Wyciek z FELG Dent: co zrobić jako pacjent i jako gabinet

Liczba osób z personelu gabinetów, których dane miał ukraść sprawca ataku na FELG Dent, spadła z 712 tysięcy do 28 tysięcy. Sprawca sam poprawił wyliczenie, gdy firma je zakwestionowała w rozmowie z Sekurakiem. Ta jedna zmiana dobrze pokazuje, jak czytać resztę doniesień o wycieku z programu, którego używają polskie gabinety stomatologiczne. FELG Software potwierdził atak i żądanie okupu, ale skali jeszcze nie zna. Jednocześnie poprosił dentystów, żeby wstrzymali się ze zgłoszeniem naruszenia do Urzędu Ochrony Danych Osobowych. Poniżej rozpisujemy, kto podał którą liczbę, co mówi o tej prośbie RODO i co pacjent oraz gabinet mogą zrobić już teraz, przed wynikami analizy.

Co FELG Dent potwierdził w komunikacie z 1 października

Aktualizacja 4 października 2026: 3 października o 14:45 Niebezpiecznik opublikował pisemne wyjaśnienia prezesa FELG Software Grzegorza Stawarza. Według nich osoba żądająca pieniędzy skontaktowała się z firmą 29 września, a firma nie potwierdza, że dane pobrano 9 września, jak twierdzi sprawca. Kwota 100 tysięcy złotych to według prezesa deklarowana cena sprzedaży bazy, a nie żądanie okupu skierowane do FELG. Nazwą “Fingerprint” nadawca posłużył się dopiero w jednej z kolejnych wiadomości, a jako “Horus” firmie nigdy się nie przedstawił. FELG nie dostała też oferty pomocy od nikogo podpisującego się “Fingerprint”. Na stronie status.felg.cloud tych wyjaśnień nie ma, ostatni wpis pochodzi z 2 października, godz. 10:05 (odczyt 4 października). Skali wycieku ani listy gabinetów, których dotyczy, firma nadal nie podała, a prośba o wstrzymanie zgłoszeń do PUODO nie została odwołana. Fragmenty tekstu poniżej uzupełniliśmy.

To program do prowadzenia gabinetu stomatologicznego: kalendarz wizyt, dokumentacja, e-recepty, zwolnienia lekarskie. Na stronie producenta czytamy, że korzysta z niego ponad 16 tysięcy dentystów i higienistek. W części relacji ta liczba urosła do 16 tysięcy gabinetów, czego firma nie podaje.

Głównym publicznym dokumentem firmy jest komunikat na stronie status.felg.cloud, podpisany przez prezesa zarządu FELG Software Grzegorza Stawarza. Pierwszy wpis pochodzi z 1 października, godz. 17:17. Aktualizację z 2 października opisujemy pod listą.

W pierwszym wpisie firma pisze pięć rzeczy:

• padła ofiarą ataku, a sprawca “podający się za członka grupy fingerprint” mógł uzyskać dostęp do danych pacjentów, które gabinety jej powierzyły,
• sprawca twierdzi, że ma “około 10% danych z naszej bazy”, i żąda okupu za ich nieujawnianie,
• firma zawiadomiła prokuraturę i skontaktowała się z UODO,
• na razie nie wie, czy incydent dotyczy danych konkretnego gabinetu,
• prosi gabinety o “niepodejmowanie żadnych kroków związanych ze zgłaszaniem naruszenia do PUODO do czasu formalnego potwierdzenia”.

Co FELG dopisał 2 października

Aktualizacja z 3 października 2026: 2 października o 10:05 FELG dodał do komunikatu nowy wpis. Firma pisze w nim, że system “pozostaje dostępny i może być nadal wykorzystywany do codziennej pracy”, a analiza zakresu incydentu trwa. Placówki, których dane zdarzenie dotyczy, mają dostać informacje i dalsze instrukcje. Prośby o wstrzymanie zgłoszeń do PUODO nowy wpis nie powtarza, ale też jej nie odwołuje. Wpis z 1 października nadal wisi na stronie bez zmian. Przy naszym odczycie 3 października o 11:00 nowszej wersji nie było. Również 2 października zespół Centrum e-Zdrowia przekazał PAP, że sprawę monitorują właściwe służby i instytucje państwowe, w tym CSIRT CeZ. Według CeZ nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.

