Scenariusz, który spina wszystkie fakty w sprawie kradzieży danych medycznych połowy Polaków

Najpierw założenia: 

• Przyjmuję, że informacje ujawnione w latach 2023–2025 są prawdziwe. Nie oznacza to jednak, że powiedziano nam wtedy wszystko. Śledztwo prowadzono w tajemnicy, a oficjalne komunikaty opisywały tylko wybrane wątki. 
• Przyjmuję, że cała opowieść z sierpnia 2026 roku o rzekomym nowym włamaniu, anonimowych hakerach i żądaniu okupu to tzw. „legenda” (czyli zmyślona przykrywka) stworzona przez wąską grupę ludzi w służbach specjalnych. Większość osób, które ją dalej powtarzają — przedstawiciele MyDr, portal Zaufana Trzecia Strona (Z3S), dziennikarze, urzędnicy, politycy, a nawet część samych śledczych — działa w całkowicie dobrej wierze. 
• Za w 100% prawdziwy uznaję najważniejszy komunikat, jaki faktycznie dostało społeczeństwo: ogromna, historyczna baza danych dotycząca około 18,8 mln Polaków trafiła w ręce nieznanych sprawców, a zgromadzone w niej dane sięgają do kwietnia 2024 roku. Oficjalny komunikat państwa mówi o wycieku obejmującym ponad 12 tysięcy placówek medycznych — i to jest fakt. 

  Nie zakładam przy tym, że każdy z tych 18,8 mln rekordów zawiera pełną historię leczenia od A do Z. Najbardziej prawdopodobne jest to, że baza stanowi gigantyczny spis osób wraz z numerami PESEL, a zakres informacji medycznych jest różny: w przypadku jednych to tylko podstawowe dane kontaktowe, a u innych pełna lista recept, wizyt, diagnoz oraz cała dokumentacja lekarska.

  Sprawdziłem, co wynika z przyjęcia takich założeń. Okazuje się, że na ich podstawie da się ułożyć bardzo prosty i logiczny scenariusz. Z kolei próba obrony oficjalnej wersji z sierpnia 2026 roku rodzi mnóstwo sprzeczności i logicznych dziur. Przeanalizowałem wiele wariantów i tylko ten jeden naprawdę trzyma się kupy.

Wniosek operacyjny

  Od dłuższego czasu ktoś dysponuje potężnym zbiorem danych osobowych i medycznych Polaków. Nie wiemy, ile kopii tej bazy krąży po sieci ani kto dokładnie je ma. Z dużym prawdopodobieństwem są to obce państwa i ich wywiady. Możemy jedynie mieć nadzieję, że dane zdobyło tylko jedno państwo, bo to jego służby od początku zaplanowały i przeprowadziły atak — wtedy istnieje szansa, że nie podzieliły się tą wiedzą z nikim innym. Jeśli jednak za atakiem stali zwykli hakerzy, to w ciągu ostatnich dwóch lat mogli sprzedać tę bazę wielu różnym wywiadom na świecie. Dla obcych służb takie dane są bezcenne i zapłacą za nie miliony, nawet wiedząc, że inni też je kupili.

  Nie potrafię wskazać konkretnego zagranicznego wywiadu — tego zresztą nie wiedzą najprawdopodobniej nawet nasze polskie służby. Z punktu widzenia bezpieczeństwa kraju musimy zakładać najgorszy wariant: kopie bazy danych medycznych połowy Polaków może mieć dziś każdy.

  Dlatego w 2026 roku polskie służby doszły do wniosku, że trzeba wreszcie wprost powiedzieć Polakom, które dane należy uznać za spalone (czyli skradzione i znane obcym).

