Утечки данных пациентов Enel-Med, Medyc и MyDr: как защитить PESEL

За несколько недель в Польше стало известно о трёх крупных утечках медицинских данных — у сети клиник Enel-Med и у разработчиков программ для поликлиник Medyc и MyDr. В руках преступников могли оказаться имена, номера PESEL, адреса, телефоны, а в части случаев — сведения о лечении. Ваши данные могут быть в этих базах, даже если вы никогда не слышали названий этих программ: ими пользуются сами клиники.

Enel-Med

Медицинский центр Enel-Med обнаружил кибератаку 24 сентября 2026 года. В сообщении от 27 сентября компания подтвердила, что посторонние получили доступ к части ИТ-инфраструктуры и данным пациентов. По оценке компании, утечка может касаться около 3% базы пациентов; число людей и точный перечень данных не называются. Enel-Med заявляет, что атака остановлена, и обещает лично связаться с каждым пострадавшим. Клиники продолжают принимать пациентов. По информации PAP, об инциденте сообщено в том числе в киберполицию CBZC, CERT Polska и Управление по защите персональных данных (UODO).

Medyc

Medyc — программа компании Qbusoft, в которой учреждения ведут регистрацию пациентов, документацию и выписывают электронные рецепты. По заявлению компании, которое приводит PAP, похищены имена и фамилии, номера PESEL, адреса, телефоны и e-mail. Кражу медицинской документации компания на этом этапе не подтверждает. Цифра «до 5 млн человек» взята из сообщений СМИ и не является окончательным итогом. При этом один из центров, пользующихся Medyc, сообщил своим пациентам, что документация, по данным поставщика, очень вероятно тоже была скопирована. Председатель UODO объявил проверку Qbusoft.

MyDr

Самый масштабный инцидент — выявленный в августе взлом MyDr, системы электронной медицинской документации. UODO говорит о данных 19 млн человек, PAP — примерно о 12 тысячах медучреждений, пользующихся платформой. Варшавская окружная прокуратура подтвердила, что надзирает за расследованием CBZC; речь идёт об идентификационных и контактных данных, а также о сведениях о здоровье — записях врачей и информации о выписанных рецептах. MyDr входит в группу DocPlanner, которой принадлежит ZnanyLekarz, но, как подчёркивает gazetaprawna.pl, это не значит, что взломаны аккаунты ZnanyLekarz. NFZ сообщил, что центральные государственные сервисы электронного здравоохранения не пострадали.

Цифры трёх утечек нельзя складывать: один и тот же человек может лечиться в нескольких местах и оказаться в нескольких базах.

Как проверить, попали ли вы в утечку

По делу MyDr на государственном сайте bezpiecznedane.gov.pl после входа можно проверить, есть ли ваш PESEL в утечке. Сайт не показывает, какие именно данные похищены, — это нужно узнавать у администратора данных, например в своей поликлинике.
Результат проверки касается только MyDr, а не Medyc или Enel-Med.
Пациенты Enel-Med должны дождаться личного уведомления от клиники; подлинность любого тревожного сообщения лучше проверять по официальному телефону или сайту клиники.
Любой пациент может запросить у своего медучреждения информацию о том, что случилось с его данными.

Что советуют UODO и службы e-здоровья

заблокировать номер PESEL (zastrzeżenie PESEL) — бесплатно в приложении mObywatel, через интернет или в urząd gminy;
осторожно относиться к звонкам, SMS и письмам, где просят данные, переход по ссылке или деньги;
использовать разные сложные пароли и двухфакторную авторизацию, особенно для почты и банка;
следить за операциями на счетах, сохранить уведомление об утечке и сообщить в полицию, если есть подозрение, что данные использованы для преступления.

Блокировка PESEL защищает в пределах, которые предусматривает закон, — например, при заключении определённых кредитных договоров. Она не удаляет похищенные данные и не останавливает все виды мошенничества, но и не мешает записаться к врачу или получить лекарство по рецепту. Отдельно стоит насторожиться, если звонящий знает детали вашего лечения и пытается этим завоевать доверие: знание о визите к врачу не доказывает, что с вами говорит клиника. Недавно мы уже писали о жильцах варшавского дома, которые нашли у себя счета за чужие страховки, оформленные на их PESEL.

Что делать приезжему: если у вас есть PESEL и вы лечились в частных клиниках или у врачей, пользующихся электронной документацией, потратьте десять минут: проверьте номер на bezpiecznedane.gov.pl и заблокируйте PESEL в mObywatel — разблокировать его можно в любой момент, например перед оформлением кредита. Если вы не пользуетесь mObywatel, сделать это можно лично в управлении гмины (в Варшаве — в управлении дзельницы). Не называйте по телефону данные карты и коды из SMS, даже если собеседник представляется клиникой, банком или NFZ. Материал носит информационный характер и не заменяет консультацию врача или юриста. В отличие от многих стран, где номер паспорта мало что даёт мошенникам, польский PESEL открывает доступ к кредитам, связи и медуслугам, поэтому его стоит беречь как ключ от квартиры.