Cyberatak na firmę Qbusoft. Zagrożone dane pacjentów korzystających z systemu Medyc

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi działania operacyjne związane z incydentem cyberbezpieczeństwa, który dotknął firmę Qbusoft Sp. z o.o. z Olsztyna. Spółka ta jest producentem oprogramowania Medyc, wykorzystywanego przez placówki medyczne do zarządzania dokumentacją pacjentów.

Minister cyfryzacji Krzysztof Gawkowski poinformował, że firma Qbusoft nie zgłosiła zdarzenia do zespołu CERT Polska ani do CSIRT CeZ działającego przy Centrum e-Zdrowia. Szef resortu cyfryzacji ostrzegł, że jeśli w toku postępowania potwierdzi się naruszenie procedur bezpieczeństwa przez prywatnego dostawcę, zostaną wobec niego wyciągnięte bezwzględne konsekwencje.

Zagrożone dane pacjentów i komunikaty ośrodków

O ataku poinformował w czwartek Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu, który korzysta z rozwiązań firmy Qbusoft. W opublikowanym komunikacie placówka przyznała, że doszło do naruszenia poufności danych osobowych jej pacjentów.

Zagrożone informacje mogą obejmować dane kontaktowe, numery PESEL oraz szczegółowe dane dotyczące stanu zdrowia. Ośrodek przekazał, że według analiz sprawa została opanowana i obecnie brak jest dowodów na dalszy nieuprawniony dostęp do systemów.

Tło zagrożeń w sektorze ochrony zdrowia

Ministerstwo Cyfryzacji oraz CSIRT CeZ w odpowiedzi na rosnącą liczbę zagrożeń w cyberprzestrzeni opracowały zalecenia bezpieczeństwa dla dostawców oprogramowania medycznego. Dokumenty te zostały przekazane firmom 16 września 2026 roku z wytycznymi dotyczącymi wdrożenia stosownych zabezpieczeń.

Obecny incydent przypomina sytuację z sierpnia 2026 roku, kiedy doszło do ataku na platformę MyDr. Wówczas wyciekły dane 19 mln Polaków, obejmujące informacje o receptach i lekach, co dotknęło około 12 tysięcy podmiotów medycznych korzystających z tamtego systemu.