Najkrótsza wersja scenariusza

• Kiedyś — nie musimy nawet znać dokładnego dnia — ktoś włamał się do systemów MyDr i skopiował gigantyczną historyczną bazę: około 18,8 mln osób wraz z danymi medycznymi dużej części z nich. Zbiór urywał się w okolicach kwietnia 2024 roku.
• Włamanie wykryto wiosną 2024 roku.
• Dostęp włamywacza natychmiast odcięto i rozpoczęto długie, tajne śledztwo. Ustalono wiele szczegółów technicznych, być może namierzono pojedyncze osoby zamieszane w inne nadużycia, ale nie udało się odzyskać wyłącznej kontroli nad skradzioną bazą ani ustalić wszystkich, do kogo trafiła.
• Po około dwóch latach służby zrozumiały, że dalsze milczenie bardziej pomaga posiadaczom skradzionych danych niż Polsce.
• Trzeba było ostrzec ludzi. Jednak powiedzenie prawdy wprost: „Wiemy o tym od dwóch lat, prowadziliśmy tajne śledztwo, ale nie mamy pojęcia, kto ma kopie bazy połowy Polaków”, byłoby polityczną i wizerunkową katastrofą. Dlatego wymyślono historyjkę-legendę: świeży cyberatak, zwykli cyberprzestępcy, motyw czysto finansowy, żądanie okupu oraz państwo, które rzekomo właśnie wykryło problem i od razu ruszyło do akcji.

  Dzięki temu udało się osiągnąć dwa cele naraz:

• Ostrzec społeczeństwo, w tym polityków, urzędników i wojskowych.
• Ukryć dwuletnią bezradność państwowych instytucji.

Dlaczego legenda o okupie to ściema?

  Nie chodzi o to, że wymuszenia za nieujawnienie danych w świecie cyberbezpieczeństwa się nie zdarzają. Zdarzają się bardzo często. Grupy przestępcze stosują tzw. „pure extortion” — kradną dane (bez blokowania i szyfrowania komputerów) i żądają pieniędzy za to, że nie wrzucą ich do sieci. Problem ze sprawą MyDr polega na czymś zupełnie innym.

  Plików cyfrowych nie da się po prostu zwrócić. Nie istnieje żaden techniczny sposób, by przestępca udowodnił ofierze, że skasował u siebie wszystkie kopie. Reputacja znanych grup hakerskich polega co najwyżej na tym, że po dostaniu przelewu nie wrzucają bazy na publiczne fora. Nigdy nie ma jednak pewności, czy po cichu nie sprzedali jej komuś wcześniej, albo sprzedadzą po uzyskaniu okupu. A rzekomi hakerzy z obecnej historii nie mają absolutnie żadnej reputacji. To nie jest żadna znana, markowa grupa przestępcza, o której wiadomo, że po otrzymaniu okupu dotrzymuje słowa.

  W przypadku danych medycznych milionów obywateli w grę wchodzi potężna wartość szpiegowska i wywiadowcza. Taki zbiór jest tym bardziej użyteczny, im mniej ludzi wie o jego kradzieży. Jeśli obcy wywiad w tajemnicy zna choroby, przyjmowane leki i nazwiska lekarzy polskiego ministra, generała, sędziego czy oficera służb, zyskuje ogromną przewagę do szantażu lub werbunku. Kiedy jednak sprawa staje się publiczna, ta przewaga maleje.

  Publiczne ujawnienie wycieku pali operacyjną wartość bazy. Gdyby celem prawdziwego włamywacza było wieloletnie, ciche wykorzystywanie tych informacji, robienie medialnego szumu wokół rzekomego okupu byłoby działaniem wbrew własnemu interesowi.

  Żądanie okupu byłoby więc ze strony sprawców całkowicie nielogiczne. Znacznie więcej zarobiliby na cichej sprzedaży bazy obcym wywiadom. A jeśli sami byli obcym wywiadem, taka szopka z okupem nie miałaby już kompletnie żadnego sensu.

  Dla naszych służb szukających prostej przykrywki słowo „okup” było natomiast idealne. Zamykało najtrudniejsze pytanie: „Po co ktoś ukradł dane medyczne połowy Polski?”. Odpowiedź brzmi: „Dla kasy”. I natychmiast ucina wszelkie skojarzenia ze szpiegostwem.

Co naprawdę wydarzyło się wcześniej?

