Do telefonów Polaków idą teraz dwa rodzaje wiadomości o tym samym wycieku. Placówki, dla których naruszenie w systemie MyDr oznacza wysokie ryzyko dla pacjentów, mają ustawowy obowiązek zawiadomić ich indywidualnie, więc wysyłają SMS-y, e-maile oraz listy. Ten sam pretekst wykorzystują oszuści, bo wiedzą, że takiej wiadomości ludzie się teraz spodziewają. Fałszywy SMS działa właśnie dlatego, że prawdziwe powiadomienia istnieją. Wiceminister cyfryzacji Dariusz Standerski powiedział 9 września 2026, że zawiadomienia o incydencie “nie powinny zawierać linków w żadnej formie”. Zaapelował też, żeby w nadesłane adresy nie klikać. Rada jest dobra, tylko sama niczego nie rozstrzyga. Poniżej rozkładamy obie wiadomości na cechy, które sprawdzisz w pół minuty. Pokazujemy też drogę weryfikacji, która nie wymaga zaufania żadnej otrzymanej wiadomości.
Dlaczego przychodnia w ogóle wysyła SMS o wycieku
Obowiązek bierze się wprost z przepisu. Artykuł 34 RODO mówi, że gdy naruszenie może powodować wysokie ryzyko dla praw i wolności osoby, administrator zawiadamia ją bez zbędnej zwłoki. Administratorem twojej dokumentacji medycznej jest przychodnia albo gabinet, a nie dostawca systemu. Rozpisaliśmy to przy samym wycieku z MyDr i tym, dlaczego pacjent nie sprawdzi sam siebie u dostawcy. Potwierdza to komunikat Urzędu Ochrony Danych Osobowych “Wyciek danych – co dalej?” z 12 sierpnia 2026. Obowiązek powiadomienia spoczywa na administratorach, którzy korzystali z usług spółki MyDr.
Kanał wyboru należy do placówki. Tłumaczył to Rynkowi Zdrowia dr Paweł Litwiński, adwokat i członek Społecznego Zespołu Ekspertów przy Prezesie UODO. Ujął to krótko: “Placówka medyczna może więc wysłać SMS, e-mail lub list. Nie wystarczy samo zamieszczenie informacji o wycieku na stronie internetowej”. Stąd te wysyłki.
Jest tu haczyk, który psuje najpopularniejszą radę z internetu. Standerski powiedział, że takie SMS-y wysyła firma MyDr albo inne firmy obsługujące przychodnie, bo część placówek nie zbierała bezpośrednich kontaktów do pacjentów. Nieznany nadawca sam w sobie niczego więc nie przesądza. Cecha, którą naprawdę da się sprawdzić, jest inna.
Po czym poznać prawdziwe powiadomienie o wycieku danych
Treść zawiadomienia jest opisana w przepisie, więc można ją odhaczyć punkt po punkcie. Artykuł 34 ustęp 2 RODO wymaga, żeby zawiadomienie jasnym i prostym językiem opisywało charakter naruszenia i zawierało elementy z artykułu 33 ustęp 3. Wychodzą z tego cztery rzeczy:
- opis tego, co się stało, po ludzku i bez prawniczej zbitki;
- dane kontaktowe inspektora ochrony danych, z imieniem i nazwiskiem, albo oznaczenie innego punktu kontaktowego;
- opis możliwych konsekwencji naruszenia dla ciebie;
- opis środków, które administrator zastosował albo proponuje.
Wiadomość złożona z jednego zdania i adresu do kliknięcia zwykle nie ma żadnego z tych czterech elementów. Zawiadomienie bywa z natury długie i nudne, bo przepis każe mu wyjaśnić cztery rzeczy naraz.
Druga cecha dotyczy tego, czego wiadomość od ciebie chce. Administrator opisuje zdarzenie i zaleca środki zaradcze, bo tego wymaga od niego przepis. Twojego numeru PESEL, danych karty ani kodu z aplikacji bankowej do tego nie potrzebuje. Prośba o podanie danych, hasła albo kodu, tak samo jak żądanie płatności, przesądza sprawę. Wezwanie do zalogowania się przez przysłany adres jest z kolei powodem, żeby tego adresu nie otwierać i sprawdzić się drogą opisaną niżej. Trafne imię i nazwisko w treści niczego tu nie zmienia.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Czy prawdziwy SMS o wycieku może zawierać link
Ta sprawa jest bardziej pokręcona, niż wygląda w poradnikach. Standerski nazwał formę tej wysyłki “kompletnie niezrozumiałą”. Zaznaczył, że nie była konsultowana ani z resortem cyfryzacji, ani z Prezesem UODO. Jego rada dla odbiorcy brzmi: “jeżeli dostajemy SMS-a od nieznanego numeru i z linkiem, nie klikajmy w ten adres”.
Media opisujące tę wysyłkę podają przy tym, że autentyczne powiadomienia rozsyłane w imieniu placówek zawierają adresy stron i skrzynek wypisane zwykłym tekstem, bez klikalnego odnośnika. Jako nadawca pojawia się najczęściej podpis “Twoje Dane”. Klikalny link jest więc mocnym sygnałem ostrzegawczym. Dowodem fałszerstwa sam w sobie nie jest i cała decyzja nie powinna na nim stać.
