Gigantyczny wyciek danych Polaków. Twoje pieniądze mogą być zagrożone

• Kradzież informacji z systemu MyDr uderzyła w 19 milionów pacjentów z Polski, a ujawnienie numerów PESEL i historii chorób rodzi gigantyczny strach o oszczędności.
• Hakerzy użyją tych szczegółów do skomplikowanych prób wyłudzeń, udając pracowników wiarygodnych urzędów lub banków.
• Uwaga: uderzenie oszustów może nadejść nawet po wielu tygodniach, kiedy czujność poszkodowanych zostanie uśpiona.
• Broń się przed atakiem! Zablokuj swój PESEL oraz zapoznaj się z najważniejszymi procedurami, aby zabezpieczyć majątek przed wirtualnymi zagrożeniami.

Ujawnienie poufnych informacji przestało być dla naszych rodaków jedynie wirtualnym zagrożeniem. Z ankiety „Cyberbezpieczeństwo Polaków 2026”, zrealizowanej przez firmę Quality Watch na zlecenie Biura Informacji Kredytowej, wynika, że niemal 80 procent respondentów boi się wpływu wycieku danych na ich prywatny budżet, a 37 procent odczuwa w tej kwestii bardzo silny lęk. Z kolei co trzeci pytany miał już bezpośrednią styczność z kradzieżą tożsamości osobiście lub w swoim najbliższym otoczeniu.

Rozmiar tego zjawiska nieustannie się powiększa. Jeszcze w 2022 roku styczność z przechwyceniem poufnych informacji zgłaszało 24 procent uczestników badania, natomiast w 2026 roku odsetek ten wzrósł już do 33 procent. Co gorsza, aż 15 procent ankietowanych potwierdziło, że w trwającym roku ten niebezpieczny proceder uderzył bezpośrednio w nich samych.

Atak hakerski na MyDr. Zagrożone dane 19 milionów Polaków

Szczególne poruszenie wywołuje ostatni incydent związany z włamaniem do platformy MyDr, który potencjalnie obejmuje rejestry niemal 19 milionów obywateli. O wielkości tego bezprecedensowego zdarzenia donosił 12 sierpnia wicepremier i szef resortu cyfryzacji Krzysztof Gawkowski. Skradzione archiwa powiązane z infrastrukturą MyDr ważą przeszło 2 terabajty, a w ich strukturach znajdują się zarówno numery PESEL, jak i szczegółowe kartoteki medyczne pacjentów.

Taka kombinacja wykradzionych szczegółów jest wyjątkowo ryzykowna. Cyberprzestępca dysponujący równocześnie danymi osobowymi, namiarami kontaktowymi oraz historią leczenia, zyskuje o swojej przyszłej ofierze wiedzę wykraczającą daleko poza samo imię i nazwisko.

Przedstawiciele BIK zaznaczają jednocześnie, że sam fakt przejęcia bazy nie równa się jeszcze natychmiastowemu wyłudzeniu czy kradzieży środków. Prawdziwą trudnością jest tu stan ciągłego zagrożenia. Całkowicie nie wiadomo, w jakim momencie te informacje zostaną użyte w praktyce, w czyje ręce ostatecznie trafią, a także z jakimi innymi pakietami z poprzednich ataków hakerskich zostaną docelowo połączone.

Jak tłumaczy na łamach dziennika „Puls Biznesu” Beniamin Szczepankiewicz, badacz cyberataków z firmy ESET, informacje wyprowadzone w trakcie pojedynczego ataku wcale nie muszą działać jako izolowany zbiór. Mogą być one swobodnie krzyżowane ze szczegółami wykradzionymi w przeszłości, dzięki czemu oszuści potrafią bezbłędnie i bardzo precyzyjnie sprofilować osobę, w którą zamierzają uderzyć.

Metody oszustów. Jak hakerzy po wycieku z MyDr kradną pieniądze?

Autentyczne fakty o poszkodowanym często stają się najbardziej zabójczym orężem w arsenale internetowych złodziei. Im głębszą wiedzą o ofierze dysponują, z tym większą łatwością są w stanie spreparować rozmowę telefoniczną, wiadomość SMS lub e-mail, który kompletnie nie wzbudzi żadnych obaw ze strony odbiorcy.

Zamiast klasycznego powiadomienia o rzekomej niedopłacie za kuriera, przestępca potrafi odwołać się do prawdziwych sytuacji z codzienności konkretnego człowieka. Operując nazwiskiem, numerem PESEL, adresem placówki medycznej lub szczegółami terapii, złodziej może udawać pracownika lokalnej przychodni, przedstawiciela banku czy urzędnika NFZ. Taki komunikat może nawiązywać do umówionej konsultacji lekarskiej, odbioru wyników badań, e-recepty czy fałszywego zadłużenia.

