Para: qualquer pessoa que tenha sido atendida em um estabelecimento de saúde na Polônia (incluindo estrangeiros residentes, atuais e antigos), e quem fornece ou usa software em nuvem para estabelecimentos de saúde. Este artigo se baseia em declarações do governo polonês, da autoridade de proteção de dados e da própria MyDr, e não aborda técnicas de ataque.
O que as pessoas que podem ser afetadas devem fazer hoje
Verifique em bezpiecznedane.gov.pl se seu PESEL está envolvido
Acesse o site oficial de consulta bezpiecznedane.gov.pl com o mObywatel (o aplicativo oficial do governo), Profil Zaufany (o login de identidade eletrônica do governo), uma carteira de identidade eletrônica (e-dowód) ou internet banking. O site informa se o seu PESEL está vinculado a este incidente.
Segundo consta, há fila quando o tráfego está intenso. Digite o endereço você mesmo e não o abra a partir de links em e-mails ou mensagens de texto.
Reserve seu PESEL, esteja ou não na lista
A reserva de PESEL (zastrzeżenie PESEL) é um procedimento gratuito que marca o seu PESEL como reservado em um registro do governo. Desde 1º de junho de 2024, bancos, instituições de crédito, tabeliães, operadoras de telefonia que emitem chips duplicados e outros devem consultar esse registro antes de assinar um contrato.
Segundo o governo, se um empréstimo for concedido apesar da reserva, a pessoa cuja identidade foi usada não precisa pagá-lo. No aplicativo mObywatel, escolha "Serviços" e depois "Reservar PESEL". Quando você precisar de crédito, pode suspender a reserva temporariamente no aplicativo (há uma espera de 30 minutos entre as alterações).
Se não puder usar o mObywatel, vá a uma prefeitura municipal
Estrangeiros que têm PESEL podem usar o mesmo sistema. Se não conseguir entrar no aplicativo ou no site do mObywatel, você pode reservar seu PESEL em qualquer urząd gminy (prefeitura municipal).
O mObywatel também mostra quais empresas e instituições consultaram o seu PESEL. Verifique de tempos em tempos se há consultas que você não reconhece.
Não responda a mensagens que mencionem sua saúde e exijam pagamento
Os itens que podem ter vazado incluem dados de saúde e informações de receitas. Por isso, você pode receber uma mensagem que demonstra conhecer sua doença ou medicamento e exige pagamento, ameaçando contar à sua família ou ao seu empregador.
Não responda nem pague. Guarde capturas de tela e as mensagens, e denuncie à polícia. Conhecer o seu diagnóstico não prova que as alegações do remetente são verdadeiras, e nada disso é culpa sua.
Confirme contatos de clínicas, NFZ, polícia ou bancos ligando para números que você mesmo procurou
A polícia polonesa alerta sobre contatos que se passam por estabelecimentos de saúde, bancos ou instituições estatais (incluindo a polícia e o Fundo Nacional de Saúde, NFZ) e usam dados médicos roubados para obter mais informações pessoais ou financeiras.
Mesmo que pareça legítimo, desligue e ligue de volta para um número do site oficial. Mensagens de texto suspeitas podem ser encaminhadas para o 8080, operado pela CERT Polska (equipe nacional polonesa de resposta a incidentes de segurança informática), e outros contatos suspeitos podem ser denunciados em incydent.cert.pl (veja O que é phishing?).
Troque as senhas de portais de saúde e ative a verificação em duas etapas
O Ministério da Saúde e a polícia recomendam trocar as senhas de portais médicos e contas de saúde online, não reutilizá-las e ativar a verificação em duas etapas (autenticação multifator). Se você usa a mesma senha em outro lugar que na conta de paciente da MyDr, troque essas também (Como escolher um gerenciador de senhas).
Para mais detalhes, pergunte ao estabelecimento de saúde que você visitou
Pelo GDPR (o regulamento de proteção de dados da UE), o estabelecimento de saúde é o controlador dos dados de pacientes, e a MyDr é a operadora que atua em seu nome. Os comunicados oficiais aos pacientes vêm do estabelecimento que você visitou. A MyDr enviou aos estabelecimentos listas de pacientes afetados e modelos de comunicados preparados em consulta com a autoridade.
