Osoba nieuprawniona dostała się do systemu zgłoszeń serwisowych firmy EuroSoft i do danych pacjentów co najmniej czterech placówek, w tym PESEL-i pacjentów Penta Hospitals. Dane trafiły do tego helpdesku w treści zgłoszeń i w załącznikach, które przychodnie wysyłały z opisem problemów z programem medycznym. Osobno cztery placówki z Gdyni, Redy i Gdańska zawiadamiają pacjentów o włamaniu do bazy systemu MedicalData, a jego dostawca nie potrafi wskazać, czyje dane wyprowadzono. To dwa różne incydenty z różnym zakresem danych. Rada dla pacjenta jest jednak ta sama: zastrzeż PESEL i nie ufaj telefonom, w których ktoś zna twoje wizyty. Stan na 4 listopada 2026 roku, godz. 19:40, według zawiadomień ośmiu placówek, strony logowania MedicalData, strony głównej EuroSoft i serwisu bezpiecznedane.gov.pl.
Dwa wycieki danych pacjentów: co się stało i kiedy
W EuroSoft włamano się do serwera z systemem zgłoszeń Mantis, czyli helpdesku dostawcy, a nie do programu, w którym lekarze prowadzą dokumentację. W MedicalData napastnik dostał się do infrastruktury i bazy danych pacjentów placówek, które z tego systemu korzystają. Pierwszy incydent trwał niespełna dwie godziny w nocy z 8 na 9 października 2026 roku. Drugi trwał dwa tygodnie, od 19 sierpnia do 2 września.
Placówki dowiadywały się o sprawie od dostawców z opóźnieniem. Klinika Nova dostała informację od EuroSoft 19 października, dziesięć dni po wykryciu włamania. Pogotowie w Gdyni i przychodnia Obłuże-Oksywie dostały pierwszą wiadomość od obsługi MedicalData 17 września. Obłuże pisze, że bez wskazania, czy incydent dotyczy jej pacjentów.
Wyciek w EuroSoft: co było w systemie zgłoszeń Mantis
Według zawiadomienia Penta Hospitals osoba nieuprawniona weszła na serwer z systemem Mantis i “pobrała przechowywane w systemie załączniki do zgłoszeń”. Dostęp trwał od 8 października, godz. 23:39, do 9 października, godz. 1:36, a wykryto go 9 października o 14:00. Penta podkreśla, że system zgłoszeń jest “odrębną strukturą” od programu EuroSoft Przychodnia, w którym zapisuje się karty wizyt. Ten program nie jest objęty naruszeniem.
Zakres danych każda placówka opisuje inaczej, bo każda dostała od EuroSoft wykaz tego, co sama wysłała w zgłoszeniach:
- Penta Hospitals (7 szpitali i 8 przychodni): “numer PESEL w każdym przypadku”, a w części zgłoszeń także numery paragonów z kwotami, adresy e-mail, adresy korespondencyjne, numery telefonów, imiona i nazwiska lekarzy, daty wizyt, kody skierowań i nazwy użytkowników systemu;
- Klinika Nova (Kędzierzyn-Koźle): dane 56 pacjentów, w tym imię i nazwisko, PESEL, data urodzenia, telefon, adres, miejsce udzielenia świadczenia, rodzaj zabiegu, informacje o receptach i wizytach, deklaracja POZ, dane lekarza, a u jednego pacjenta pojedynczy wynik badania laboratoryjnego;
- Zespół Poradni Specjalistycznych nr 1 w Tychach: PESEL, imię i nazwisko oraz informacje o zdrowiu (rozpoznanie, procedura);
- NZOZ Biogenes (Wrocław): imię, nazwisko i PESEL; zawartość załączników EuroSoft wciąż analizuje, więc dane o zdrowiu nie są ani potwierdzone, ani wykluczone.
Klinika Nova w drugiej wersji zawiadomienia z 28 października pisze, że zakres “był w niektórych przypadkach szerszy” niż w pierwszej. Według CyberDefence24 pierwotnie chodziło o 42 osoby. EuroSoft zgłosił incydent do CSIRT Centrum e-Zdrowia 14 października (zgłoszenie #5970) i złożono zawiadomienie na policji. Na stronie głównej EuroSoft komunikatu o incydencie nie ma.
Wyciek w MedicalData: baza pacjentów i brak listy poszkodowanych
W MedicalData napastnik miał dostęp do samej bazy danych pacjentów, więc potencjalny zakres jest szerszy niż w EuroSoft. Pogotowie w Gdyni wymienia imię i nazwisko, PESEL, adres, telefon, dane o zdrowiu, historię leczenia, informacje z dokumentacji medycznej oraz wystawione recepty i leki. Obłuże-Oksywie dopisuje adres e-mail, rozpoznania i opisy medyczne. Żadna placówka nie twierdzi, że skopiowano całą bazę. NZOZ Śródmieście pisze, że potwierdzono “wyprowadzenie części wyników zapytań do bazy danych”, ale nie da się ustalić, których pacjentów dotyczyły.
