Kolejny możliwy wyciek danych z przychodni. Placówka potwierdziła atak

Ransomware zaszyfrował korespondencję na serwerze pocztowym. Placówka potwierdziła naruszenie ochrony danych osobowych, ale nie stwierdziła dotąd, że informacje zostały skopiowane. Nie może jednak tego wykluczyć.

Ransomware zaatakował SPZOZ Warszawa-Ursynów. W e-mailach i załącznikach mogły znajdować się numery PESEL, dane kontaktowe, skierowania oraz wyniki badań. Kamil Sadkowski z ESET ostrzega, że prawdziwe szczegóły medyczne mogą zostać użyte do uwiarygodnienia późniejszych prób oszustwa.

Serwer zaszyfrowany, kopiowanie danych niepotwierdzone

SPZOZ Warszawa-Ursynów zidentyfikował incydent 28 sierpnia 2026 roku. Według zawiadomienia opublikowanego przez placówkę w wyniku ataku przełamano zabezpieczenia serwera pocztowego, a wdrożone oprogramowanie ransomware zaszyfrowało przechowywaną korespondencję.

Zaszyfrowanie korespondencji stanowi potwierdzoną część zdarzenia. Nadal trwa natomiast analiza, która ma ustalić, czy ktoś również skopiował informacje z poczty. SPZOZ podał, że na obecnym etapie nie może wykluczyć naruszenia poufności i ujawnienia danych osobom nieupoważnionym. Jednocześnie placówka nie otrzymała dotąd sygnałów o ich dalszym udostępnieniu ani bezprawnym wykorzystaniu.

Z tego powodu nie ma obecnie podstaw, by pisać o potwierdzonym skopiowaniu lub ujawnieniu danych pacjentów. Samo zawiadomienie o naruszeniu ochrony danych osobowych nie dowodzi, że informacje wykradziono. RODO nakazuje poinformowanie osób, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. SPZOZ ocenił ryzyko w tej sprawie jako wysokie, odizolował zaatakowany serwer i zawiadomił Prezesa Urzędu Ochrony Danych Osobowych oraz inne uprawnione organy państwowe.

Jakie informacje mogły znaleźć się w zaatakowanej poczcie

Potencjalny zakres zdarzenia jest szeroki, ale ogranicza się do danych zapisanych w treści wiadomości i ich załącznikach. W przypadku pacjentów mogły to być imię i nazwisko, numer PESEL, data urodzenia, adres, numer telefonu oraz prywatny adres e-mail.

W korespondencji mogły znajdować się również skany skierowań z kodami chorób i opisami dolegliwości, wyniki badań laboratoryjnych i obrazowych, zaświadczenia lekarskie, orzeczenia oraz wnioski o wydanie dokumentacji medycznej. Incydent mógł ponadto objąć dane pracowników, kandydatów do pracy i kontrahentów. SPZOZ nie podał liczby osób ani wiadomości objętych naruszeniem.

ESET ostrzega przed oszustwami wykorzystującymi wiedzę o leczeniu

Jeżeli informacje zostały skopiowane, zagrożenie nie musi pojawić się bezpośrednio po ataku. Dane o rzeczywistym badaniu, skierowaniu lub kontakcie z przychodnią mogą później posłużyć do przygotowania wiadomości albo telefonu, które brzmią wiarygodnie.

„Informacje o stanie zdrowia w połączeniu z numerem PESEL, adresem e-mail czy numerem telefonu mogą posłużyć do przygotowania bardzo wiarygodnego oszustwa. Jeśli przestępca skontaktuje się z pacjentem i powoła na prawdziwe szczegóły dotyczące jego leczenia, badania czy placówki, wiarygodność takiego kontaktu znacząco rośnie” - mówi Kamil Sadkowski, analityk cyberzagrożeń ESET.

Taki kontakt może prowadzić do próby wyłudzenia pieniędzy, danych logowania do bankowości albo nakłonienia odbiorcy do otwarcia szkodliwego odsyłacza. Samo powołanie się na prawdziwy wynik badania lub wizytę nie potwierdza jednak, że telefonujący albo nadawca wiadomości reprezentuje placówkę, NFZ czy bank.

Co mogą zrobić pacjenci SPZOZ Warszawa-Ursynów

Placówka zaleca przede wszystkim zastrzeżenie numeru PESEL. Można to zrobić bezpłatnie i od razu w aplikacji lub serwisie mObywatel, a także w dowolnym urzędzie gminy. Zastrzeżony numer nie blokuje rejestracji do lekarza, realizacji recepty, przelewu bankowego ani załatwienia sprawy urzędowej. Ogranicza ryzyko zaciągnięcia kredytu lub pożyczki na cudze dane, ponieważ od 1 czerwca 2024 roku instytucje finansowe muszą sprawdzać status PESEL przed zawarciem takich umów.

Zastrzeżenie numeru nie chroni jednak przed phishingiem ani próbą przejęcia konta. ESET radzi uważać na telefony, SMS-y i e-maile odnoszące się do leczenia, wizyt, wyników badań lub rzekomej potrzeby potwierdzenia danych. Nie należy przekazywać kodów, haseł ani danych logowania osobie, która sama nawiązała kontakt. Bezpieczniej zakończyć rozmowę i zadzwonić pod numer placówki znaleziony na jej oficjalnej stronie.

SPZOZ wskazał również możliwość wykupienia na swój koszt rocznego abonamentu Alertów BIK dla osób objętych zdarzeniem. Pytania dotyczące naruszenia można kierować do inspektora ochrony danych placówki, korzystając z danych zamieszczonych w oficjalnym zawiadomieniu.

Źródła:

Samodzielny Publiczny Zakład Opieki Zdrowotnej Warszawa-Ursynów, „Zawiadomienie o naruszeniu ochrony danych osobowych w SPZOZ Warszawa-Ursynów”, 2 września 2026 roku.

DAGMA Bezpieczeństwo IT i ESET, „Możliwy wyciek danych z przychodni w Warszawie. ESET: dla pacjentów zagrożenie może dopiero nadejść”, informacja prasowa z 8 września 2026 roku, materiał przekazany redakcji.

Urząd Ochrony Danych Osobowych, „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”, 12 sierpnia 2026 roku, dostęp 9 września 2026 roku.

Pobierz ebook "Książka o Egipcie, jakiego nie pokazują wycieczki. Śladami starożytnych królowych i polskich archeologów"