  Tu zaczyna się najciekawsza część, ponieważ dysponujemy materiałami, które powstały na długo przed skonstruowaniem sierpniowej narracji w 2026 roku.

  Już w 2023 roku MyDr nie było małą platformą obsługującą kilkaset gabinetów. W momencie przejęcia spółki przez grupę Docplanner oficjalnie informowano o współpracy z 47 tysiącami pracowników medycznych i obsłudze niemal 2 milionów wizyt miesięcznie.

  Istnienie gigantycznej, historycznej bazy pacjentów w systemach MyDr nie jest więc żadną tajemnicą ani zaskoczeniem.

Zdarzenie z marca 2024 roku

  Z artykułów opublikowanych w listopadzie 2025 roku (czyli dziewięć miesięcy przed wybuchem obecnej afery) wiemy, że w marcu 2024 roku w jednej z placówek korzystających z MyDr doszło do faktycznego przełamania zabezpieczeń i wycieku danych. System był zintegrowany z bazą eWUŚ (Elektroniczną Weryfikacją Uprawnień Świadczeniobiorców NFZ), którą sprawca zaczął masowo odpytywać. Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) miało wówczas namierzyć tego konkretnego sprawcę, zatrzymać go i zabezpieczyć większość skradzionych przez niego danych.

Szczegółowy przebieg zdarzeń

1. MyDr dysponuje ogromnym indeksem pacjentów.

  Platforma obsługuje dziesiątki tysięcy lekarzy i miliony wizyt. Naturalnym elementem takiej architektury jest centralna lub połączona baza identyfikująca pacjentów. Jej struktura mogła wyglądać następująco:

• około 18,8 mln osób, podstawowy indeks tożsamości,
• duża część z nich: informacje o wizytach, lekarzach i receptach,
• mniejsza część: bardzo szczegółowa dokumentacja medyczna i historia chorób.

  To tłumaczy zarówno ogromną liczbę osób, jak i obecność wyjątkowo wrażliwych danych konkretnych pacjentów.

2. Wiosna 2024 — pierwsze włamanie do infrastruktury powiązanej z MyDr.

  Wiemy ze starszych materiałów, że do takiego incydentu rzeczywiście doszło. Nie musiał to być od razu moment pełnej kradzieży bazy — mógł to być dopiero pierwszy sygnał ostrzegawczy.

3. Masowe odpytywanie bazy eWUŚ wszczyna alarm.

  Baza eWUŚ nie działa jak ogólnodostępna wyszukiwarka, w której można wpisać „pobierz kolejnego Polaka”. Żeby sprawdzić czyjeś ubezpieczenie, system wymaga podania konkretnego numeru PESEL. Skąd więc ktoś, kto masowo wysyłał miliony zapytań do eWUŚ, miał wcześniej gotową, gigantyczną listę numerów PESEL? Jedną z najbardziej naturalnych odpowiedzi jest sam system MyDr. Nawet jeśli nie ma na to twardego dowodu, śledczy musieli zadać sobie dokładnie to samo pytanie.

4. Badając sprawę eWUŚ, śledczy trafiają na znacznie większy problem.

  To jedyny element scenariusza, o którym nie przeczytamy w oficjalnych komunikatach prasowych. Podczas analizy logów serwerów, kopii zapasowych (backupów) czy kodu aplikacji wyszło na jaw, że ktoś wcześniej lub równolegle uzyskał znacznie szerszy dostęp do systemu. Okazało się, że wielka historyczna baza MyDr została w całości skopiowana na zewnątrz. Nie ma znaczenia, czy był to zrzut bazy SQL, kopia zapasowa czy stopniowe ściąganie danych przez aplikację — liczy się skutek: poufność bazy została bezpowrotnie utracona.

