Zrobiłem audyt włamania do MyDr i przejęcia przez włamywaczy danych medycznych połowy Polaków, i niedługo na Fejsbuku ujawnię szczegóły. Jak chcecie pomóc, to komentujcie i podawajcie to dalej.
W następnej części podam logiczne rozumowanie, z którego wynika, że cała narracja rządu o tym włamie się nie trzyma kupy, więc to na pewno jest ściema. To nie muszą być wszystko kłamstwa, ale to jest ewidentna manipulacja: część prawdy, cześć kłamstw. Trzeba teraz tylko oddzielić ziarno od plew. Ja wam niezbicie udowodnię, że to ściema, w Wy spróbujcie wymyślić, co jest prawdą, a co nie i jaki jest prawdziwy scenariusz. Ja swoją teorię już mam. Podam ją w kolejnych częściach.
Najpierw fakty. Jakie informacje podano opinii publicznej? Same te informacje mogą być prawdziwe lub fałszywe, ale faktem jest, że je podano. Z tego da się już wnioski wydedukować w sposób logiczny, bez żadnych dalszych badań i audytów. Oto te oficjalne informacje:
1. Prokuratura nadzoruje śledztwo
Prokuratura Okręgowa w Warszawie sprawuje nadzór nad dochodzeniem prowadzonym przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC). Sprawa dotyczy uzyskania przez nieznaną osobę dostępu do systemu informatycznego firmy MyDr — bez pozwolenia i przez internet — nie później niż 6 sierpnia 2026 roku.
2. Jak doszło do włamania?
Zgodnie z komunikatem prokuratury, sprawca złamał lub ominął zabezpieczenia chroniące dane w systemie.
3. Jakie dane zostały skradzione?
Wśród przejętych informacji znajdują się:
- Dane osobowe: imiona, nazwiska, numery PESEL, telefony, adresy e-mail.
- Dane medyczne: notatki z wizyt lekarskich oraz informacje o receptach.
4. Ujawnienie danych
Prokuratura potwierdziła, że sprawca udostępnił część skradzionych danych redakcji „Zaufanej Trzeciej Strony”.
5. Reakcja CBZC
CBZC podjęło pierwsze działania z urzędu 10 sierpnia, a formalne śledztwo rozpoczęło się 12 sierpnia 2026 roku.
6. Reakcja MyDr
Firma MyDr poinformowała 10 sierpnia o godzinie 15:00, że po otrzymaniu informacji o możliwym włamaniu uruchomiła procedury awaryjne i powiadomiła organy ścigania.
7. Pierwsze doniesienia o wycieku 10 sierpnia
Krzysztof Gawkowski mówił, że na tym etapie nie można było jeszcze potwierdzić wycieku danych, choć wiele wskazywało na to, że nieuprawniona osoba uzyskała dostęp do systemu.
8. Potwierdzenie przez Ministerstwo Cyfryzacji
12 sierpnia Ministerstwo Cyfryzacji poinformowało, że MyDr potwierdziło nieuprawniony dostęp do historycznych danych z gabinetów lekarskich przechowywanych w jego systemach.
9. Zakres czasowy danych
Według komunikatu Ministerstwa z wieczora 12 sierpnia skradzione dane dotyczą okresu do kwietnia 2024 roku.
10. Skala incydentu
Ministerstwo oszacowało, że włamanie może dotyczyć 18,8 miliona osób oraz ponad 12 tysięcy placówek medycznych. Uwaga: Liczba ta pochodzi pierwotnie od domniemanych sprawców (zob. pkt 40).
11. Sposób przejęcia danych
Ministerstwo stwierdziło, że dane zostały skradzione przez cyberprzestępców.
12. Oświadczenie MyDr z 12 sierpnia
MyDr o godzinie 18:30 poinformowało: „Możemy potwierdzić, że incydent dotyczył części danych, ale na ten moment nie jesteśmy w stanie podać ich dokładnej ilości i rodzaju.”
