Wyciek danych MyDr: phishing i scenariusze po incydencie

TL;DR

W sierpniu 2026 roku firma MyDr potwierdziła nieuprawniony dostęp do historycznych danych przechowywanych w jej systemach. Ministerstwo Cyfryzacji podało, że dane pochodzą z okresu do kwietnia 2024 roku, a incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Słowo „może” jest tu kluczowe: nie jest to jeszcze ostatecznie potwierdzona liczba osób, których dane faktycznie przejęto.

Na 18 sierpnia postępowanie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. CBZC poinformowało, że na obecnym etapie nie należy publikować numerów PESEL pacjentów MyDr w serwisie bezpiecznedane.gov.pl, ponieważ mogłoby to utrudnić aktywne działania służb. Oznacza to, że link lub wiadomość obiecujące już dziś „sprawdzenie wycieku MyDr” trzeba traktować jako potencjalne oszustwo.

Incydent nie jest równoznaczny z włamaniem do Internetowego Konta Pacjenta ani centralnego systemu e-zdrowia P1. Centrum e-Zdrowia potwierdziło, że centralne usługi e-zdrowia nie zostały naruszone, a dostęp do świadczeń, recept i usług publicznego systemu zdrowia działa. Wymiana certyfikatów P1 używanych przez MyDr ma charakter prewencyjny.

Najważniejsze działania dla pacjenta to zastrzeżenie PESEL, kontrola jego użycia, zmiana powielanych haseł, włączenie MFA oraz szczególna ostrożność wobec telefonów, SMS-ów i e-maili, które powołują się na prawdziwe dane medyczne. Placówki muszą natomiast ustalić, czy incydent obejmuje dane, za które odpowiadają, zabezpieczyć dowody, przeprowadzić ocenę ryzyka i wykonać obowiązki wynikające z RODO.

Co wydarzyło się w MyDr

MyDr dostarcza oprogramowanie używane przez lekarzy i placówki ochrony zdrowia. W tym modelu jedna spółka może przetwarzać dane w imieniu wielu niezależnych podmiotów medycznych. To ważne, bo incydent nie dotyczy jednego gabinetu ani jednego rejestru pacjentów.

12 sierpnia Ministerstwo Cyfryzacji poinformowało po specjalnym posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, że doszło do nieuprawnionego dostępu do danych historycznych gabinetów lekarskich przechowywanych w systemach MyDr. Według tego komunikatu dane obejmują okres do kwietnia 2024 roku, a możliwa skala to 18,8 mln osób oraz ponad 12 tys. placówek.

To oficjalne potwierdzenie poważnego incydentu i jego potencjalnie bardzo dużej skali. Nie rozstrzyga jednak wszystkich pytań. Nadal nie ma publicznej, ostatecznej listy osób, których rekordy zostały przejęte, kompletnego katalogu pól danych ani końcowego wyniku analizy technicznej. Z tego powodu nie należy powtarzać jako pewnika każdej liczby i każdego rodzaju danych pojawiających się w doniesieniach medialnych lub komunikatach przypisywanych napastnikom.

13 sierpnia Prezes UODO zapowiedział kontrolę MyDr. Ma ona objąć między innymi środki techniczne i organizacyjne, analizę ryzyka oraz regularne testowanie zabezpieczeń. Dzień później Centrum e-Zdrowia poinformowało o prewencyjnej wymianie certyfikatów P1. 18 sierpnia CBZC potwierdziło prowadzenie czynności dotyczących uzyskania nieuprawnionego dostępu przez internet do systemu administrowanego przez MyDr i zapisanych tam informacji.

