Wyciek MyDr to 19 mln zagrożonych Polaków. Kto pomoże ochronić dane?

W połowie sierpnia 2026 r. firma MyDr, dostarczająca oprogramowanie dla ponad 12 tys. placówek medycznych, doświadczyła jednego z największych incydentów cyberbezpieczeństwa w historii Polski. Nieautoryzowany dostęp do baz danych o objętości 2 TB naraził dane osobowe oraz wrażliwe informacje medyczne nawet 19 mln obywateli, co stanowi niemal połowę populacji kraju.

W reakcji na zdarzenie rząd uruchomił portal bezpiecznedane.gov.pl, umożliwiając obywatelom weryfikację, czy ich dane znalazły się w wycieku. Incydent ten wpisuje się w niepokojący trend, w którym Polska od miesięcy pozostaje w światowej czołówce państw najczęściej atakowanych przez grupy cyberprzestępcze.

Ranga wycieku wynika z ujawnienia wrażliwych danych, których nie da się unieważnić, w tym numerów PESEL, historii wizyt oraz diagnoz medycznych. W przeciwieństwie do haseł czy kart płatniczych, te informacje są trwałe i przypisane na stałe do tożsamości obywatela.

Połączenie numeru PESEL z dokumentacją medyczną otwiera przestępcom drogę do kradzieży tożsamości - od wyłudzeń finansowych po fałszywe umowy. Dodatkowo szczegółowa wiedza o zdrowiu pacjentów pozwala na tworzenie precyzyjnego phishingu, co nie tylko naraża ludzi na straty materialne, ale wywołuje u nich stres i poczucie utraty prywatności.

Justas Pukys, Senior Product Manager w Surfshark, zwraca uwagę na długofalowe skutki incydentu:

Miguel Fornés, ekspert ds. cyberbezpieczeństwa i Information Security Manager w serwisie ochrony prywatności Incogni:

Šarūnas Šereika, Senior Product Manager w HeyPolo:

Zagrożenie nie ma charakteru abstrakcyjnego - rozgrywa się bezpośrednio na naszych telefonach. Rodzina, która zna swoją lokalizację w czasie rzeczywistym, jest trudna do zmanipulowania. Kiedy oszust dzwoni i wmawia, że twoje dziecko jest w niebezpieczeństwie, rodzic lub dziadek dysponujący natychmiastową wiedzą o położeniu może zweryfikować prawdę w ułamku sekundy, zamiast popadać w panikę”.

Sytuacja wokół MyDr nie jest odizolowanym przypadkiem. Pierwsza połowa 2026 r. (nawet bez uwzględnienia incydentu w MyDr) przynosi alarmujące dane - według Surfshark Data Breach Map zarejestrowano już miliony przejętych polskich kont.

Z raportu firmy ESET za pierwszą połowę 2026 r. wynika z kolei, że Polska zajęła pierwsze miejsce na świecie pod względem liczby wykryć downloaderów oraz zagrożeń typu CloudEye, drugie miejsce w kategorii ataków e-mailowych i sieciowych, a także trzecie miejsce w obszarze oprogramowania ransomware.

Dane CERT Polska za 2025 r. wskazują na zarejestrowanie ponad 260 tys. unikalnych incydentów bezpieczeństwa, co stanowi wzrost o 152 proc. w porównaniu z rokiem poprzednim. Aż 97 proc. z nich sklasyfikowano jako oszustwa komputerowe, z dominującą rolą phishingu (blisko 78 tys. zgłoszeń).

W odpowiedzi na rosnące zapotrzebowanie na cyfrowe bezpieczeństwo, w Polsce rozwijają się wyspecjalizowane zespoły inżynieryjne. Surfshark, znany z rozwiązań z zakresu cyberbezpieczeństwa zorientowanych na użytkownika – takich jak VPN, Antivirus, ochrona wiadomości tekstowych czy Alert (narzędzie do monitorowania wycieków danych) – od kilku lat buduje w Warszawie swój strategiczny hub na Europę Środkową.

We wrześniu 2025 r. Surfshark przeniósł się do nowego biura w centrum stolicy wraz z zespołem Incogni. Na początku 2026 r. wystartowało HeyPolo, dzięki czemu wszystkie trzy firmy pracują dziś w jednej warszawskiej siedzibie, tworząc wspólny ekosystem cyberbezpieczeństwa i ochrony prywatności. W podsumowaniu roku przekazano, że stołeczny oddział docelowo ma zatrudniać około 100 osób.

Polskie zespoły nie skupiają się wyłącznie na obsłudze operacyjnej – tworzą nowe produkty, rozwijają architekturę bezpieczeństwa i prowadzą działania edukacyjne dla użytkowników z całego świata.

