Blisko 19 milionów rekordów, ponad 2 TB danych i informacje dotyczące pacjentów. Cyberatak na firmę MyDr stał się jednym z najpoważniejszych incydentów związanych z bezpieczeństwem danych w Polsce. To nie tylko historia o hakerach. To lekcja o tym, jak wygląda ryzyko, gdy jeden dostawca przechowuje ogromną ilość wrażliwych informacji.
12 sierpnia 2026 roku minister cyfryzacji Krzysztof Gawkowski potwierdził, że z systemów firmy MyDr wykradziono około 19 milionów rekordów. Baza ma zajmować ponad 2 TB danych, a z systemu korzystało około 12 tysięcy placówek medycznych.
Minister określił sytuację jednoznacznie:
„Mamy do czynienia z jednym z największych incydentów w historii Polski”.
I trudno się dziwić takiej ocenie. Wśród danych znajdują się informacje dotyczące recept, wizyt, przyjmowanych leków oraz dokumentacji przekazywanej lekarzom. Nie jest to więc kolejna baza zawierająca wyłącznie adresy e-mail czy numery telefonów. To dane, które mogą pozwolić na odtworzenie bardzo szczegółowych informacji o zdrowiu konkretnej osoby.
Cyberatak na MyDr – co wiemy o wycieku danych?
Pierwsze informacje o incydencie pojawiły się 10 sierpnia. Zaufana Trzecia Strona opisała wówczas kontakt z osobami twierdzącymi, że uzyskały dostęp do danych firmy MyDr. Napastnicy mieli przedstawić próbki danych jako dowód swoich twierdzeń. Początkowo należało oczywiście zachować ostrożność. W przypadku cyberataków sama deklaracja przestępców nie oznacza jeszcze, że podana przez nich skala jest prawdziwa. Dwa dni później sytuacja wyglądała już inaczej. Państwo potwierdziło incydent, a skala wycieku okazała się ogromna.
19 milionów rekordów. Dlaczego sama liczba nie mówi wszystkiego?
W cyberbezpieczeństwie łatwo skupić się na liczbie skradzionych rekordów. 19 milionów brzmi niewiarygodnie dużo, ale sama liczba nie pokazuje jeszcze rzeczywistego ryzyka. Z perspektywy bezpieczeństwa informacji i zarządzania ryzykiem ważniejsze jest pytanie: co dokładnie zostało utracone, jakie są konsekwencje i jakie procesy miały zapobiec takiemu zdarzeniu?
W przypadku MyDr mowa o danych pacjentów, informacjach o receptach, przyjmowanych lekach, terminach wizyt oraz dokumentacji przekazywanej lekarzom. To oznacza, że analizując taki incydent, nie wystarczy określić liczby rekordów. Trzeba ocenić ich wartość, wrażliwość, znaczenie dla organizacji oraz potencjalne skutki naruszenia poufności. I właśnie tutaj zaczyna się zarządzanie ryzykiem.
Poufność to dopiero początek. Co z integralnością i dostępnością danych?
Z perspektywy ISO/IEC 27001 incydent MyDr nie powinien być analizowany wyłącznie jako „wyciek danych”. Bezpieczeństwo informacji opiera się na trzech podstawowych aspektach: poufności, integralności i dostępności (CIA). W przypadku MyDr najbardziej oczywiste jest naruszenie poufności – nieuprawnione osoby miały uzyskać dostęp do informacji, które nie powinny znaleźć się w ich posiadaniu. Ale audytor powinien zadać również pytania o integralność: czy dane mogły zostać zmodyfikowane i czy można potwierdzić ich wiarygodność? Kolejny aspekt to dostępność: czy incydent wpłynął na działanie systemów wykorzystywanych przez placówki medyczne?
Ryzyko nie zaczyna się wtedy, gdy haker włamuje się do systemu
Z punktu widzenia zarządzania ryzykiem bezpieczeństwa informacji pytanie nie powinno brzmieć wyłącznie: „Jak hakerzy dostali się do systemu?”. Ważniejsze jest to, czy organizacja wcześniej zidentyfikowała zagrożenie, oceniła jego prawdopodobieństwo i potencjalny wpływ oraz dobrała odpowiednie zabezpieczenia. Należy również ustalić, kto był właścicielem ryzyka i czy po wdrożeniu zabezpieczeń pozostałe ryzyko rezydualne zostało świadomie zaakceptowane. To właśnie odróżnia reagowanie na incydent od systemowego podejścia do bezpieczeństwa informacji.