Nadpisu nadawcy sprawdzić się nie da i to jest trzecia rzecz do zapamiętania. Pole z nazwą nadawcy w SMS-ie wypełnia się niemal dowolnym tekstem, co opisaliśmy przy fałszywych wiadomościach podpisanych “Gov PL”. Nazwa przychodni ani podpis “Twoje Dane” niczego nie potwierdzają. Szerszy przegląd takich wyłudzeń, z polskimi przykładami z 2026 roku, znajdziesz w przewodniku po phishingu.
Czego oszust szuka w wiadomości o wycieku
Zakresu wykradzionych danych spółka MyDr nigdy nie potwierdziła i to jest tu punkt wyjścia. To, co wiadomo, pochodzi od sprawców oraz z próbek sprawdzonych przez media: imię i nazwisko, data urodzenia, numer PESEL, numery telefonu, region Narodowego Funduszu Zdrowia i kontekst medyczny. Rozpisaliśmy to dokładnie przy samym wycieku. Wiadomość zbudowana na takich danych brzmi wiarygodnie, bo zawiera prawdę o tobie. Dlatego samo trafne imię i nazwisko przestało być sygnałem autentyczności.
Litwiński wymienił scenariusze, przed którymi ostrzega. Żądanie dopłaty do recepty. Rachunek za konsultację, której nie było. Szantaż ujawnieniem tego, że ktoś leczył się psychiatrycznie albo przyjmuje określone leki. Podszycie się pod konkretnego lekarza, którego nazwisko widnieje w notatkach z wizyty. To są ostrzeżenia eksperta, a nie lista potwierdzonych zdarzeń, i tak trzeba je czytać.
Prezes UODO Mirosław Wróblewski ostrzegł osobno przed telefonami. W wypowiedzi wideo dla Interii powiedział: “Trzeba weryfikować, zadzwonić do tej przychodni, bo ktoś może wykorzystywać, podszywać się pod daną placówkę medyczną”. Rozmowa telefoniczna jest dla oszusta wygodniejsza od SMS-a, bo nie zostawia śladu, który można komuś pokazać.
Jak sprawdzić się samodzielnie, bez klikania w cokolwiek
Istnieje droga, która w ogóle nie korzysta z otrzymanej wiadomości. Rządowy portal Bezpieczne Dane ma już zbiór z MyDr w historii wycieków, oznaczony jako sierpień 2026. Adres bezpiecznedane.gov.pl wpisujesz sam w pasku przeglądarki, logujesz się profilem zaufanym i sprawdzasz swój numer PESEL. Warto przy tym spojrzeć na domenę przed zalogowaniem, bo podrobić można także stronę, do której trafisz z reklamy albo z literówki. To zmiana wobec stanu z 24 sierpnia, kiedy sprawdzaliśmy ten portal po raz czwarty i zbioru w nim nie było.
Portal odpowiada węziej, niż ludzie zakładają. Mówi o numerze PESEL i tyle. Serwis pisze wprost: “Szczegółowych informacji o tym, jakiego rodzaju dane znalazły się w wycieku, może udzielić wyłącznie ich administrator, czyli np. Twoja przychodnia lub gabinet lekarza, z którego usług korzystasz. Te dane nie znajdują się w portalu”. Co jeszcze portal przemilcza, rozpisaliśmy w poradniku o tym, jak go czytać.
Drugi krok to telefon do placówki, ale numer bierzesz z jej strony internetowej albo z wizytówki, nigdy z otrzymanej wiadomości. Dokładnie o to chodziło Wróblewskiemu i to samo radził w swojej wypowiedzi Standerski. Rejestracja nie zawsze zna status wysyłki, więc czasem trzeba poprosić o kontakt do inspektora ochrony danych. Rozmowa i tak zabiera kilka minut, a daje odpowiedź niezależną od treści SMS-a.
Gdzie zgłosić fałszywy SMS i co zrobić dalej
Podejrzaną wiadomość przekazuje się bezpłatnie na numer 8080, obsługiwany przez CERT Polska. Przesyłasz ją w całości, razem z linkiem, bo wycięcie adresu psuje analizę. Gdy przekazanie nie działa, wystarczy skopiować treść i wysłać ją na ten sam numer. Instrukcja stoi na gov.pl, a zgłoszenie można też złożyć przez formularz na incydent.cert.pl. Standerski wskazywał dodatkowo ścieżkę przez aplikację mObywatel.
Centralne Biuro Zwalczania Cyberprzestępczości radzi przy okazji trzy rzeczy. Zastrzec numer PESEL, zmienić hasła do portali pacjenta i włączyć w nich logowanie dwuskładnikowe, jeśli jest dostępne. Instrukcji zastrzeżenia nie będziemy tu powtarzać, bo rozpisaliśmy ją razem z listą rzeczy, których zastrzeżenie nie załatwia. Wróblewski nazwał je “najlepszym środkiem ochrony interesów finansowych”. To ocena prezesa urzędu z wypowiedzi przed kamerą, a nie gwarancja skutku.
