Для кого: для всех, кто когда-либо лечился в медицинском учреждении в Польше (включая иностранных резидентов, в прошлом и в настоящее время), а также для тех, кто предоставляет или использует облачное ПО для медицинских учреждений. Статья основана на заявлениях правительства Польши, органа по защите персональных данных и самой MyDr и не описывает методы атак.
Что делать сегодня тем, кто может быть затронут
Проверьте на bezpiecznedane.gov.pl, затронут ли ваш PESEL
Войдите на государственный сайт проверки bezpiecznedane.gov.pl через mObywatel (официальное государственное приложение), Profil Zaufany (государственный электронный вход), электронную ID-карту (e-dowód) или интернет-банкинг. Сайт покажет, связан ли ваш PESEL с этим инцидентом.
По имеющимся сведениям, при большой нагрузке возникает очередь. Введите адрес сами и не открывайте его по ссылкам в письмах или SMS.
Заблокируйте PESEL, независимо от того, есть ли вы в списке
Блокировка PESEL (zastrzeżenie PESEL) — это бесплатная процедура, которая отмечает ваш PESEL как заблокированный в государственном реестре. С 1 июня 2024 года банки, кредиторы, нотариусы, телекоммуникационные операторы, выпускающие дубликаты SIM-карт, и другие организации обязаны проверять этот реестр перед подписанием договора.
По словам государства, если кредит выдан несмотря на блокировку, человек, чьи данные были использованы, не обязан его погашать. В приложении mObywatel выберите «Услуги», а затем «Заблокировать PESEL». Когда вам самим понадобится кредит, вы можете временно снять блокировку в приложении (между изменениями действует ожидание 30 минут).
Если вы не можете пользоваться mObywatel, обратитесь в орган местного самоуправления
Иностранцы, у которых есть PESEL, могут пользоваться той же системой. Если вы не можете войти в приложение или на сайт mObywatel, вы можете заблокировать PESEL в любом органе местного самоуправления (urząd gminy).
В mObywatel также видно, какие компании и учреждения проверяли ваш PESEL. Время от времени просматривайте этот список и смотрите, нет ли проверок, которых вы не узнаёте.
Не отвечайте на сообщения, которые упоминают ваше здоровье и требуют оплаты
Среди данных, которые могли утечь, есть медицинские данные и информация о рецептах. Поэтому вы можете получить сообщение, в котором будет говориться о вашей болезни или лекарствах и требоваться оплата под угрозой рассказать семье или работодателю.
Не отвечайте и не платите. Сохраните скриншоты и сообщения и сообщите в полицию. То, что отправитель знает ваш диагноз, не доказывает, что его утверждения верны, и во всём этом нет вашей вины.
Проверяйте обращения от клиник, NFZ, полиции или банков по номерам, которые нашли сами
Полиция Польши предупреждает о контактах, которые выдают себя за медицинские учреждения, банки или государственные органы (в том числе полицию и Национальный фонд здравоохранения, NFZ) и используют украденные медицинские данные, чтобы выманить дополнительные личные или финансовые сведения.
Даже если обращение кажется настоящим, завершите разговор и перезвоните по номеру с официального сайта. Подозрительные SMS можно переслать на номер 8080, которым управляет CERT Polska (национальная команда реагирования на компьютерные инциденты Польши). О других подозрительных контактах можно сообщить на incydent.cert.pl (см. Что такое фишинг?).
Смените пароли на медицинских порталах и включите двухэтапную аутентификацию
Министерство здравоохранения и полиция рекомендуют менять пароли к медицинским порталам и онлайн-аккаунтам здоровья, не использовать их повторно и включить двухэтапную проверку (многофакторную аутентификацию). Если вы используете такой же пароль, как для аккаунта пациента MyDr, смените и его (Выбор менеджера паролей).
Подробности уточняйте в медицинском учреждении, где вы наблюдались
По GDPR (регламенту ЕС о защите данных) медицинское учреждение является контролёром данных пациентов, а MyDr выступает обработчиком от его имени. Официальные уведомления пациентам поступают от учреждения, где вы наблюдались. MyDr направила учреждениям списки затронутых пациентов и проекты уведомлений, подготовленные по согласованию с органом.