Więcej prezes FELG powiedział w odpowiedziach dla Sekuraka. Firma zna już sposób, w jaki doszło do ataku, ale szczegółów technicznych nie ujawnia. Analiza logów ma dać wyniki w ciągu kilku dni. “Po weekendzie” gabinety objęte naruszeniem dostaną przygotowane zgłoszenie do UODO i bezpłatne narzędzie do powiadamiania pacjentów. Pozostałe dostaną informację, że incydent ich nie dotyczy.

Ilu pacjentów dotyczy wyciek: kto podał którą liczbę

Pewnej liczby poszkodowanych dziś nie ma. W obiegu są trzy rodzaje liczb i każda pochodzi z innego miejsca.

Prezes FELG zastrzega, że liczba rekordów nie musi odpowiadać liczbie osób. Zaufana Trzecia Strona, która też dostała odpowiedzi firmy, relacjonuje je jako “ponad 2 miliony osób”. Różnica może wydawać się drobna, ale przy dwóch wizytach u dentysty ta sama osoba może mieć w bazie kilka rekordów.

Zakres, który firma uważa za potencjalnie zagrożony, jest za to szeroki. To imię, nazwisko, numer PESEL i adres, dane medyczne oraz informacje związane z e-receptami, e-ZLA i weryfikacją uprawnień w systemie eWUŚ.

Redakcje próbowały sprawdzić prawdziwość bazy. Zaufana Trzecia Strona podała sprawcy osiem numerów PESEL osób, które się na to zgodziły. Niebezpiecznik podał kilka. Żadnego z nich w bazie sprawcy nie było. Wyciek to nie obala, bo przy wycinku bazy losowe numery mogą dawać pudła. Pokazuje za to, że wyliczeniom sprawcy nie da się dziś wierzyć na słowo.

Najwięcej zamieszania jest wokół sprawstwa. FELG pisze o hakerze “podającym się” za członka grupy Fingerprint, odpowiedzialnej za ataki na MyDr, Medyc i Fakturownię. Według Zaufanej Trzeciej Strony i Niebezpiecznika tym razem to ktoś inny. Fingerprint zaprzeczył, a sprawca przyznał, że powoływał się na wcześniejsze ataki, żeby wywrzeć presję w negocjacjach. Prezes FELG wyjaśnił 3 października Niebezpiecznikowi, że nazwą “Fingerprint” nadawca posłużył się w jednej z kolejnych wiadomości do firmy, i zastrzegł, że firma nie może potwierdzić tożsamości anonimowych rozmówców.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Jak według sprawcy doszło do ataku na program dla dentystów

Opis drogi wejścia pochodzi wyłącznie od sprawcy, a firma go nie potwierdziła. Według relacji przekazanej Zaufanej Trzeciej Stronie, Niebezpiecznikowi i Sekurakowi wystarczyło założyć konto demonstracyjne. Z niego dało się pobierać dane produkcyjne innych użytkowników przez interfejs programistyczny, podając kolejne numery identyfikatorów. To błąd znany jako IDOR: serwer zwraca rekord, o który poproszono, i nie sprawdza, czy pytający ma do niego prawo.

Daty w relacjach się różnią. Zaufanej Trzeciej Stronie sprawca mówił o pobieraniu danych od 6 września, Niebezpiecznikowi o 9 września. Daty 9 września firma nie potwierdza: według prezesa to deklaracja anonimowych rozmówców, którą ma zweryfikować analiza logów. Według odpowiedzi firmy dla Z3S FELG dowiedział się o incydencie 28 września około 18:00. W wyjaśnieniach dla Niebezpiecznika z 3 października prezes podaje, że osoba żądająca pieniędzy skontaktowała się z firmą 29 września. Z dostępnych wypowiedzi nie wynika, skąd różnica jednego dnia. Sprawca zapowiada wystawienie bazy na sprzedaż i Niebezpiecznikowi podał cenę 100 tysięcy złotych. FELG zaznacza, że to deklarowana cena sprzedaży, a nie kwota okupu żądana od firmy, a doniesienia o żądaniu 100 tysięcy złotych okupu nazywa nieprawdziwymi. Nie wiadomo, czy baza trafiła już do sprzedaży.

