Enel-Med od 9 października 2026 roku wysyła pacjentom e-maile z zawiadomieniem o kradzieży danych. Według treści zawiadomienia, którą opublikował Niebezpiecznik, atakujący pobrał imię, nazwisko, datę urodzenia i inne dane identyfikacyjne, dane kontaktowe oraz dane dotyczące zdrowia. Numeru PESEL wśród nich nie ma. Spółka podała wcześniej, że wyciek danych Enel-Med może dotyczyć około 3% bazy pacjentów, i zapowiedziała, że z każdą taką osobą skontaktuje się indywidualnie. Zbieramy tu, co spółka napisała w kolejnych komunikatach, jak odróżnić prawdziwe zawiadomienie od podróbki i co zrobić po jego otrzymaniu. Osobno opisujemy wyciek z systemu Medyc, bo w relacjach obie sprawy często się mieszają.
Co jest w zawiadomieniu od Enel-Medu
E-mail zaczyna się od daty. 24 września 2026 roku spółka “zidentyfikowała cyberatak, w wyniku którego doszło do naruszenia poufności Państwa danych osobowych”. Atak według niej szybko wykryto i przerwano. Najważniejsze zdanie pada dalej: dane “zostały pobrane przez podmiot odpowiedzialny za atak”. Spółka dodaje, że nie ma informacji, by ktoś je wykorzystał albo upublicznił.
Zawiadomienie wymienia cztery rodzaje danych:
- imię i nazwisko,
- datę urodzenia i inne dane identyfikacyjne, bez numeru PESEL,
- dane dotyczące zdrowia,
- dane kontaktowe.
Enel-Med sam nazywa ryzyka. Pierwsze to próby zaciągnięcia zobowiązań na cudze dane. Drugie to oszustwa, w których ktoś podszywa się pod placówkę medyczną, “np. w celu oferowania innych metod leczenia lub wyłudzenia płatności”. Spółka wspomina też o możliwej dyskryminacji i naruszeniu dóbr osobistych przez dostęp do danych o zdrowiu. Choć PESEL nie wyciekł, zaleca jego zastrzeżenie w mObywatelu i sprawdzanie, kto weryfikował numer.
Zawiadomienie nie mówi, jakie dokładnie informacje o zdrowiu pobrano. Nie ma więc podstaw, by pisać o wycieku całej dokumentacji medycznej. Brak PESEL nie oznacza jednak braku ryzyka. Imię, nazwisko, data urodzenia, telefon i informacja o leczeniu wystarczą, żeby ktoś zadzwonił “z przychodni” i brzmiał wiarygodnie.
Co Enel-Med napisał wcześniej: komunikat dla giełdy
Centrum Medyczne Enel-Med jest spółką notowaną na GPW, więc o incydencie poinformowało raportem bieżącym 25 września. Pełna treść raportu 17/2026 ma kilka zdań. Zarząd pisze, że 24 września wieczorem “powziął informację o incydencie bezpieczeństwa IT i naruszenia poufności danych Spółki”.
Spółka pisze, że “niezwłocznie podjęto działania zmierzające do ograniczenia negatywnych skutków przedmiotowego zdarzenia”. Zawiadomiła Centralne Biuro Zwalczania Cyberprzestępczości oraz CeSIRT prowadzony przez Centrum e-Zdrowia. Incydent zgłosiła też do CERT Polska i Prezesa UODO. Według zarządu incydent nie wpływa w istotny sposób na operacyjne działanie spółki. Enel-Med podał też, że podjął działania zabezpieczające sieć, systemy i dane klientów.
Placówki działały i działają normalnie, więc incydent nie był powodem do odwoływania wizyt. Sprawą zajmuje się też CBZC, czyli policyjna jednostka od cyberprzestępczości.
Komunikat z 27 września i to, czego nadal nie wiadomo
Dwa dni po raporcie dla giełdy Enel-Med opublikował komunikat dla pacjentów. Potwierdził w nim, że 24 września atakujący uzyskał “dostęp do części danych pacjentów”, a naruszenie “może dotyczyć ok. 3% całej bazy pacjentów”. Zapowiedział też, że z każdą osobą, której dane naruszono, skontaktuje się indywidualnie. Właśnie te wiadomości trafiają do skrzynek od 9 października.
Spółka nie podała liczby osób. Liczby, które pojawiają się w mediach, to szacunki redakcji: Niebezpiecznik przemnożył 3% przez liczbę pacjentów z oficjalnych informacji spółki i wyszło mu około 25 tysięcy. Nie wiadomo też, kto stoi za atakiem. Według Niebezpiecznika sprawca podpisujący się “fingerprint”, odpowiedzialny za wyciek z MyDr, zaprzecza, że ma z tym incydentem cokolwiek wspólnego. Nie wiemy wreszcie, czy zawiadomienia przychodzą tylko e-mailem, czy także SMS-em albo pocztą.