Jeden dostawca, miliony danych. Gdzie zaczyna się ryzyko?
W przypadku MyDr szczególnie istotna jest koncentracja danych i zależność od dostawcy. Jeżeli jeden system przetwarza informacje dotyczące milionów osób i jest wykorzystywany przez tysiące placówek, potencjalny wpływ materializacji ryzyka jest bardzo wysoki. Z perspektywy SZBI i ISO 27001 dostawca powinien więc być elementem procesu zarządzania ryzykiem: od identyfikacji aktywów i klasyfikacji informacji, przez ocenę dostępu i zabezpieczeń, po monitoring, reagowanie na incydenty i zarządzanie podwykonawcami. Bezpieczeństwo dostawcy nie jest wyłącznie jego problemem – wpływa bezpośrednio na ryzyko organizacji korzystającej z jego usług.
Czy certyfikat ISO 27001 wystarczy, żeby zaufać dostawcy?
Sam fakt, że dostawca posiada certyfikat ISO 27001, nie oznacza automatycznie, że ryzyko związane z jego usługami jest dla naszej organizacji akceptowalne. Certyfikacja potwierdza funkcjonowanie systemu zarządzania w określonym zakresie, ale nie podejmuje za nas decyzji dotyczącej akceptacji ryzyka. Dlatego kluczowe pytanie powinno brzmieć: czy organizacja wie, jakie ryzyko powstaje w związku z korzystaniem z danego dostawcy i czy świadomie zdecydowała, jak je ograniczyć, przenieść, uniknąć lub zaakceptować? To właśnie jest różnica między posiadaniem zabezpieczeń a rzeczywistym zarządzaniem bezpieczeństwem informacji.
Podsumowanie
Co ten wyciek mówi nam o bezpieczeństwie informacji?
Incydent MyDr pokazuje, że bezpieczeństwo informacji nie kończy się na wdrożeniu zabezpieczeń technicznych. Przy tak dużej koncentracji danych kluczowe znaczenie ma prawidłowa identyfikacja aktywów, klasyfikacja informacji, analiza ryzyka oraz ocena potencjalnych skutków naruszenia poufności, integralności i dostępności. Szczególnie istotne jest również zarządzanie ryzykiem dostawców, ponieważ kompromitacja zewnętrznego systemu może bezpośrednio przełożyć się na ryzyko całej organizacji.
Z perspektywy ISO/IEC 27001 i SZBI najważniejsze pytanie nie brzmi więc: „Czy mamy odpowiednie zabezpieczenia?”. Powinno brzmieć: „Czy znamy nasze ryzyka, czy wiemy, jakie mogą mieć konsekwencje i czy świadomie zarządzamy ryzykiem rezydualnym?” MyDr jest dobrym przykładem tego, że certyfikat, procedura czy pojedyncze narzędzie bezpieczeństwa nie zastępują procesu zarządzania ryzykiem. Odporność organizacji zaczyna się od wiedzy o tym, co chronimy, przed czym i dlaczego.
źródło: https://zaufanatrzeciastrona.pl/post/hakerzy-twierdza-ze-ukradli-dane-ponad-18-milionow-polek-i-polakow-z-firmy-mydr/ https://www.pap.pl/aktualnosci/gigantyczny-wyciek-danych-polakow-gawkowski-niebywaly-i-bardzo-duzy-incydent (dostęp 12.08.2026)
AI analiza bezpieczeństwa aplikacje i programy automatyzacja bezpieczeństwo informacji bezpieczeństwo IT bezpieczeństwo obronne bezpieczeństwo ofensywne cyberbezpieczeństwo cyberbezpieczeństwo bezpieczeństwo informacji cyberzagrożenia zarządzanie ryzykiem bezpieczeństwo IT cyberzagrożenia definicje inżynieria bezpieczeństwa języki kodowania kariera linux podstawowe narzędzia podstawowe narzędzia sieciowe protokoły systemy operacyjne sztuczna inteligencja teoria sieci testowanie typowe ataki ubezpieczenia usługi sieciowe wiadomości windows zadania zarządzanie i regulacje zarządzanie ryzykiem zarządzenia i regulacje zasady bezpieczeństwa