13. Stanowisko UODO
Urząd Ochrony Danych Osobowych (UODO) 12—16 sierpnia wielokrotnie podkreślał, że pełna skala włamania wciąż nie jest znana. W związku z tym Prezes UODO zdecydował o przeprowadzeniu kontroli w MyDr.
14. Szacunki Krzysztof Gawkowskiego
Gawkowski mówił o blisko 19 milionach rekordów i bazie danych o wielkości ponad 2 TB.
15. Informacje od Michała Gramatyki
Gramatyka wskazywał, że skradzione dane mają charakter historyczny (z 2024 roku i wcześniej). Uwaga: Nie potwierdzono, czy chodzi o kopię zapasową całego systemu sprzed kilkunastu miesięcy.
16. Potwierdzenie przez Gramatykę
Gramatyka powiedział: „Wiemy, który plik trafił w ręce sprawców.”
17. Niepewność co do lokalizacji danych
Gramatyka dodał również: „Nie wiemy, gdzie te dane są; prawdopodobnie są w posiadaniu przestępców.”
18. Dane polityka jako dowód
Gawkowski, zapytany w TVN24, czy grupa przesłała dane ważnego polskiego polityka (w tym PESEL i recepty) dla potwierdzenia ataku, odpowiedział: „Tak, i więcej nic nie powiem.”
19. Przyczyna włamania
Gawkowski poinformował, że wiadomo już, gdzie był błąd w oprogramowaniu oraz jakie elementy systemu nie zadziałały.
20. Oświadczenie o uszczelnieniu luk
13 sierpnia rano to wicepremier Gawkowski, a nie MyDr, oświadczył, że przyczyna włamania jest znana, a luki zostały uszczelnione. MyDr w swoim oświadczeniu z 12/13 sierpnia było bardziej ostrożne — potwierdziło jedynie „celowe działanie o charakterze przestępczym”, bez podawania zakresu danych.
21. Monitorowanie darknetu
Gawkowski powiedział, że służby monitorują darknet, a dane nie były wówczas publicznie wystawione na sprzedaż.
22. Postęp w śledztwie 14 sierpnia
Gawkowski oświadczył: „Jesteśmy na tropie grupy, która wykradła dane Polaków z firmy MyDr.”
23. Brak szczegółów o sprawcach
Nie podano publicznie nazwy grupy, jej członków, kraju pochodzenia ani technicznych dowodów potwierdzających tę ocenę.
24. Motywacja sprawców
Gawkowski stwierdził, że nic nie wskazuje na udział Rosji lub innego państwa, a bardziej prawdopodobna jest motywacja finansowa cyberprzestępców.
25. Stanowisko Donalda Tuska
Donald Tusk powiedział: „Motywacja wydaje się czysto kryminalna. Wiele na to wskazuje, że chodzi o próbę wyłudzenia okupu od firmy MyDr.”
26. Stanowisko w sprawie okupu 12 sierpnia
Gawkowski zapowiedział: „Nikt w Polsce nie będzie płacił żadnych okupów.” Uwaga: Nie potwierdzono, czy takie żądanie zostało złożone.
27. Brak publicznych dowodów na żądanie okupu
Nie opublikowano treści żadnego żądania okupu (kwoty, terminu płatności, sposobu płatności ani ultimatum).
28. Prokuratura a okup
Prokuratura nie wspomina o żądaniu okupu w oficjalnych komunikatach.
29. Brak potwierdzenia skopiowania danych
Prokuratura nie potwierdziła, że sprawcy fizycznie skopiowali 2 TB lub 2,5 TB danych ani że posiadają pełną bazę 18,8 miliona osób.
30. Brak dowodów na eksfiltrację danych
Nie opublikowano logów ani materiałów dowodowych potwierdzających fizyczne skopiowanie pełnych 2-2,5 TB danych.
31. Niepewność co do liczby 18,8 mln
Nie wiadomo publicznie, czy 18,8 miliona to liczba rekordów faktycznie skopiowanych, czy liczba osób w bazie, do której uzyskano dostęp. Uwaga: Liczba ta pochodzi od samych sprawców (zob. pkt 40).