Czy wyciek danych Enel-Med ma związek z MyDr i Medyc
Nic tego na razie nie potwierdza. Warto to rozdzielić, bo w relacjach trzy sprawy zlewają się w jedną. Enel-Med w komunikacie nie wiąże swojego incydentu z żadnym dostawcą oprogramowania. Serwis Manager+ zwrócił uwagę 26 września, że nie ma podstaw, by łączyć go z atakami na MyDr, Medyc czy Zdrowit.
Z MyDr łączy Enel-Med co innego, i to warto wiedzieć niezależnie od obecnego incydentu. Po wycieku danych z MyDr sieć podała, że używa tego systemu wyłącznie przy obsłudze pacjentów NFZ. Danych osób z abonamentów, ubezpieczeń i usług komercyjnych w MyDr nie przetwarza. 14 sierpnia mówiła, że nie ma potwierdzenia, że wyciek objął jej pacjentów. Pacjent NFZ tej sieci, którego dane mogły trafić do MyDr, ma więc powód do ostrożności niezależnie od obecnego incydentu, choć obu spraw nic nie łączy.
Wyciek z systemu Medyc: co podał UODO
Druga sprawa tego tygodnia dotyczy oprogramowania, a nie konkretnej sieci przychodni. Medyc to system do prowadzenia dokumentacji medycznej firmy Qbusoft z Olsztyna. Korzystają z niego placówki w całej Polsce. Pacjent zwykle nie wie, z jakiego programu korzysta jego przychodnia.
UODO pisze w komunikacie z 25 września o wycieku, “który może obejmować dane medyczne nawet pięciu milionów Polaków”. Liczba pięciu milionów pochodzi jednak od sprawców i nikt jej dotąd nie zweryfikował. Szef BBN Bartosz Grodecki pisał wprost, że “te liczby wymagają jeszcze oficjalnego potwierdzenia”. Zaufana Trzecia Strona szacuje skalę na ponad milion osób. Sama redakcja zastrzega, że to przybliżenie oparte na liczbie wizyt.
Według ustaleń Z3S atakujący wykorzystał lukę typu SQL injection, czyli błąd pozwalający wstrzyknąć własne polecenie do bazy danych. Stało się to 22 i 23 sierpnia, a wykryto to dopiero w nocy z 8 na 9 września. Chodzi o dane z okresu od 1 lipca 2024 do 23 sierpnia 2026 roku. Są wśród nich imiona, nazwiska, numery PESEL, adresy, telefony i e-maile. Bardzo prawdopodobne jest, że także wypisy ze szpitala. Z3S przypisuje atak sprawcy podpisującemu się “fingerprint”, temu samemu, który stoi za wyciekiem z MyDr.
UODO zapowiedział kontrolę w Qbusofcie i dodatkowe kontrole w ochronie zdrowia do końca 2026 roku. Urząd zauważa przy tym, że firma “jak dotąd nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska”. O kontrolach UODO w placówkach medycznych pisaliśmy już w tym miesiącu. Infolinia UODO działa pod numerem 606 950 000, w dni robocze od 10:00 do 14:00.
Co pacjent Enel-Medu może zrobić dziś
Te kroki mają sens dla każdego pacjenta sieci, także dla osób bez zawiadomienia. Zawiadomienie przychodzi e-mailem, więc przy nieaktualnym adresie w Enel-Medzie można go nie dostać.
Zastrzeż numer PESEL
To najważniejszy krok, bo zamyka najpoważniejsze ryzyko, czyli kredyt albo pożyczkę na twoje dane. Zastrzeżenie robi się w mObywatelu albo w urzędzie gminy i jest bezpłatne. Od czerwca 2024 roku banki i inne instytucje objęte ustawą muszą sprawdzić rejestr, zanim zawrą umowę. Wizyty u lekarza, recepty i przelewy działają dalej normalnie. Szczegóły i listę tego, czego zastrzeżenie nie załatwia, rozpisaliśmy przy okazji wycieku z MyDr. Czy ktoś nie wziął już kredytu na twoje dane, sprawdzisz w bezpłatnej kopii danych z BIK, o której piszemy w poradniku raport BIK za darmo.
Zmień hasło do konta pacjenta
Enel-Med nie napisał, że incydent objął hasła, i nie ma podstaw, by tak zakładać. Zmiana hasła do konta pacjenta nic jednak nie kosztuje. Jeśli to samo hasło działa też w poczcie albo w sklepie internetowym, zmień je również tam. Powtórzone hasła przestępcy sprawdzają w pierwszej kolejności.