5. Odcięcie dostępu i uszczelnianie systemów.

  Wiosną 2024 roku widzieliśmy wyraźnie wzmożoną aktywność: MyDr ostrzegało swoich użytkowników przed rosnącym zagrożeniem cyberatakami. Z kolei NFZ zaczął wprowadzać nowe limity i zabezpieczenia ograniczające masowe wysyłanie zapytań do eWUŚ (oficjalny komunikat z października 2024 roku mówił wprost o kolejnych progach bezpieczeństwa). To pokazuje, że po incydentach z początku 2024 roku państwo realnie uszczelniało procedury.

6. Zamknięcie lokalnego wątku.

  To, co opisano w mediach w 2025 roku, było prawdą: sprawcę lokalnego incydentu zatrzymano, a dane znajdujące się na jego dyskach odzyskano (choć część mógł wcześniej sprzedać).

7. Drugi, nierozwiązany problem pozostaje utajniony.

  Zabezpieczenie plików u jednego hakera nie oznacza, że baza jest bezpieczna. Śledczy nie byli w stanie odpowiedzieć na pytania:

• Czy zrobił kopie zapasowe?
• Komu zdążył je przekazać?
• Kto jeszcze miał dostęp do serwerów przed nim?
• Czy baza nie trafiła już na giełdy danych lub bezpośrednio w ręce obcych służb? 

  Ten kluczowy wątek musiał zostać ściśle utajniony.

8. Właściwe śledztwo kontrwywiadowcze.

  Przez kolejne miesiące polskie służby monitorowały darknet, fora handlarzy danymi, transakcje kryptowalutowe oraz ewentualne próby szantażu czy ataki phishingowe na urzędników i wojskowych. Ujawnienie sprawy na tym etapie spaliłoby całą operację, bo napastnik dowiedziałby się, że jest namierzany.

9. Śledztwo dochodzi do ściany.

  Mijają dwa lata. Nadal nie udaje się ustalić, ile kopii krąży po świecie ani kto faktycznie nimi dysponuje. Takiego problemu nie da się rozwiązać tradycyjnymi metodami policyjnymi.

10. Tajemnica zaczyna szkodzić państwu.

  Początkowo milczenie pomagało śledczym. Po dwóch latach zaczęło działać na korzyść obcego wywiadu. Przeciwnik posiadający dane ludzi, którzy nie mają pojęcia o wycieku, ma nad nimi całkowitą kontrolę psychologiczną. Dalsze milczenie rządu tylko zwiększało wartość tych danych.

11. Decyzja o ujawnieniu prawdy.

  Zapadła decyzja, że trzeba wreszcie powiedzieć Polakom wprost: Wasze dane medyczne z bazy MyDr, sięgające do kwietnia 2024 roku, wpadły w niepowołane ręce. To była najważniejsza informacja, jaką należało przekazać.

12. Dlaczego nie można było powiedzieć wszystkiego wprost?

  Bo prawdziwy komunikat brzmiałby dramatycznie: „Wiemy o kradzieży od dwóch lat, prowadziliśmy tajne śledztwo, ale nie mamy pojęcia, kto ma kopie Waszych kartotek medycznych”. Natychmiast padłyby pytania:

• Dlaczego nie ostrzeżono obywateli od razu?
• Kto w rządzie o tym wiedział?
• Czy ostrzeżono dowódców wojskowych i kluczowych urzędników?
• Czy obce wywiady wykorzystały już te dane do szantażu?
• Czy państwo złamało prawo, ukrywając wyciek?

  Dla rządu byłby to potężny kryzys polityczny.

13. Stworzenie historii o nowych hakerach.

  Do zbudowania wiarygodnej przykrywki wystarczyło posiadać prawdziwą bazę ze śledztwa. Nie trzeba było niczego fabrykować — te 18,8 mln rekordów jest w 100% autentyczne. Anonimowa postać (czyli agent naszych służb) kontaktuje się z redakcją Zaufanej Trzeciej Strony (Z3S) i przesyła próbki. Redakcja sprawdza je — wszystko się zgadza. Dziennikarze wyciągają logiczny wniosek: „Rozmawiamy z ludźmi, którzy mają wykradzioną bazę”. To prawda: mają bazę. Nie oznacza to jednak automatycznie, że są jej pierwotnymi włamywaczami sprzed dwóch lat.

