Wyciek danych MyDr: co zrobić i jak chronić PESEL

Wyciek danych z systemów MyDr może dotyczyć około 18,8 mln osób. Jeśli dostałeś SMS o naruszeniu albo korzystałeś z przychodni obsługiwanej przez ten system, nie otwieraj przypadkowych odnośników. Wejdź samodzielnie na rządową stronę Bezpieczne Dane, sprawdź numer PESEL i wykonaj działania dopasowane do rodzaju ujawnionych informacji.

Z tego artykułu dowiesz się:
1. Jak bezpiecznie sprawdzić wyciek MyDr?
2. Co wiadomo o skali i zakresie danych?
3. Jak rozpoznać prawdziwe powiadomienie?
4. Co zrobić w pierwszych 30 minutach?
5. Co daje zastrzeżenie numeru PESEL?
6. Jak kontrolować sytuację przez kolejne tygodnie?

To kolejny etap tej samej sprawy. Wcześniej wyjaśnialiśmy, kiedy po wycieku MyDr można dochodzić odszkodowania i jakie dowody trzeba zachować. Teraz najważniejsza jest bezpieczna reakcja na powiadomienie oraz ograniczenie ryzyka wykorzystania tożsamości.

Rządowy serwis potwierdza, że doszło do nieuprawnionego dostępu do bazy systemu używanego między innymi przez przychodnie i gabinety lekarskie. Służby nie stwierdziły dotąd publicznego udostępnienia danych, ale sam fakt przełamania zabezpieczeń jest potwierdzony. Dlatego nie należy czekać na pierwszą próbę oszustwa.

Jak bezpiecznie sprawdzić wyciek MyDr?

Najbezpieczniejsza droga prowadzi przez stronę bezpiecznedane.gov.pl. Wpisz ten adres ręcznie w pasku przeglądarki. Nie przechodź do serwisu z wiadomości SMS, e-maila, komunikatora ani reklamy wyświetlonej w wyszukiwarce. Fałszywa strona może wyglądać niemal identycznie jak państwowa i służyć do przejęcia danych logowania.

Po wejściu sprawdź, czy przeglądarka pokazuje dokładną domenę bezpiecznedane.gov.pl i szyfrowane połączenie. Następnie wybierz logowanie oferowane przez serwis. Portal pozwala zweryfikować, czy Twój numer PESEL znalazł się w zbiorze związanym z incydentem MyDr. Nie pokazuje jednak pełnej listy danych dotyczących konkretnego pacjenta.

Jeżeli wynik jest pozytywny, zachowaj jego potwierdzenie i datę sprawdzenia. Szczegółowy zakres naruszenia może przekazać administrator danych, czyli na przykład przychodnia albo gabinet, z którego usług korzystałeś. Zapytaj placówkę, czy Twoje dane były przetwarzane w zaatakowanym środowisku i jakie kategorie informacji mogły zostać ujawnione.

Co wiadomo o skali i zakresie danych?

W publicznych informacjach dotyczących incydentu pojawia się liczba około 18,8 mln unikalnych numerów PESEL oraz ponad 12 tys. placówek medycznych. To skala potencjalna, a nie dowód, że każda osoba utraciła identyczny zestaw informacji albo że wszystkie dane zostały opublikowane w internecie.

Sprawa jest szczególnie poważna, ponieważ może chodzić nie tylko o imię, nazwisko, PESEL, numer telefonu czy e-mail. Wśród opisywanych kategorii pojawiały się także informacje medyczne, w tym dane związane z wizytami i receptami. Taki zestaw może posłużyć do bardzo wiarygodnego podszywania się pod przychodnię, lekarza, bank, urząd lub ubezpieczyciela.

Informacja	Co z niej wynika
Pozytywny wynik dla PESEL	Numer znalazł się w zbiorze związanym z incydentem; trzeba wdrożyć ochronę tożsamości.
Brak szczegółów w portalu	O pełny zakres danych pytaj właściwą placówkę medyczną.
Brak potwierdzonej publikacji bazy	Nie oznacza braku ryzyka; dane mogą zostać wykorzystane później lub w ograniczonych kampaniach.

Jak rozpoznać prawdziwe powiadomienie?

Sam fakt, że wiadomość zawiera Twoje prawdziwe imię, nazwę przychodni, termin wizyty albo fragment danych medycznych, nie potwierdza jej autentyczności. Po wycieku właśnie takie szczegóły mogą stać się narzędziem nacisku. Oszust może twierdzić, że trzeba „potwierdzić dane”, „odblokować dokumentację”, „zabezpieczyć konto” albo opłacić usługę ochronną.