32. Niepewność co do kopii backupu
Nie wiadomo, czy sprawcy mają lokalną kopię całego backupu, czy jedynie uzyskali możliwość odczytu danych w zaatakowanej infrastrukturze.
33. Data utworzenia backupu
Nie znamy niezależnie potwierdzonej daty utworzenia ewentualnego backupu.
34. „Dane historyczne z 2024 r.”
Nie wiadomo, czy chodzi o datę wykonania kopii, czy o wiek danych w niej zawartych.
35. Bezpieczeństwo certyfikatów P1
Centrum e-Zdrowia poinformowało, że według stanu na 14 sierpnia 2026 roku nie stwierdzono przejęcia ani nieuprawnionego użycia certyfikatów P1. Mimo to certyfikaty są prewencyjnie wymieniane.
36. Baza bezpiecznedane.gov.pl
15 sierpnia 2026 roku dane z incydentu MyDr nie zostały jeszcze wprowadzone do bazy serwisu bezpiecznedane.gov.pl.
37. Brak dowodów na udział obcego państwa
Nie przedstawiono publicznych dowodów na udział obcego państwa w incydencie.
38. Brak dowodów na wykluczenie udziału państwa
Nie przedstawiono publicznych dowodów wykluczających możliwość, że dane zostały przekazane prywatnie podmiotowi państwowemu. Obecne informacje odzwierciedlają jedynie aktualną ocenę służb, że nic na to nie wskazuje.
39. Pierwszy kontakt ze sprawcami
Pierwszy kontakt domniemanych sprawców z redakcją „Zaufanej Trzeciej Strony” nastąpił 8 sierpnia 2026 roku (sobota) — dwa dni przed pierwszym oświadczeniem MyDr i cztery dni przed komunikatem Ministerstwa Cyfryzacji.
40. Pochodzenie liczby 18,8 mln
Liczba 18 814 422 unikalnych numerów PESEL, przyjęta 12 sierpnia przez Ministerstwo Cyfryzacji jako oficjalny szacunek, pochodzi pierwotnie od samych sprawców. To oni przekazali ją „Zaufanej Trzeciej Stronie”, zanim MyDr lub jakikolwiek organ państwowy potwierdził ją niezależnie.
41. Próba wyłudzenia okupu
Według relacji „Zaufanej Trzeciej Strony” domniemani sprawcy przekazali redakcji informację, że próbowali uzyskać okup od MyDr. To prawdopodobne źródło politycznej narracji o „próbie wyłudzenia okupu”, a nie odrębne ustalenie służb.
42. Weryfikacja autentyczności danych
Redaktor naczelny „Zaufanej Trzeciej Strony”, Adam Haertle, ocenił autentyczność przekazanej próbki danych na podstawie odnalezienia w niej własnych, prawdziwych danych osobowych.
43. Niezgodność w szacunkach
13 sierpnia, mimo że władze wielokrotnie powoływały się na liczbę blisko 19 milionów, MyDr oficjalnie podtrzymywało, że nie zna dokładnej skali incydentu. Na uwagę zwrócił również Adam Haertle.
44. Ocena reakcji instytucji państwowych
Haertle ocenił publicznie, że polskie instytucje państwowe zareagowały na incydent prawidłowo, ale ma wątpliwości co do czasu potrzebnego na wykrycie włamania.
45. Kary za włamanie
Formalny zarzut prokuratury (nieuprawniony dostęp do systemu i ujawnienie danych osobie trzeciej) zagrożony jest karą do 3 lat pozbawienia wolności.
46. Kary administracyjne dla MyDr
Niezależnie od postępowania karnego, MyDr może zostać ukarane przez UODO karą administracyjną z RODO — do 10 milionów euro lub 2% rocznego światowego obrotu (w zależności od tego, która kwota jest wyższa).
