Cyberataki na placówki medyczne w 2026 roku - czego uczą i od czego zacząć

W skrócie: 2026 rok to dla polskiej ochrony zdrowia seria incydentów, od wycieku z systemu gabinetowego MyDr po ransomware w przychodniach i sieciach szpitali. Tam, gdzie znamy punkt wejścia, nie była nim wyrafinowana technika, tylko oprogramowanie dostawcy albo serwer poczty.

Razem z Fundacją Profilaktyka Pro przygotowaliśmy ofertę dla placówek medycznych. Pierwszy krok, czyli sprawdzenie, co z placówki widać z internetu, robimy bezpłatnie.

Placówki medyczne są dla przestępców wyjątkowo wdzięcznym celem z dwóch powodów. Pierwszy: dokumentacji medycznej nie da się unieważnić jak karty płatniczej. PESEL, rozpoznanie i wynik badania zostają z pacjentem na zawsze i można ich użyć do wiarygodnego oszustwa po latach. Drugi: przestój w przychodni od razu uderza w pacjentów, więc presja, żeby szybko przywrócić systemy, jest większa niż w zwykłej firmie.

Co wydarzyło się w ostatnich miesiącach

Poniżej przypadki z Polski, o których informowały same placówki, służby lub media. To tylko te, które stały się publiczne.

MyDr - wyciek z systemu dostawcy (sierpień 2026)

12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził atak na MyDr, popularny system do prowadzenia gabinetu w chmurze. Według ministra wyciek może dotyczyć blisko 19 mln osób i ponad 2 TB danych, czyli m.in. informacji o receptach i wizytach. To przypadek, w którym placówki nie zrobiły nic źle, a ich pacjenci i tak są w wycieku, bo dane trzymał dostawca oprogramowania.

SPZOZ Warszawa-Ursynów - przejęty serwer poczty (sierpień 2026)

28 sierpnia przychodnia wykryła atak, w którym przełamano zabezpieczenia serwera pocztowego i zaszyfrowano zgromadzoną na nim korespondencję. Placówka nie wyklucza, że dane zostały wcześniej skopiowane. W skrzynkach były m.in. numery PESEL, dane kontaktowe, skierowania i wyniki badań. Przychodnia działała dalej, dane odtwarzano z kopii zapasowych. Wniosek: sama poczta wystarczyła na pełny incydent.

Bonifraterskie Centrum Medyczne i CM Eskulap w Raciborzu (marzec 2026)

W marcu w ciągu kilku tygodni doszło do serii ataków ransomware na podmioty lecznicze. Bonifraterskie Centrum Medyczne wykryło 13 marca zaszyfrowanie części infrastruktury i nie wyklucza przejęcia danych; sprawą zajęło się CBZC. 24 marca zaatakowane zostało Centrum Medyczne Eskulap w Raciborzu, które straciło dostęp do części dokumentacji medycznej. Wśród zagrożonych danych placówka wymieniła PESEL, numery dokumentów tożsamości i dane o stanie zdrowia.

Klinika podologiczna w Poznaniu (grudzień 2025)

Grupa Qilin opublikowała dane niewielkiej kliniki: około 340 kart wizyt, 120 wyników badań i zdjęcia pacjentów. Ten przypadek pokazuje, że cel nie musi być duży. Wystarczy, że ma dokumentację medyczną.

Dla porównania

Pod koniec 2023 roku ofiarą ransomware padły laboratoria ALAB. Firma nie zapłaciła okupu, część danych, w tym wyniki badań, została opublikowana, a sprawą zajął się UODO. Od tamtej pory skala i częstotliwość ataków na sektor tylko rosły.

Co łączy te ataki

Gdy patrzy się na przypadki, w których znamy drogę wejścia, powtarza się kilka elementów. Są obecne w niemal każdej placówce i w dużej części widać je z internetu bez logowania:

Oprogramowanie gabinetowe i jego dostawca. Ryzyko łańcucha dostaw, jak w MyDr. Warto wiedzieć, kto i jak łączy się do Waszego systemu z zewnątrz i gdzie fizycznie leżą dane pacjentów.
Serwer i skrzynki pocztowe. Jak na Ursynowie. Do tego brak rekordów SPF, DKIM i DMARC, który pozwala komuś obcemu wysyłać maile „od placówki” do pacjentów.
Dostęp zdalny. VPN, pulpit zdalny, panele administracyjne wystawione do internetu, często bez drugiego składnika logowania i bez aktualizacji.
Zaniedbania. Stare wersje oprogramowania, zapomniane środowiska testowe, hasła pracowników w publicznych bazach wycieków.