Nie ufaj SMS-om i telefonom “w sprawie wycieku”
Po każdym głośnym wycieku przychodzą wiadomości podszywające się pod przychodnię, bank albo policję. Mają link “do sprawdzenia danych” albo prośbę o potwierdzenie PESEL-u. Prawdziwe zawiadomienie nie poprosi cię o hasło, kod z SMS-a ani dane karty. Jak odróżnić jedno od drugiego, opisaliśmy w tekście o fałszywych SMS-ach po wycieku danych medycznych. W skrócie: podejrzaną wiadomość przekazujesz na numer 8080. Do przychodni dzwonisz sam, z numeru ze strony internetowej.
Prawdziwe zawiadomienie od Enel-Medu podaje kontakt do inspektora ochrony danych, iod@enel.pl, i nie prosi o PESEL, hasło ani płatność. Wiadomość “w sprawie wycieku”, która żąda dopłaty, danych karty albo pilnej decyzji, nie pochodzi od spółki. Numer infolinii bierz ze strony enel.pl, a nie z treści wiadomości.
Nie dostałeś e-maila? Zapytaj o swoje dane
Gdy naruszenie może oznaczać wysokie ryzyko dla pacjentów, RODO wymaga, by administrator danych zawiadomił ich bez zbędnej zwłoki. Dla pacjentów Enel-Medu administratorem jest sama spółka i to ona wysyła teraz zawiadomienia. Jeśli takiego e-maila nie masz, a chcesz mieć pewność, napisz do inspektora ochrony danych na adres iod@enel.pl albo listownie do siedziby spółki z dopiskiem “Inspektor Ochrony Danych Osobowych”. Możesz zapytać, jakie twoje dane spółka przetwarza i czy incydent je objął.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Trzy incydenty w ochronie zdrowia w półtora miesiąca
Sierpień zaczął się od MyDr, wrzesień przyniósł Medyc i Enel-Med. W dwóch pierwszych sprawach zawiódł dostawca oprogramowania, z którego korzystają setki przychodni. Grodecki ujął to tak: “jeżeli z jednego rozwiązania korzystają setki podmiotów leczniczych, bezpieczeństwo jego dostawcy przestaje być wyłącznie sprawą prywatnej firmy”.
Państwo zaczęło reagować. Według wicepremiera Krzysztofa Gawkowskiego CSIRT Centrum e-Zdrowia i Ministerstwo Zdrowia przekazały dostawcom zalecenia bezpieczeństwa 16 września. Do tego dochodzą kontrole UODO do końca roku. Na dłuższą metę to dobra wiadomość, ale na dziś pacjentowi niczego nie zmienia. Jego dane leżą w kilku systemach naraz i o każdym decyduje ktoś inny.
Najczęstsze pytania
Jak sprawdzić, czy moje dane wyciekły z Enel-Med?
Enel-Med nie uruchomił wyszukiwarki ani formularza. Osoby, których dane objął incydent, dostają od 9 października e-mail z zawiadomieniem i listą pobranych danych. Jeśli go nie masz, a chcesz się upewnić, napisz do inspektora ochrony danych na iod@enel.pl. Nie wpisuj numeru PESEL w strony, które obiecują takie sprawdzenie, bo po wyciekach szybko pojawiają się ich podróbki.
Czy z Enel-Medu wyciekł mój PESEL?
Według zawiadomienia nie. Spółka pisze, że incydent nie objął numeru PESEL, a pobrane zostały imię, nazwisko, data urodzenia i inne dane identyfikacyjne, dane kontaktowe i dane dotyczące zdrowia. Mimo to zaleca zastrzeżenie PESEL, bo pozostałe dane też mogą posłużyć oszustom.
Czy zastrzeżenie PESEL zablokuje mi wizytę albo receptę w Enel-Medzie?
Nie. Zastrzeżenie działa przy czynnościach wymienionych w ustawie, takich jak kredyt, pożyczka, nowy rachunek w banku czy duplikat karty SIM. Rejestracja do lekarza, realizacja recepty i badania działają z zastrzeżonym numerem normalnie.
Podsumowanie
Enel-Med zgłosił 25 września incydent IT, a 27 września potwierdził, że atakujący dostał się do części danych pacjentów, według spółki około 3% bazy. Od 9 października wysyła zawiadomienia: pobrane zostały imię, nazwisko, data urodzenia i inne dane identyfikacyjne, dane kontaktowe i dane dotyczące zdrowia, bez numeru PESEL. Sprawą zajmują się CBZC, CSIRT, CERT Polska i UODO. Nic na razie nie łączy tego zdarzenia z wyciekiem z systemu Medyc, w którym UODO zapowiedział kontrolę w firmie Qbusoft. Pacjentom sieci, także tym bez zawiadomienia, warto zastrzec PESEL, zmienić hasło do konta pacjenta i nie odpowiadać na wiadomości ani telefony “z przychodni” w sprawie wycieku. Pytania o własne dane kieruje się do inspektora ochrony danych na iod@enel.pl.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
