Wyciek danych MyDr: 6 lekcji cyberbezpieczeństwa dla firm

12 sierpnia 2026 roku minister cyfryzacji Krzysztof Gawkowski potwierdził, że z systemu MyDr mogły wyciec dane nawet 19 milionów Polaków. Za incydentem nie stoi bank ani wielka korporacja, tylko niewielki dostawca oprogramowania dla przychodni, o którym większość firm nigdy nie słyszała. Poniżej rozdzielamy to, co potwierdzono oficjalnie, od tego, co na razie jest twierdzeniem jednej ze stron — i pokazujemy, czego ten incydent uczy każdą firmę, niezależnie od branży, nawet jeśli z MyDr nigdy nie korzystała.

Co potwierdzono oficjalnie, a co na razie twierdzą napastnicy?

To rozróżnienie jest ważniejsze niż sama liczba 19 mln — bo obie strony sporu podają inną skalę incydentu, a prawda wyjdzie dopiero po zakończeniu śledztwa.

Potwierdzone oficjalnie:

• Minister cyfryzacji Krzysztof Gawkowski określił incydent jako „nadzwyczajny wyciek danych" dotyczący nawet 19 mln osób (konferencja prasowa, 12 sierpnia 2026).

• MyDr w oświadczeniu z 13 sierpnia 2026 potwierdza, że padło ofiarą „zewnętrznego, celowego działania o charakterze przestępczym", ale zastrzega, że dane objęte incydentem „najprawdopodobniej mają charakter historyczny" (2024 rok i wcześniej) i nie potwierdza jeszcze pełnej skali ani zakresu.

• Urząd Ochrony Danych Osobowych przypomniał administratorom danych o obowiązku zgłoszenia naruszenia w ciągu 72 godzin od wykrycia.

• Rządowy serwis do sprawdzania, czy dane konkretnej osoby wyciekły — bezpiecznedane.gov.pl — na moment researchu do tego artykułu wciąż nie został zasilony danymi z incydentu MyDr.

Twierdzenia napastników i niepotwierdzone doniesienia (traktuj z rezerwą):

• Osoby podające się za sprawców twierdzą, że zdobyły 18 814 422 unikalnych numerów PESEL w bazie o rozmiarze 2–2,5 TB — informację tę jako pierwszy opisał portal Zaufana Trzecia Strona, część próbki danych została niezależnie zweryfikowana jako prawdziwa, ale to nie potwierdza całej deklarowanej skali.

• Ta sama grupa twierdzi, że wykorzystała podatność klasy XXE w obsłudze certyfikatów PKCS#12, a następnie przejęła klucz API GitHub, uzyskując dostęp do kodu źródłowego systemu — wersja techniczna nieoficjalnie potwierdzona.

• Wiceminister cyfryzacji Michał Gramatyka zasugerował możliwy błąd ludzki po stronie MyDr („jeśli wierzyć specjalistycznym portalom… gdzieś po drodze ktoś musiał coś niewłaściwego kliknąć") — to komentarz, nie ustalenie śledztwa.

Niezależnie od tego, która wersja się potwierdzi, jeden fakt nie budzi wątpliwości: atak na jednego dostawcę oprogramowania nadszarpnął zaufanie milionów ludzi do systemu, z którego korzystania nawet nie byli świadomi.

Dlaczego to nie jest tylko problem branży medycznej?

Skala incydentu MyDr wynika z modelu, w jakim firma działa: to dostawca oprogramowania chmurowego dla ok. 10–12 tys. niezależnych przychodni i gabinetów, nie sieć placówek. Cyberprzestępcy nie musieli włamywać się osobno do tysięcy gabinetów — wystarczyło przejąć infrastrukturę jednego dostawcy, by uzyskać potencjalny dostęp do danych całego jego ekosystemu klientów.

