeniem. Taki zestaw pozwala stworzyć komunikat, który brzmi znacznie bardziej przekonująco niż masowy SMS wysyłany na przypadkowe numery.

Dlatego po wycieku danych MyDr szczególną ostrożność warto zachować wobec wiadomości o „potwierdzeniu danych pacjenta”, „aktualizacji dokumentacji”, „dopłacie do wizyty”, „zwrocie za receptę”, „weryfikacji konta” czy „konieczności zabezpieczenia PESEL”. Instytucja podszywająca się pod przychodnię, bank, operatora lub urząd może próbować skierować odbiorcę na stronę wyłudzającą hasło, dane karty, kod BLIK albo dane logowania do bankowości. CERT Polska regularnie ostrzega przed kampaniami, w których fałszywe komunikaty o weryfikacji prowadzą do stron przechwytujących dane logowania.

Najbezpieczniejszy odruch jest prosty: zamiast korzystać z linku przesłanego w wiadomości, otwórz samodzielnie oficjalną aplikację albo wpisz znany adres serwisu. Gdy dzwoni osoba przedstawiająca się jako pracownik banku, przychodni lub urzędu i prosi o kod, hasło, instalację programu albo szybki przelew, zakończ rozmowę i skontaktuj się z daną instytucją własnym kanałem. Dane z wycieku mogą sprawić, że rozmówca będzie znał kilka prawdziwych szczegółów. Sama znajomość tych informacji nie potwierdza jego tożsamości.

Czy moje dane wyciekły? Serwis Bezpieczne Dane ma to pokazać

Ministerstwo Cyfryzacji zapowiedziało sukcesywne przekazywanie informacji o osobach objętych incydentem do serwisu Bezpieczne Dane. To państwowa wyszukiwarka, w której po zalogowaniu można sprawdzać między innymi numer telefonu, adres e-mail, login i numer PESEL pod kątem znanych wycieków.

Na 14 sierpnia 2026 roku dane z incydentu MyDr nie zostały jeszcze dodane do tej bazy. Serwis Bezpieczne Dane informuje, że pojawią się po przekazaniu ich przez podmioty dotknięte cyberatakiem. Ministerstwo Cyfryzacji uprzedzało wcześniej, że proces może potrwać kilka dni, ponieważ administratorami danych są poszczególne gabinety oraz placówki medyczne.

To oznacza, że brak wyniku w wyszukiwarce na tym etapie nie rozstrzyga, czy dana osoba znalazła się w zbiorze. Z zastrzeżeniem PESEL nie trzeba czekać na potwierdzenie. Ministerstwo Zdrowia zaleca taki ruch jako element ochrony po incydencie, podobnie jak stosowanie unikalnych haseł, włączenie uwierzytelniania wieloskładnikowego i kontrolowanie aktywności na kontach.

Jeśli hasło było używane w kilku miejscach, zmień je w pierwszej kolejności

Sam numer PESEL to jedna część problemu. Wyciek adresu e-mail i innych danych identyfikacyjnych zwiększa ryzyko przejęcia kont, szczególnie wtedy, gdy jedno hasło służyło do logowania w kilku serwisach. Jeśli hasło używane w usługach związanych z opieką medyczną powtarza się w poczcie, sklepie internetowym, serwisie społecznościowym albo innym koncie, trzeba je zmienić wszędzie tam, gdzie występuje. Ministerstwo Zdrowia po incydencie MyDr rekomenduje silne, unikalne hasła oraz uwierzytelnianie wieloskładnikowe.

Najpierw warto zabezpieczyć skrzynkę e-mail, ponieważ często służy do resetowania haseł w pozostałych usługach. Silne, unikalne hasło oraz uwierzytelnianie dwuskładnikowe mocno ograniczają możliwość przejęcia konta. Przy okazji dobrze przejrzeć aktywne sesje i wylogować urządzenia, których właściciel konta nie rozpoznaje.

W mObywatelu można też sprawdzić historię weryfikacji numeru PESEL, czyli informacje o tym, jaka firma lub instytucja sprawdzała numer i z jakiego powodu. Taka kontrola ma sens zwłaszcza w kolejnych tygodniach po głośnym wycieku. Niespodziewana weryfikacja może być sygnałem, że ktoś próbował posłużyć się cudzymi danymi.