Daty podają placówki różnie. Pogotowie w Gdyni i Obłuże piszą o aktywności od około 3:00 19 sierpnia do około 15:13 2 września. NZOZ Śródmieście podaje te same dni i godzinę zakończenia, bez godziny rozpoczęcia. MK Medycyna i Kosmetologia z Gdańska podaje okres “od 19 sierpnia do 3 września”. NZOZ Śródmieście pisze, że wykrył incydent 3 września i następnego dnia zgłosił go do UODO (sprawa DKN.5130.3922.2026). Pogotowie w Gdyni i Obłuże dostały wiadomość od obsługi systemu dopiero 17 września.
Na stronie logowania MedicalData z tego okresu jest tylko wpis z 2 września. Brzmi tak: “W związku z wyciekiem danych z innego programu medycznego, profilaktycznie wszystkie hasła do logowania do systemu MediacData zostały wymuszone do zmiany” (pisownia oryginalna). O włamaniu do własnego systemu strona nie pisze. Według Obłuża dostawca przekazał 30 października, że “nie jest w stanie precyzyjnie wskazać których placówek i których konkretnie pacjentów dane zostały skopiowane”. Według tej samej placówki dostawca wdrożył po incydencie między innymi uwierzytelnianie wieloskładnikowe i dodatkowe zabezpieczenia przy receptach na leki wysokiego ryzyka.
Co znaczy “dane mogły zostać objęte naruszeniem”
To zdanie znaczy, że placówka nie wie, czy twoje dane wyciekły, i zawiadamia cię na wszelki wypadek. Obowiązek wynika z art. 34 RODO: administrator musi zawiadomić osoby, gdy naruszenie może powodować wysokie ryzyko dla ich praw. W sprawie MedicalData cztery placówki opublikowały takie ostrożnościowe zawiadomienia, bo dostawca nie umie przypisać wyprowadzonych danych do konkretnych ludzi.
NZOZ Śródmieście ujmuje to najprościej w swoich pytaniach i odpowiedziach: “Nie możemy ani potwierdzić wyprowadzenia danych konkretnego pacjenta, ani zapewnić, że jego dane nie zostały nim objęte”. Przy EuroSoft jest inaczej, bo placówki dostały od dostawcy zestawienia osób, których dane były w zgłoszeniach. Jeśli placówka napisała do ciebie imiennie w sprawie EuroSoft, według zestawienia dostawcy twoje dane były w zgłoszeniach.
Ani EuroSoft, ani MedicalData nie ma w serwisie bezpiecznedane.gov.pl. Portal sprawdza tylko numery z wycieków MyDr i Qbusoft, co opisaliśmy przy wycieku z programu Medyc. Wynik “brak” w tym portalu nic więc nie mówi o tych dwóch incydentach.
Wyciek PESEL: co zrobić po zawiadomieniu z przychodni
Najpierw zastrzeż PESEL, potem przez kilka miesięcy sprawdzaj, kto się do ciebie odzywa w sprawie leczenia. Kroki w kolejności:
- Zastrzeż PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Według strony usługi na gov.pl jest to bezpłatne, a z zastrzeżonym numerem nadal zarejestrujesz się do lekarza i zrealizujesz receptę. Co zastrzeżenie blokuje, a czego nie, rozpisaliśmy w tekście o tym, co realnie daje zastrzeżenie PESEL.
- Włącz alerty w BIK, jeśli chcesz wiedzieć o każdym zapytaniu kredytowym na twoje dane. Poleca to zawiadomienie Obłuża.
- Zajrzyj na Internetowe Konto Pacjenta i sprawdź, czy nie ma tam recept albo wizyt, których nie znasz. Nieznany wpis zgłoś placówce, która go wystawiła.
- Rozłącz się, gdy dzwoni “przychodnia”, “apteka” albo “NFZ” i prosi o kod, hasło albo płatność. Zadzwoń sam na numer ze strony placówki. Znajomość twoich wizyt nie dowodzi, że dzwoni ktoś uprawniony, o czym ostrzega pogotowie w Gdyni.
- Podejrzane SMS-y przekazuj na numer 8080 (CERT Polska, bezpłatnie), a próbę oszustwa zgłoś bankowi i policji.
Dzieci to osobny przypadek. NZOZ Śródmieście przypomina, że PESEL-u małoletniego nie da się zastrzec w tej usłudze, bo jest przeznaczona dla pełnoletnich. Rodzicom zostaje kontrola konta pacjenta dziecka i ostrożność wobec wiadomości. Pisząc do placówki z pytaniem, nie wysyłaj pełnego PESEL-u ani dokumentacji zwykłym e-mailem, o co proszą Obłuże i NZOZ Śródmieście.
