Wyciek z eWUŚ: NFZ potwierdza dane 11 mln osób. Co zrobić

Imiona, nazwiska, numery PESEL i informacja o prawie do leczenia na NFZ około 11,1 mln osób trafiły w marcu 2024 roku do przestępców, a nie da się sprawdzić, czy jesteś w tym zbiorze. Dlatego zastrzeżenie numeru PESEL ma dziś sens dla każdej osoby ubezpieczonej w NFZ, która jeszcze tego nie zrobiła. Narodowy Fundusz Zdrowia poinformował o naruszeniu ochrony danych 6 października 2026 roku. Dzień wcześniej Prokuratura Regionalna w Poznaniu skierowała do sądu akt oskarżenia wobec pięciu osób i podała inną liczbę: ponad 13 mln. Dane pochodzą z eWUŚ, systemu, w którym przychodnia sprawdza ubezpieczenie pacjenta po numerze PESEL.

Co wyciekło z eWUŚ, a czego ten system nie przechowuje

Według komunikatu NFZ z systemu pobrano trzy rodzaje danych. Fundusz dodaje wprost: “System eWUŚ nie przetwarza innych danych osób, niż wskazane powyżej”. Historii leczenia w zbiorze nie ma, jest za to dokładnie to, czym pacjent przedstawia się w rejestracji.

Zestaw “imię, nazwisko i PESEL” to klucz do wielu spraw urzędowych i finansowych. Status ubezpieczenia dokłada jeszcze jedno: oszust wie, czy NFZ potwierdza tej osobie prawo do świadczeń, i może to wykorzystać w rozmowie. NFZ sam pisze w komunikacie o ryzyku, że ktoś zarejestruje się na wizytę na cudze dane, bo rejestracja telefoniczna często opiera się na numerze PESEL.

Co to jest eWUŚ i co widzi przychodnia

eWUŚ, czyli Elektroniczna Weryfikacja Uprawnień Świadczeniobiorców, to system NFZ, w którym placówka medyczna od ręki sprawdza, czy pacjent ma prawo do leczenia finansowanego przez NFZ. Rejestracja wpisuje PESEL i dostaje odpowiedź. Według instrukcji Centrum e-Zdrowia na pacjent.gov.pl system jest codziennie aktualizowany danymi z ZUS i KRUS.

Odpowiedź ma dwa stany. Status zielony oznacza, że system potwierdza prawo do świadczeń. Status czerwony oznacza brak potwierdzenia, co według Centrum e-Zdrowia nie zawsze znaczy brak ubezpieczenia. Pacjent może wtedy podpisać oświadczenie albo pokazać dokument, np. zaświadczenie od pracodawcy, i zostać przyjęty na NFZ.

Dostęp do systemu mają wyłącznie świadczeniodawcy, czyli placówki z umową z NFZ. Korzystają z niego przez własne programy do obsługi gabinetu. NFZ podkreśla w komunikacie, że świadczeniodawcy są niezależnymi administratorami danych i sami wybierają oprogramowanie oraz zabezpieczenia. Właśnie ta droga, przez konto pracownika placówki, okazała się słabym punktem.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

11,1 mln czy 13 mln: skąd dwie liczby w sprawie wycieku

Obie liczby pochodzą z oficjalnych dokumentów, tylko z dwóch różnych. NFZ podaje około 11,1 mln osób, prokuratura ponad 13 mln. Żaden z tych dokumentów nie wyjaśnia, skąd bierze się różnica, i nie warto jej zgadywać.

W komunikacie prokuratury jest jeszcze jeden szczegół. Jednemu z oskarżonych zarzucono zapytania do systemu także o “sztucznie wygenerowane numery PESEL”. Czy to ma związek z różnicą liczb, nie napisała ani prokuratura, ani NFZ.

