MyDr po cyberataku. Informacja o incydencie może trafić do około 18 mln osób

MyDr poinformował o kolejnych ustaleniach dotyczących cyberataku na systemy firmy. Informacja o incydencie może zostać przekazana za pośrednictwem placówek medycznych do około 18 mln osób. Firma zastrzega jednak, że nie oznacza to, iż dane wszystkich tych osób zostały skradzione, odczytane lub upublicznione. Postępowanie w sprawie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości.

Od wykrycia włamania do systemów MyDr minęły około dwa tygodnie. 24 sierpnia 2026 r. do sprawy odniósł się Piotr Miluski, CEO firmy. Przeprosił pacjentów i użytkowników za niepokój oraz niepewność wywołane incydentem.

Miluski podkreślił, że sprawa dotyczy szczególnie wrażliwej kategorii informacji. Chodzi bowiem o dane związane ze zdrowiem pacjentów.

MyDr przekazał, że postępowanie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości nadal trwa. Jednocześnie firma wraz z zewnętrznymi ekspertami kończy analizę, która ma pozwolić dokładnie określić zakres danych objętych incydentem.

Informacja o incydencie MyDr może trafić do około 18 mln osób

W najbliższych dniach MyDr ma rozpocząć oficjalne informowanie placówek medycznych zgodnie z RODO. Firma deklaruje również wsparcie placówek w komunikacji z pacjentami.

Na obecnym etapie przyjęto szeroki zakres osób, które mogą otrzymać informację o zdarzeniu. Według MyDr za pośrednictwem placówek komunikat może dotrzeć do około 18 mln osób.

Chodzi o osoby, których danych firma nie jest obecnie w stanie wykluczyć z zakresu incydentu. MyDr zaznacza, że grupa została określona szeroko ze względów ostrożnościowych. Obejmuje przede wszystkim osoby, których historyczne dane, pochodzące z kwietnia 2024 r. lub wcześniejsze, znajdowały się w środowisku objętym incydentem.

Firma wyraźnie zastrzega przy tym, że liczba 18 mln nie oznacza liczby osób, których dane zostały skradzione.

- To jednak nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione” - przekazał Piotr Miluski.

Według informacji przedstawionych przez MyDr zespoły firmy oraz zewnętrzni eksperci monitorują sytuację. Do 24 sierpnia nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione.

Placówki medyczne mają informować pacjentów

MyDr zdecydował się na szerokie podejście do procesu informowania. Firma tłumaczy, że woli powiadomić większą grupę osób, niż pominąć pacjentów, których dane mogły znaleźć się w środowisku objętym cyberatakiem.

Placówki medyczne mają otrzymać gotowe materiały oraz wsparcie potrzebne do komunikacji z pacjentami. Założeniem firmy jest, aby pacjenci otrzymywali informacje bezpośrednio od swoich placówek.

MyDr nie podał w komunikacie, ilu pacjentów zostanie ostatecznie uznanych za osoby, których dane faktycznie zostały objęte incydentem. Ustalenie precyzyjnego zakresu zdarzenia pozostaje przedmiotem analizy.

CBZC prowadzi postępowanie po cyberataku

Firma deklaruje współpracę z Centralnym Biurem Zwalczania Cyberprzestępczości. W działania związane ze sprawą zaangażowane są również CERT Polska działający w ramach NASK, Centrum e-Zdrowia oraz Ministerstwo Cyfryzacji.

MyDr zapowiada dalszą współpracę z właściwymi organami i przekazywanie informacji potrzebnych do wyjaśnienia okoliczności cyberataku.

Jednocześnie spółka wzmacnia zabezpieczenia swoich systemów oraz sposób ich weryfikacji. Systemy mają być stale testowane pod kątem nowych zagrożeń. Firma zapowiada także wykorzystanie w tym procesie narzędzi opartych na sztucznej inteligencji.

MyDr zapowiada publikację wniosków po zakończeniu analizy

Piotr Miluski zaznaczył, że firma nie chce na obecnym etapie przedstawiać przedwczesnych odpowiedzi na pytanie, co można było zrobić lepiej przed cyberatakiem.

Po zakończeniu analizy MyDr ma poinformować o ustaleniach, wyciągniętych wnioskach oraz podjętych działaniach. Do tego czasu firma zapowiada regularne aktualizowanie informacji dotyczących incydentu.