Lekcja MyDr dla samorządów: jeden dostawca, 12 tysięcy placówek

12 sierpnia 2026 r., po pilnym posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, wicepremier i minister cyfryzacji poinformował o wycieku danych sięgającym blisko 19 milionów obywateli (pisemny komunikat resortu mówi o 18,8 mln osób i danych historycznych do kwietnia 2024 r.) - z systemów firmy MyDr, jednego z największych dostawców oprogramowania do elektronicznej dokumentacji medycznej. Wykradziona baza ma ponad 2 TB: recepty, wizyty, leki, dokumenty przedstawiane lekarzom. Z systemu korzystało około 12 tysięcy placówek. Sprawa jest w toku; poniżej trzy wnioski dla samorządów.

To drugi atak na ten sam system w dwa lata

Prokuratura Regionalna w Poznaniu od 2024 r. prowadziła śledztwo dotyczące wcześniejszego ataku z wykorzystaniem platformy MyDr: odzyskano w nim bazę z danymi ponad 13 mln osób, a na początku października 2026 r. prokuratura skierowała do Sądu Okręgowego w Poznaniu akt oskarżenia przeciwko pięciu osobom. Opisany mechanizm tamtego ataku jest dla samorządu pouczający: sprawcy uzyskali nieuprawniony dostęp do kont pracowników podmiotów medycznych korzystających z platformy, a następnie zaimplementowali skrypt kierujący masowe zapytania do systemu weryfikacji ubezpieczenia. Nie było to włamanie do serwerowni - był to login i hasło pracownika.

Dwa incydenty w dwa lata u tego samego dostawcy zmieniają charakter rozmowy: to nie jest pytanie o pech, tylko o cykliczną weryfikację dostawcy i o to, kto w gminie sprawdza, czy jej jednostki nadal korzystają z systemu, w którym już raz doszło do naruszenia. Posłowie zapowiadają w tej sprawie wniosek o nadzwyczajne posiedzenie sejmowej Komisji Cyfryzacji i postulują obowiązkowe, cykliczne audyty w firmach gromadzących dane obywateli.

Lekcja 1: problem dotyczy także jednostek organizacyjnych JST

Systemy gabinetowe klasy MyDr to codzienność przychodni, w tym podmiotów leczniczych prowadzonych przez gminy i powiaty. Ma to skutek prawny: UODO wskazał, że dostawca oprogramowania występuje tu jako podmiot przetwarzający, a administratorami pozostają poszczególne placówki - to na nich spoczywa obowiązek zawiadomienia osób, których dane dotyczą. Jeżeli gmina prowadzi przychodnię, obowiązek spoczywa na jej jednostce. Myśląc o cyberbezpieczeństwie samorządu, zwykle widzimy urząd, a powierzchnia ataku obejmuje też SPZOZ-y, szkoły, ośrodki pomocy społecznej i spółki komunalne. Dlatego zakres LCC w dokumentacji naboru obejmuje jednostki obsługiwane, a nie tylko urzędy: ewidencja sprzętu i oprogramowania, aktualność systemów, zarządzanie uprawnieniami, kopie zapasowe, bezpieczeństwo poczty i komunikacji, reagowanie na incydenty oraz stałe szkolenia - te siedem zadań dotyczy całego ekosystemu jednostek.

Lekcja 2: łańcuch dostaw oprogramowania to pojedynczy punkt awarii

Jeden dostawca, kilkanaście tysięcy placówek - to podręcznikowe ryzyko łańcucha dostaw. Pojedyncza gmina nie ma narzędzi, by weryfikować dostawców systemów, z których korzystają jej jednostki. Wspólne centrum ma: może prowadzić jedną ewidencję używanego oprogramowania, jedną listę wymagań umownych wobec dostawców (kopie, szyfrowanie, testy, obowiązek zgłaszania incydentów) i jeden punkt reagowania, gdy dostawca zawiedzie. To argument za konsolidacją: wspólne centrum zwiększa szansę, że problem zostanie zauważony wcześnie.

Lekcja 3: korzystaj z narzędzi udostępnianych przez państwo

Pod koniec sierpnia 2026 r. dane z incydentu MyDr trafiły do rządowego serwisu bezpiecznedane.gov.pl: po zalogowaniu można sprawdzić, czy numer PESEL znalazł się w wycieku. Informacji o rodzaju danych udziela administrator, czyli placówka medyczna. Niezależnie od wyniku numer PESEL można zastrzec w mObywatelu. Sekretarz gminy może dziś zrobić dwie proste rzeczy: przekazać tę informację pracownikom i mieszkańcom oraz zainicjować przegląd, z jakich systemów zewnętrznych korzystają jednostki organizacyjne - i co ich umowy mówią o bezpieczeństwie danych.

Co z tego wynika dla wniosku LCC

• Wpiszcie jednostki organizacyjne do zakresu obsługi centrum świadomie - z listą systemów, także tych od zewnętrznych dostawców.
• Zaplanujcie w budżecie przegląd umów z dostawcami oprogramowania (mieści się w usługach doradczych i audytach).
• Przygotujcie procedurę na wypadek incydentu u dostawcy: kto informuje mieszkańców, kto zgłasza do CSIRT, kto rozmawia z firmą.
• Wykorzystajcie incydent MyDr jako materiał szkoleniowy dla pracowników.

Minister zadeklarował też gotowość wsparcia jednostek korzystających z podobnych systemów oraz rozpoczęcie informowania lekarzy. Będziemy śledzić, czy z tej deklaracji wyniknie program pomocowy - jeśli tak, opiszemy go w bazie wiedzy.

Opublikowano 13 sierpnia 2026 · Zaktualizowano 8 października 2026. Artykuł ma charakter informacyjny; wiążące pozostają dokumenty źródłowe.