Para: cualquier persona que haya sido atendida en un centro sanitario de Polonia (incluidos los residentes extranjeros, pasados y presentes), y cualquiera que proporcione o utilice software en la nube para centros sanitarios. Este artículo se basa en declaraciones del Gobierno polaco, de la autoridad de protección de datos y de la propia MyDr, y no aborda las técnicas de ataque.
Qué deben hacer hoy las personas que pueden estar afectadas
Comprueba en bezpiecznedane.gov.pl si tu PESEL está implicado
Inicia sesión en el sitio oficial de comprobación bezpiecznedane.gov.pl con mObywatel (la aplicación oficial del Gobierno), Profil Zaufany (el inicio de sesión de identidad electrónica del Gobierno), una tarjeta de identidad electrónica (e-dowód) o banca en línea. Te indica si tu PESEL está vinculado a este incidente.
Según se informa, cuando hay mucho tráfico se forma una cola. Escribe tú mismo la dirección y no la abras desde enlaces en correos electrónicos o mensajes de texto.
Reserva tu PESEL, estés o no en la lista
La reserva de PESEL (zastrzeżenie PESEL) es un trámite gratuito que marca tu PESEL como reservado en un registro oficial. Desde el 1 de junio de 2024, los bancos, prestamistas, notarios, operadores de telefonía que emiten tarjetas SIM duplicadas y otros deben consultar este registro antes de firmar un contrato.
Según el Gobierno, si se concede un préstamo a pesar de la reserva, la persona cuya identidad se utilizó no tiene que devolverlo. En la aplicación mObywatel, elige "Servicios" y después "Reservar PESEL". Cuando necesites crédito tú mismo, puedes levantarla temporalmente en la aplicación (hay una espera de 30 minutos entre cambios).
Si no puedes usar mObywatel, acude a una oficina municipal
Los extranjeros que tengan un PESEL pueden usar el mismo sistema. Si no puedes iniciar sesión en la aplicación o en el sitio web de mObywatel, puedes reservar tu PESEL en cualquier oficina municipal (urząd gminy).
mObywatel también muestra qué empresas e instituciones han consultado tu PESEL. Revísalo de vez en cuando por si aparecen consultas que no reconozcas.
No respondas a mensajes que mencionen tu salud y exijan un pago
Entre los elementos que podrían haberse filtrado figuran los datos de salud y la información de recetas. Por tanto, podrías recibir un mensaje que muestre conocer tu enfermedad o medicación y exija un pago, amenazando con contárselo a tu familia o a tu empleador.
No respondas ni pagues. Guarda capturas de pantalla y los mensajes, y denúncialo a la policía. Conocer tu diagnóstico no demuestra que las afirmaciones del remitente sean ciertas, y nada de esto es culpa tuya.
Verifica los contactos de clínicas, NFZ, la policía o bancos usando números que tú mismo hayas buscado
La policía polaca advierte de contactos que se hacen pasar por centros sanitarios, bancos o instituciones estatales (incluidas la policía y el Fondo Nacional de Salud, NFZ) y que utilizan datos médicos robados para obtener más datos personales o financieros.
Aunque parezca auténtico, cuelga y vuelve a llamar a un número de la web oficial. Los mensajes de texto sospechosos pueden reenviarse al 8080, gestionado por CERT Polska (el equipo nacional de respuesta a incidentes de seguridad informática de Polonia), y otros contactos sospechosos pueden notificarse en incydent.cert.pl (véase ¿Qué es el phishing?).
Cambia las contraseñas de los portales de salud y activa la verificación en dos pasos
El Ministerio de Sanidad y la policía recomiendan cambiar las contraseñas de los portales médicos y de las cuentas sanitarias en línea, no reutilizarlas y activar la verificación en dos pasos (autenticación multifactor). Si usas la misma contraseña en otro lugar que en una cuenta de paciente de MyDr, cámbiala también (Cómo elegir un gestor de contraseñas).
Para más detalles, pregunta al centro sanitario que visitaste
Según el RGPD (el reglamento de protección de datos de la UE), el centro sanitario es el responsable del tratamiento de los datos de los pacientes y MyDr es el encargado del tratamiento que actúa en su nombre. Los avisos oficiales a los pacientes llegan desde el centro que visitaste. MyDr ha enviado a los centros listas de pacientes afectados y borradores de notificaciones preparados en consulta con la autoridad.
