Cyberatak na ZOZ Ursynów. Mogły wyciec dane pacjentów!

Hakerzy przełamali zabezpieczenia poczty mailowej ZOZ Ursynów - instytucji, która prowadzi przychodnie publiczne w naszej dzielnicy. Władze SPZOZ nie wykluczają, że doszło też do wycieku danych. W skrzynkach mogły znajdować się numery PESEL, wyniki badań i dokumentacja medyczna pacjentów. To kolejny cyberatak na polską służbę zdrowia po głośnym wycieku z firmy MyDr sprzed kilku tygodni.

Co się stało w SPZOZ Warszawa-Ursynów?

Samodzielny Publiczny Zakład Opieki Zdrowotnej Warszawa-Ursynów, prowadzący publiczne przychodnie lekarskie w dzielnicy, poinformował pacjentów o naruszeniu ochrony danych osobowych. Incydent został zidentyfikowany 28 sierpnia 2026 roku, a zawiadomienie do pacjentów nosi datę 2 września.

Ktoś włamał się do systemu pocztowego przychodni i zaszyfrował znajdującą się tam korespondencję e-mail za pomocą złośliwego oprogramowania typu ransomware — czyli programu, który blokuje dostęp do danych i zwykle służy przestępcom do wymuszenia okupu. Placówka na razie nie potwierdza, ale też nie wyklucza, że napastnicy przy okazji skopiowali sobie zawartość skrzynek, zanim je zaszyfrowali.

Choć obecnie trwają zaawansowane analizy śledcze, na tym etapie nie możemy jednoznacznie wykluczyć, że w trakcie ataku doszło również do naruszenia poufności, a skopiowane dane mogły zostać ujawnione osobom nieupoważnionym.

- informuje Paweł Kurek, pełniący obowiązki dyrektora SPZOZ Warszawa-Ursynów.

Jakie dane pacjentów mogły wyciekć z ursynowskiej przychodni?

Ponieważ atak dotyczył poczty elektronicznej, zakres potencjalnie ujawnionych informacji zależy od tego, co konkretnie znajdowało się w treści maili i załącznikach. Mogą to być dane identyfikacyjne pacjentów - imię, nazwisko, numer PESEL, data urodzenia, adres zamieszkania, numer telefonu czy prywatny e-mail.

Znacznie poważniej wygląda kwestia danych medycznych, objętych szczególną ochroną na mocy przepisów o ochronie danych osobowych, czyli RODO. W zawirusowanej korespondencji mogły znajdować się skany skierowań z kodami chorób, wyniki badań laboratoryjnych i obrazowych, dokumentacja skarg pacjentów zawierająca szczegóły przebiegu leczenia, a także zaświadczenia lekarskie i orzeczenia z medycyny pracy - przyznaje ZOZ.

Incydent może dotyczyć również pracowników placówki. ZOZ Ursynów ostrzega, że w skrzynkach mogły znajdować się CV kandydatów do pracy, umowy, harmonogramy dyżurów, paski płac, numery rachunków bankowych czy zwolnienia lekarskie. Zagrożone mogą być też dane rozliczeniowe, w tym faktury imienne oraz zestawienia dla Narodowego Funduszu Zdrowia zawierające numery PESEL powiązane z konkretnymi procedurami medycznymi.

Jakie zagrożenia grożą pacjentom po wycieku danych z przychodni?

SPZOZ Warszawa-Ursynów oceniło ryzyko naruszenia praw i wolności pacjentów jako wysokie, właśnie ze względu na charakter danych - w tym numer PESEL i informacje medyczne. Co może czekać pacjentów, których dane mogły wyciec?

Zwiększone ryzyko ukierunkowanych oszustw telefonicznych (np. metodą "na wnuczka" lub "na policjanta"). Ze względu na wyciek adresu zamieszkania, nie można również wykluczyć wzrostu zagrożenia fizycznego, takiego jak niechciane wizyty, stalking czy próby włamań.

- ostrzega dyrekcja placówki w zawiadomieniu o incydencie.

Pacjenci mogą się spotkać także z próbami zaciągnięcia pożyczek lub zawarcia umów na cudzy koszt (np. z operatorami telekomunikacyjnymi), przejęciem adresu korespondencyjnego powiązanego z kontami bankowymi, założeniem firmy na cudze dane w celu wyłudzeń podatkowych, a także nieuprawnionym dostępem do świadczeń z ZUS lub NFZ. Placówka z Ursynowa zastrzega jednak, że na razie nie ma sygnałów świadczących o faktycznym wykorzystaniu wykradzionych danych.

Administrator danych w SPZOZ Ursynów zapewnił, że natychmiast po wykryciu incydentu odizolował zaatakowany serwer od reszty sieci informatycznej i rozpoczął szczegółową weryfikację ewentualnego wycieku. O sprawie formalnie zawiadomiono Prezesa Urzędu Ochrony Danych Osobowych oraz inne uprawnione organy państwowe.

Co powinni zrobić pacjenci, których dane mogły wyciec?

Placówka rekomenduje pacjentom kilka konkretnych działań ochronnych. Najważniejsze to zastrzeżenie numeru PESEL - bezpłatnie, elektronicznie np. w aplikacji mObywatel lub na stronie gov.pl lub osobiście w urzędzie dzielnicy (dowolnym). Zastrzeżenie nie blokuje przy tym możliwości rejestracji do lekarza ani realizacji recepty, a jedynie zabezpiecza przed zaciągnięciem zobowiązań finansowych na cudze dane.

SPZOZ zaoferował też - w przypadku wykrycia wycieku danych konkretnej osoby - sfinansowanie rocznego abonamentu alertów BIK, czyli powiadomień SMS wysyłanych za każdym razem, gdy ktoś spróbuje zaciągnąć kredyt lub podpisać umowę na dane danej osoby.

Zalecane jest też przejrzenie własnej obecności w internecie i usunięcie zbędnych danych osobowych, zmiana haseł na unikalne dla każdego serwisu oraz włączenie weryfikacji dwuskładnikowej wszędzie tam, gdzie to możliwe. Pacjentom przysługują też środki prawne - mogą wystąpić z powództwem o ochronę dóbr osobistych na podstawie kodeksu cywilnego, w tym o odszkodowanie lub zadośćuczynienie za naruszenie prawa do prywatności.

Kolejny wyciek danych ze służby zdrowia

Zaledwie kilka tygodni wcześniej, w sierpniu 2026 roku, doszło do znacznie większego cyberataku na firmę MyDr, dostawcę systemu do obsługi przychodni, z którego korzystało około 12 tysięcy placówek medycznych w całym kraju. Skradziona baza danych miała mieć ponad 2 terabajty i według doniesień mogła obejmować dane nawet blisko 19 milionów Polaków, w tym numery PESEL.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski określił wówczas atak jako mający na celu wyłudzenie okupu, a Urząd Ochrony Danych Osobowych zapowiedział kontrolę w spółce MyDr. Sama firma przez dłuższy czas nie potwierdzała dokładnej skali wycieku, ograniczając się do stwierdzenia, że dane mają charakter historyczny i pochodzą głównie z 2024 roku i lat wcześniejszych. Podobnie jak w przypadku SPZOZ Warszawa-Ursynów, kluczowym zaleceniem dla poszkodowanych pozostaje jak najszybsze zastrzeżenie numeru PESEL.