Nie podawaj przez telefon ani w formularzu otwartym z wiadomości hasła, kodu BLIK, kodu SMS, numeru karty czy danych logowania do banku. Przychodnia może informować o naruszeniu i wskazać, jak uzyskać szczegóły, ale nie powinna wymagać wykonania przelewu ani instalowania aplikacji do zdalnego pulpitu.

Jeżeli SMS budzi wątpliwości, nie odpowiadaj na niego. Odszukaj numer placówki na jej oficjalnej stronie lub w dokumentacji, którą miałeś wcześniej, i zadzwoń samodzielnie. Podejrzaną wiadomość możesz przekazać do CERT Polska na numer 8080. Nie przesyłaj dalej wrażliwych danych, które mogą być widoczne w treści.

Co zrobić w pierwszych 30 minutach?

Zacznij od czynności, które dają największą ochronę przy najmniejszym ryzyku. Najpierw sprawdź PESEL w rządowym serwisie i zachowaj wynik. Następnie zastrzeż numer PESEL w aplikacji mObywatel, na stronie mObywatel.gov.pl albo w urzędzie gminy. Usługa jest bezpłatna.

Zmień hasło do konta, którego dane logowania mogły być związane z incydentem.
Jeżeli używałeś tego samego hasła w innych miejscach, zmień je również tam.
Włącz uwierzytelnianie dwuskładnikowe, najlepiej z użyciem aplikacji uwierzytelniającej.
Sprawdź ostatnie operacje bankowe, aktywne urządzenia i dane kontaktowe zapisane w banku.
Ustaw powiadomienia o każdej transakcji oraz próbie logowania, jeśli bank je oferuje.
Zachowaj SMS, e-mail i odpowiedź placówki; nie publikuj ich z widocznymi danymi.

Jeśli doszło już do nieautoryzowanej transakcji, natychmiast skontaktuj się z bankiem oficjalnym kanałem, zablokuj kartę lub dostęp do bankowości i złóż reklamację. Gdy ktoś wykorzystał Twoją tożsamość albo próbował wyłudzić pieniądze, zgłoś sprawę policji i zachowaj numery zgłoszeń.

Co daje zastrzeżenie numeru PESEL?

Od 1 czerwca 2024 roku instytucje objęte ustawowym obowiązkiem muszą sprawdzać rejestr zastrzeżeń przed określonymi czynnościami. Zastrzeżony PESEL utrudnia między innymi zawarcie umowy kredytu lub pożyczki na cudze dane. Ochrona działa od chwili zastrzeżenia, ale nie usuwa informacji, które już wyciekły.

Zastrzeżenie nie blokuje każdego rodzaju przestępstwa. Nie zatrzyma próby wyłudzenia kodu BLIK, przejęcia konta e-mail, podszywania się pod lekarza ani socjotechniki wykorzystującej informacje o zdrowiu. Nie zastępuje też kontroli rachunków, zmiany haseł i ostrożności wobec rozmówcy, który wywołuje presję czasu.

Możesz cofnąć zastrzeżenie, gdy potrzebujesz wykonać czynność wymagającą aktywnego numeru PESEL, a potem ponownie je włączyć. Cofnięcie powinno być możliwie krótkie. Zanim to zrobisz, upewnij się, że kontaktujesz się z właściwą instytucją i rozumiesz, do czego potrzebna jest zmiana statusu.

Jak kontrolować sytuację przez kolejne tygodnie?

Ryzyko nie kończy się dzień po powiadomieniu. Dane mogą zostać użyte po tygodniach lub miesiącach, kiedy temat przestanie być głośny. Przez najbliższy czas regularnie sprawdzaj historię rachunków, raport kredytowy, alerty o nowych zobowiązaniach oraz powiadomienia o logowaniu do poczty i usług, z których korzystasz.

Prowadź prosty dziennik zdarzeń: data, numer telefonu lub nadawca, treść próby kontaktu, podjęte działania i numer zgłoszenia. To pomaga połączyć późniejszą próbę oszustwa z incydentem, a w razie sporu pokazuje, że reagowałeś bez zwłoki. Szczególnie ostrożnie traktuj rozmowy, w których ktoś zna fragment historii leczenia i na tej podstawie żąda potwierdzenia kolejnych danych.

Najważniejsza zasada jest prosta: informację o zagrożeniu możesz przyjąć z wiadomości, ale każdą czynność wykonuj po samodzielnym wejściu do oficjalnego serwisu lub po niezależnym kontakcie z placówką. Nie działaj pod presją, nie instaluj programów wskazanych przez rozmówcę i nie przekazuj kodów autoryzacyjnych. W przypadku wycieku tak dużej bazy cierpliwość i rozdzielenie kanału powiadomienia od kanału działania są realną ochroną.