Z ekosystemu inżynieryjnego rozwijanego w Warszawie wyrosły dwa projekty skoncentrowane na ochronie danych osobowych:

Jest to usługa stworzona do automatyzacji procesu usuwania danych osobowych z baz brokerów informacji oraz serwisów typu people-search. System działa w oparciu o pełną automatyzację: użytkownik udziela upoważnienia do działania w jego imieniu, a oprogramowanie generuje i wysyła formalne żądania usunięcia informacji do ponad 420 brokerów danych.

Pętla weryfikacyjna stale monitoruje bazy i ponawia wnioski, gdy dane pojawią się w nich ponownie. Przy wycieku z MyDr usuwanie danych z legalnie działających baz brokerów znacząco utrudnia przestępcom wzbogacanie skradzionych informacji o dodatkowy kontekst z publicznych źródeł.

HeyPolo to aplikacja zaprojektowana w modelu privacy-first, służąca do kontrolowanego udostępniania lokalizacji geograficznej. Użytkownik zachowuje pełną władzę nad swoimi danymi przestrzennymi, samodzielnie definiując, komu i kiedy udostępnia precyzyjne współrzędne, przybliżony obszar lub czy przechodzi w tryb ukryty.

Korzysta przy tym ze zintegrowanego przycisku alarmowego oraz automatycznych powiadomień o dotarciu do wyznaczonego celu. Rozwiązanie to odpowiada na powszechny problem niekontrolowanego zbierania danych o położeniu przez dziesiątki aplikacji mobilnych.

Aby zminimalizować ryzyko wynikające z ujawnienia danych medycznych i osobowych, użytkownicy powinni wdrożyć konkretne procedury ochronne.

Pierwszym krokiem jest sprawdzenie statusu wycieku poprzez zalogowanie się do serwisu bezpiecznedane.gov.pl przy użyciu Profilu Zaufanego i weryfikację, czy PESEL znalazł się w przejętej bazie MyDr. 

Możesz też sprawdzić, czy twoje dane w ogóle wyciekły - pomaga w tym Surfshark Alert, który monitoruje, czy Twój adres e-mail lub inne dane pojawiły się w znanych wyciekach.

Równie istotne pozostaje natychmiastowe zastrzeżenie numeru PESEL w aplikacji mObywatel lub na portalu gov.pl, co uniemożliwi przestępcom zaciągnięcie pożyczki, wzięcie kredytu czy zakup sprzętu na raty. Więcej informacji o tym, jak reagować, opisuje poradnik: co jeśli ktoś zna mój PESEL - zagrożenia i jak się chronić.

Warto zadbać o redukcję cyfrowego śladu, używając narzędzi do automatycznego wycofywania danych z baz brokerów, takich jak Incogni, co pozwala ograniczyć dostępność informacji kontaktowych w sieci, jak i włączeniu w aplikacji Surfshark funkcji ochrony SMS-ów przed scamem, która automatycznie analizuje i wykrywa fałszywe wiadomości tekstowe, zanim wejdziesz z nimi w interakcję.

Niezbędna jest także wzmożona czujność na próby phishingu i traktowanie z rezerwą wszelkich wiadomości SMS oraz e-maili podszywających się pod placówki medyczne, apteki czy NFZ, które wymagają kliknięcia w link lub podania dodatkowych danych.

Zastrzeżenie PESEL to podstawa, ale o dane warto zadbać szerzej. Im mniej informacji o sobie zostawiasz w sieci, tym trudniej kogokolwiek okraść.

Publiczne sieci Wi-Fi w kawiarni czy na lotnisku bywają słabo zabezpieczone. Sieć VPN szyfruje twoje połączenie, przez co dane, które wysyłasz i odbierasz, są znacznie trudniejsze do przechwycenia. To prosty sposób, żeby ograniczyć ryzyko podczas logowania do banku czy poczty poza domem.

Większość wyłudzeń zaczyna się od zwykłej wiadomości - SMS-a o „dopłacie do paczki” albo maila udającego bank. Nie klikaj w podejrzane linki i nigdy nie wysyłaj zdjęcia dokumentu tożsamości w odpowiedzi na wiadomość, której się nie spodziewasz.

Ta sama zasada dotyczy mediów społecznościowych - jeśli chcesz wiedzieć, jak zareagować na włamanie, sprawdź, jak rozpoznać zhakowane konto na Facebooku. Możesz też ograniczyć podawanie prawdziwych danych tam, gdzie nie są konieczne - pomaga w tym Alternative ID, które tworzy alternatywne dane do rejestracji w mniej istotnych serwisach.

Jedno hasło do wszystkiego to zaproszenie dla oszusta. Ustaw długie, różne hasła dla każdego konta i włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie to możliwe. Menedżer haseł pomoże ci nad tym zapanować.