Nasz ekspert ds. cyberbezpieczeństwa Cedepe Consulting, widzi ten sam wzorzec regularnie poza branżą medyczną: „W audytach bezpieczeństwa firm MŚP problem często zaczyna się nie od zaawansowanego ataku, ale od znacznie prostszego pytania: kto właściwie ma dostęp do naszych danych? Dopiero przy takim przeglądzie okazuje się, że lista obejmuje dostawcę hostingu, system kadrowy, CRM, księgowość, Microsoft 365, agencję IT i kilka aplikacji SaaS. Każda z nich powiększa powierzchnię ryzyka firmy — i żadna z nich nie jest kontrolowana przez samą firmę."

To dokładnie ten mechanizm zawiódł w MyDr: pojedynczy przeciek klucza dostępowego (jeśli wersja napastników się potwierdzi) otworzył drzwi do danych całego ekosystemu klientów dostawcy. Konsekwencja dla każdej innej firmy jest prosta — bezpieczeństwo Twoich danych jest tak silne, jak najsłabszy dostawca IT, z którym współpracujesz, a większość MŚP nigdy formalnie nie sprawdziła, jak ten dostawca je chroni.

Czy Twoja firma ma obowiązek zareagować, nawet jeśli korzysta z dostawcy pośrednio?

Tak — jeśli Twoja firma jest administratorem danych osobowych, a jest nim niemal każda firma zatrudniająca pracowników lub obsługująca klientów, RODO nakłada na nią obowiązki niezależnie od tego, czy naruszenie powstało po jej stronie, czy po stronie dostawcy. UODO przypomniał w związku z incydentem MyDr, że to administratorzy — konkretne placówki korzystające z systemu, nie sam MyDr jako podmiot przetwarzający — mają obowiązek zgłosić naruszenie do UODO bez zbędnej zwłoki, co do zasady w ciągu 72 godzin od wykrycia (art. 33 RODO). Osobny, węższy obowiązek — bezpośrednie poinformowanie samych osób, których dane dotyczą (art. 34 RODO) — powstaje tylko wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności; nie jest automatyczny przy każdym incydencie. Przy danych tak wrażliwych jak PESEL czy informacje o receptach to ryzyko zwykle jest wysokie, ale administrator ocenia to indywidualnie, nie z automatu.

W praktyce mały gabinet stomatologiczny korzystający z cudzego oprogramowania ponosi taką samą odpowiedzialność formalną jak duża sieć przychodni — a MyDr jako procesor również nie jest zwolniony z odpowiedzialności, bo RODO nakłada obowiązki bezpieczeństwa wprost na podmioty przetwarzające, nie tylko na administratorów.

Do tego dochodzi nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wdrażająca unijną dyrektywę NIS2, która weszła w życie 3 kwietnia 2026 roku. Firmy zakwalifikowane jako podmioty kluczowe lub ważne mają czas na rejestrację w systemie S46 do 3 października 2026 roku — mniej niż dwa miesiące od dziś — a po rejestracji kolejne 12 miesięcy na wdrożenie systemu zarządzania bezpieczeństwem informacji. Kto dokładnie podlega tym przepisom, wyjaśniamy w artykule NIS2 dla MŚP w 2026 roku.

Ile realnie kosztuje taki incydent polską firmę?

Kara administracyjna to zwykle najmniejsza część rachunku. Za naruszenie obowiązków dotyczących zabezpieczenia danych (art. 32 RODO) — dokładnie ten typ incydentu, jaki opisują doniesienia o MyDr — kara może sięgnąć do 10 mln euro lub 2% globalnego rocznego obrotu firmy, w zależności od tego, która kwota jest wyższa; przy naruszeniach dotyczących samych podstaw przetwarzania danych górny pułap RODO jest jeszcze wyższy. Do tego dochodzą osobne kary z reżimu NIS2 dla podmiotów kluczowych i ważnych.

