适用对象：曾在波兰医疗机构就诊的任何人（包括外国居民，无论过去或现在），以及提供或使用医疗机构云端软件的任何人。本文基于波兰政府、数据保护机构及MyDr本身的声明，不涉及攻击技术。
可能受影响者今天应该做什么
在bezpiecznedane.gov.pl查询您的PESEL是否涉及其中
使用mObywatel（官方政府应用程序）、Profil Zaufany（政府电子身份登录）、电子身份证（e-dowód）或网上银行，登录政府查询网站bezpiecznedane.gov.pl。该网站会告诉您PESEL是否与此事件相关。
据报道，访问量大时会出现排队。请自行输入网址，不要通过电子邮件或短信中的链接打开。
无论是否在名单上，都办理PESEL遏制
PESEL遏制（zastrzeżenie PESEL）是一项免费程序，可在政府登记册中将您的PESEL标记为已遏制。自2024年6月1日起，银行、贷款机构、公证处、为办理补办SIM卡的电信运营商及其他机构在签订合同前必须查询该登记册。
据政府表示，如果在已遏制的情况下仍发放了贷款，被冒用身份者无需偿还。在mObywatel应用中，选择“服务”，然后选择“办理PESEL遏制”。当您自己需要申请信贷时，可以在应用中临时解除（两次更改之间需等待30分钟）。
如果无法使用mObywatel，请前往市政府办公室
持有PESEL的外国居民可以使用同一系统。如果无法登录mObywatel应用或网站，您可以到任何市政府办公室（urząd gminy）办理PESEL遏制。
mObywatel还会显示哪些公司和机构查询过您的PESEL。请不时查看，留意您不认识的查询记录。
对于提及您的健康状况并要求付款的信息，不予理会
可能泄露的信息包括健康数据和处方信息。因此，您可能会收到一条显示了解您病情或用药情况、要求付款并威胁告知家人或雇主的信息。
请不要回复或付款。保留截图和信息，并向警方举报。知道您的诊断并不能证明发件人的说法属实，这一切也都不是您的错。
使用您自己查找的号码核实来自诊所、NFZ、警方或银行的联系
波兰警方提醒，有人冒充医疗机构、银行或国家机构（包括警方和国家卫生基金NFZ）进行联系，并利用被盗的医疗数据套取更多个人或财务信息。
即使听起来很真实，也请挂断电话，并拨打官方网站上的号码回拨。可疑短信可转发至8080，该号码由波兰国家计算机安全事件响应团队CERT Polska运营；其他可疑联系可在incydent.cert.pl举报（参见什么是网络钓鱼？）。
更改健康门户网站的密码，并开启两步验证
卫生部和警方建议更改医疗门户和在线健康账户的密码，不要重复使用，并开启两步验证（多因素认证）。如果您在其他地方使用与MyDr患者账户相同的密码，也请一并更改（如何选择密码管理器）。
如需详情，请询问您就诊的医疗机构
根据GDPR（欧盟数据保护条例），医疗机构是患者数据的控制者，MyDr则是代其处理数据的处理者。对患者的正式通知来自您就诊的机构。MyDr已向各机构发送受影响患者名单，以及与监管机构协商后拟定的通知草稿。
请向该机构询问您的哪些数据被包括在内。MyDr还为此事件设立了专门的联系点（见下方资料来源中的患者页面）。
事件经过（来自政府、监管机构和MyDr）
MyDr sp. z o.o.总部位于华沙，提供MyDr EDM电子病历软件，供医生和医疗机构使用。该软件在云端处理预约、电子处方、病假证明和转诊。以下内容均依据数字事务部、卫生部、个人数据保护办公室（UODO）和MyDr的说法。
2026年8月10日
MyDr披露部分系统发生数据事件，并开始调查。8月12日
MyDr确认其是一起蓄意外部刑事犯罪行为的目标。数字事务部表示，该公司已确认对历史数据（截至2024年4月）的未经授权访问，可能影响最多1880万人和12,000多家机构。卫生部表示，国家中央电子卫生服务未被入侵。UODO决定对该公司进行检查。8月14日
电子健康中心（CeZ）表示，用于与国家电子处方系统通信的证书未被泄露，并且出于谨慎将与MyDr一起更换这些证书。8月24日
