Według komunikatu ośrodka w Inowrocławiu sprawca wykorzystał błąd bezpieczeństwa w interfejsie aplikacji (podatność typu SQL injection) 22-23 sierpnia 2026 r. i skopiował archiwum bazy danych. Włamanie wykryto w nocy z 8 na 9 września. Potwierdzono kradzież imion, nazwisk, numerów PESEL, adresów, telefonów i e-maili pacjentów Oddziału Dziennego Leczenia Uzależnień. Wyciek obejmuje okres od 1 lipca 2024 r. do 23 sierpnia 2026 r.

Szyfrowanie mogło nie ochronić danych

Imiona, nazwiska i PESEL-e były zaszyfrowane, ale dostawca polecił przyjąć, że sprawcy mogli je łatwo odczytać. Pozyskanie wypisów z leczenia określono jako bardzo prawdopodobne. Placówka nie podała liczby poszkodowanych.

Minister cyfryzacji Krzysztof Gawkowski poinformował, że CBZC prowadzi działania dotyczące Qbusoft w ramach szerszego śledztwa. Według ministra firma do tego czasu nie zgłosiła incydentu do CERT Polska ani do CSIRT Centrum e-Zdrowia.

"W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje" - napisał na X Gawkowski.

⚠️ Komunikat dotyczący potencjalnego incydentu cyberbezpieczeństwa oprogramowania Medyc ⚠️

Centralne Biuro Zwalczania Cyberprzestępczości w ramach szerszego śledztwa prowadzi działania związane z incydentem cyberbezpieczeństwa dotyczącym między innymi oprogramowania firmy Firma…
— Krzysztof Gawkowski (@KGawkowski) September 24, 2026
 

Według placówki Qbusoft usunął lukę, odciął dostęp sprawcy i zgłosił sprawę policji 9 września, a UODO dzień później.

Co powinni zrobić pacjenci?

Ośrodek zaleca niezwłoczne zastrzeżenie PESEL-u - bezpłatnie w aplikacji mObywatel, przez Internet lub w urzędzie gminy albo miasta. Utrudnia to wyłudzenie kredytu lub pożyczki na podstawie skradzionych danych. Nie blokuje wizyt u lekarza, zakupu leków ani załatwiania spraw urzędowych.

Warto też powiadomić inne placówki medyczne o wycieku, aby uważały na próby podszywania się pod pacjenta. Należy zachować ostrożność wobec niespodziewanych telefonów, SMS-ów i e-maili - nawet jeśli nadawca zna szczegóły leczenia.

Podejrzenie wykorzystania danych przez oszustów należy jak najszybciej zgłosić policji. Sygnałem ostrzegawczym może być podejrzana wiadomość lub powiadomienie o próbie logowania, której pacjent nie podejmował.

Czytaj także:

Cyberatak na Pomorzu. Zhakowano bazę przychodni z Gdyni i Redy

Cyberprzestępcy atakują szpitale. Rząd publikuje zalecenia