Dlaczego PESEL trafia do systemu zgłoszeń serwisowych
PESEL trafia do helpdesku dostawcy razem z opisem problemu. Zawiadomienie z Tychów mówi wprost, że dane pacjentów “zostały umieszczone w treści zgłoszenia serwisowego lub w załączniku”. Klinika Nova precyzuje, że dane jej 56 pacjentów znajdowały się w treści zgłoszenia serwisowego. Według Penty system przechowywał załączniki do zgłoszeń. Według Biogenes EuroSoft ograniczył po incydencie dostęp do historycznych zgłoszeń, więc leżały tam także zgłoszenia z przeszłości. Nasz wniosek: helpdesk dostawcy staje się wtedy dodatkowym zbiorem danych pacjentów, poza programem medycznym i jego zabezpieczeniami.
Placówki nie podają, jakie pliki były w załącznikach ani z jakimi problemami je wysyłano. Że mógł to być zrzut ekranu z kartoteki albo wyeksportowany plik, to nasze przypuszczenie z opisanego zakresu danych.
Po incydencie EuroSoft zrobił to, co każda firma z helpdeskiem może zrobić wcześniej. Według Biogenes ograniczył dostęp do historycznych zgłoszeń, zmienił dane uwierzytelniające i wprowadził rozwiązania, które mają blokować wpisywanie PESEL-i w treść zgłoszeń i przesyłanie niezaszyfrowanych załączników. Biogenes pisze też o usunięciu “podatności wykorzystanej podczas incydentu”, bez nazwy luki. W systemie MantisBT w wersji 2.28.3 i starszych jest krytyczna luka CVE-2026-47156, opisana w bazie NVD od 9 września, poprawiona w wersji 2.28.4. Żadne zawiadomienie nie mówi, że to przez nią włamano się do EuroSoft.
Dla firmy z Jirą, Mantisem albo zgłoszeniami w poczcie wniosek jest praktyczny. Wyznacz czas przechowywania załączników, maskuj numery identyfikacyjne w formularzu i aktualizuj sam system zgłoszeń jak każdy serwer wystawiony do internetu. Placówka odpowiada przy tym za dane także u dostawcy, czyli podmiotu przetwarzającego, i dlatego to przychodnie, a nie EuroSoft, wysyłają zawiadomienia. Ten sam mechanizm widać w wycieku danych z Ministerstwa Kultury.
Kolejni dostawcy oprogramowania dla przychodni
EuroSoft i MedicalData dołączają do dwóch wcześniejszych dostawców oprogramowania medycznego z wyciekiem: MyDr w sierpniu i Qbusoft, producenta programu Medyc, we wrześniu. Na 4 listopada, godz. 19:40, komunikatu o tych incydentach nie było na stronie głównej EuroSoft ani na stronie logowania MedicalData. Informacje publikują placówki, a sprawę opisały CyberDefence24 i trojmiasto.pl. Ile placówek korzysta z EuroSoft albo MedicalData i ilu pacjentów dotyczą oba incydenty, nie podał nikt.
FAQ
Skąd mam wiedzieć, czy moja przychodnia korzysta z EuroSoft albo MedicalData?
Najprościej zapytać inspektora ochrony danych placówki, którego adres jest w klauzuli informacyjnej na stronie albo w rejestracji. Jeśli placówka ustaliła, że twoje dane były objęte naruszeniem z wysokim ryzykiem, musi cię zawiadomić z art. 34 RODO. Brak zawiadomienia nie jest jednak dowodem, że problem cię nie dotyczy, bo w MedicalData dostawca nie wskazał listy pacjentów.
Czy mogę sprawdzić ten wyciek w bezpiecznedane.gov.pl?
Nie. Na 4 listopada 2026 roku serwis zawiera numery PESEL tylko z wycieków MyDr i Qbusoft. O incydencie w EuroSoft i MedicalData dowiesz się z zawiadomienia placówki albo pisząc do jej inspektora ochrony danych.
Podsumowanie
Osoba nieuprawniona dostała się do systemu zgłoszeń serwisowych EuroSoft. Były w nim PESEL-e pacjentów Penta Hospitals, Kliniki Nova, poradni w Tychach i NZOZ Biogenes, a u części z nich także dane o wizytach i zdrowiu. Program z kartami wizyt według Penty nie był objęty naruszeniem. W MedicalData napastnik miał dwa tygodnie dostępu do bazy pacjentów i wyprowadził część wyników zapytań, ale dostawca nie umie wskazać, czyje to dane. Dlatego placówki z Gdyni, Redy i Gdańska zawiadamiają pacjentów ostrożnościowo. Żadnego z tych wycieków nie sprawdzisz w bezpiecznedane.gov.pl, a na stronach obu dostawców, które sprawdziliśmy, komunikatu o incydencie nie ma. Jeśli dostałeś zawiadomienie, zastrzeż PESEL, sprawdź Internetowe Konto Pacjenta i oddzwaniaj tylko na numery ze strony placówki.