MyDr首席执行官致歉，并表示将通知约1800万人，并出于谨慎特意包括受影响环境中的所有人。8月29日
受影响的PESEL号码已添加至bezpiecznedane.gov.pl，供民众查询。9月2日
MyDr表示，被复制的是2024年4月12日之前的数据，以及少数人已取消电子转诊中的数据。该公司称尚未发现数据被公开发布的证据。9月5–11日
医疗机构分阶段接到通知，包括受影响患者名单、提交监管机构的报告草稿和患者通知草稿。
- 涉及对象
- 使用MyDr的医疗机构患者。主要为2024年4月12日之前的历史数据；对于少数人，还包括该日期之后签发的已取消电子转诊中的数据
- 信息项目
- 姓名、地址、联系方式、PESEL（国民身份识别号码）和健康数据、社会保险信息、雇主信息（如已提供）、其他身份识别数据。该公司称，并非每项信息都适用于每位患者
- 被复制的内容
- 该公司云端数据库的内容。其患者页面描述了对备份数据库的未经授权访问，以及获取了一份日期为2024年4月12日的备份
- 公开发布
- 该公司称尚未发现数据被公开发布的证据，并表示出现在bezpiecznedane.gov.pl上并不意味着数据已在网上公布
- 未受影响的部分
- 国家中央电子卫生服务（卫生部）。就医和处方服务未受影响。MyDr表示其系统运行正常
- 原因
- 未披露。中央网络犯罪局（CBZC）在检察机关监督下进行调查
- 监管机构
- UODO正在检查该公司的技术和组织措施，以及这些措施是否定期测试。UODO表示，截至8月底，其已收到约1,000份泄露通知
如何理解：“未发现公开发布的证据”并不等于“安全”
MyDr表示，尚未发现数据被公开发布的证据。这意味着目前尚未发现，而不是数据永远不会被使用。
PESEL包含您的出生日期和性别，通常不会更改。您的病史同样不会改变。请以年为单位规划防范措施。PESEL遏制将一直有效，直到您自行解除。
自8月以来，波兰的其他医疗软件供应商和医疗公司也披露了未经授权的访问，据报道，UODO正在加强对医疗领域的检查。
为何一家软件供应商的泄露会波及如此之广
一家软件供应商（MyDr）
云端保存每家客户机构的患者数据
↓
2024年4月12日的备份
两年多前的数据仍保存着患者的详细信息
↓
12,000多家医疗机构
每家机构作为GDPR控制者，向监管机构报告并通知患者
↓
最多1880万名患者
PESEL、健康数据、联系方式等
法国也有类似案例：2026年2月披露的一起泄露事件，通过面向医生的MLM软件暴露了约1500万名患者的数据（Cegedim Santé患者数据泄露事件）。模式相同：当一家云端软件供应商为数千家机构保存患者数据时，一处薄弱环节会同时影响所有机构。
本案有两个特殊之处。第一，被复制的是两年多前的备份。第二，国民身份识别号码与健康数据并存于同一记录中。
波兰：PESEL
- 包含出生日期和性别；通常不会更改
- 医疗机构广泛用于识别患者
- 因此病历与PESEL存放于同一数据库
- 作为应对措施，PESEL可在国家登记册中办理遏制
日本：个人编号（My Number）
- 使用范围受法律限制（《个人编号法》）
- 使用My Number卡进行医保核对时，使用的是卡内芯片的电子证书，而非12位编号（厚生劳动省）
- 因此诊所记录的设计并不包含个人编号
- 没有与PESEL遏制对应的全国性制度
对日本读者而言，结论不应止于“个人编号从不进入诊所记录，所以我们没问题”。云端电子病历在日本也广泛使用，而一家供应商保存数千家诊所的患者名单、诊断、处方和联系方式，其结构与波兰的情况相同。
如果姓名、出生日期、地址和诊断信息泄露，即使没有个人编号，也可能被用于与健康相关的威胁和身份诈骗。日本没有与PESEL遏制对应的制度，因此防范欺诈合同的主要手段是在信用信息机构办理欺诈警示（具体步骤见我们关于Times Car泄露事件的文章）。
面向提供或使用医疗机构云端软件的人员
MyDr尚未披露入侵是如何发生的，因此本节不对原因作出推测。它从该公司已公布的事实出发，即2024年4月的备份数据库被复制，并列出任何提供方都可以进行的检查。