Skala problemu w Polsce jest większa, niż wynikałoby z pojedynczych afer medialnych. Według raportu KPMG „Barometr cyberbezpieczeństwa 2026", 96% polskich firm doświadczyło w 2025 roku przynajmniej jednego incydentu bezpieczeństwa — rekord w dziewięcioletniej historii tego badania i wzrost o 13 punktów procentowych rok do roku. Niemal połowa firm (49%) odnotowała wzrost liczby prób ataków, a mimo to dedykowaną rolę CISO ma wciąż tylko około jedna czwarta polskich przedsiębiorstw. W skali globalnej średni koszt pojedynczego wycieku danych wyniósł w 2025 roku 4,44 mln USD według raportu IBM Cost of a Data Breach.

„Klienci, z którymi zaczynamy współpracę po jakimś incydencie, prawie zawsze mówią to samo — kalkulowali koszt audytu, nigdy koszt jego braku. Rachunek, który dostają po fakcie, obejmuje nie tylko ewentualną karę, ale miesiące pracy prawników, obsługę zgłoszeń od klientów i czas zarządu, który zamiast prowadzić firmę, gasi pożar" — mówi Mateusz Pękala. Więcej realnych stawek rynkowych dla audytu i wdrożeń zestawiliśmy w artykule ile kosztuje cyberbezpieczeństwo w MŚP.

Macierz dostawca × dane × dostęp × ryzyko — narzędzie do samodzielnej oceny

Zanim zapłacisz za audyt, możesz samodzielnie zrobić pierwszy przegląd w 20 minut — wypisując dostawców, którym powierzasz dane, i oceniając ryzyko każdego z nich. Poniższa macierz to punkt wyjścia, z jakiego korzystamy przy pierwszych rozmowach z klientami w Cedepe Consulting:

Przy każdym dostawcy z kolumny „wysokie" lub „krytyczne" warto zadać mu wprost pięć pytań. W praktyce audytów Cedepe to właśnie te pytania najczęściej ujawniają, gdzie firma ma realną lukę:

1. Czy masz wdrożone uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich kont administracyjnych i kluczy API?

2. Jak długo przechowujesz nasze dane po zakończeniu współpracy i czy potwierdzisz to pisemnie?

3. Kiedy ostatni raz przeszedłeś niezależny audyt bezpieczeństwa lub test penetracyjny — możesz pokazać choćby streszczenie raportu?

4. Jaki czas powiadomienia nas o naruszeniu danych gwarantuje umowa — 24 godziny, 72 godziny, czy w ogóle żaden?

5. Czy klucze API i dostępy administracyjne są rotowane regularnie, czy tylko raz, przy wdrożeniu?

Firma, która nie potrafi odpowiedzieć na pytanie 1 lub 4, ma dziś dokładnie taką samą ekspozycję na ryzyko, jaką opisują nieoficjalne doniesienia o MyDr.

Co zrobiłby profesjonalny vCISO Cedepe Consulting jako właściciel firmy, następnego dnia po takim incydencie?

„Gdyby zadzwonił do mnie klient, którego dostawca właśnie padł ofiarą ataku, w pierwszych dniach patrzyłbym na pięć rzeczy w tej kolejności — i to nie jest teoria, tylko sekwencja, którą przechodziliśmy z klientami po realnych incydentach" — mówi Mateusz Pękala.

• Godziny 0–2: potwierdź fakt i zakres. Kto dokładnie ucierpiał, jakie konkretnie dane, czy problem leży w Twoim systemie, czy u dostawcy. Bez tego każda kolejna decyzja jest zgadywaniem.

• Godziny 2–24: odetnij dalszy dostęp. Zmiana haseł i kluczy API, wymuszenie MFA tam, gdzie go jeszcze nie było, izolacja zainfekowanego systemu od reszty infrastruktury.

• Dni 1–3: zgłoszenia formalne. Zgłoszenie do UODO w terminie 72 godzin, ocena, czy ryzyko dla osób jest na tyle wysokie, że wymaga też ich bezpośredniego poinformowania (art. 34 RODO), kontakt z ubezpieczycielem cyber, jeśli firma ma taką polisę.