Pregunta a ese centro qué datos tuyos se incluyeron. MyDr también ha habilitado un punto de contacto específico para el incidente (consulta su página de pacientes en las fuentes indicadas más abajo).
Qué ocurrió (según el Gobierno, las autoridades y MyDr)
MyDr sp. z o.o., con sede en Varsovia, proporciona MyDr EDM, un software de historiales médicos electrónicos para médicos y centros sanitarios. Gestiona en la nube citas, recetas electrónicas, certificados de baja laboral y remisiones. Todo lo siguiente es lo declarado por el Ministerio de Asuntos Digitales, el Ministerio de Sanidad, la Oficina de Protección de Datos Personales (UODO) y MyDr.
10 ago 2026
MyDr comunicó un incidente de datos que afectaba a parte de sus sistemas y comenzó a investigar.12 ago
MyDr confirmó que había sido objeto de un acto delictivo externo deliberado. El Ministerio de Asuntos Digitales afirmó que la empresa había confirmado un acceso no autorizado a datos históricos (hasta abril de 2024), que podría afectar a hasta 18,8 millones de personas y a más de 12.000 centros. El Ministerio de Sanidad dijo que los servicios sanitarios electrónicos nacionales centrales no se vieron comprometidos. La UODO decidió inspeccionar la empresa.14 ago
El Centro de Salud Electrónica (CeZ) dijo que los certificados utilizados para comunicarse con el sistema nacional de recetas electrónicas no se habían visto comprometidos, y que los sustituiría por precaución en MyDr.24 ago
El director ejecutivo de MyDr pidió disculpas y dijo que la empresa notificaría a unos 18 millones de personas, incluyendo deliberadamente a todos cuyos datos estaban en el entorno afectado.29 ago
Los números PESEL afectados se añadieron a bezpiecznedane.gov.pl, donde las personas pueden comprobarlos.2 sep
MyDr afirmó que lo copiado eran datos anteriores al 12 de abril de 2024, además de datos de remisiones electrónicas canceladas de un número limitado de personas. Dijo que no se había encontrado ninguna prueba de publicación.5–11 sep
La notificación a los centros sanitarios se realizó por fases, con listas de pacientes afectados, borradores de informes a la autoridad y borradores de avisos a los pacientes.
- Quiénes
- Pacientes de centros sanitarios que usan MyDr. Principalmente datos históricos anteriores al 12 de abril de 2024; para un número limitado de personas, también datos de remisiones electrónicas canceladas emitidas después de esa fecha
- Elementos
- Nombre, dirección, datos de contacto, PESEL (número nacional de identificación) y datos de salud, información de la seguridad social, datos del empleador (cuando se proporcionaron) y otros datos identificativos. La empresa afirma que no todos los elementos se aplican a todos los pacientes
- Qué se copió
- El contenido de una base de datos almacenada en la nube de la empresa. Su página de pacientes describe un acceso no autorizado a bases de datos de copias de seguridad y la obtención de una copia fechada el 12 de abril de 2024
- Publicación
- La empresa afirma que no se ha encontrado ninguna prueba de publicación, y que aparecer en bezpiecznedane.gov.pl no significa que los datos se hayan publicado en internet
- No afectado
- Servicios sanitarios electrónicos nacionales centrales (Ministerio de Sanidad). El acceso a la atención y a las recetas no se ve afectado. MyDr afirma que sus sistemas funcionan con normalidad
- Causa
- No revelada. La Oficina Central de Lucha contra la Ciberdelincuencia (CBZC) investiga bajo supervisión fiscal
- Autoridades
- La UODO está inspeccionando las medidas técnicas y organizativas de la empresa y si se probaron periódicamente. La UODO afirma que había recibido unas 1.000 notificaciones de brechas a finales de agosto
Cómo interpretarlo: «sin pruebas de publicación» no significa «seguro»
MyDr afirma que no ha encontrado pruebas de que los datos se hayan publicado. Eso significa que, por ahora, no se ha encontrado nada, no que los datos nunca vayan a utilizarse.
Un PESEL codifica tu fecha de nacimiento y tu sexo y, por regla general, no cambia. Tampoco cambia tu historial médico. Planifica las precauciones a largo plazo. La reserva de PESEL se mantiene hasta que la levantes.