列出备份和快照清单
不仅要列出生产数据库，还要列出备份、迁移期间产生的副本，以及为测试而克隆的数据库：它们存放在哪里、数量多少、各自包含哪个时间点的数据。
旧备份也包含已从生产系统移除的患者以及已离开的机构的患者数据。未列入清单的副本无法得到保护。
使备份的保护标准与生产系统相同
由于备份“仅用于恢复”，其保护往往比生产系统宽松。请将以下三点与生产系统进行对比：
- 可以读取备份的账户数量（与生产运营账户分开）
- 加密密钥（不与备份存放在同一位置）
- 读取日志和告警（批量读取是否会触发通知？）
同样为备份设置保留期限
医疗记录的法定保存期限与从故障中恢复所需的时间是两回事。请确定恢复所需的备份代数，并使较旧的备份自动删除。将法定必须保存的记录存放在访问控制更严格的独立存储中。
使用此类软件的机构：向供应商提出三个问题
根据GDPR，医疗机构是患者数据的控制者。UODO已提醒控制者，即使泄露发生在处理者处，也必须在72小时内报告。在签约前以及每次续约时，请询问：
- 我们患者数据的备份存放在哪里，覆盖了多少年？
- 如果发生泄露，将在多少小时内、通过何种联系方式、告知我们哪些信息（例如受影响患者名单）？
- 如果我们终止合作，我们的数据（包括备份）将于何时删除？
本站观点：以为已删除的数据仍存在于备份中
当患者转至其他诊所，或机构取消软件服务时，数据会从屏幕上消失。但两年前的备份仍完整保存着这些患者的信息。这也是本次事件被描述为影响“2024年4月之前历史数据”的原因。
随着生产系统的保护日益完善，备份仍然是较薄弱的环节。备份清单、保留期限限制以及对批量读取的告警，是即使小型供应商也能立即着手的三件事。组织的最低基线保护内容见组织的最低安全基线。
资料来源（公开记录）
本文的事实均来自以下公开资料。声称实施入侵者所提供的数据和说法，以及未披露的原因，均不予采用。
- 波兰数字事务部，《联合网络安全行动中心会议后的通报》（2026年8月12日，波兰语）— gov.pl
- 波兰卫生部，《关于MyDr公司事件的信息》（2026年8月12日，波兰语）— gov.pl
- 电子健康中心（CeZ），《针对MyDr公司事件的预防措施》（2026年8月14日，波兰语）— cez.gov.pl
- MyDr，《MyDr事件》（面向机构的时间线及2026年9月2日的说明，波兰语）— pro.mydr.pl / 患者页面 — pacjent.mydr.pl
- 个人数据保护办公室（UODO），《管理者必须报告在处理者处发生的泄露》（2026年8月12日，波兰语）— uodo.gov.pl /《数据泄露——下一步怎么办？》— uodo.gov.pl
- UODO月度简报，《月度总结：2026年7–8月》（检查情况及约1,000份通知，波兰语）— nowybiuletyn.uodo.gov.pl
- 波兰政府，《办理PESEL遏制，防范诈骗。6月1日起施行的新规定》（波兰语）— gov.pl
- 什未尼察县警察局，《关于信息系统患者数据泄露的通报》（2026年8月19日，关于后续诈骗的警示及举报途径，波兰语）— policja.gov.pl
- Notes from Poland，《波兰一医疗平台1900万患者数据被窃》（2026年8月13日，新闻报道）— notesfrompoland.com
- 日本厚生劳动省，关于将My Number卡用作医保卡的说明（日语）— mhlw.go.jp
更新记录
2026-10-03：首版，基于数字事务部、卫生部、CeZ和UODO的声明，以及MyDr的时间线（截至9月11日）。入侵途径和原因尚未披露；如有披露，本文将予以更新。
延伸阅读
- 同类案例：Cegedim Santé患者数据泄露事件（法国医生软件，约1500万） / Aesto Health（美国医疗数据归档，954万）
- 医疗事件：2026年美国医疗数据泄露事件 / 2026年因网络攻击而瘫痪的医院
- 后续诈骗：什么是网络钓鱼？ / 如何选择多因素认证
- 其他2026年事件：数据泄露和网络攻击列表（日本及全球）