Żaden z tych punktów nie wymaga dużego budżetu, żeby go sprawdzić. Wymaga za to spojrzenia z zewnątrz, bo zespół, który na co dzień obsługuje rejestrację i gabinety, zwykle nie wie, co dokładnie jest widoczne z internetu.

Oferta dla placówek medycznych z Fundacją Profilaktyka Pro

Większość placówek dowiaduje się o swoich słabych punktach dopiero z komunikatu o incydencie. Chcemy to odwrócić. Dlatego razem z Fundacją Profilaktyka Pro przygotowaliśmy ofertę dla przychodni, klinik, laboratoriów i gabinetów, w której pierwszy krok jest bezpłatny.

Krok 1: bezpłatny skan ekspozycji

Patrzymy na placówkę tak, jak patrzy napastnik przed atakiem: z internetu, bez wiedzy wewnętrznej i bez konta. Skan jest nieinwazyjny, nie loguje się do systemów, nie próbuje wykorzystywać podatności i nie wpływa na pracę rejestracji ani gabinetów. Sprawdzamy:

co jest wystawione - domeny, subdomeny, certyfikaty, otwarte usługi, w tym zapomniane panele i środowiska testowe,
dostęp zdalny - czy VPN i pulpity zdalne są widoczne z internetu i czy mają znane podatności,
pocztę - konfigurację SPF, DKIM i DMARC, czyli czy ktoś może podszyć się pod placówkę,
wycieki - czy adresy pracowników pojawiają się w publicznych bazach naruszeń,
stronę i portal pacjenta - wersje oprogramowania, szyfrowanie, nagłówki bezpieczeństwa.

Placówka dostaje krótki raport napisany językiem zrozumiałym dla dyrekcji, z listą znalezisk podzieloną na pilne, ważne i do zaplanowania, oraz 30 minut rozmowy online z omówieniem wyników. Raport zostaje u Was niezależnie od dalszych decyzji. Skan robimy wyłącznie na pisemne zlecenie placówki i tylko dla jej domen i adresów. Ogólne zasady opisuje strona bezpłatnego skanu ekspozycji.

Krok 2: testy penetracyjne, jeśli są potrzebne

Skan pokazuje, co widać z zewnątrz. Nie odpowiada na pytanie, czy da się to wykorzystać ani co się stanie, gdy napastnik jest już w sieci. Do tego służą testy penetracyjne, które proponujemy w dwóch etapach, każdy do zamówienia osobno:

Test zewnętrzny - czy ktoś bez konta dostanie się do systemów lub danych pacjentów: portal pacjenta, rejestracja online (dostęp do cudzej wizyty albo wyniku), API, dostęp zdalny, poczta.
Test wewnętrzny - co osiągnie ktoś, kto już jest w środku, bo otworzył złośliwy załącznik: segmentacja sieci, Active Directory, system gabinetowy i dostęp jego dostawcy, kopie zapasowe i to, czy przetrwają ransomware.

Uzupełnieniem może być szkolenie z phishingu dla personelu na naszej platformie e-learningowej, z quizem i imiennym potwierdzeniem ukończenia. Poczta i konta pracowników to jedna z najczęstszych dróg wejścia, o czym więcej we wpisie szkolenie z phishingu dla pracowników.

Wycena

Testy wyceniamy indywidualnie. Jednoosobowy gabinet z rejestracją online i sieć przychodni z portalem pacjenta i kilkoma lokalizacjami różnią się nakładem pracy kilkukrotnie, więc wspólny cennik byłby niesprawiedliwy dla mniejszych placówek. Wynik skanu jest dobrym punktem wyjścia: widzimy już, co jest wystawione, więc podajemy konkretny zakres i liczbę dni dla każdego etapu osobno. Wycena jest bezpłatna i do niczego nie zobowiązuje.

Obowiązki prawne

Regularne testowanie zabezpieczeń to wymóg art. 32 ust. 1 lit. d RODO. Ochrona zdrowia jest też sektorem objętym znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2. O tym, kogo i w jakim zakresie obejmują nowe przepisy, pisaliśmy we wpisie NIS2 - czy dotyczy Twojej firmy. Skan i testy są dobrym pierwszym krokiem w obu przypadkach.

Jak skorzystać

Wystarczy mail z nazwą placówki i adresem jej strony na office@nullify.pro albo do Fundacji Profilaktyka Pro na biuro@profilaktykapro.pl. Odpowiadamy w ciągu 24 godzin roboczych i przesyłamy jednostronicowe upoważnienie do skanu. Pełną ofertę w PDF wyślemy na prośbę.