Co jest potwierdzone, a czego nadal nie wiadomo

W incydencie o takiej skali łatwo pomieszać trzy kategorie: informacje potwierdzone przez instytucje, wstępne szacunki oraz twierdzenia osób odpowiedzialnych za atak. Dla pacjenta i placówki każda z nich wymaga innego poziomu zaufania.

| Obszar | Stan na 18 sierpnia 2026 r. | Jak to interpretować | | --- | --- | --- | | Nieuprawniony dostęp do systemu MyDr | Potwierdzony przez firmę i instytucje państwowe | To realny incydent, nie tylko niezweryfikowane ogłoszenie napastnika | | Dane historyczne do kwietnia 2024 r. | Podane przez Ministerstwo Cyfryzacji | „Historyczne” nie znaczy „nieszkodliwe”; dane tożsamości i zdrowotne mogą pozostawać aktualne przez lata | | 18,8 mln osób i ponad 12 tys. placówek | Możliwa skala wskazana przez Ministerstwo | Nie jest to jeszcze potwierdzona liczba indywidualnych poszkodowanych | | Naruszenie centralnych usług e-zdrowia | Wykluczone w komunikacie CeZ | Incydentu MyDr nie należy nazywać włamaniem do IKP albo całego systemu P1 | | Naruszenie certyfikatów P1 | Dotychczas nie stwierdzono | Wymiana jest działaniem prewencyjnym, nie dowodem użycia certyfikatów przez napastników | | Lista PESEL w bezpiecznedane.gov.pl | Na razie niepublikowana | Nie należy ufać prywatnym stronom obiecującym natychmiastową weryfikację | | Pełny zakres pól i osób | Nadal ustalany | Pacjenci powinni czekać na komunikat właściwej placówki i oficjalne informacje służb |

Najbezpieczniejsza zasada brzmi: działania ochronne można podjąć od razu, ale wnioski o dokładnym zakresie własnych danych należy opierać na komunikacie administratora, czyli placówki, oraz na kolejnych informacjach instytucji publicznych.

MyDr, placówka i P1 to nie to samo

Wokół incydentu pojawiają się nazwy kilku systemów i instytucji. Ich pomieszanie prowadzi do dwóch błędów: wywołuje niepotrzebną panikę dotyczącą wszystkich e-recept i jednocześnie utrudnia zrozumienie, kto ma obowiązek skontaktować się z pacjentem.

MyDr występuje w tym przypadku jako podmiot przetwarzający. Przetwarza dane na zlecenie gabinetów i innych placówek. Poszczególne placówki medyczne są administratorami danych swoich pacjentów. UODO wyjaśnia, że administrator nie może czekać biernie na zakończenie całego postępowania. Powinien ustalić, czy incydent obejmuje jego dane, ocenić ryzyko i podjąć wymagane działania.

P1 jest centralnym systemem e-zdrowia, który obsługuje między innymi procesy związane z e-receptami. Centrum e-Zdrowia poinformowało, że nie doszło do naruszenia centralnych usług e-zdrowia i że incydent MyDr nie wpływa na dostęp pacjentów do świadczeń, recept ani usług publicznego systemu zdrowia. Prewencyjna wymiana certyfikatów P1 ma ograniczyć ryzyko, ale sama w sobie nie oznacza, że certyfikaty zostały skradzione lub wykorzystane.

Dlaczego dane medyczne zwiększają ryzyko phishingu

Najbardziej oczywiste ryzyko po wycieku danych osobowych to kradzież tożsamości i próby wyłudzeń finansowych. W przypadku danych medycznych dochodzi jednak drugi wymiar: oszust może znać kontekst, który sprawi, że jego wiadomość będzie znacznie bardziej wiarygodna.

Zwykły phishing mówi: „Twoje konto wymaga potwierdzenia”. Wiadomość wykorzystująca dane z incydentu może powoływać się na nazwę placówki, specjalizację lekarza, dawną wizytę, receptę, badanie albo rzekomy zwrot kosztów. Nie musi zawierać kompletnej dokumentacji. Czasem wystarczy jeden prawdziwy szczegół, aby odbiorca uznał całą historię za wiarygodną.

