Cyberatak na firmę Qbusoft: Mogły wyciec dane medyczne pacjentów

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi obecnie działania w ramach szerszego śledztwa dotyczącego incydentu cyberbezpieczeństwa, który objął oprogramowanie Medyc. System ten, tworzony przez firmę Qbusoft Sp. z o.o. z siedzibą w Olsztynie, jest szeroko wykorzystywany w placówkach medycznych do zarządzania dokumentacją pacjentów.

Minister cyfryzacji Krzysztof Gawkowski poinformował, że producent oprogramowania nie zgłosił incydentu do CERT Polska ani do zespołu CSIRT CeZ. W związku z tym resort zapowiedział wyciągnięcie bezwzględnych konsekwencji, jeżeli okaże się, że firma naruszyła obowiązujące procedury bezpieczeństwa.

Zalecenia Ministerstwa Zdrowia

Minister Gawkowski wskazał, że resort zdrowia wraz z CSiRT CeZ już wcześniej podejmowały kroki w celu poprawy ochrony systemów w ochronie zdrowia. W obliczu zagrożeń w cyberprzestrzeni oraz ataków na podmioty medyczne opracowano specjalne zalecenia bezpieczeństwa dla dostawców oprogramowania, które przekazano firmom 16 września 2026 roku.

Skala wycieku danych

Pierwsze informacje o incydencie przekazał Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, którego system przetwarzający dane padł ofiarą ataku. Placówka potwierdziła, że doszło do naruszenia poufności danych osobowych, w tym numerów PESEL, danych kontaktowych oraz szczegółowych informacji o zdrowiu pacjentów.

Według nieoficjalnych doniesień serwisu CyberDefence24, incydent może dotyczyć setek placówek medycznych i obejmować dane co najmniej miliona osób. Dane miały zostać pozyskane poprzez nieuprawniony dostęp do zaszyfrowanego archiwum bazy danych, przy czym w przypadku inowrocławskiej placówki wyciek obejmował okres od 1 lipca 2024 roku do 23 sierpnia 2026 roku.

Według ustaleń przeprowadzonych przez MyDr, incydent został opanowany, a obecne analizy nie wskazują na dalszy nieuprawniony dostęp do systemów.

Poprzednie incydenty w ochronie zdrowia

Sprawa firmy Qbusoft wpisuje się w serię ataków na dostawców usług dla polskiej służby zdrowia. W sierpniu Ministerstwo Cyfryzacji informowało o cyberataku na platformę MyDr, w wyniku którego wyciekły dane 19 milionów Polaków, w tym informacje o receptach i lekach, pochodzące z 12 tysięcy podmiotów medycznych.