14. Z3S nie uczestniczy w żadnym spisku.

  To bardzo istotny punkt. Skuteczna dezinformacja nie wymaga wtajemniczania wielu osób. Wystarczy podsunąć prawdziwe materiały niezależnym ekspertom, którzy sami dojdą do oczekiwanych wniosków. Z3S stało się w ten sposób w pełni wiarygodnym, niezależnym weryfikatorem najważniejszego faktu: dane Polaków rzeczywiście wyciekły.

15. Wprowadzenie motywu finansowego.

  Żeby historia brzmiała spójnie dla opinii publicznej, dopisano motyw: „Zrobili to dla pieniędzy i żądają okupu”. W ten sposób cała sprawa natychmiast ląduje w szufladce zwykłej przestępczości internetowej, odsuwając na bok temat szpiegostwa i obcych wywiadów.

16. Reszta aparatu państwa działa już zupełnie naturalnie.

  Minister otrzymuje oficjalny meldunek o hakerach żądających pieniędzy i przekazuje go dalej na konferencji prasowej. Prokurator bada sprawę kontaktu z anonimową postacią. MyDr wdraża procedury kryzysowe. Media publikują potwierdzenia Z3S. Nikt nie musi brać udziału w wielkim spisku — wystarczyła mała grupa inicjująca legendę, a cała reszta machiny państwowej i medialnej poniosła ją dalej sama.

Dlaczego materiały z lat 2024–2025 są tak ważne?

  Ponieważ powstały, zanim ktokolwiek zaczął tworzyć sierpniową legendę w 2026 roku.

  W listopadzie 2024 roku Rada do Spraw Cyfryzacji zebrała się na specjalnym posiedzeniu poświęconym cyberbezpieczeństwu w ochronie zdrowia. Powodem były toczące się śledztwa dotyczące nielegalnego pozyskiwania danych pacjentów i lekarzy. CBZC omawiało wtedy wektory ataków, a przedstawiciele Centrum e-Zdrowia wprost wskazywali, że najsłabszym ogniwem są prywatne, komercyjne systemy używane w gabinetach lekarskich.

  W listopadzie 2025 roku CBZC oficjalnie opisało wcześniejszy incydent wokół MyDr.

  To pokazuje, że cała ta historia ma bardzo realne, udokumentowane podstawy: kompromitacja MyDr wydarzyła się naprawdę, państwo badało ją od dawna, a problem z bezpieczeństwem danych medycznych był przedmiotem poważnych działań służb na długo przed sierpniem 2026 roku.

Dlaczego ujawnienie sprawy było konieczne?

  Skradziona baza ma największą wartość wywiadowczą wtedy, gdy nikt nie wie o jej kradzieży. Przed ujawnieniem obcy wywiad ma dwa atuty: same dane oraz pełną dyskrecję.

  Po ujawnieniu wycieku zostają mu już tylko same dane. Przedtem szantażysta mógł wysłać do ministra czy sędziego fałszywy SMS z prawdziwymi nazwami leków i nazwiskiem lekarza, wywołując paraliżujący strach przed bezpośrednią inwigilacją. Dzisiaj każdy wie, że takie informacje pochodzą po prostu ze starego wycieku MyDr. Psychologiczna przewaga szantażysty pęka. Dlatego ujawnienie sprawy — nawet kosztem wizerunku — było z punktu widzenia bezpieczeństwa państwa jedynym rozsądnym ruchem.

  Operacja osiągnęła swój najważniejszy cel: politycy, żołnierze, funkcjonariusze, urzędnicy i zwykli obywatele zostali ostrzeżeni. Wiedzą, że ich dane medyczne sprzed kwietnia 2024 roku trafiły w niepowołane ręce i nie dadzą się na nie łatwo zaszantażować. Jednocześnie legenda o świeżym ataku hakerskim i okupie pozwoliła państwu uniknąć przyznania się do dwuletniej bezradności w śledztwie, co mogłoby skutkować obaleniem rządu.