Schemat może wyglądać tak:

1. oszust zna prawdziwą informację związaną z pacjentem lub placówką;
2. kontaktuje się przez e-mail, SMS albo telefon i przywołuje ten szczegół;
3. twierdzi, że pomaga „zabezpieczyć dane”, „potwierdzić wizytę” albo „sprawdzić wyciek”;
4. prosi o dodatkowe dane, kod SMS, logowanie, instalację aplikacji lub przelew;
5. wykorzystuje nowo zdobyte informacje do przejęcia konta, wyłudzenia pieniędzy albo kolejnego etapu ataku.

To nie oznacza, że każdy telefon z placówki jest fałszywy. Zmienia się jednak sposób weryfikacji. Nie wystarczy już uznać rozmówcy za wiarygodnego tylko dlatego, że zna prawdziwe dane. Kontakt należy przerwać i samodzielnie zadzwonić na numer znaleziony na oficjalnej stronie placówki, a nie podany w wiadomości.

Sześć scenariuszy phishingu po incydencie MyDr

Druga fala ataku nie musi pochodzić od sprawców włamania. Informacja o incydencie jest publiczna, a z MyDr korzystało wiele placówek. Oszust może więc wysłać kampanię masowo, nie mając żadnego rekordu z wycieku, i liczyć, że część odbiorców rozpozna nazwę swojej przychodni lub skojarzy wiadomość z prawdziwą wizytą.

Jeżeli przestępca rzeczywiście dysponuje fragmentem danych, może przygotować znacznie bardziej precyzyjny kontakt. W obu przypadkach cel jest podobny: skłonić odbiorcę do ujawnienia kolejnych informacji, zalogowania się na fałszywej stronie, podania kodu, instalacji programu albo wykonania płatności.

Scenariusz 1: „Sprawdź, czy Twoje dane wyciekły”

SMS, e-mail lub reklama prowadzi do strony podszywającej się pod bezpiecznedane.gov.pl, MyDr, mObywatela albo placówkę. Formularz prosi o PESEL, serię dokumentu, adres, dane logowania lub kartę płatniczą rzekomo w celu potwierdzenia tożsamości.

Ten pretekst jest szczególnie niebezpieczny teraz, ponieważ CBZC poinformowało 18 sierpnia, że PESEL-e pacjentów MyDr nie są na tym etapie publikowane w bezpiecznedane.gov.pl. Prywatna strona obiecująca natychmiastowy wynik nie ma oficjalnej podstawy. Może po prostu zbierać dane od osób zaniepokojonych incydentem.

Scenariusz 2: rzekoma wiadomość z przychodni

Wiadomość informuje o konieczności potwierdzenia wizyty, ponownego pobrania wyniku, aktualizacji danych pacjenta albo odnowienia recepty. Link prowadzi do fałszywego panelu logowania, który może udawać portal pacjenta, IKP, pocztę Microsoft 365 lub Google.

Prawdziwa nazwa placówki, nazwisko lekarza albo przybliżona data wizyty mogą obniżyć czujność. Nie dowodzą jednak, że nadawca kontroluje system placówki. Logowanie należy rozpocząć z zapisanej zakładki lub adresu wpisanego samodzielnie, nigdy z niespodziewanej wiadomości.

Scenariusz 3: „Pomożemy zastrzec PESEL”

Rozmówca podaje się za urząd, bank, operatora mObywatela albo zespół reagowania na wyciek. Twierdzi, że musi natychmiast „zabezpieczyć numer” i prosi o kod SMS, dane dokumentu, instalację aplikacji lub zalogowanie się do banku.

Zastrzeżenie PESEL jest bezpłatne i można je wykonać samodzielnie w mObywatelu, na GOV.pl albo w urzędzie gminy. Nie wymaga przekazania telefonującej osobie kodu BLIK, hasła bankowego ani zdalnego dostępu do urządzenia.

