Między 12 sierpnia a 1 października 2026 r. potwierdzono włamania do MyDr, Medyc, Enel-Med i Fakturowni, czyli systemów obsługujących tysiące polskich przychodni i ponad 600 tys. firm. Sam wyciek z MyDr dotyczy według UODO 19 mln Polaków, a wśród skopiowanych informacji są numery PESEL, notatki z wizyt lekarskich, recepty i numery rachunków bankowych.
- Między 12 sierpnia a 1 października 2026 r. potwierdzono włamania do czterech podmiotów: MyDr, Medyc (Qbusoft), Enel-Med i Fakturowni – przy czym sam wyciek z MyDr może według UODO dotyczyć blisko 19 mln Polaków, a wśród skradzionych danych są numery PESEL, notatki z wizyt lekarskich i recepty.
- Z Fakturowni, z której korzysta ponad 600 tys. firm, skopiowano dane każdego konta – w tym dane kontrahentów, numery rachunków bankowych i informacje o płatnościach – a Zaufana Trzecia Strona powiązała ten atak z grupą odpowiedzialną za wcześniejsze włamania do MyDr i Qbusoft.
- Raport ESET Threat Report H1 2026 wskazuje rosnącą rolę AI po stronie atakujących – spośród blisko 900 tys. przeanalizowanych dodatków dla agentów AI ponad 3 tys. uznano za złośliwe, co według artykułu otwiera możliwość taniego tworzenia milionów spersonalizowanych prób oszustwa na bazie skradzionych rekordów medycznych.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Od MyDr do Fakturowni: cztery incydenty w siedem tygodni
Serię otworzył MyDr, dostawca oprogramowania dla gabinetów lekarskich. 12 sierpnia 2026 r. Ministerstwo Cyfryzacji poinformowało, że cyberatak na tę firmę może dotyczyć danych blisko 19 mln osób. Osoby podające się za sprawców twierdzą, że pozyskały 18 814 422 unikatowe numery PESEL oraz nawet 2,5 TB danych.
| Firma | Kiedy | Deklarowana skala | Co wiadomo o danych |
|---|---|---|---|
| MyDr | komunikat rządu 12.08.2026 | blisko 19 mln osób | PESEL, dane kontaktowe, notatki z wizyt, recepty |
| Medyc (Qbusoft) | atak 22-23.08.2026 | do 5 mln osób (wg sprawców) | PESEL, dane medyczne |
| Enel-Med | wykryty 24.09.2026 | ok. 3 proc. bazy pacjentów | zakres nieujawniony |
| Fakturownia | 27-28.09.2026 | każde konto, ponad 600 tys. firm | dane kont i kontrahentów, rachunki bankowe, kwoty, klucze API |
Liczba 5 mln przy Medyc nie jest potwierdzonym bilansem. Pochodzi z komunikatu przestępców występujących pod pseudonimem „fingerprint”, który opisał serwis Zaufana Trzecia Strona. Enel-Med podał, że naruszenie może dotyczyć ok. 3 proc. całej bazy pacjentów.
Z Fakturowni skopiowano dane każdego konta, ale bez numerów PESEL
Fakturownia to jedyny w tej serii incydent spoza ochrony zdrowia i ten, który najmocniej dotyka firmy. Spółka podała 29 września, że dzień wcześniej wykryła nieuprawniony dostęp do serwerów, a napastnik wykorzystał lukę w systemie. Aktualizacja z 1 października potwierdziła skopiowanie części bazy i wskazała, że incydent dotyczy każdego konta.
- Skopiowano m.in. dane kont i użytkowników, dane kontrahentów, numery rachunków bankowych oraz dane o płatnościach.
- Według Fakturowni nie pobrano certyfikatów KSeF, danych kart płatniczych ani danych logowania do banków.
- Wśród skopiowanych danych nie ma numeru PESEL ani numeru dowodu osobistego.
- Z serwisu korzysta ponad 600 tys. firm.
Zaufana Trzecia Strona powiązała atak na Fakturownię z grupą, której przypisuje się wcześniejsze wycieki z MyDr i Qbusoft. Adam Haertle, założyciel tego serwisu, powiedział money.pl: „Według naszej najlepszej wiedzy autor incydentu nie planuje tych danych nigdzie publikować”. To deklaracja sprawcy, nie gwarancja.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
AI nie musiała pomagać we włamaniu. Pomoże w tym, co przyjdzie po nim
W publicznych komunikatach firm i urzędów, do których dotarłem, nie ma informacji, że sprawcy użyli sztucznej inteligencji do samych włamań. Rola AI rośnie gdzie indziej. Raport „ESET Threat Report H1 2026”, obejmujący okres od grudnia 2025 do maja 2026 r., wskazuje rosnącą rolę AI po stronie atakujących. ESET przeanalizował niemal 900 tys. dodatków dla agentów AI: ponad 25 tys. uznał za podejrzane, a ponad 3 tys. za złośliwe. Firma opisała też PromptSpy, pierwsze znane złośliwe oprogramowanie na Androida, które podczas działania korzysta z modelu Gemini.
