適用對象：曾在波蘭醫療機構就診的任何人（包括外國居民，無論過去或現在），以及提供或使用醫療機構雲端軟體的任何人。本文根據波蘭政府、資料保護主管機關及 MyDr 本身的說法撰寫，不涵蓋攻擊技術。
可能受影響者今天應該做什麼
到 bezpiecznedane.gov.pl 查詢您的 PESEL 是否涉案
使用 mObywatel（官方政府應用程式）、Profil Zaufany（政府電子身分登入）、電子身分證（e-dowód）或網路銀行，登入政府查詢網站 bezpiecznedane.gov.pl。網站會告訴您，您的 PESEL 是否與此事件相關。
據報導，流量大時會出現排隊。請自行輸入網址，不要從電子郵件或簡訊中的連結開啟。
無論是否在名單上，都申請鎖定 PESEL
PESEL 鎖定（zastrzeżenie PESEL）是一項免費程序，可在政府登記冊中將您的 PESEL 標示為已鎖定。自 2024 年 6 月 1 日起，銀行、貸款機構、公證人、發行重製 SIM 卡的電信業者及其他機構，在簽約前必須查詢此登記冊。
根據政府說法，若儘管已鎖定仍核准貸款，被冒用身分者無須償還。在 mObywatel 應用程式中，選擇「服務」，再選擇「鎖定 PESEL」。當您本人需要申請信貸時，可在應用程式中暫時解除鎖定（每次變更之間需等待 30 分鐘）。
若無法使用 mObywatel，請到市政府辦公處辦理
持有 PESEL 的外國人可以使用同一套系統。若您無法登入 mObywatel 應用程式或網站，可以到任何市政府辦公處（urząd gminy）申請鎖定 PESEL。
mObywatel 也會顯示哪些公司及機構查詢過您的 PESEL。請不時查看，留意您不認得的查詢紀錄。
若有訊息提及您的健康狀況並要求付款，請勿回應
可能外洩的項目包括健康資料與處方資訊。因此，您可能會收到一則訊息，顯示對方知道您的病情或用藥，並要求付款，威脅將告知您的家人或雇主。
請勿回覆或付款。保留截圖與訊息，並向警方檢舉。知道您的診斷結果，並不能證明寄件者的說法屬實，這一切都不是您的錯。
以自行查詢的電話號碼，核實來自診所、NFZ、警方或銀行的聯繫
波蘭警方警告，有人冒充醫療機構、銀行或政府機關（包括警方及國家健康基金 NFZ），並利用被竊取的醫療資料，套取更多個人或財務資訊。
即使對方聽起來很可信，也請掛斷，並撥打官方網站上的電話回撥。可疑簡訊可轉寄至 8080，該號碼由 CERT Polska（波蘭國家電腦安全事件應變小組）營運；其他可疑聯繫可於 incydent.cert.pl 檢舉（參見 什麼是網路釣魚？）。
更改健康入口網站的密碼，並開啟兩步驟驗證
衛生部與警方建議，更改醫療入口網站及線上健康帳戶的密碼，不要重複使用，並開啟兩步驟驗證（多因素驗證）。若您在其他地方使用與 MyDr 病患帳戶相同的密碼，也請一併更改（如何選擇密碼管理工具）。
詳情請向您就診的醫療機構詢問
根據 GDPR（歐盟資料保護規範），醫療機構是病患資料的控制者，MyDr 則是代其處理資料的處理者。對病患的正式通知來自您就診的機構。MyDr 已向各機構寄送受影響病患名單，以及與主管機關協商後擬定的通知草稿。
請向該機構詢問您的哪些資料被納入。MyDr 也針對此事件設立了專門的聯絡窗口（見下方來源中的病患頁面）。
發生了什麼事（來自政府、主管機關與 MyDr）
MyDr sp. z o.o. 總部位於華沙，提供 MyDr EDM 電子病歷軟體，供醫師與醫療機構使用。該軟體在雲端處理預約、電子處方、病假證明與轉診。以下所有內容皆依波蘭數位事務部、衛生部、個人資料保護局（UODO）及 MyDr 的說法整理。
2026 年 8 月 10 日
MyDr 揭露部分系統發生資料事件，並開始調查。8 月 12 日
MyDr 確認其為蓄意外部犯罪行為的目標。數位事務部表示，該公司已確認對歷史資料（至 2024 年 4 月）的未經授權存取，可能影響最多 1,880 萬人及逾 12,000 家機構。衛生部表示，全國中央電子健康服務未受波及。UODO 決定對該公司進行檢查。8 月 14 日
電子健康中心（CeZ）表示，用於與全國電子處方系統通訊的憑證未受損害，並將基於預防考量，與 MyDr 一同更換這些憑證。8 月 24 日
MyDr 執行長道歉，並表示該公司將通知約 1,800 萬人，刻意包括受影響環境中所有人的資料。8 月 29 日
受影響的 PESEL 號碼已加入 bezpiecznedane.gov.pl，民眾可在該網站查詢。9 月 2 日
