W ostatnim czasie placówki ochrony zdrowia coraz częściej stają się celem cyberataków. W związku ze zdarzeniem dotyczącym systemu informatycznego wykorzystywanego przez naszą przychodnię przekazujemy Państwu najważniejsze informacje, wyjaśniamy możliwe konsekwencje oraz wskazujemy zalecane środki ostrożności.
1. Informacja dla pacjentów dotycząca bezpieczeństwa danych:
Na tej stronie publikujemy potwierdzone informacje dotyczące zdarzenia związanego z bezpieczeństwem systemu informatycznego wykorzystywanego przez NZOZ Śródmieście Sp. z o.o. Strona będzie aktualizowana wraz z uzyskiwaniem kolejnych wyników analizy technicznej.
2. Najważniejsze informacje:
Potwierdzono: Osoba nieuprawniona uzyskała dostęp do bazy danych pacjentów.
Trwa ustalanie: Dotychczasowe ustalenia wskazują, że część danych mogła zostać wyprowadzona poza system. Trwa ustalanie ich dokładnego zakresu oraz liczby osób objętych zdarzeniem.
Nie stwierdzono: Nie stwierdzono zniszczenia danych, utraty dostępu do dokumentacji ani nieuprawnionych zmian w dokumentacji rzeczywistych pacjentów. System działa normalnie.
3. Jakie dane mogły zostać objęte zdarzeniem
- imię i nazwisko;
- numer PESEL;
- adres zamieszkania – jeżeli znajdował się w systemie;
- numer telefonu;
- informacje dotyczące zdrowia i historii leczenia – jeżeli znajdowały się w danych objętych zdarzeniem.
Zakres danych może być różny w odniesieniu do poszczególnych pacjentów. Na obecnym etapie nie potwierdzono skopiowania całej bazy danych.
4. Jakie mogą być konsekwencje zdarzenia?
Możliwe konsekwencje zależą od zakresu danych dotyczących konkretnego pacjenta. Mogą obejmować w szczególności próby podszywania się pod inną osobę, wyłudzenia informacji lub środków finansowych, kierowanie wiadomości phishingowych wykorzystujących znajomość danych pacjenta, a także nieuprawnione ujawnienie informacji dotyczących zdrowia i naruszenie prywatności.
Samo objęcie danych zdarzeniem nie oznacza, że zostały one już wykorzystane w nieuprawniony sposób. Na obecnym etapie nie posiadamy informacji potwierdzających takie wykorzystanie.
5. Co zrobiliśmy:
Po wykryciu zdarzenia zabezpieczyliśmy system, usunęliśmy wykryte mechanizmy nieautoryzowanego dostępu, zmieniliśmy dane uwierzytelniające, wprowadziliśmy uwierzytelnianie wieloskładnikowe oraz dodatkowe ograniczenia dostępu.
Zdarzenie zostało zgłoszone Prezesowi UODO oraz CSIRT CeZ. Analiza techniczna jest kontynuowana.
6. Co może zrobić pacjent:
- zastrzec numer PESEL;
- zachować ostrożność wobec niespodziewanych wiadomości i telefonów;
- nie podawać haseł, kodów ani danych bankowych;
- sprawdzać rachunki, zobowiązania i Internetowe Konto Pacjenta;
- zgłaszać podejrzane zdarzenia właściwej instytucji.
Zastrzeżenie numeru PESEL nie utrudnia rejestracji do lekarza, realizacji recept ani korzystania ze świadczeń zdrowotnych.
Szczegółowe informacje oraz instrukcja zastrzeżenia numeru PESEL znajdują się na oficjalnej stronie rządowej:
7. Informacja dotycząca dzieci:
Jeżeli zdarzenie dotyczy danych osoby małoletniej, działania ochronne powinien podjąć jej rodzic lub opiekun prawny.
8. Najczęściej zadawane pytania:
Pytania dotyczące incydentu można kierować na adres incydent@przychodnia.gdynia.pl, a sprawy dotyczące ochrony danych osobowych na adres rodo@przychodnia.gdynia.pl. Nie należy przesyłać zwykłą wiadomością e-mail pełnego numeru PESEL, kopii dokumentu tożsamości ani dokumentacji medycznej.