Dla firm, które budują oprogramowanie z danymi klientów, to najważniejsza część historii. Jeśli opis sprawcy się potwierdzi, do pobrania danych wystarczył brak jednego sprawdzenia uprawnień po stronie serwera. Ten sam typ błędu opisywaliśmy przy wycieku z aplikacji tworzonych w Lovable.

Gabinet a zgłoszenie do UODO: czy czekać na potwierdzenie od FELG

Prośba FELG o wstrzymanie zgłoszeń budzi pytania, bo RODO daje administratorowi 72 godziny. Kluczowe jest jednak to, kto jest kim. Administratorem danych pacjentów jest gabinet, a FELG Software jest podmiotem przetwarzającym, któremu gabinet te dane powierzył.

Od kiedy liczą się 72 godziny

Artykuł 33 ust. 1 RODO każe administratorowi zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, “w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia”. Zgłoszenie nie jest potrzebne, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Spóźnione zgłoszenie dalej wolno złożyć, ale z wyjaśnieniem przyczyn opóźnienia.

Europejska Rada Ochrony Danych w wytycznych 9/2022 tłumaczy, kiedy następuje “stwierdzenie”. Administrator powinien mieć rozsądny stopień pewności, że incydent naruszył dane osobowe. Gdy korzysta z podmiotu przetwarzającego, staje się świadomy co do zasady w chwili, gdy ten go poinformuje. Podmiot przetwarzający ma z kolei obowiązek zawiadomić administratora bez zbędnej zwłoki (art. 33 ust. 2).

Co UODO napisał przy wycieku z MyDr

Urząd zajął w tej sprawie stanowisko już w sierpniu. W komunikacie z 12 sierpnia, dotyczącym wycieku u dostawcy systemu MyDr, czytamy: administrator “przed przystąpieniem do realizacji obowiązków, o których mowa w art. 33 ust. 1 oraz 34 RODO, powinien otrzymać od ww. podmiotu przetwarzającego informację potwierdzającą, iż incydent dotyczył danych osobowych związanych z jego działalnością”.

Prośba FELG idzie więc w tym samym kierunku co ten komunikat. Szerzej mechanizm podziału ról opisaliśmy w tekście o tym, dlaczego przy wycieku u dostawcy zegar 72 godzin biegnie placówce.

Czekając na potwierdzenie, gabinet nie musi być bierny. Już teraz może prowadzić notatki z przebiegu incydentu i gromadzić korespondencję z dostawcą. Jeśli naruszenie się potwierdzi, art. 33 ust. 5 wymaga jego udokumentowania, a ocena ryzyka należy do gabinetu. Do tego RODO pozwala zgłosić naruszenie etapami (art. 33 ust. 4). UODO na stronie o zgłaszaniu naruszeń przypomina, że w formularzu jest pole “Zgłoszenie wstępne”. EROD pisze wprost, że za zgłoszenie incydentu, który ostatecznie nie okazał się naruszeniem, nie grozi kara.

Co gabinet korzystający z tego programu może zrobić przed potwierdzeniem

1. Zapisz, kiedy i skąd gabinet dowiedział się o incydencie: z wiadomości od FELG, z mediów, od pacjenta. Te daty będą potrzebne w zgłoszeniu i przy ewentualnym wyjaśnieniu opóźnienia.
2. Napisz do FELG z pytaniem, czy incydent objął dane twojego gabinetu i jakie kategorie danych. Zachowaj korespondencję jako ślad staranności.
3. Sprawdź umowę powierzenia: w jakim terminie dostawca ma informować o naruszeniu i jakie dane ma przekazać.
4. Jeśli gabinet ma inspektora ochrony danych albo stałego prawnika, włącz go od razu, jeszcze przed wiadomością od FELG.
5. Przygotuj szkic zgłoszenia na formularzu UODO i tekst zawiadomienia dla pacjentów. Po potwierdzeniu liczy się czas.