MyDr 表示，被複製的是 2024 年 4 月 12 日之前的資料，另有少數人已取消之電子轉診的資料。該公司表示未發現資料已公開的證據。9 月 5–11 日
對醫療機構的通知分階段進行，包括受影響病患名單、提交主管機關的報告草稿及病患通知草稿。
- 對象
- 使用 MyDr 的醫療機構病患。主要為2024 年 4 月 12 日之前的歷史資料；對少數人而言，還包括該日期之後開立之已取消電子轉診中的資料
- 項目
- 姓名、地址、聯絡方式、PESEL（國民身分識別號碼）與健康資料、社會保險資訊、雇主資訊（如有提供）及其他識別資料。該公司表示，並非每位病患都涉及所有項目
- 被複製的內容
- 該公司雲端中一個資料庫的內容。其病患頁面描述為對備份資料庫的未經授權存取，以及取得一份 2024 年 4 月 12 日的備份
- 公開情況
- 該公司表示未發現資料已公開的證據，並表示資料出現在 bezpiecznedane.gov.pl 上，並不代表資料已在網路上公開
- 未受影響
- 全國中央電子健康服務（衛生部）。就醫與處方取得不受影響。MyDr 表示其系統運作正常
- 成因
- 未揭露。中央網路犯罪局（CBZC）在檢察監督下進行調查
- 主管機關
- UODO 正在檢查該公司的技術與組織措施，以及這些措施是否定期測試。UODO 表示，截至 8 月底已收到約 1,000 件外洩通報
如何理解：「未發現公開證據」不等於「安全」
MyDr 表示，未發現資料已公開的證據。這代表目前尚未發現，並不代表資料永遠不會被使用。
PESEL 包含您的出生日期與性別，原則上不會改變。您的病史也不會改變。請以年為單位規劃防範措施。PESEL 鎖定會持續有效，直到您自行解除為止。
自 8 月以來，波蘭其他醫療軟體廠商與醫療公司也陸續揭露未經授權存取事件，據報導 UODO 正加強對醫療保健產業的檢查。
為何一家軟體廠商的外洩會擴散這麼廣
一家軟體廠商（MyDr）
每家客戶機構的病患資料，存放於雲端
↓
2024 年 4 月 12 日的備份
已超過兩年的資料仍保存病患的詳細資訊
↓
逾 12,000 家醫療機構
各機構作為 GDPR 的控制者，向主管機關通報並通知病患
↓
最多 1,880 萬名病患
PESEL、健康資料、聯絡資訊等
在法國，2026 年 2 月揭露的一起外洩事件，透過醫師使用的 MLM 軟體使約 1,500 萬名病患的資料曝光（Cegedim Santé 病患資料外洩事件）。模式相同：當一家雲端軟體廠商為數千家機構保存病患資料，一個弱點就會同時影響所有機構。
本案有兩點特別之處。第一，被複製的是一份已超過兩年的備份。第二，國民身分識別號碼與健康資料並存於同一份紀錄中。
波蘭：PESEL
- 包含出生日期與性別；原則上不會改變
- 醫療機構廣泛用於識別病患
- 因此病歷與 PESEL 位於同一個資料庫
- 作為防範措施，PESEL 可在全國登記冊中申請鎖定
日本：My Number
- 使用範圍依法受到限制（My Number 法）
- 使用 My Number 卡進行健康保險查詢時，採用卡片晶片的電子憑證，而非 12 位數號碼（厚生勞動省）
- 因此診所病歷並非設計為包含 My Number
- 沒有與 PESEL 鎖定對等的全國制度
對日本讀者而言，此事的教訓不止於「My Number 從未進入診所病歷，所以我們沒事」。雲端電子病歷在日本也廣泛使用，而一家廠商保存數千家診所的病患名單、診斷、處方與聯絡資訊，其結構與波蘭相同。
若姓名、出生日期、地址與診斷外洩，即使沒有 My Number，仍可能被用於與健康相關的威脅與身分詐欺。日本沒有與 PESEL 鎖定對等的制度，因此對抗當地詐欺性契約的主要防禦，是與信用資訊機構設定詐欺警示（步驟請見我們關於 Times Car 外洩事件的文章）。
提供或使用醫療機構雲端軟體者應注意的事項
MyDr 尚未揭露入侵的經過，因此本節不推測成因。它從該公司已公布的事實出發——一份 2024 年 4 月的備份資料庫被複製——並列出任何供應商都可以檢查的項目。
列出所有備份與快照
不僅要列出正式環境資料庫，也要列出備份、遷移時建立的副本，以及為測試而複製的資料庫：它們位於何處、數量多少，以及各自包含哪個時間點的資料。
舊備份也包含已從正式環境移除之病患，以及已離開之機構的病患資料。不在清單上的副本，就無法受到保護。
以與正式環境相同的標準保護備份
由於備份通常「只用於還原」，其保護往往比正式環境寬鬆。請對照正式環境，檢查以下三點：
- 可讀取備份的帳號數量（應與正式作業帳號分開）