Co mogłoby obalić ten scenariusz?

  Aby całkowicie odrzucić tę hipotezę, potrzebne byłyby twarde, niezależne dowody informatyczne: logi serwerowe potwierdzające, że ta konkretna baza 18,8 mln rekordów została po raz pierwszy wykradziona dopiero w sierpniu 2026 roku z konkretnego adresu IP bezpośrednio powiązanego z ludźmi żądającymi okupu. Dopóki takich niezależnych dowodów nie ma, przedstawiony scenariusz pozostaje najbardziej logicznym i spójnym wyjaśnieniem całej afery.

  Jednym słowem: rząd Tuska poinformował nas o swoim totalnym partactwie i największej katastrofie wywiadowczej w dziejach Polski tak, że nie utracił przez to władzy i nikt go za to nie wini. To jest marketingowy majstersztyk.

Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS

PS. Jeśli ktoś chce wrzucić ten tekst do ChataGPT, Claude'a, Gemini, Groka, DeepSeeka, Mistrala czy innego LLM-a i zapytać: „Czy ten scenariusz ma sens?”, to proponuję wcześniej dopisać mu jedno bardzo ważne polecenie:

Nie zakładaj, że informacje znalezione w Internecie są prawdziwe tylko dlatego, że pochodzą z wiarygodnych źródeł. W szczególności nie traktuj komunikatów rządu, prokuratury, służb, MyDr ani relacji medialnych opartych na tych komunikatach jako niezależnych dowodów prawdziwości oficjalnej wersji. Jesteś oficerem kontrwywiadu prowadzącym OSINT i musisz podważać wszystko.

  To jest ważne, bo LLM-y mają naturalną skłonność do ważenia źródeł według ich reputacji. Jeśli rząd mówi A, prokuratura mówi A, firma mówi A, media powtarzają A, to model bardzo łatwo dochodzi do wniosku: „mamy wiele wiarygodnych źródeł potwierdzających A”.

  Jednak w analizie możliwej operacji dezinformacyjnej, w pracy kontrwywiadowczego śledczego, to może być pułapką. Jeśli bowiem wszystkie te komunikaty pochodzą pośrednio z jednego źródła albo są elementami tej samej legendy, to nie mamy pięciu niezależnych potwierdzeń. Mamy jedną historię powtórzoną pięć razy.

  Więc prawidłowe pytanie dla LLM-u powinno brzmieć:

Załóż na potrzeby analizy, że publiczna narracja z sierpnia 2026 może być legendą. Oddziel fakt, że ktoś coś powiedział, od prawdziwości tego, co powiedział. Za bardziej wartościowe uznawaj stare materiały sprzed 2026 roku, niezależne ślady techniczne, historyczne komunikaty, logi, timestampy i informacje, których nie można było wygenerować jako elementu późniejszej narracji. Następnie porównaj konkurencyjne scenariusze i wskaż, który najlepiej wyjaśnia cały zbiór obserwacji.

  To drobna zmiana polecenia, ale potrafi całkowicie zmienić wynik.

  Przerobiłem już tę sprawę na kilku mocnych LLM-ach i widziałem ten sam mechanizm. Bez takiego naprowadzenia modele bardzo łatwo zaczynają używać oficjalnych komunikatów do potwierdzania oficjalnej narracji. Dopiero kiedy odbierze się źródłom domyślny kredyt zaufania i każe modelowi analizować strukturę informacji, a nie reputację jej nadawcy, zaczynają pojawiać się znacznie ciekawsze scenariusze.

  LLM jest tu świetnym narzędziem do przeszukiwania źródeł, porównywania chronologii, szukania sprzeczności i testowania hipotez. Jednak nadal potrzebuje człowieka, który czasem powie mu: „Źle ustawiłeś problem. Przestań pytać, które źródło jest najbardziej wiarygodne. Zapytaj, które fakty pozostałyby prawdziwe nawet wtedy, gdyby najbardziej wiarygodne źródła uczestniczyły w budowaniu legendy.”