Desde agosto, otros proveedores de software médico y empresas sanitarias de Polonia también han comunicado accesos no autorizados, y se informa de que la UODO está intensificando las inspecciones en el sector sanitario.
Por qué una brecha en un proveedor de software llega tan lejos
Un proveedor de software (MyDr)
Datos de pacientes de cada centro cliente, en la nube
↓
Copia de seguridad del 12 de abril de 2024
Datos de más de dos años que siguen conteniendo datos de pacientes
↓
Más de 12.000 centros sanitarios
Cada uno, como responsable del tratamiento según el RGPD, informa a la autoridad y notifica a los pacientes
↓
Hasta 18,8 millones de pacientes
PESEL, datos de salud, datos de contacto y más
En Francia, una brecha comunicada en febrero de 2026 expuso datos de unos 15 millones de pacientes a través del software MLM para médicos (la filtración de datos de pacientes de Cegedim Santé). Es el mismo patrón: cuando un único proveedor de software en la nube custodia datos de pacientes de miles de centros, una sola debilidad afecta a todos a la vez.
Dos aspectos son específicos de este caso. Primero, lo copiado fue una copia de seguridad de más de dos años. Segundo, el número de identificación nacional y los datos de salud estaban uno al lado del otro en los mismos registros.
Polonia: PESEL
- Codifica la fecha de nacimiento y el sexo; por regla general, no cambia
- Muy utilizado por los centros sanitarios para identificar a los pacientes
- Por tanto, los historiales médicos y el PESEL están en la misma base de datos
- Como contramedida, el PESEL puede reservarse en un registro nacional
Japón: My Number
- Sus usos están limitados por ley (la Ley del My Number)
- Las comprobaciones del seguro de salud con la tarjeta My Number usan el certificado electrónico del chip de la tarjeta, no el número de 12 dígitos (Ministerio de Sanidad, Trabajo y Bienestar)
- Por tanto, los historiales de las clínicas no están diseñados para contener el My Number
- No existe un equivalente nacional a la reserva de PESEL
Para los lectores de Japón, la lección no termina en "el My Number nunca entra en los historiales de las clínicas, así que estamos a salvo". Los historiales médicos electrónicos en la nube también se usan ampliamente en Japón, y un único proveedor que custodia las listas de pacientes, diagnósticos, recetas y datos de contacto de miles de clínicas tiene la misma estructura que en Polonia.
Si se filtran nombres, fechas de nacimiento, direcciones y diagnósticos, pueden alimentar amenazas relacionadas con la salud y el fraude de identidad incluso sin el My Number. Japón no tiene un equivalente a la reserva de PESEL, por lo que la principal defensa frente a contratos fraudulentos allí es una alerta de fraude con las agencias de crédito (los pasos figuran en nuestro artículo sobre la filtración de Times Car).
Para quienes proporcionan o utilizan software en la nube para centros sanitarios
MyDr no ha revelado cómo se produjo la intrusión, así que esta sección no adivina la causa. Parte del hecho que la empresa ha publicado —que se copió una base de datos de copia de seguridad de abril de 2024— y enumera las comprobaciones que cualquier proveedor puede hacer.
Haz una lista de copias de seguridad e instantáneas
Enumera no solo la base de datos de producción, sino también las copias de seguridad, las copias hechas durante migraciones y las bases de datos clonadas para pruebas: dónde están, cuántas hay y a qué momento corresponde cada una.
Las copias antiguas también contienen datos de pacientes retirados de producción y pacientes de centros que han dejado el servicio. Una copia que no está en la lista no puede protegerse.
Protege las copias de seguridad con el mismo nivel que la producción
Como las copias de seguridad son «solo para restaurar», su protección tiende a ser más laxa que la de producción. Compara estos tres puntos con los de producción:
- El número de cuentas que pueden leerlas (separadas de las cuentas de operaciones de producción)
- Las claves de cifrado (no almacenadas en el mismo lugar que la copia)
- El registro de lecturas y las alertas (¿una lectura masiva genera una notificación?)
Establece también un límite de retención para las copias de seguridad
El período legal de conservación de los historiales médicos y el período necesario para recuperarse de una caída del servicio son cosas distintas. Decide cuántas generaciones necesitas para la recuperación y haz que las generaciones más antiguas se eliminen automáticamente. Guarda los registros exigidos por ley en un almacén separado con acceso más restringido.