Спросите в учреждении, какие ваши данные были включены. MyDr также открыла отдельный контактный центр по инциденту (см. её страницу для пациентов в списке источников ниже).
Что произошло (по данным правительства, органов и MyDr)
MyDr sp. z o.o., зарегистрированная в Варшаве, предоставляет MyDr EDM, ПО для электронных медицинских карт для врачей и медицинских учреждений. Оно работает с записями на приём, электронными рецептами, больничными листами и направлениями в облаке. Всё ниже приведено по данным Министерства цифровых дел, Министерства здравоохранения, Управления по защите персональных данных (UODO) и MyDr.
10 авг. 2026
MyDr сообщила об инциденте с данными, затронувшем часть её систем, и начала расследование.12 авг.
MyDr подтвердила, что стала целью преднамеренного внешнего преступного акта. Министерство цифровых дел сообщило, что компания подтвердила несанкционированный доступ к историческим данным (до апреля 2024 года), которые могут затронуть до 18,8 млн человек и более 12 000 учреждений. Министерство здравоохранения заявило, что центральные национальные сервисы электронного здравоохранения не были скомпрометированы. UODO решило провести проверку компании.14 авг.
Центр электронного здравоохранения (CeZ) сообщил, что сертификаты, используемые для обмена данными с национальной системой электронных рецептов, не были скомпрометированы, и что в качестве меры предосторожности заменит их совместно с MyDr.24 авг.
MyDr в лице генерального директора принесла извинения и сообщила, что компания уведомит около 18 млн человек, намеренно включая всех, чьи данные находились в затронутой среде.29 авг.
Затронутые номера PESEL были добавлены на сайт bezpiecznedane.gov.pl, где их можно проверить.2 сент.
MyDr сообщила, что были скопированы данные до 12 апреля 2024 года, а также данные отменённых электронных направлений для ограниченного числа людей. По её словам, доказательств публикации данных не найдено.5–11 сент.
Уведомление медицинских учреждений проходило поэтапно: направлялись списки затронутых пациентов, проекты отчётов в орган и проекты уведомлений пациентам.
- Кто
- Пациенты медицинских учреждений, использующих MyDr. В основном исторические данные до 12 апреля 2024 года; для ограниченного числа людей также данные в отменённых электронных направлениях, выданных после этой даты
- Данные
- Имя, адрес, контактные данные, PESEL (национальный идентификационный номер) и медицинские данные, сведения о социальном страховании, данные работодателя (если указаны), другие идентифицирующие данные. Компания говорит, что не каждый пункт относится к каждому пациенту
- Что было скопировано
- Содержимое базы данных, хранящейся в облаке компании. На странице для пациентов описан несанкционированный доступ к резервным базам данных и получение резервной копии от 12 апреля 2024 года
- Публикация
- Компания говорит, что доказательств публикации не найдено, и что наличие данных на bezpiecznedane.gov.pl не означает, что они опубликованы в интернете
- Не затронуто
- Центральные национальные сервисы электронного здравоохранения (Министерство здравоохранения). Доступ к медицинской помощи и рецептам не нарушен. MyDr заявляет, что её системы работают в штатном режиме
- Причина
- Не раскрыта. Центральное бюро по борьбе с киберпреступностью (CBZC) ведёт расследование под надзором прокуратуры
- Органы власти
- UODO проверяет технические и организационные меры компании и то, проверялись ли они регулярно. UODO сообщает, что к концу августа получило около 1 000 уведомлений об утечках
Как это читать: «нет доказательств публикации» не означает «безопасно»
MyDr говорит, что не нашла доказательств публикации данных. Это значит, что пока ничего не обнаружено, но не то, что данные никогда не будут использованы.
PESEL содержит дату рождения и пол и, как правило, не меняется. Не меняется и медицинская история. Планируйте меры предосторожности на годы. Блокировка PESEL действует, пока вы её не снимете.
