Cyberatak na Medyc: UODO zapowiada kontrolę w Qbusoft

Incydent dotyczy oprogramowania rozwijanego przez Qbusoft Sp. z o.o. Do sprawy odniósł się wicepremier i minister cyfryzacji Krzysztof Gawkowski, wskazując, że czynności podejmowane po cyberataku wpisują się w szersze śledztwo prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości.

Krzysztof Gawkowski poinformował również o działaniach prewencyjnych po stronie instytucji publicznych. CSiRT CeZ wspólnie z Ministerstwem Zdrowia opracowały rekomendacje dotyczące bezpieczeństwa dla firm dostarczających oprogramowanie wykorzystywane w ochronie zdrowia. Zaleceń tych instytucje miały przesłać przedsiębiorstwom 16 września 2026 r., prosząc o ich wdrożenie.

We wpisie na platformie X minister cyfryzacji przekazał, że do tego momentu Qbusoft nie złożył zgłoszenia incydentu ani do CERT Polska, ani do CSiRT CeZ. Zapowiedział też, że jeśli prywatna firma naruszyła jakiekolwiek procedury bezpieczeństwa, "będą wyciągnięte bezwzględne konsekwencje".

Równolegle do działań służb swoje kroki podejmuje Urząd Ochrony Danych Osobowych. Prezes UODO Mirosław Wróblewski zapowiedział przeprowadzenie kontroli w Qbusoft. To kolejna decyzja urzędu w obszarze wycieków danych medycznych, po wcześniejszej zapowiedzi sprawdzenia firmy powiązanej z incydentem dotyczącym MyDr.

UODO reagował już w sierpniu po sygnałach o wycieku z MyDr, zapowiadając wówczas weryfikację zastosowanych zabezpieczeń – zarówno technicznych, jak i organizacyjnych – wraz z analizą ryzyka w spółce, w której doszło do ujawnienia informacji o stanie zdrowia pacjentów.

Według danych przedstawionych przez urząd, naruszenie w MyDr obejmuje 19 mln Polaków. Do 17 września do Prezesa UODO trafiło ponad 50 skarg i sygnałów związanych z tym zdarzeniem, a także przeszło 2 tys. zawiadomień od administratorów danych. Dodatkowo 16 września Mirosław Wróblewski podjął decyzję o uruchomieniu kolejnych kontroli dotyczących przetwarzania danych o zdrowiu, które mają potrwać do końca 2026 r.