Centros que usan este software: haz tres preguntas al proveedor
Según el RGPD, el centro sanitario es el responsable del tratamiento de los datos de los pacientes. La UODO ha recordado a los responsables que, incluso cuando una brecha se produce en un encargado del tratamiento, deben notificarla en un plazo de 72 horas. Antes de firmar y en cada renovación, pregunta:
- ¿Dónde están las copias de seguridad de los datos de nuestros pacientes y cuántos años abarcan?
- Si se produce una brecha, ¿en cuántas horas, a través de qué contacto y con qué información (como una lista de pacientes afectados) se nos informará?
- Si cancelamos, ¿para cuándo se eliminarán nuestros datos, incluidas las copias de seguridad?
Opinión de este sitio: los datos que creías eliminados siguen en las copias de seguridad
Cuando un paciente se traslada a otra clínica o un centro cancela el software, los datos desaparecen de la pantalla. Una copia de seguridad de hace dos años sigue conteniendo a esos pacientes exactamente como estaban. Por eso este incidente se describe como que afecta a «datos históricos hasta abril de 2024».
A medida que la producción se protege mejor, las copias de seguridad siguen siendo el punto más débil. Una lista de copias de seguridad, límites de retención y alertas sobre lecturas masivas son tres medidas que incluso un proveedor pequeño puede empezar a aplicar hoy. La base mínima para las organizaciones se explica en La base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los datos de este artículo proceden de las fuentes públicas que se indican a continuación. No se utilizan las cifras ni las afirmaciones de quienes reivindican la intrusión, ni las causas no reveladas.
- Polonia, Ministerio de Asuntos Digitales, "Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa" (12 de agosto de 2026, en polaco) — gov.pl
- Polonia, Ministerio de Sanidad, "Informacja w związku z incydentem dotyczącym firmy MyDr" (12 de agosto de 2026, en polaco) — gov.pl
- Centro de Salud Electrónica (CeZ), "Działania prewencyjne po incydencie dotyczącym firmy MyDr" (14 de agosto de 2026, en polaco) — cez.gov.pl
- MyDr, "Incydent MyDr" (cronología para centros y explicación del 2 de septiembre, en polaco) — pro.mydr.pl / página de pacientes — pacjent.mydr.pl
- Oficina de Protección de Datos Personales (UODO), "Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym" (12 de agosto de 2026, en polaco) — uodo.gov.pl / "Wyciek danych – co dalej?" — uodo.gov.pl
- Boletín mensual de la UODO, "Podsumowanie miesięcy: lipiec–sierpień 2026 r." (inspección y unas 1.000 notificaciones, en polaco) — nowybiuletyn.uodo.gov.pl
- Gobierno polaco, "Zastrzeż PESEL i zabezpiecz się przed oszustami. Nowe przepisy od 1 czerwca" (en polaco) — gov.pl
- Policía del condado de Świdnica, "Komunikat dotyczący wycieku danych pacjentów z systemu informatycznego" (19 de agosto de 2026, advertencias sobre estafas derivadas y dónde denunciar, en polaco) — policja.gov.pl
- Notes from Poland, "Poland hit by theft of 19 million patients' data from medical platform" (13 de agosto de 2026, informe periodístico) — notesfrompoland.com
- Japón, Ministerio de Sanidad, Trabajo y Bienestar, sobre el uso de la tarjeta My Number como tarjeta del seguro de salud (en japonés) — mhlw.go.jp
Historial de actualizaciones
2026-10-03: Primera versión, basada en declaraciones del Ministerio de Asuntos Digitales, el Ministerio de Sanidad, CeZ y la UODO, y en la cronología de MyDr (hasta el 11 de septiembre). La vía de entrada y la causa no se han revelado; este artículo se actualizará si se revelan.
Lectura recomendada
- El mismo patrón: la filtración de datos de pacientes de Cegedim Santé (software de médicos franceses, unos 15 millones) / Aesto Health (archivo de datos médicos en EE. UU., 9,54 millones)
- Incidentes sanitarios: Filtraciones de datos sanitarios en EE. UU. en 2026 / Hospitales fuera de servicio por ciberataques en 2026
- Estafas derivadas: ¿Qué es el phishing? / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)