W rozmowie z redakcją „Pulsu Biznesu” Paweł Pudo, ekspert z firmy DAGMA Bezpieczeństwo IT, podkreśla, że obfitość wiarygodnych danych ułatwia hakerowi skuteczne maskowanie ataku phishingowego. Dopiero w momencie pełnego uśpienia czujności rozmówcy, oszust wysuwa prośbę o podanie wrażliwych haseł, instalację szpiegowskiego oprogramowania, zatwierdzenie przelewu czy ostateczną realizację płatności kartą.

Z tego powodu prawdziwe zagrożenie wcale nie musi zmaterializować się zaraz po ujawnieniu bazy w sieci. Kryminaliści potrafią odczekać z użyciem skradzionych danych przez wiele tygodni, a nawet miesięcy, celując w moment, kiedy zdezorientowana ofiara dawno zapomni o głośnym włamaniu do systemów informatycznych i przestanie łączyć z nim dziwne telefony.

Ochrona przed wyłudzeniem. Zastrzeżenie numeru PESEL to podstawa

Jednym z absolutnie kluczowych kroków po kradzieży danych osobowych jest natychmiastowe zablokowanie swojego numeru identyfikacyjnego. Tego rodzaju procedurę można przeprowadzić zupełnie za darmo, korzystając z aplikacji mObywatel, rządowego portalu gov.pl lub podczas osobistej wizyty w urzędzie gminy, a sama ochrona aktywuje się w czasie rzeczywistym.

Jeśli ktokolwiek chciałby wziąć kredyt lub pożyczkę na nasze dane, przy zastrzeżonym numerze PESEL nie będzie mógł tego zrobić. Co ważne, jeśli mimo zastrzeżenia podmiot udzieliłby takiego zobowiązania, nie będziemy zobowiązani do jego spłaty – wyjaśnia cytowana przez „Puls Biznesu” Agnieszka Wachnicka, wiceprezes Związku Banków Polskich.

Instytucje bankowe oraz parabanki są ustawowo zobligowane do weryfikacji statusu numeru PESEL przy konkretnych procedurach finansowych. Ten sam wymóg obejmuje również firmy telekomunikacyjne w momencie wydawania nowej karty SIM w formie duplikatu, a także kancelarie notarialne podczas spisywania niektórych aktów dotyczących obrotu nieruchomościami.

Wydanie dyspozycji zablokowania numeru PESEL stanowi zatem solidną zaporę przed próbą wyciągnięcia gotówki w ramach kradzieży cudzej tożsamości. Trzeba jednak pamiętać i mieć świadomość, że takie rozwiązanie nie gwarantuje stuprocentowego bezpieczeństwa przed wszystkimi wariantami nadużyć ze strony internetowych przestępców.

Zastrzeżenie PESEL nie kończy problemów z wyciekiem danych medycznych

Redakcja „Pulsu Biznesu” poprosiła o opinię na temat faktycznej mocy blokady numeru PESEL Bartłomieja Drozda, reprezentującego serwis ChronPESEL.pl. Specjalista zaznacza, że nie każde przedsiębiorstwo na rynku musi weryfikować ten rejestr, co automatycznie otwiera hakerom furtkę do wykorzystania przejętej tożsamości w zupełnie innych sektorach gospodarki.

Mowa tutaj między innymi o podpisywaniu umów najmu lokali, wynajmie floty samochodowej i elektroniki, robieniu zakupów z odroczoną płatnością czy innych operacjach cywilnoprawnych na konto poszkodowanego. Poważne niebezpieczeństwo obejmuje również próby rejestracji fałszywych działalności gospodarczych i późniejszego ubiegania się o finansowanie lub wsparcie ze środków zewnętrznych.

Z tego względu, nawet posiadając aktywną blokadę numeru PESEL, kategorycznie nie wolno bagatelizować dziwnych SMS-ów, połączeń telefonicznych czy pism dotyczących kontraktów, których nigdy nie parafowaliśmy. Niezwykle istotne jest zrozumienie, że fakt posługiwania się przez dzwoniącego naszym nazwiskiem, numerem PESEL czy adresem przychodni w żaden sposób nie legitymizuje go jako prawdziwego reprezentanta urzędu, kliniki czy banku.

Procedury po kradzieży danych z MyDr. Porady ekspertów 

Jak wynika z wytycznych Biura Informacji Kredytowej i komentarzy specjalistów przywoływanych przez „Puls Biznesu”, po kradzieży bazy nie wystarczy zmienić zaledwie jednego hasła i całkowicie zapomnieć o sprawie. Należy wykazać się ekstremalną nieufnością w stosunku do niezapowiedzianych telefonów oraz wiadomości elektronicznych, w szczególności tych, w których nadawca sztucznie pompuje poczucie presji czasu i żąda od nas błyskawicznego działania.