NZOZ Śródmieście Sp. z o.o. publikuje poniższe odpowiedzi na najczęściej pojawiające się pytania pacjentów. Informacje będą aktualizowane wraz z uzyskiwaniem kolejnych potwierdzonych wyników analizy technicznej.
1) Na czym polegał incydent? Potwierdzono nieuprawniony dostęp do systemu MedicalData oraz wykonywanie zapytań do bazy danych. Potwierdzono także wyprowadzenie poza system części wyników tych zapytań. Analiza nadal trwa, w szczególności w zakresie ustalenia pełnego zakresu danych i osób, których dotyczyło zdarzenie.
2) Czy otrzymanie zawiadomienia oznacza, że moje dane zostały wykradzione? Nie. Otrzymanie zawiadomienia oznacza, że dane pacjenta mogły być objęte incydentem. Potwierdzono wyprowadzenie części wyników zapytań do bazy danych, ale nie ustalono, których konkretnie pacjentów ani jakich dokładnie danych to dotyczyło. Nie potwierdzono pobrania całej bazy danych ani pełnych kopii zapasowych.
3) Czy można ustalić, czy incydent objął dane konkretnej osoby? Prace nad możliwie precyzyjnym ustaleniem, których osób i jakiego zakresu danych mogło dotyczyć naruszenie, są w toku i są prowadzone ze szczególną starannością. Na obecnym etapie nie jest możliwe ustalenie, czy wyprowadzone wyniki zapytań obejmowały dane konkretnego pacjenta. Nie posiadamy również dowodów wykorzystania danych konkretnych osób. Każde zgłoszenie dotyczące danych konkretnej osoby jest rejestrowane i rozpatrywane indywidualnie, po bezpiecznym potwierdzeniu tożsamości.
4) Jakie dane mogły być objęte zdarzeniem? Zakres zależy od danych zapisanych w konkretnych rekordach. Potencjalnie mogły to być dane identyfikacyjne i kontaktowe, w tym imię i nazwisko, numer PESEL, adres i numer telefonu, a także dane dotyczące zdrowia i historii leczenia, jeżeli znajdowały się w systemie.
5) Czy ustalono, które dane zostały faktycznie wyprowadzone poza system? Potwierdzono wyprowadzenie części wyników zapytań do bazy danych. Nie ustalono jednak pełnego zakresu tych danych ani tego, których konkretnie rekordów pacjentów dotyczyły. Nie można więc obecnie wskazać indywidualnego zakresu danych dla poszczególnych osób.
6) Kiedy doszło do incydentu i kiedy został wykryty? Ustalony okres aktywności osoby nieuprawnionej obejmuje czas od 19 sierpnia 2026 r. do 2 września 2026 r. Incydent został wykryty 3 września 2026 r.
7) Dlaczego dodatkowe zabezpieczenia są wdrażane po incydencie? Zabezpieczenia techniczne i organizacyjne były stosowane systematycznie przed zdarzeniem i dostosowywane do zmieniającego się ryzyka. Zagrożenia cybernetyczne stale się zmieniają, dlatego zabezpieczenia wymagają ciągłego monitorowania i doskonalenia. Po wykryciu incydentu usunięto wykryte mechanizmy nieuprawnionego dostępu, zmieniono dane uwierzytelniające, wprowadzono uwierzytelnianie wieloskładnikowe oraz dodatkowe ograniczenia dostępu.
Równolegle prowadzony jest wybór niezależnej firmy zewnętrznej, która wykona testy penetracyjne oraz audyt systemów informatycznych objętych incydentem. Celem jest obiektywna ocena zastosowanych zabezpieczeń, skuteczności działań naprawczych oraz wskazanie ewentualnych dalszych rekomendacji.
8) Co mogę zrobić, aby ograniczyć ryzyko? Prosimy zachować ostrożność wobec nieoczekiwanych telefonów i wiadomości. Nie należy podawać haseł, kodów e-recept, kodów autoryzacyjnych ani danych bankowych. Warto regularnie sprawdzać Internetowe Konto Pacjenta, w tym widoczne e-recepty, skierowania i zdarzenia medyczne. Podejrzane próby kontaktu należy zgłaszać właściwej instytucji.
