Dwa tygodnie milczenia, jedno oświadczenie. Prezes MyDr przeprasza, ale nie odpowiada na najważniejsze pytanie

Firma MyDr, dostawca systemu elektronicznej dokumentacji medycznej używanego przez około 12 tys. podmiotów leczniczych, od blisko dwóch tygodni mierzy się ze skutkami cyberataku na swoje systemy. Zaatakowana infrastruktura zawierała dane dotyczące milionów pacjentów, a skradziony zbiór miał mieć ponad 2 TB. Wśród informacji znalazły się m.in. dane dotyczące leków i recept. 24 sierpnia głos w sprawie zabrał prezes MyDr Piotr Miluski.

Dwa tygodnie po wykryciu cyberataku na systemy firmy MyDr głos zabrał prezes firmy Piotr Miluski. Przeprosił pacjentów i użytkowników, a także zapowiedział dalszą analizę zakresu incydentu.

113 gigabajtów pustych zer i 50 kilobajtów złośliwego kodu. Tak wygląda podrobiony build GTA VI z torrentów

Piotr Miluski w poniedziałkowym oświadczeniu przeprosił każdego pacjenta i użytkownika MyDr, niezależnie od tego, czy incydent obejmuje jego dane. Prezes poinformował, że spółka wraz z zewnętrznymi ekspertami kończy analizę zakresu naruszenia. W najbliższych dniach MyDr ma rozpocząć oficjalne informowanie placówek medycznych zgodnie z RODO, a te przekażą informacje pacjentom. Firma przyjęła szerokie kryterium informowania. Według Miluskiego komunikat może trafić za pośrednictwem placówek do około 18 mln osób, których danych na obecnym etapie nie można wykluczyć z zakresu incydentu. Nie oznacza to, że dane wszystkich tych osób zostały skradzione, odczytane lub opublikowane. MyDr wskazuje, że chodzi przede wszystkim o dane historyczne, pochodzące z kwietnia 2024 roku lub wcześniejsze. Monitoring dark webu prowadzony przez spółkę nie wykazał dotąd publikacji tych informacji.

15 milionów streamerów w niebezpieczeństwie? ShinyHunters straszy Logitecha ultimatum

Sprawę prowadzi Centralne Biuro Zwalczania Cyberprzestępczości, a Urząd Ochrony Danych Osobowych zapowiedział kontrolę MyDr. Ma ona objąć m.in. stosowane przez spółkę zabezpieczenia techniczne i organizacyjne oraz ocenę ryzyka. UODO przypomina przy tym, że placówki medyczne jako administratorzy danych muszą samodzielnie ocenić obowiązki związane z naruszeniem. Wcześniej minister cyfryzacji Krzysztof Gawkowski mówił o wycieku danych dotyczących nawet 19 mln osób i ponad 2 TB informacji, w tym danych związanych z lekami i receptami. Nie należy jednak utożsamiać tej liczby z potwierdzoną liczbą poszkodowanych. Zakres incydentu nadal jest ustalany. Skala zdarzenia przywołuje na myśl atak na amerykańskie Change Healthcare z 2024 roku, który ostatecznie objął około 192,7 mln osób. Był to jednak inny rodzaj incydentu, związany również z zakłóceniem działania systemu rozliczeń w USA.

Fotoradary miały ścigać piratów drogowych, a dawały dostęp rosyjskim numerom telefonów. Słowacja ma problem

Polski sektor ochrony zdrowia mierzy się przy tym z rosnącą liczbą cyberincydentów. Według CSIRT CeZ w 2025 roku obsłużono 1441 incydentów, wobec 1028 rok wcześniej, co oznacza wzrost o ponad 40 proc. W tym kontekście sprawa MyDr pokazuje problem koncentracji danych. Włamanie do systemu obsługującego tysiące placówek może mieć konsekwencje znacznie większe niż atak na pojedynczą przychodnię. Nowe przepisy dotyczące cyberbezpieczeństwa również zmieniają sytuację sektora. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca wymagania NIS2, weszła w Polsce w życie 3 kwietnia 2026 roku, a podmioty objęte regulacjami mają czas na rejestrację do 3 października. Zakres obowiązków zależy jednak od spełnienia konkretnych kryteriów ustawowych.