Pergunte a esse estabelecimento quais dos seus dados foram incluídos. A MyDr também criou um canal de contato específico para o incidente (veja a página de pacientes nas fontes abaixo).
O que aconteceu (segundo o governo, as autoridades e a MyDr)
A MyDr sp. z o.o., com sede em Varsóvia, fornece o MyDr EDM, software de prontuário eletrônico para médicos e estabelecimentos de saúde. Ele gerencia consultas, receitas eletrônicas, atestados de afastamento e encaminhamentos na nuvem. Tudo o que está abaixo é o que foi declarado pelo Ministério de Assuntos Digitais, pelo Ministério da Saúde, pelo Escritório de Proteção de Dados Pessoais (UODO) e pela MyDr.
10 ago 2026
A MyDr divulgou um incidente de dados que afetou parte de seus sistemas e iniciou a investigação.12 ago
A MyDr confirmou ter sido alvo de um ato criminoso externo deliberado. O Ministério de Assuntos Digitais afirmou que a empresa confirmou acesso não autorizado a dados históricos (até abril de 2024), podendo afetar até 18,8 milhões de pessoas e mais de 12.000 estabelecimentos. O Ministério da Saúde afirmou que os serviços nacionais centrais de e-saúde não foram comprometidos. O UODO decidiu fiscalizar a empresa.14 ago
O Centro de e-Saúde (CeZ) disse que os certificados usados para comunicação com o sistema nacional de receitas eletrônicas não foram comprometidos e que os substituiria, por precaução, em conjunto com a MyDr.24 ago
O diretor-executivo da MyDr pediu desculpas e disse que a empresa notificaria cerca de 18 milhões de pessoas, incluindo deliberadamente todos cujos dados estavam no ambiente afetado.29 ago
Os números PESEL afetados foram incluídos em bezpiecznedane.gov.pl, onde as pessoas podem verificá-los.2 set
A MyDr disse que o copiado eram dados anteriores a 12 de abril de 2024, além de dados de encaminhamentos eletrônicos cancelados de um número limitado de pessoas. Disse não ter encontrado nenhuma evidência de publicação.5–11 set
A notificação dos estabelecimentos de saúde ocorreu em etapas, com listas de pacientes afetados, rascunhos de relatórios à autoridade e rascunhos de comunicados aos pacientes.
- Quem
- Pacientes de estabelecimentos de saúde que usam a MyDr. Principalmente dados históricos anteriores a 12 de abril de 2024; para um número limitado de pessoas, também dados em encaminhamentos eletrônicos cancelados emitidos após essa data
- Itens
- Nome, endereço, dados de contato, PESEL (número nacional de identificação) e dados de saúde, informações de seguridade social, dados do empregador (quando fornecidos) e outros dados de identificação. A empresa afirma que nem todos os itens se aplicam a todos os pacientes
- O que foi copiado
- O conteúdo de um banco de dados armazenado na nuvem da empresa. A página de pacientes descreve acesso não autorizado a bancos de dados de backup e a obtenção de um backup datado de 12 de abril de 2024
- Publicação
- A empresa afirma que não encontrou evidências de publicação e que constar em bezpiecznedane.gov.pl não significa que os dados foram publicados na internet
- Não afetados
- Serviços nacionais centrais de e-saúde (Ministério da Saúde). O acesso a atendimentos e receitas não foi afetado. A MyDr afirma que seus sistemas operam normalmente
- Causa
- Não divulgada. O Centro Central de Combate ao Cibercrime (CBZC) investiga sob supervisão da promotoria
- Autoridades
- O UODO fiscaliza as medidas técnicas e organizacionais da empresa e se foram testadas regularmente. O UODO informa ter recebido cerca de 1.000 notificações de violação até o fim de agosto
Como ler: 'nenhuma evidência de publicação' não significa 'seguro'
A MyDr afirma não ter encontrado evidências de que os dados foram publicados. Isso significa que, até agora, nada foi encontrado, e não que os dados nunca serão usados.
O PESEL codifica sua data de nascimento e seu sexo e, em regra, não muda. O mesmo vale para o seu histórico médico. Planeje suas precauções em anos. A reserva de PESEL permanece até que você a suspenda.