С августа другие поставщики медицинского ПО и медицинские компании Польши также сообщали о несанкционированном доступе, а UODO, по сообщениям, усиливает проверки в медицинском секторе.
Почему утечка у одного поставщика ПО затрагивает так много людей
Один поставщик ПО (MyDr)
Данные пациентов каждого учреждения-клиента, в облаке
↓
Резервная копия от 12 апреля 2024 года
Данные старше двух лет всё ещё содержат сведения о пациентах
↓
Более 12 000 медицинских учреждений
Каждое, как контролёр по GDPR, сообщает в орган и уведомляет пациентов
↓
До 18,8 млн пациентов
PESEL, медицинские данные, контактные данные и не только
Во Франции утечка, о которой сообщили в феврале 2026 года, раскрыла данные около 15 млн пациентов через ПО для врачей MLM (утечка данных пациентов Cegedim Santé). Схема та же: когда один поставщик облачного ПО хранит данные пациентов тысяч учреждений, одна уязвимость затрагивает их всех сразу.
В этом случае есть два особых обстоятельства. Во-первых, была скопирована резервная копия возрастом более двух лет. Во-вторых, национальный идентификационный номер и медицинские данные находились рядом в одних и тех же записях.
Польша: PESEL
- Содержит дату рождения и пол; как правило, не меняется
- Широко используется медицинскими учреждениями для идентификации пациентов
- Поэтому медицинские записи и PESEL находятся в одной базе данных
- В качестве контрмеры PESEL можно заблокировать в национальном реестре
Япония: My Number
- Сферы использования ограничены законом (Закон о My Number)
- Проверка медицинского страхования с картой My Number использует электронный сертификат на чипе карты, а не 12-значный номер (Министерство здравоохранения, труда и социального обеспечения)
- Поэтому медицинские записи в клиниках не предназначены для хранения My Number
- Национального аналога блокировки PESEL нет
Для читателей из Японии вывод не сводится к «My Number никогда не попадает в медицинские записи клиник, значит, всё в порядке». Облачные электронные медицинские карты также широко используются в Японии, и один поставщик, хранящий списки пациентов, диагнозы, рецепты и контактные данные тысяч клиник, устроен так же, как в Польше.
Если утекут имена, даты рождения, адреса и диагнозы, они могут стать основой для угроз, связанных со здоровьем, и мошенничества с личными данными даже без My Number. В Японии нет аналога блокировки PESEL, поэтому основная защита от мошеннических договоров там — предупреждение о мошенничестве в бюро кредитной истории (шаги описаны в нашей статье об утечке Times Car).
Для тех, кто предоставляет или использует облачное ПО для медицинских учреждений
MyDr не раскрыла, как произошло проникновение, поэтому этот раздел не строит догадок о причине. Он исходит из факта, который опубликовала компания: была скопирована резервная база данных за апрель 2024 года, и перечисляет проверки, которые может провести любой поставщик.
Составьте список резервных копий и снимков
Перечислите не только рабочую базу данных, но и резервные копии, копии, сделанные при миграциях, и базы, клонированные для тестирования: где они находятся, сколько их и на какой момент времени каждая содержит.
Старые резервные копии также содержат данные пациентов, удалённых из рабочей базы, и пациентов учреждений, которые ушли. Копия, которой нет в списке, не может быть защищена.
Защищайте резервные копии на том же уровне, что и рабочие данные
Поскольку резервные копии «используются только для восстановления», их защита, как правило, слабее, чем у рабочих данных. Сравните с рабочими данными три пункта:
- Количество учётных записей, которые могут читать копии (отдельно от учётных записей для эксплуатации рабочих систем)
- Ключи шифрования (хранятся не в том же месте, что и копия)
- Журналирование чтения и оповещения (вызывает ли массовое чтение уведомление?)
Установите срок хранения и для резервных копий
Законный срок хранения медицинских записей и период, нужный для восстановления после сбоя, — разные вещи. Определите, сколько поколений копий нужно для восстановления, и автоматически удаляйте старые поколения. Юридически обязательные записи храните отдельно, с более строгим доступом.