• Dni 2–5: jedna spójna komunikacja zewnętrzna. Bez spekulacji i bez ciszy — pierwszy komunikat od firmy, zanim zrobi to za nią ktoś inny.

• Tydzień 1–4: analiza źródła i trwała naprawa. Nie tylko „załatanie" pojedynczej luki, ale odpowiedź na pytanie, dlaczego doszło do incydentu i co się zmienia systemowo, żeby się nie powtórzył.

To sekwencja, którą łatwo opisać, a trudno wykonać pod presją czasu i bez wcześniej przygotowanego planu — dlatego firmy, które mają spisany plan reagowania na incydenty (IRP) zanim coś się wydarzy, tracą w pierwszych dniach kryzysu zdecydowanie mniej niż te, które improwizują.

Jak zacząć budować bezpieczeństwo firmy bez zatrudniania CISO na etat?

Wiceminister Gramatyka, komentując doniesienia o mechanice ataku na MyDr, zwrócił uwagę na czynnik ludzki — a UODO ostrzegał równolegle, że fala wtórnych ataków phishingowych wykorzystujących skradzione dane do uwiarygodnienia oszustów jest w takich sytuacjach właściwie pewna. Ktoś, kto zna Twój PESEL, nazwisko i nazwę Twojej przychodni, brzmi w telefonie znacznie bardziej wiarygodnie niż anonimowy oszust — i to samo dotyczy pracownika, który dostaje maila „od dostawcy IT" z prośbą o zalogowanie się do panelu.

W jednym z naszych wcześniejszych projektów przeprowadziliśmy test phishingowy w firmie liczącej 80 osób — wyniki pokazały, ile daje jednorazowe, dobrze zaprojektowane ćwiczenie w porównaniu z samą polityką bezpieczeństwa spisaną w dokumencie, którego nikt nie czyta. To już zresztą nie jest wyłącznie dobra praktyka: nowelizacja ustawy o KSC wprost nakłada na kierownictwo podmiotów kluczowych i ważnych obowiązek odbycia szkolenia z zarządzania ryzykiem cyberbezpieczeństwa, pod osobistą odpowiedzialnością.

Wirtualny CISO (vCISO) to model, w którym doświadczony ekspert pełni funkcję dyrektora bezpieczeństwa dla firmy w wymiarze godzinowym lub abonamentowym zamiast na pełnym etacie — dostęp do kompetencji klasy korporacyjnej (audyt, polityki, zgodność z RODO i NIS2, reagowanie na incydenty) bez kosztu zatrudnienia specjalisty na pełen etat. W Cedepe Consulting model ten działa na tej samej zasadzie, co nasze pozostałe usługi doradcze: zaczynasz od jednej godziny konsultacji, bez podpisywania długoterminowego pakietu, i widzisz konkretny plan działania, zanim zdecydujesz się na dalszą współpracę. Więcej o tym, czym dokładnie jest vCISO i kiedy się opłaca, piszemy w artykule czym jest vCISO i dlaczego Twoja firma może go potrzebować.

Poza samym vCISO prowadzimy też szkolenia i webinary z cyberbezpieczeństwa — osobno dla pracowników (rozpoznawanie phishingu, higiena haseł, postępowanie w razie incydentu) i osobno dla kadry zarządzającej (obowiązki wynikające z RODO i nowelizacji ustawy o KSC, odpowiedzialność osobista, decyzje w pierwszych godzinach kryzysu). To często pierwszy krok, zanim firma zdecyduje się na pełny audyt — tańszy, szybszy do wdrożenia i widoczny w codziennych nawykach zespołu już po kilku tygodniach.

W skrócie — 6 wniosków z incydentu MyDr dla każdej firmy:

1. Bezpieczeństwo Twojej firmy jest tak silne, jak najsłabszy dostawca IT, z którym współpracujesz.

2. Obowiązek reakcji na naruszenie danych nie zależy od tego, czy Twoja firma „zawiniła" — zależy od tego, czy jest administratorem danych.