Dane medyczne można wykorzystywać do bardzo precyzyjnego phishingu, czyli wiadomości podszywających się np. pod przychodnię. Połączenie prawdziwych rekordów z generatorami tekstu i głosu to już moja interpretacja, nie ustalenie służb: oszust, który zna PESEL, lekarza i nazwę leku ofiary, nie musi już pisać każdej wiadomości ręcznie.
Cztery włamania łączy jeden schemat: pojedynczy dostawca oprogramowania trzymał dane tysięcy przychodni albo setek tysięcy firm. To nie jest opowieść o genialnej AI łamiącej zabezpieczenia. Fakturownia sama pisze o luce w systemie. Sztuczna inteligencja zmienia rachunek dopiero w drugim kroku, bo z 19 mln rekordów da się dziś tanio zrobić miliony spersonalizowanych prób oszustwa. Rząd zapowiada certyfikację i limity przetwarzania danych medycznych. Pytanie, czy certyfikat cokolwiek zmieni, jeśli połowa kraju nadal będzie zapisana w bazie jednej spółki.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Czy Polska jest najczęściej atakowanym krajem Europy? Zależy, kto liczy
Rząd mówi o pierwszym miejscu, dane komercyjne tego nie potwierdzają. „Bez wątpienia Polska jest dzisiaj najbardziej atakowanym państwem w Europie, jeżeli chodzi o cyberprzestrzeń”, mówił wicepremier Krzysztof Gawkowski na konferencji Impact’26. Według Check Point organizacje w Polsce odpierają średnio 1854 ataki tygodniowo, o 15 proc. więcej niż rok wcześniej, ale to mniej niż europejska średnia 2051.
Bezsporna jest dynamika. W 2025 r. zespoły CSIRT odnotowały ponad 682 tys. zgłoszeń i blisko 273 tys. potwierdzonych incydentów, czyli o 144,4 proc. więcej niż rok wcześniej. Oszustwa komputerowe odpowiadały za nawet 97 proc. incydentów obsłużonych przez CSIRT NASK.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co mogą zrobić pacjenci i firmy
Pacjent sprawdzi swój PESEL w rządowym serwisie, firma musi sama ocenić obowiązek zgłoszenia. Od 29 sierpnia w serwisie bezpiecznedane.gov.pl można sprawdzić, czy numer PESEL znalazł się w bazie MyDr. Jeśli tak, pierwszym krokiem powinno być zastrzeżenie numeru PESEL w aplikacji mObywatel lub w urzędzie gminy.
Przedsiębiorca korzystający z Fakturowni jest zwykle administratorem danych swoich kontrahentów. Zgłoszenia do UODO dokonuje się w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. UODO przypomniał 5 października, że wyciek samych danych jawnych w CEIDG zwykle zgłoszenia nie wymaga, ale numery rachunków i kwoty to już inna kategoria.
Państwo zapowiada kontrole i nowe przepisy. Prezes UODO Mirosław Wróblewski zdecydował 16 września o dodatkowych kontrolach przetwarzania danych o zdrowiu do końca 2026 r. Ministerstwo Cyfryzacji pracuje nad obowiązkową certyfikacją i limitami przetwarzania danych medycznych przez podmioty prywatne. Gawkowski zapowiedział też: „W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje”.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym komunikatu Urzędu Ochrony Danych Osobowych z dnia 25.09.2026, oficjalnego komunikatu Fakturowni z dnia 29.09.2026 (aktualizacja 01.10.2026), raportu ESET Threat Report H1 2026 oraz publikacji The Record i Rzeczpospolitej. Do weryfikacji posłużyły też Spider’s Web, money.pl, Forbes, ITwiz, Interia i depesze PAP.
Cytaty Krzysztofa Gawkowskiego, wicepremiera i ministra cyfryzacji, oraz Adama Haertle, założyciela serwisu Zaufana Trzecia Strona, zostały zweryfikowane z polskojęzycznymi materiałami źródłowymi.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji w temacie wycieków danych z MyDr, Medyc, Enel-Med i Fakturowni.