Jak doszło do wycieku: konta pracowników placówek i skrypt

Przestępcy nie włamali się do serwerów NFZ. Weszli na konta pracowników placówek medycznych i z ich poziomu wysyłali do systemu masowe zapytania. Prokuratura pisze, że w programie placówki uruchomiono skrypt, który automatycznie odpytywał system o kolejne numery PESEL. W ten sposób wysłano ponad 18 mln zapytań. NFZ zauważył anomalię, czyli masowe odpytywanie systemu przez dwóch świadczeniodawców. Zawiadomił prokuraturę i Prezesa Urzędu Ochrony Danych Osobowych.

NFZ zaznacza: “Nie doszło do przełamania zabezpieczeń systemów NFZ”. Technicznie to się zgadza, a mimo to dane 11 mln osób wyszły z systemu NFZ. System odpowiadał na zapytania, bo przychodziły z prawdziwych kont placówek. System nie odróżnił recepcji obsługującej pacjentów od skryptu, który pyta o tysiące numerów.

Akt oskarżenia obejmuje pięć osób i trafił do Sądu Okręgowego w Poznaniu. Grożą im kary do 8 i 12 lat więzienia, a według prokuratury poszczególni podejrzani przyznali się do zarzutów. Jeden z nich odpowiada także za dostęp do informacji zapisanych na “internetowych kontach pacjentów”. Prokuratura nie precyzuje, o jakie konta chodzi, więc nie należy utożsamiać ich z Internetowym Kontem Pacjenta na pacjent.gov.pl.

Czy dane są bezpieczne, skoro policja odzyskała bazę

Prokuratura pisze, że funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości doprowadzili do “odzyskania całej bazy danych”. Komunikat nie mówi jednak, czy przez dwa i pół roku od marca 2024 roku kopie bazy nie trafiły do innych osób. Z ostrożności lepiej zakładać, że dane mogły krążyć. Tak samo traktuje je NFZ, który w komunikacie zaleca konkretne środki ochrony.

eWUŚ a wyciek z MyDr: dwie różne sprawy

Sprawa z marca 2024 roku i wyciek z MyDr z sierpnia 2026 roku to dwa odrębne zdarzenia. Łączy je tylko platforma, przez którą w 2024 roku weszli sprawcy. Prokuratura wymienia MyDr, a NFZ pisze ogólnie o “systemie stosowanym przez świadczeniodawców”.

Szczegóły sierpniowej sprawy i jej aktualizacje opisujemy w osobnym tekście o wycieku danych z MyDr.

Czy da się sprawdzić, czy moje dane są w wycieku z eWUŚ

Nie da się. NFZ nie udostępnił wyszukiwarki ani listy osób i nie zapowiada w komunikacie indywidualnych powiadomień. Rządowy portal bezpiecznedane.gov.pl na 8 października 2026 roku nie ma tej sprawy w historii wycieków. Lista kończy się na MyDr z sierpnia 2026 roku, a w 2024 roku nie ma wpisu dotyczącego NFZ. Jak działa ten portal i dlaczego pusty wynik niewiele mówi, opisujemy w poradniku Bezpieczne Dane krok po kroku.

Około 11 mln osób to mniej więcej co trzeci mieszkaniec Polski, więc każda osoba ubezpieczona w NFZ ma realną szansę, że jej numer PESEL jest w zbiorze. Dlatego czynności ochronne mają sens bez czekania na potwierdzenie. Pierwszą z nich jest zastrzeżenie numeru PESEL w aplikacji mObywatel albo na gov.pl. Co ono blokuje, a czego nie, wyjaśniamy w tekście o tym, co realnie blokuje zastrzeżenie PESEL.