47. Kontrola UODO w MyDr
Prezes UODO zdecydował o przeprowadzeniu kontroli w MyDr, która obejmie:
- Środki techniczne i organizacyjne
- Czy zabezpieczenia były regularnie testowane
48. Bezpieczeństwo centralnych usług e-zdrowia
Centrum e-Zdrowia i UODO poinformowały, że incydent nie dotyczy bezpieczeństwa centralnych usług e-zdrowia (systemu P1, e-recept, e-skierowań) i nie wpływa na dostęp pacjentów do tych usług.
49. Awaria serwisu bezpiecznedane.gov.pl
Serwis bezpiecznedane.gov.pl, do którego Gawkowski odsyłał obywateli, przestał działać pod naporem wejść ok. 12 sierpnia po godzinie 15:00.
50. Reakcja obywateli
W ciągu pierwszych 24 godzin od upublicznienia incydentu ok. 500 tysięcy osób zastrzegło swój PESEL przez aplikację mObywatel.
51. Powiązania MyDr z Docplanner
MyDr od 2023 roku należy do grupy Docplanner (właściciela ZnanyLekarz). Obie firmy deklarują, że ich systemy są rozdzielone, a dane pacjentów nie są wymieniane poza funkcją rezerwacji wizyt. Uwaga: To deklaracja firmy, a nie wynik niezależnego audytu.
52. Obietnica MyDr
MyDr w oświadczeniu z 13 sierpnia zadeklarowało, że po zakończeniu analizy śledczej potwierdzi dokładną ilość i rodzaj ujawnionych danych. Do 17 sierpnia taka aktualizacja nie została opublikowana w mediach.
53. Według Zaufanej Trzeciej Strony osoby przedstawiające się jako sprawcy same skontaktowały się z redakcją i twierdziły, że posiadają dane 18 814 422 unikatowych numerów PESEL oraz około 2,5 TB danych. Z3S zaznaczyła, że nie jest w stanie samodzielnie zweryfikować całej deklarowanej skali.
54. Z3S przeprowadziła własny test. Według jej relacji przekazała sprawcom numery PESEL czterech osób z branży, które zgodziły się wziąć udział w eksperymencie, i poprosiła o sprawdzenie, czy osoby te znajdują się w deklarowanej bazie.
55. Dla dwóch z tych czterech PESEL-i sprawcy zwrócili rekordy z danymi. Po doliczeniu samego autora Z3S, którego dane sprawcy również wcześniej pokazali, dawało to łącznie wynik 3 trafień na 5 sprawdzonych osób. Niezależnie opisał to także CyberDefence24.
56. Z3S określiła tę próbę jako małą i uznała, że wynik 3/5 jest zgodny z deklaracją sprawców o posiadaniu danych dotyczących bardzo dużej części polskiej populacji. Nie oznacza to jednak statystycznego potwierdzenia dokładnej liczby 18 814 422 osób.
57. Publicznie nie opisano dokładnej metodologii tego testu. Nie wiadomo, jak wybrano te cztery osoby, czy przed testem było wiadomo, które z nich rzeczywiście korzystały z placówek używających MyDr przed kwietniem 2024 r., czy celowo dobrano osoby stanowiące kontrolę negatywną, ani czy próbka była rzeczywiście losowa.
58. Nie podano również publicznie, czy sprawcom przekazano wyłącznie numery PESEL, czy także inne dane pomocnicze, jak długo trwało wyszukanie rekordów ani czy w czasie testu sprawcy korzystali z wcześniej skopiowanej bazy, czy nadal mieli aktywny dostęp do infrastruktury MyDr.
59. Z tego powodu wynik testu 3/5 jest mocną poszlaką, że sprawcy potrafili znaleźć autentyczne rekordy dla arbitralnie wskazanych osób, ale sam w sobie nie dowodzi, że posiadali lokalną kopię pełnych 2-2,5 TB danych ani dokładnie 18,8 mln rekordów.