Telefon „z przychodni” po takim wycieku może brzmieć bardzo wiarygodnie

Najtrudniejsze do wychwycenia mogą być próby oszustwa, w których przestępca posłuży się prawdziwymi informacjami. Jeśli rozmówca zna nazwę placówki, datę wizyty, fragment danych osobowych albo szczegół dotyczący recepty, łatwo uznać, że kontakt pochodzi z właściwego miejsca. Taki detal może pełnić funkcję przynęty. Kolejnym krokiem bywa prośba o dopłatę, podanie kodu SMS, zalogowanie się przez przesłany link albo instalację aplikacji rzekomo potrzebnej do „weryfikacji”.

W takim scenariuszu najlepiej przerwać kontakt i samodzielnie zadzwonić do przychodni, banku czy operatora na numer znaleziony na oficjalnej stronie lub w aplikacji. Jeśli wiadomość zawiera informację o pilnym problemie z kontem, sprawdź ją po zalogowaniu się własną drogą. Presja czasu, prośba o zachowanie rozmowy w tajemnicy, żądanie kodu BLIK, hasła albo danych karty powinny uruchomić natychmiastową ostrożność.

Trzeba też uważać na fałszywe komunikaty o samym wycieku. Przestępcy mogą wykorzystać zainteresowanie sprawą i rozsyłać wiadomości w rodzaju „sprawdź, czy twój PESEL wyciekł” albo „kliknij, aby zastrzec dane”. Zastrzeżenie PESEL wykonuje się przez oficjalny mObywatel, serwis mObywatel.gov.pl lub urząd gminy. Informację o obecności danych w znanych wyciekach sprawdza się w państwowym serwisie Bezpieczne Dane. Wchodzenie do tych usług samodzielnie, zamiast przez link z SMS-a lub e-maila, wyraźnie zmniejsza ryzyko trafienia na stronę podszywającą się pod urząd.

Jeśli dojdzie do podejrzanej próby logowania, zmiany hasła albo kontaktu w sprawie zobowiązania, którego właściciel danych nie zaciągał, liczy się szybkie zabezpieczenie konta i kontakt z daną instytucją przez jej oficjalny kanał. Podejrzane SMS-y można przekazywać do CERT Polska na numer 8080, a podejrzane strony i wiadomości zgłaszać przez kanały CERT Polska lub usługę „Bezpiecznie w sieci” w mObywatelu. Takie zgłoszenie pomaga blokować kampanie kierowane do kolejnych osób.

Najbardziej podstępne mogą być wiadomości, które wykorzystają prawdziwe dane medyczne

Informacja o nazwie placówki, recepcie czy treści związanej z wizytą lekarską może uwiarygodnić próbę oszustwa. To właśnie dlatego ten incydent wymaga większej czujności niż typowy wyciek adresów e-mail. Wiadomość może wyglądać jak dalszy ciąg autentycznego kontaktu z przychodnią, choć jej celem będzie wyłudzenie pieniędzy albo danych dostępowych.

Połączenie PESEL-u z numerem telefonu, adresem e-mail i informacjami zdrowotnymi daje także materiał do podszywania się pod ofiarę w kontaktach z firmami oraz do prób socjotechnicznych kierowanych do jej bliskich. Zastrzeżenie PESEL ogranicza część ryzyka finansowego, lecz nie zamyka wszystkich możliwych dróg nadużycia. Dlatego równie ważne są ostrożność wobec niespodziewanych kontaktów, unikalne hasła i uwierzytelnianie wieloskładnikowe.

Na ten moment najrozsądniejszy zestaw działań jest prosty: zastrzec PESEL, zabezpieczyć pocztę i inne ważne konta, obserwować historię weryfikacji numeru oraz wrócić do serwisu Bezpieczne Dane, gdy pojawi się komunikat o dodaniu informacji z incydentu MyDr. W przypadku wycieku obejmującego niemal 19 mln osób szybka reakcja daje po prostu więcej kontroli nad tym, co może wydarzyć się z przejętymi danymi.