9) Jak chronić dane małoletniego? Rodzic lub opiekun powinien zachować szczególną ostrożność wobec wiadomości podszywających się pod szkołę, przychodnię, lekarza, bank lub urząd. Nie należy przekazywać przez telefon, SMS, e-mail ani komunikator haseł, kodów, danych logowania lub danych bankowych. Warto także stosować uwierzytelnianie wieloskładnikowe do skrzynki e-mail rodzica lub opiekuna oraz regularnie sprawdzać Internetowe Konto Pacjenta dziecka.
10) Czy można zastrzec numer PESEL małoletniego? Co do zasady zastrzeżenie numeru PESEL dotyczy osób pełnoletnich. W odniesieniu do małoletnich zalecamy szczególną ostrożność przy kontaktach telefonicznych i elektronicznych oraz regularne sprawdzanie Internetowego Konta Pacjenta dziecka.
11) Czy otrzymam potwierdzenie zgłoszenia lub odpowiedź na wiadomość? Tak. Wiadomości dotyczące incydentu są rejestrowane i rozpatrywane. Odpowiedzi odnoszą się do aktualnie potwierdzonych ustaleń. W przypadku pytań dotyczących danych konkretnej osoby może być konieczne bezpieczne potwierdzenie tożsamości.
12) Jak bezpiecznie skontaktować się w sprawie incydentu? Pytania dotyczące incydentu można kierować na adres incydent@przychodnia.gdynia.pl, a sprawy dotyczące ochrony danych osobowych na adres rodo@przychodnia.gdynia.pl. Nie należy przesyłać zwykłą wiadomością e-mail pełnego numeru PESEL, kopii dokumentu tożsamości ani dokumentacji medycznej.
13) Czy wiadomo, komu dane zostały udostępnione i czy zostały wykorzystane? Nie ustalono tożsamości osoby lub osób odpowiedzialnych za atak. Nie stwierdzono również dowodów wykorzystania danych konkretnych pacjentów, w tym wykorzystania ich do oszustw, wyłudzeń lub innych działań. Prowadzony jest monitoring dostępnych źródeł oraz dalsza analiza techniczna.
14) Czy pełna dokumentacja medyczna albo kopie zapasowe zostały pobrane? Nie ma dowodu pobrania całej bazy danych, pełnej dokumentacji medycznej ani pełnych kopii zapasowych. Potwierdzone ustalenia dotyczą części wyników zapytań wykonywanych w systemie.
15) Czy naruszenie zostało zgłoszone do Prezesa Urzędu Ochrony Danych Osobowych? Tak. Zgodnie z RODO naruszenie ochrony danych osobowych zgłasza się Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia.
Incydent wykryto 3 września 2026 r. Zgłoszenie wstępne przekazano do Prezesa UODO następnego dnia – 4 września 2026 r. o godz. 15:58. Sprawie nadano numer DKN.5130.3922.2026.
W miarę uzyskiwania zweryfikowanych ustaleń technicznych zgłoszenie jest uzupełniane. Ostatnie uzupełnienie przekazano 22 września 2026 r. Równocześnie informacje o analizie i podjętych działaniach są przekazywane do sektorowego zespołu cyberbezpieczeństwa CSIRT CeZ.
16) Czy bezpieczeństwo systemu zostanie niezależnie zweryfikowane? Tak. Trwa wybór niezależnej firmy zewnętrznej, która wykona testy penetracyjne oraz audyt systemów informatycznych objętych incydentem. Ich celem jest obiektywna ocena zabezpieczeń, potwierdzenie skuteczności wdrożonych działań naprawczych oraz wskazanie dalszych działań zwiększających bezpieczeństwo systemu.
9. Kontakt:
Pytania dotyczące zdarzenia można kierować na adres:
incydent@przychodnia.gdynia.pl
Inspektor Ochrony Danych: Andrzej Dolecki
rodo@przychodnia.gdynia.pl
Prosimy o nieprzesyłanie w wiadomościach pełnego numeru PESEL, dokumentacji medycznej ani innych szczegółowych informacji dotyczących zdrowia, jeżeli nie jest to konieczne do udzielenia odpowiedzi.
10. Aktualizacje treści:
- 18.09.2026 r. – opublikowanie pierwszej informacji;
- 25.09.2026 r. – aktualizacja najczęściej zadawanych pytań
- 29.09.2026 r. – aktualizacja najczęściej zadawanych pytań – dodanie pozycji 14-16