Rejestr wycieków danych
← Zarejestrowane wycieki

Medycyna

Wyciek danych z systemu Medyc

Medyc to oprogramowanie dla placówek medycznych, rozwijane przez Qbusoft sp. z o.o.

Administrator: Placówki korzystające z oprogramowania Medyc (dostawca: Qbusoft sp. z o.o.)

Dostęp do danych
22–23 sierpnia 2026
Ujawniono
9 września 2026
Skala
do 5 mln pacjentów i 8 mln zdjęć· wg sprawcy, niepotwierdzone
Jakie dane
imię i nazwiskoPESELadrestelefone-mail

Co się stało

22–23 sierpnia 2026 r. sprawca wykorzystał lukę typu SQL injection w oprogramowaniu Medyc. Lukę wykryto 8–9 września i usunięto tego samego dnia. Sprawca twierdzi, że ma dane do 5 mln pacjentów i 8 mln zdjęć — to liczby od sprawcy, niepotwierdzone. Spółka potwierdziła wyciek imion i nazwisk, numerów PESEL, adresów, telefonów i e-maili, ale nie potwierdziła kradzieży dokumentacji medycznej. Jest też spór: minister cyfryzacji twierdził, że Qbusoft nie zgłosił incydentu do CERT Polska; spółka podaje, że poinformowała m.in. CSIRT NASK. Przedstawiamy oba stanowiska bez rozstrzygania.

Chronologia

  1. 22–23 sierpnia 2026

    Atak przez lukę SQL injection.

  2. 8–9 września 2026

    Wykrycie luki i jej usunięcie w dniu wykrycia.

  3. 9 września 2026

    Zgłoszenie do UODO i Policji; poinformowano CSIRT NASK, Centrum e-Zdrowia, CBZC i ZUS. Komunikat spółki.

  4. —

    Prezes UODO zapowiada kontrolę w Qbusoft.

  5. 16 września 2026

    Prezes UODO rozszerza kontrole przetwarzania danych o zdrowiu.

Deklarowane powiązanie — fingerprint

Komunikat FELG Dent mówi o osobie podającej się za członka grupy „fingerprint” — tej samej nazwy używała grupa przyznająca się do incydentów MyDr, Medyc i Fakturowni. To powiązanie na poziomie deklarowanej przynależności, nie niezależne potwierdzenie tożsamości sprawcy wszystkich czterech zdarzeń.

Status postępowania

Kontrola UODO w Qbusoft; zgłoszenie na Policję

  • 9 września 2026 — Zgłoszenie do UODO i Policji; poinformowano CSIRT NASK, Centrum e-Zdrowia, CBZC i ZUS. Komunikat spółki.
  • — — Prezes UODO zapowiada kontrolę w Qbusoft.
  • 16 września 2026 — Prezes UODO rozszerza kontrole przetwarzania danych o zdrowiu.

Jak sprawdzić, czy to dotyczy Ciebie

  • Serwis państwowy bezpiecznedane.gov.pl — sprawdź osobno PESEL, adresy e-mail i numery telefonów. Najważniejszy jest PESEL.
  • Zapytaj też swoją placówkę (art. 15 RODO) — to ona jest administratorem Twoich danych.

Wszystkie drogi sprawdzenia

Co możesz zrobić

  1. 1Sprawdź swoje dane w bezpiecznedane.gov.pl i zrób zrzut ekranu z datą — także wtedy, gdy wynik jest pusty.
  2. 2Zastrzeż PESEL w aplikacji mObywatel — to bezpłatne i zajmuje kilka minut.
  3. 3Zapytaj swoją placówkę (art. 15 RODO), czy korzysta z Medyc i czy Twoje dane były objęte incydentem.
  4. 4Uważaj na SMS-y, maile i telefony „od przychodni”, „od banku” czy „od operatora” — nie klikaj linków, oddzwaniaj na numer ze strony firmy.

Źródła

Nie proś nas o zaufanie — otwórz i sprawdź sam.