- 加密金鑰（不應與備份存放在同一處）
- 讀取紀錄與警示（大量讀取是否會觸發通知？）
同樣為備份設定保存期限
醫療紀錄的法定保存期限，與故障復原所需的期間並不相同。請決定復原所需的世代數，並讓較舊的世代自動刪除。法定必須保存的紀錄，應存放在另一個存取權限較嚴格的儲存區。
使用此類軟體的機構：向廠商詢問三個問題
根據 GDPR，醫療機構是病患資料的控制者。UODO 已提醒，即使外洩發生在處理者端，控制者仍須在 72 小時內通報。在簽約前及每次續約時，請詢問：
- 我們病患資料的備份存放在何處？涵蓋幾年的資料？
- 若發生外洩，我們將在幾小時內、透過哪個管道、以何種資訊（例如受影響病患名單）獲得通知？
- 若我們終止合約，我們的資料（包括備份）將於何時刪除？
本站觀點：以為已刪除的資料仍保留在備份中
當病患轉往其他診所，或機構終止軟體合約時，資料會從畫面上消失。但兩年前的備份仍完整保存著這些病患的資料。這正是本事件被描述為「涉及 2024 年 4 月之前歷史資料」的原因。
隨著正式環境的防護越來越好，備份仍是較薄弱的環節。備份清單、保存期限與大量讀取警示，是即使是小型廠商今天就能開始做的三件事。組織的最低安全基準，請見組織的最低安全基準。
來源（公開紀錄）
本文的事實來自以下公開來源。聲稱入侵者的數據與說法，以及尚未揭露的成因，均不採用。
- 波蘭數位事務部，《Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa》（2026 年 8 月 12 日，波蘭文）— gov.pl
- 波蘭衛生部，《Informacja w związku z incydentem dotyczącym firmy MyDr》（2026 年 8 月 12 日，波蘭文）— gov.pl
- 電子健康中心（CeZ），《Działania prewencyjne po incydencie dotyczącym firmy MyDr》（2026 年 8 月 14 日，波蘭文）— cez.gov.pl
- MyDr，《Incydent MyDr》（給機構的時間線及 9 月 2 日的說明，波蘭文）— pro.mydr.pl / 病患頁面 — pacjent.mydr.pl
- 個人資料保護局（UODO），《Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym》（2026 年 8 月 12 日，波蘭文）— uodo.gov.pl /《Wyciek danych – co dalej?》— uodo.gov.pl
- UODO 月刊電子報，《Podsumowanie miesięcy: lipiec–sierpień 2026 r.》（檢查及約 1,000 件通報，波蘭文）— nowybiuletyn.uodo.gov.pl
- 波蘭政府，《Zastrzeż PESEL i zabezpiecz się przed oszustami. Nowe przepisy od 1 czerwca》（波蘭文）— gov.pl
- 什未尼察郡警察局，《Komunikat dotyczący wycieku danych pacjentów z systemu informatycznego》（2026 年 8 月 19 日，關於後續詐騙的警告及檢舉管道，波蘭文）— policja.gov.pl
- Notes from Poland，《Poland hit by theft of 19 million patients' data from medical platform》（2026 年 8 月 13 日，新聞報導）— notesfrompoland.com
- 日本厚生勞動省，關於將 My Number 卡作為健康保險卡使用（日文）— mhlw.go.jp
更新紀錄
2026-10-03：首次發布，依據數位事務部、衛生部、CeZ 與 UODO 的說法，以及 MyDr 的時間線（截至 9 月 11 日）。入侵途徑與成因尚未揭露；若日後揭露，本文將予以更新。
延伸閱讀
- 相同模式：Cegedim Santé 病患資料外洩事件（法國醫師軟體，約 1,500 萬人） / Aesto Health（美國醫療資料歸檔，954 萬人）
- 醫療保健事件：2026 年美國醫療資料外洩事件 / 2026 年因網路攻擊而癱瘓的醫院
- 後續詐騙：什麼是網路釣魚？ / 如何選擇多因素驗證
- 其他 2026 年事件：外洩與網路攻擊事件一覽（日本與全球）