Desde agosto, outros fornecedores de software médico e empresas de saúde na Polônia também divulgaram acessos não autorizados, e, segundo relatos, o UODO está intensificando as fiscalizações no setor de saúde.
Por que a violação em um único fornecedor de software se espalha tanto
Um fornecedor de software (MyDr)
Dados de pacientes de cada estabelecimento cliente, na nuvem
↓
Backup datado de 12 de abril de 2024
Dados com mais de dois anos ainda contêm os dados dos pacientes
↓
12.000+ estabelecimentos de saúde
Cada um, como controlador pelo GDPR, comunica à autoridade e notifica os pacientes
↓
Até 18,8 milhões de pacientes
PESEL, dados de saúde, contatos e mais
Na França, uma violação divulgada em fevereiro de 2026 expôs dados de cerca de 15 milhões de pacientes por meio do software MLM para médicos (o vazamento de dados de pacientes da Cegedim Santé). É o mesmo padrão: quando um único fornecedor de software em nuvem guarda dados de pacientes de milhares de estabelecimentos, uma única fragilidade afeta todos de uma vez.
Duas coisas são específicas deste caso. Primeiro, o que foi copiado foi um backup com mais de dois anos. Segundo, o número de identificação nacional e os dados de saúde estavam lado a lado nos mesmos registros.
Polônia: PESEL
- Codifica data de nascimento e sexo; em regra, não muda
- Amplamente usado por estabelecimentos de saúde para identificar pacientes
- Por isso, prontuários e PESEL ficam no mesmo banco de dados
- Como contramedida, o PESEL pode ser reservado em um registro nacional
Japão: My Number
- O uso é limitado por lei (a Lei do My Number)
- As verificações do seguro-saúde com o cartão My Number usam o certificado eletrônico do chip do cartão, e não o número de 12 dígitos (Ministério da Saúde, Trabalho e Bem-Estar)
- Por isso, os prontuários de clínicas não são feitos para conter o My Number
- Não existe equivalente nacional à reserva de PESEL
Para leitores no Japão, a lição não termina em "o My Number nunca entra nos prontuários de clínicas, então estamos seguros". Os prontuários eletrônicos em nuvem também são amplamente usados no Japão, e um fornecedor que guarda as listas de pacientes, diagnósticos, receitas e dados de contato de milhares de clínicas tem a mesma estrutura da Polônia.
Se nomes, datas de nascimento, endereços e diagnósticos vazarem, eles podem alimentar ameaças relacionadas à saúde e fraudes de identidade mesmo sem o My Number. O Japão não tem equivalente à reserva de PESEL, então a principal defesa contra contratos fraudulentos ali é um alerta de fraude junto às agências de crédito (os passos estão em nosso artigo sobre a violação da Times Car).
Para quem fornece ou usa software em nuvem para estabelecimentos de saúde
A MyDr não divulgou como a invasão aconteceu, então esta seção não especula sobre a causa. Ela parte do fato que a empresa tornou público — que um banco de dados de backup de abril de 2024 foi copiado — e lista verificações que qualquer fornecedor pode fazer.
Faça uma lista de backups e snapshots
Liste não só o banco de dados de produção, mas também backups, cópias feitas durante migrações e bancos clonados para testes: onde estão, quantos são e a que momento cada um corresponde.
Backups antigos também contêm dados de pacientes removidos da produção e de pacientes de estabelecimentos que deixaram o serviço. Uma cópia que não está na lista não pode ser protegida.
Proteja os backups no mesmo padrão da produção
Como os backups são "usados apenas para restauração", sua proteção tende a ser mais frouxa que a da produção. Compare estes três pontos com a produção:
- O número de contas que podem lê-los (separadas das contas de operação da produção)
- As chaves de criptografia (não armazenadas no mesmo lugar que o backup)
- O registro de leituras e alertas (uma leitura em massa dispara uma notificação?)
Defina um limite de retenção também para os backups
O prazo legal de retenção de prontuários e o período necessário para recuperar-se de uma interrupção são coisas diferentes. Decida quantas gerações você precisa para recuperação e faça com que as gerações mais antigas sejam excluídas automaticamente. Mantenha os registros exigidos por lei em um armazenamento separado, com acesso mais restrito.