3. Koszt incydentu prawie zawsze przewyższa koszt profilaktyki, tyle że profilaktykę płaci się z góry, a karę i odszkodowania po fakcie.

4. Pięciominutowa macierz dostawca × dane × dostęp × ryzyko i pięć pytań do dostawcy nie wymagają budżetu — wymagają decyzji, żeby zacząć.

5. Plan reagowania na incydenty przygotowany przed kryzysem, nie w jego trakcie, decyduje o tym, ile firma traci w pierwszym tygodniu.

6. Przeszkoleni ludzie, nie tylko technologia, decydują o tym, czy phishing wykorzystujący wyciekłe dane się powiedzie.

Chcesz sprawdzić, jak Twoja firma wypada na tle tego, co ujawnił incydent MyDr?

Eksperci Cedepe Consulting przeprowadzą bezpłatną, niezobowiązującą konsultację, ocenią kluczowe ryzyka związane z Twoimi dostawcami IT i zaproponują konkretny plan — audytu, wdrożenia vCISO albo szkolenia dla zespołu lub kadry zarządzającej. Zaczynasz od jednej godziny i konkretnej diagnozy ryzyk. Bez zobowiązań.

Umów bezpłatną konsultację →

Najczęściej zadawane pytania

Czy moja firma musi coś zrobić, jeśli tylko pośrednio korzystała z systemu MyDr, np. przez przychodnię partnerską? Tak, warto zapytać placówkę, z którą współpracujesz (np. w ramach pakietu medycznego dla pracowników), czy korzystała z MyDr i czy dane mogły zostać objęte incydentem. Zgodnie ze stanowiskiem UODO to administrator, czyli konkretna placówka, ma obowiązek zgłosić naruszenie do UODO, a przy tak wrażliwych danych zwykle też bezpośrednio poinformować osoby, których dane mogły wyciec — Twoja firma jako pracodawca może wesprzeć pracowników w tym procesie i monitorować serwis bezpiecznedane.gov.pl, gdy zostanie zasilony danymi.

Ile kosztuje audyt cyberbezpieczeństwa dla małej lub średniej firmy? Koszt zależy od liczby systemów, dostawców i pracowników objętych audytem — szczegółowy podział kosztów i modeli rozliczeń znajdziesz w artykule o cenach cyberbezpieczeństwa w MŚP. W modelu Cedepe Consulting pierwszą diagnozę można zacząć od pojedynczej godziny konsultacji, bez podpisywania długoterminowej umowy.

Czym różni się vCISO od jednorazowego audytu bezpieczeństwa? Audyt to zdjęcie stanu firmy w jednym momencie, a vCISO to ciągłe, cykliczne wsparcie — nadzór nad wdrożeniem rekomendacji, aktualizacja polityk i przygotowanie do wymogów regulacyjnych, takich jak NIS2. W praktyce firmy zwykle zaczynają od audytu, a następnie przechodzą na model vCISO, gdy potrzebują stałego nadzoru bez zatrudniania specjalisty na pełen etat.

Kiedy firma musi zarejestrować się jako podmiot objęty nowelizacją ustawy o KSC (NIS2)? Podmioty kluczowe i ważne objęte nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku, mają czas na samoocenę i rejestrację w systemie S46 do 3 października 2026 roku. Po rejestracji firma ma kolejne 12 miesięcy, do 3 kwietnia 2027 roku, na wdrożenie systemu zarządzania bezpieczeństwem informacji.

Jak długo trwa wdrożenie planu reagowania na incydenty w firmie? Podstawowy plan reagowania na incydenty można wdrożyć w 4–8 tygodni, jeśli firma ma już podstawową inwentaryzację systemów i dostawców — dłużej trwa w organizacjach, które takiej inwentaryzacji jeszcze nie mają. W modelu vCISO Cedepe Consulting pierwszą wersję planu przygotowujemy równolegle z audytem, więc firma dostaje realne procedury na samym starcie współpracy.