Gdy na wyłudzeniu straciłeś pieniądze, pierwszy telefon idzie do banku, bo tylko tam da się jeszcze próbować zatrzymać przelew i zablokować dostęp do konta. Dopiero potem składasz zawiadomienie na policji. Osobno biegnie droga cywilna wobec administratora danych, czyli placówki, choć sam fakt naruszenia u dostawcy nie przesądza jeszcze o jej odpowiedzialności. Rozłożyliśmy to na czynniki w tekście o tym, co daje skarga do UODO, a co pozew o odszkodowanie.
Czego w tej sprawie nikt nie ustalił
Liczby fałszywych wiadomości nie podaje nikt. Ani resort cyfryzacji, ani UODO, ani policja nie oszacowały, ilu Polaków dostało podrobiony SMS albo telefon. Doniesienia o skali są dziś opisem zjawiska, a nie pomiarem.
Nie wiadomo też, ile dokładnie danych mają sprawcy. Wiemy, że potrafią podać imię, nazwisko i numer PESEL, i to wystarcza do uwiarygodnienia wiadomości. Portal Bezpieczne Dane dodaje zdanie, które warto przeczytać spokojnie: “służby nie stwierdziły jak dotąd upublicznienia tych danych”. Informację o numerach PESEL przekazano zapobiegawczo. Sam UODO nie wydał w sprawie fałszywych SMS-ów i telefonów odrębnego komunikatu. Mamy od urzędu wypowiedzi jego prezesa i sierpniowy poradnik. Państwo pracuje nad zmianami w przepisach o danych medycznych, o czym pisaliśmy przy pakiecie zwanym Cyber Piątką. Równolegle szef BBN rzucił pomysł zastrzegania numeru PESEL z urzędu. Ani jedno, ani drugie nie pomaga komuś, kto trzyma telefon w ręku dzisiaj.
Najczęstsze pytania o fałszywe SMS-y po wycieku
Co zrobić, jeśli już kliknąłem w link z takiej wiadomości?
Najpilniejsze są pieniądze. Jeśli podałeś dane karty, numer konta albo kod autoryzacyjny, dzwoń do banku od razu i zastrzeż kartę. Kolejność dalszych kroków zależy od tego, co dokładnie się wydarzyło. Gdy pobrałeś plik, zainstalowałeś aplikację albo zgodziłeś się na jakieś uprawnienia, potraktuj telefon jako niepewny: odłącz go od sieci, odinstaluj to, co przyszło z wiadomości, i przeskanuj urządzenie. Haseł nie zmieniaj wtedy na tym samym telefonie, tylko z innego, zaufanego sprzętu, bo przejęte urządzenie zobaczy także nowe hasło. Jeśli wpisałeś hasło na podstawionej stronie, zmień je w tym serwisie i wszędzie tam, gdzie używałeś takiego samego, a potem włącz logowanie dwuskładnikowe. Samo otwarcie strony bywa nieszkodliwe, choć gwarancji na to nie ma. Wiadomość przekaż na numer 8080 również po kliknięciu, bo zgłoszenie pomaga zablokować domenę kolejnym odbiorcom. Na koniec zastrzeż numer PESEL, jeśli jeszcze tego nie zrobiłeś.
Czy brak SMS-a oznacza, że moje dane nie wyciekły?
Nie oznacza. Powodów braku SMS-a jest kilka i żaden nie mówi nic o zawartości wykradzionego zbioru. Placówka mogła jeszcze nie skończyć ustalania, czy naruszenie jej dotyczy, bo systemu używały tysiące podmiotów pracujących w różnym tempie. Mogła wybrać e-mail albo list zamiast SMS-a. Twojego numeru mogła nie mieć albo mieć nieaktualny. Zdarza się wreszcie, że administrator uznaje brak wysokiego ryzyka lub powołuje się na jeden z wyjątków z artykułu 34 ustęp 3 RODO. Sprawdzenie na portalu Bezpieczne Dane działa niezależnie od tego, czy ktokolwiek do ciebie napisał.
Podsumowanie
Test na otrzymanej wiadomości sprowadza się do trzech pytań. Pierwsze dotyczy tego, czy wiadomość czegoś od ciebie chce, bo zawiadomienie o naruszeniu nie prosi o dane, hasło ani o płatność, a do logowania nie podsyła własnego adresu. Drugie sprawdza cztery elementy wymagane przez artykuł 34 RODO: opis zdarzenia, punkt kontaktowy, możliwe skutki i podjęte środki. Trzecie ogląda link, który jest mocnym sygnałem ostrzegawczym, choć nie przesądza sprawy, bo prawdziwa wysyłka też została skrytykowana za formę. Rozstrzyga dopiero droga poza wiadomością: wpisujesz sam adres portalu Bezpieczne Dane, sprawdzasz numer PESEL, a potem dzwonisz do przychodni pod numer z jej strony. Podejrzaną wiadomość przekaż przy okazji na 8080. Prawdziwe zawiadomienia w tej sprawie naprawdę chodzą i zignorowanie ich kosztuje więcej niż te kilka minut.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