Учреждениям, использующим такое ПО: задайте поставщику три вопроса
По GDPR медицинское учреждение является контролёром данных пациентов. UODO напомнило контролёрам, что даже при утечке у обработчика они обязаны сообщить о ней в течение 72 часов. До подписания и при каждом продлении спросите:
- Где хранятся резервные копии данных наших пациентов и сколько лет они охватывают?
- Если произойдёт утечка, в течение скольких часов, через какой контакт и с какой информацией (например, со списком затронутых пациентов) нам сообщат?
- Если мы расторгнем договор, к какому сроку наши данные, включая резервные копии, будут удалены?
Позиция этого сайта: данные, которые вы считали удалёнными, всё ещё есть в резервных копиях
Когда пациент переходит в другую клинику или учреждение отказывается от ПО, данные исчезают с экрана. Резервная копия двухлетней давности по-прежнему хранит этих пациентов в том виде, в каком они были. Поэтому инцидент описан как затронувший «исторические данные до апреля 2024 года».
По мере того как рабочие системы защищаются лучше, резервные копии остаются слабым местом. Список резервных копий, сроки хранения и оповещения о массовом чтении — три меры, которые может начать применять даже небольшой поставщик уже сегодня. Минимальный базовый уровень для организаций описан в статье Минимальный базовый уровень безопасности для организаций.
Источники (открытые публикации)
Факты в этой статье взяты из открытых источников, приведённых ниже. Цифры и утверждения тех, кто заявляет о взломе, а также нераскрытые причины в статью не включены.
- Польша, Министерство цифровых дел, «Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa» (12 августа 2026, на польском языке) — gov.pl
- Польша, Министерство здравоохранения, «Informacja w związku z incydentem dotyczącym firmy MyDr» (12 августа 2026, на польском языке) — gov.pl
- Центр электронного здравоохранения (CeZ), «Działania prewencyjne po incydencie dotyczącym firmy MyDr» (14 августа 2026, на польском языке) — cez.gov.pl
- MyDr, «Incydent MyDr» (хронология для учреждений и объяснение от 2 сентября, на польском языке) — pro.mydr.pl / страница для пациентов — pacjent.mydr.pl
- Управление по защите персональных данных (UODO), «Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym» (12 августа 2026, на польском языке) — uodo.gov.pl / «Wyciek danych – co dalej?» — uodo.gov.pl
- Ежемесячный бюллетень UODO, «Podsumowanie miesięcy: lipiec–sierpień 2026 r.» (проверка и около 1 000 уведомлений, на польском языке) — nowybiuletyn.uodo.gov.pl
- Правительство Польши, «Zastrzeż PESEL i zabezpiecz się przed oszustami. Nowe przepisy od 1 czerwca» (на польском языке) — gov.pl
- Полиция Свидницкого повята, «Komunikat dotyczący wycieku danych pacjentów z systemu informatycznego» (19 августа 2026, предупреждения о последующем мошенничестве и о том, куда сообщать, на польском языке) — policja.gov.pl
- Notes from Poland, «Poland hit by theft of 19 million patients' data from medical platform» (13 августа 2026, новостной материал) — notesfrompoland.com
- Япония, Министерство здравоохранения, труда и социального обеспечения, об использовании карты My Number в качестве карты медицинского страхования (на японском языке) — mhlw.go.jp
История обновлений
2026-10-03: первая версия, основанная на заявлениях Министерства цифровых дел, Министерства здравоохранения, CeZ и UODO, а также на хронологии MyDr (до 11 сентября). Маршрут проникновения и причина не раскрыты; статья будет обновлена, если они станут известны.
Читайте далее
- Та же схема: утечка данных пациентов Cegedim Santé (ПО для французских врачей, около 15 млн) / Aesto Health (американский архив медицинских данных, 9,54 млн)
- Инциденты в здравоохранении: утечки данных в американском здравоохранении в 2026 году / больницы, выведенные из строя кибератаками в 2026 году
- Последующее мошенничество: Что такое фишинг? / Выбор многофакторной аутентификации
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)