Podstawą jest szybkie zablokowanie swojego numeru identyfikacyjnego PESEL, uruchomienie weryfikacji dwuetapowej (2FA), zaktualizowanie wszędzie powtarzających się haseł na nowe oraz stałe monitorowanie własnej historii kredytowej. Niezwykle pomocne okazują się tu alerty z BIK, które w czasie rzeczywistym powiadamiają użytkownika o zapytaniach banków w związku z wnioskami kredytowymi na jego dane.

Eksperci od bezpieczeństwa cyfrowego surowo zabraniają wchodzenia w odnośniki z podejrzanych maili, dyktowania kodów autoryzacyjnych, prywatnych haseł do kont czy danych z plastiku płatniczego. Jeśli rzekomy konsultant z banku lub przychodni prosi o takie detale, najbezpieczniej jest natychmiast odłożyć słuchawkę i samodzielnie zadzwonić na oficjalną infolinię danej placówki, aby zweryfikować intencje rozmówcy.

Skradzione dane z systemu zdrowia. Tych informacji nie zmienisz

W kontekście włamania do platformy medycznej rodzi się dodatkowy, wręcz fundamentalny kłopot. O ile kartę do bankomatu można błyskawicznie unieważnić, powiązane z nią hasło zresetować, a dostęp do bankowości zablokować, o tyle historii przebytych schorzeń i prywatnej dokumentacji medycznej nie da się po prostu wykasować i z dnia na dzień zastąpić nowym zbiorem danych.

Jak akcentuje cytowany na łamach dziennika „Puls Biznesu” Beniamin Szczepankiewicz z firmy ESET, detale dotyczące naszego stanu zdrowia pozostają dla przestępców wartościowym towarem przez niezwykle długie lata. Wykazy historii leczenia, zdiagnozowane choroby przewlekłe czy informacje o wizytach w ramach konkretnych świadczeń są przecież trwale i nierozerwalnie przypisane do tożsamości konkretnego pacjenta.

Najbardziej wrażliwe szczegóły o przebytych terapiach psychiatrycznych, ośrodkach odwykowych lub ciężkich schorzeniach mogą posłużyć grupom przestępczym nie tylko do budowania uwiarygodnienia podczas oszustwa, ale wręcz do prób zastraszania i wyłudzania okupu. Szczególnie niebezpieczne jest to dla osób z pierwszych stron gazet, prominentnych menedżerów czy pracowników mających na co dzień dostęp do strategicznych tajemnic przedsiębiorstw.

Liczba cyberataków na polski sektor zdrowia drastycznie rośnie

Wymiar zagrożeń w wirtualnej przestrzeni drastycznie pnie się w górę każdego roku. Bazując na oficjalnych statystykach Urzędu Ochrony Danych Osobowych, w 2025 roku administratorzy zgłosili przeszło 22 tysiące incydentów związanych z naruszeniem ochrony baz danych, podczas gdy w dwóch poprzednich latach te zestawienia oscylowały w granicach 15 tysięcy przypadków rocznie.

Równie niepokojąco i katastrofalnie prezentują się statystyki dotyczące samej branży medycznej. Tylko w 2025 roku zespół CSIRT Centrum e-Zdrowia musiał interweniować przy 1441 atakach hakerskich w sektorze zdrowia, co oznacza gigantyczny skok o ponad 60 procent względem poprzednich dwunastu miesięcy. Z kolei w bieżącym, 2026 roku, urzędnicy zdążyli odnotować już kolejnych 729 poważnych włamań do systemów.

Resort cyfryzacji zadeklarował oficjalnie, że wszystkie wykradzione rekordy wyprowadzone podczas najnowszego włamania zostaną wyeksportowane do państwowej platformy Bezpieczne Dane. Dzięki temu każdy polski obywatel zyska możliwość osobistej weryfikacji, czy jego poufne informacje znalazły się w paczce danych zmasowanego ataku na serwery systemu MyDr.

Przy tak kolosalnej skali wycieku z baz danych, permanentna ostrożność musi nam towarzyszyć znacznie dłużej niż tylko w pierwszych dobach po ujawnieniu cyberataku. Skradzione informacje nie tracą automatycznie na wartości, dlatego złodzieje mogą użyć ich dopiero po wielu miesiącach uśpienia, kiedy precyzyjna wiadomość z naszymi prawdziwymi danymi medycznymi wyda się nam w pełni autentyczna i zapoczątkuje udaną próbę wyłudzenia środków finansowych.