Estabelecimentos que usam esse software: façam três perguntas ao fornecedor
Pelo GDPR, o estabelecimento de saúde é o controlador dos dados de pacientes. O UODO lembrou que, mesmo quando uma violação ocorre em um operador, os controladores devem comunicá-la em até 72 horas. Antes de assinar e em cada renovação, pergunte:
- Onde estão os backups dos dados dos nossos pacientes e quantos anos eles cobrem?
- Se houver uma violação, em quantas horas, por qual contato e com quais informações (como uma lista de pacientes afetados) seremos avisados?
- Se cancelarmos, até quando nossos dados, inclusive os backups, serão excluídos?
Visão deste site: dados que você achava excluídos continuam nos backups
Quando um paciente muda para outra clínica ou um estabelecimento cancela o software, os dados desaparecem da tela. Um backup de dois anos atrás ainda guarda esses pacientes exatamente como estavam. É por isso que este incidente é descrito como afetando "dados históricos até abril de 2024".
À medida que a produção fica mais protegida, os backups continuam sendo o ponto mais fraco. Uma lista de backups, limites de retenção e alertas para leituras em massa são três medidas que até um pequeno fornecedor pode começar a aplicar hoje. A base mínima para organizações está em A linha de base mínima de segurança para organizações.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Números e alegações de quem reivindica a invasão, e causas não divulgadas, não são utilizados.
- Polônia, Ministério de Assuntos Digitais, "Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa" (12 de agosto de 2026, em polonês) — gov.pl
- Polônia, Ministério da Saúde, "Informacja w związku z incydentem dotyczącym firmy MyDr" (12 de agosto de 2026, em polonês) — gov.pl
- Centro de e-Saúde (CeZ), "Działania prewencyjne po incydencie dotyczącym firmy MyDr" (14 de agosto de 2026, em polonês) — cez.gov.pl
- MyDr, "Incydent MyDr" (cronologia para estabelecimentos e explicação de 2 de setembro, em polonês) — pro.mydr.pl / página de pacientes — pacjent.mydr.pl
- Escritório de Proteção de Dados Pessoais (UODO), "Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym" (12 de agosto de 2026, em polonês) — uodo.gov.pl / "Wyciek danych – co dalej?" — uodo.gov.pl
- Boletim mensal do UODO, "Podsumowanie miesięcy: lipiec–sierpień 2026 r." (fiscalização e cerca de 1.000 notificações, em polonês) — nowybiuletyn.uodo.gov.pl
- Governo polonês, "Zastrzeż PESEL i zabezpiecz się przed oszustami. Nowe przepisy od 1 czerwca" (em polonês) — gov.pl
- Polícia do Condado de Świdnica, "Komunikat dotyczący wycieku danych pacjentów z systemu informatycznego" (19 de agosto de 2026, alertas sobre golpes derivados e onde denunciar, em polonês) — policja.gov.pl
- Notes from Poland, "Poland hit by theft of 19 million patients' data from medical platform" (13 de agosto de 2026, reportagem) — notesfrompoland.com
- Japão, Ministério da Saúde, Trabalho e Bem-Estar, sobre o uso do cartão My Number como cartão do seguro-saúde (em japonês) — mhlw.go.jp
Histórico de atualizações
2026-10-03: Primeira versão, com base em declarações do Ministério de Assuntos Digitais, do Ministério da Saúde, do CeZ e do UODO, e na cronologia da MyDr (até 11 de setembro). A forma de entrada e a causa não foram divulgadas; este artigo será atualizado se forem.
Leia a seguir
- O mesmo padrão: o vazamento de dados de pacientes da Cegedim Santé (software de médicos franceses, cerca de 15 milhões) / Aesto Health (arquivamento de dados médicos nos EUA, 9,54 milhões)
- Incidentes na saúde: violações de dados de saúde nos EUA em 2026 / Hospitais fora do ar por ciberataques em 2026
- Golpes derivados: O que é phishing? / Como escolher a autenticação multifator
- Outros incidentes de 2026: lista de violações e ciberataques (Japão e no mundo)