Co zrobić po wycieku z eWUŚ: zalecenia NFZ w praktyce

NFZ wymienia w komunikacie sześć możliwych skutków: kradzież tożsamości, pożyczki pozabankowe na cudze dane, rejestrację karty SIM, korzystanie z leczenia na cudze dane, marketing bez zgody i zakładanie kont w serwisach. Zalecenia funduszu da się zamienić na krótką listę czynności:

1. Zastrzeż numer PESEL, jeśli jeszcze tego nie zrobiłeś. To ochrona przed kredytem i duplikatem karty SIM na twoje dane.
2. Włącz monitorowanie w BIK. NFZ radzi założyć konto np. w BIK. Bezpłatne są tam Powiadomienia e-mailem o nowej informacji, a szczegółowe Alerty BIK wysyłane SMS-em są płatne. Różnice pokazujemy w tekście o raporcie BIK za darmo i alertach.
3. Nie potwierdzaj danych przez telefon. Rozmówca, który zna twoje nazwisko, PESEL i wie, że NFZ potwierdza ci prawo do świadczeń, brzmi wiarygodnie. Numer na ekranie da się podrobić, patrz poradnik o spoofingu.
4. Uważaj na SMS-y i e-maile o “sprawach w NFZ”, zwłaszcza z linkiem do płatności. Wzorzec opisaliśmy przy fałszywych SMS-ach o wycieku danych medycznych.
5. Zgłoś kradzież tożsamości na policję albo do prokuratury, jeśli ktoś użył twoich danych, np. wziął pożyczkę.

NFZ wskazuje też drogę cywilną: ochronę dóbr osobistych, gdy potwierdzi się wykorzystanie danych. Co daje skarga do UODO, a co pozew, wyjaśniamy w tekście o odszkodowaniu za wyciek danych. Pytania o samo naruszenie można kierować do inspektora ochrony danych NFZ pod adres iod@nfz.gov.pl.

Najczęściej zadawane pytania

Jak sprawdzić, czy jestem ubezpieczony w eWUŚ?

Najprościej w bezpłatnej aplikacji mojeIKP. Według instrukcji Centrum e-Zdrowia trzeba się zalogować, przejść do sekcji e-zdrowie na dole ekranu i otworzyć kafelek “Ubezpieczenie zdrowotne”. Na górze pojawia się komunikat, że NFZ potwierdza albo nie potwierdza prawa do świadczeń. Przy braku potwierdzenia aplikacja pokazuje dodatkowe wyjaśnienie. Aplikacja pokazuje tylko status ubezpieczenia, obecności w wycieku nie sprawdza.

Czy NFZ powiadomi osoby, których dane wyciekły?

Komunikat z 6 października nie zapowiada indywidualnych powiadomień. NFZ opublikował informację o naruszeniu na swojej stronie i podał kontakt do inspektora ochrony danych. Na wiadomość od NFZ nie warto więc czekać, a SMS czy e-mail, który się na taki komunikat powołuje, lepiej sprawdzić bardzo dokładnie.

Czy ten wyciek ma związek z propozycjami Cyber Piątki?

Pośrednio. W sierpniu 2026 roku Ministerstwo Cyfryzacji zaproponowało, żeby podmiot, u którego doszło do wycieku, przekazywał dane osób objętych naruszeniem do CSIRT NASK za pośrednictwem policji. Przepisu w tej sprawie na razie nie ma. Szczegóły opisaliśmy w tekście o Cyber Piątce.

Podsumowanie

NFZ potwierdził 6 października 2026 roku, że w marcu 2024 roku z systemu eWUŚ pobrano imiona i nazwiska, numery PESEL oraz status ubezpieczenia około 11,1 mln osób. Prokuratura Regionalna w Poznaniu, która dzień wcześniej oskarżyła pięć osób, podaje ponad 13 mln, a różnicy żaden dokument nie wyjaśnia. Sprawcy weszli przez konta pracowników placówek korzystających z MyDr i wysłali skryptem ponad 18 mln zapytań. To inna sprawa niż sierpniowy wyciek z MyDr. Dokumentacja medyczna nie wyciekła, bo system jej nie przechowuje. Sprawdzić swojej obecności w zbiorze nie można, a odzyskanie bazy przez policję nie wyklucza, że dane krążą. Najrozsądniej zastrzec PESEL, włączyć monitorowanie w BIK i niczego nie potwierdzać w rozmowach telefonicznych.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.