Jeżeli gabinet ma własne dowody, że dane jego pacjentów wypłynęły, na przykład telefon od pacjenta z próbką własnych danych, może uznać naruszenie za stwierdzone wcześniej. Wtedy zgłoszenie wstępne bez czekania na FELG jest bezpieczniejszą drogą. Tę decyzję gabinet podejmuje sam, najlepiej z inspektorem ochrony danych albo prawnikiem.

Co zrobić jako pacjent dentysty po wycieku z FELG Dent

Pacjent nie ma dziś narzędzia, które pokaże, czy jego dane są w zbiorze. Nie wie też zwykle, z jakiego programu korzysta jego dentysta. Kilka rzeczy może zrobić od razu, niezależnie od wyników analizy.

• Zapytaj w gabinecie, czy korzysta z programu firmy FELG i czy dostał od dostawcy informację o incydencie. Gabinet, którego to dotyczy, co do zasady musi cię zawiadomić, jeśli naruszenie niesie wysokie ryzyko (art. 34 RODO).
• Zastrzeż numer PESEL w mObywatelu albo w urzędzie. Utrudni to wyłudzenie kredytu. Co dokładnie daje, opisaliśmy w tekście o tym, co realnie blokuje zastrzeżenie PESEL. Jeśli do dentysty chodzi twoje dziecko, zajrzyj do poradnika o PESEL-u dziecka po wycieku.
• Włącz alerty w BIK, żeby dostać wiadomość, gdy ktoś sprawdzi twoją historię kredytową. Jak to zrobić bez płacenia, opisaliśmy w tekście o darmowym raporcie i alertach BIK.
• Uważaj na telefony i SMS-y “z gabinetu”. Oszust znający datę wizyty i nazwę przychodni brzmi wiarygodnie. Gabinet nie poprosi cię o kod BLIK, dane karty ani instalację aplikacji. Wzory takich wiadomości zebraliśmy przy fałszywych SMS-ach o wycieku danych medycznych.

Jeśli chodzisz do kilku placówek, sprawdź też, czy któraś nie korzystała z MyDr. Tamten wyciek był znacznie większy, a jego skutki opisaliśmy w tekście o wycieku danych z MyDr.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Jak sprawdzić, czy moje dane wyciekły z FELG Dent?

Na dziś nie ma takiej możliwości. FELG zapowiada indywidualne informacje dla gabinetów po zakończeniu analizy logów, a gabinety objęte naruszeniem mają dostać narzędzie do powiadamiania pacjentów. Nikt nie zapowiedział też wyszukiwarki dla pacjentów. Do tego czasu najlepszym źródłem jest twój gabinet.

Czy dentysta musi mnie zawiadomić o wycieku?

Co do zasady musi, jeżeli naruszenie może powodować wysokie ryzyko dla twoich praw lub wolności. RODO przewiduje wyjątki, na przykład gdy skuteczne zabezpieczenia uczyniły dane nieczytelnymi albo późniejsze działania usunęły wysokie ryzyko. Zawiadomienie ma opisać, co się stało, podać kontakt do osoby, która udzieli informacji, możliwe skutki i środki zaradcze. RODO dopuszcza komunikat publiczny zamiast listów tylko wtedy, gdy indywidualny kontakt wymagałby niewspółmiernie dużego wysiłku.

Podsumowanie

FELG Software potwierdził atak na swój program używany w polskich gabinetach stomatologicznych oraz żądanie okupu. Liczby z nagłówków, 2,4 mln pacjentów i 1,2 mln recept, podał sprawca. Firma mówi o wstępnym szacunku około 2 mln rekordów i zastrzega, że rekordy nie oznaczają osób. Sprawca już raz obniżył swoją liczbę o rząd wielkości, a redakcje nie znalazły w bazie żadnego ze sprawdzanych numerów PESEL. Prośba FELG o wstrzymanie zgłoszeń do UODO zgadza się z tym, co urząd napisał przy wycieku z MyDr. Gabinet powinien jednak już teraz dokumentować incydent, pytać dostawcę i przygotować zgłoszenie. Pacjent może zastrzec PESEL, włączyć alerty BIK i zapytać w gabinecie o program. Wyniki analizy logów firma zapowiada po weekendzie.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.