I teraz na tej podstawie można zacząć analizować to, które z tych publicznych informacji są ze sobą logicznie zgodne.
Dodam, że sprawdzałem to już na wszystkich najlepszych modelach LLMów i na podstawie tych faktów nie potrafią one same wyciągnąć poprawnych wniosków i zarysować sensownego scenariusza. By do tego dojść, musiałem je naprowadzać i na końcu przyznawały mi pełną rację. Więc jak chcecie pomóc, to musicie samodzielnie myśleć, bo nawet najgenialniejsza AI tego nie zrobi porządnie.
W następnym odcinku przedstawię logiczne rozumowanie, prowadzące do wniosku, że wiele z tych podanych informacji, to świadome kłamstwo. Bo one wszystkie się kupy nie trzymają, nie ma możliwości, by to wszystko było prawdą. Śledźcie mój profil na FB i na X. Tam będę podawał najnowsze ustalenia:
Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS
Dlaczego te dane nie były zaszyfrowane? Rozumiem, że można przełamać zabezpieczenia żeby wedrzeć się do sieci wewnętrznej ale czy te dane leżały sobie otwartym tekstem?
@Admin Naszeblogi.pl Pytanie podstawowe brzmi: kto i kiedy zgodził się na gromadzenie przez lekarzy/szpitale/NFZ tych wszystkich danych: PESEL, adres, waga, wzrost, zatrudnienie, choroby przewlekłe, leczenie, lekarstwa, wizyty u lekarzy, leczenie szpitalne?
Ja nie wyrażałam zgody, a musiałam podać te wszystkie dane pod groźbą nieudzielenia mi opłaconej porady lekarskiej! Nie wiem, czy jest na to jakaś ustawa sejmowa? Bo referendum na pewno nie było, bo NIKT BY SIĘ NA TAKĄ INWIGILACJĘ NIE ZGODZIŁ! Komentatorzy w telewizorniach późnym wieczorem donoszą, że w tym zbiorze byli pracownicy służb specjalnych, politycy, wojskowi, itp. Kto więc wprowadził tę elektroniczna inwigilacje pacjentów w całej Polsce i kogo należy oskarżyć o totalną inwigilację i ujawnienie tajemnicy lekarskiej, którą niby mamy zagwarantowaną konstytucyjnie? To jest Trybunał Stanu!
Mam nadzieję, że kiedyś będzie nami rządzić opcja, która zabroni takich systemów, zakaże stosowania kart klienta (nie mylić z bankowymi kartami płatniczymi) koncernom handlowym - bo obce firmy mają nasze dane, nasze zwyczaje dietetyczne i dane, o których nie mamy pojęcia jak mogą wykorzystać przeciwko nam (Biedronki, Orleny, Lidle, Makro itp.)
Jestem na tropie. Mój audyt to wyjaśni.
To są informacje wtórne. Brakuje źródłowych.
Jak zrozumiałem firma dowiedziała się o uzyskaniu od niej danych, bo ktoś po 2 latach ją poinformował a potrafi kontaktować się swobodnie bez ryzyka namierzenia. W dodatku musi dowodzić swoich racji, bo z powodu braku śladów nikt mu nie wierzy. Domyślam się, że z taką a nie inną datą był zapis danych i od tego czasu oficjalny dostęp miało tak wiele osób, że nie można zawęzić grupy z "chwalipiętą"?
Nie ma informacji źródłowych i nie będzie. Wszystko, co ogłasza rząd i zainteresowane firmy to są informacje wtórne i ich narracje. Tylko z tego można wnioskować. Mam dodatkowo dane z moich audytów. Więc pozostaje tylko dedukcja. Będę po kolei całe rozumowanie przedstawiał — głównie na X i FB. Tam mam komentarze, które wnoszą nowe wątki, tu na to nie ma szans, bo tu jest kilku komentatorów na krzyż i na dodatek dominują chamy i głupki, więc wszelkie rozkminy merytoryczne psują.
Szkoda, ja nie lubię Tweetera i FB.