Scenariusz 4: telefon z banku, urzędu lub placówki

Vishing wykorzystuje głos i presję czasu. Oszust może ostrzegać przed kredytem zaciąganym na skradziony PESEL, grozić ujawnieniem dokumentacji albo twierdzić, że musi potwierdzić dane przed kolejną wizytą. Prawdziwy szczegół medyczny może być użyty jako „dowód”, że rozmówca ma uprawnienia.

Bezpieczna reakcja polega na zakończeniu rozmowy. Następnie trzeba samodzielnie znaleźć oficjalny numer instytucji i zadzwonić ponownie. Nie należy oddzwaniać na numer podany przez rozmówcę lub w tej samej wiadomości.

Scenariusz 5: reset hasła i przejęcie kodu MFA

Atakujący wysyła fałszywe powiadomienie o resecie konta pacjenta, poczty albo profilu pracownika placówki. Strona najpierw zbiera login i hasło, a następnie prosi o kod jednorazowy. Może też próbować nakłonić użytkownika do zaakceptowania powiadomienia logowania w aplikacji uwierzytelniającej.

Kod MFA nie służy do „potwierdzenia udziału w wycieku” ani do rozmowy z konsultantem. Jeśli żądanie pojawia się bez samodzielnie rozpoczętego logowania, należy je odrzucić. Po podaniu danych trzeba szybko zmienić hasło z czystego urządzenia, wylogować aktywne sesje i zgłosić zdarzenie.

Scenariusz 6: fałszywe wsparcie techniczne dla placówki

Pracownik rejestracji, lekarz lub administrator może dostać wiadomość rzekomo od MyDr, Centrum e-Zdrowia, dostawcy IT albo przełożonego. Pretekstem będzie pilna aktualizacja bezpieczeństwa, wymiana certyfikatu P1, sprawdzenie konta lub pobranie narzędzia diagnostycznego.

Taki atak może prowadzić do wyłudzenia służbowych danych logowania albo uruchomienia programu zdalnego dostępu. Placówka powinna ustalić jeden zweryfikowany kanał kontaktu z dostawcą i wymagać potwierdzenia każdej nietypowej operacji technicznej. Prewencyjna wymiana certyfikatów P1 jest procesem koordynowanym przez CeZ i zainteresowane podmioty, a nie zadaniem wykonywanym z przypadkowego linku.

Te sześć scenariuszy nie jest prognozą, że każdy z nich już wystąpił w związku z MyDr. To realistyczne sposoby wykorzystania wycieku lub głośnego tematu, wynikające z typowej mechaniki phishingu, smishingu i vishingu.

Co powinien zrobić pacjent

Po wycieku najważniejsze są szybkie działania ochronne i większa ostrożność wobec wiadomości oraz telefonów wykorzystujących prawdziwy kontekst medyczny.

Nie trzeba czekać na ostateczną listę poszkodowanych, aby wykonać działania, które są bezpłatne i nie zakłócają codziennego korzystania z usług.

1. Zastrzeż PESEL i sprawdź historię jego użycia

Ministerstwo Cyfryzacji zaleca domyślne zastrzeżenie PESEL. Można to zrobić w aplikacji mObywatel, w serwisie GOV.pl albo w urzędzie gminy. W mObywatelu dostępna jest również historia zmian statusu i weryfikacji numeru przez firmy oraz instytucje.

Zastrzeżenie utrudnia użycie numeru do zaciągnięcia części zobowiązań finansowych. Nie blokuje wszystkich możliwych nadużyć i nie zastępuje czujności wobec phishingu, ale jest konkretną warstwą ochrony przed kradzieżą tożsamości.

2. Nie korzystaj z przypadkowych „wyszukiwarek wycieku”

CBZC podało 18 sierpnia, że na tym etapie publikowanie numerów PESEL pacjentów MyDr w bezpiecznedane.gov.pl nie jest zasadne. Jeśli SMS, reklama lub e-mail twierdzi, że już teraz pozwala sprawdzić incydent po wpisaniu PESEL, danych logowania albo informacji z dokumentu, nie korzystaj z takiej strony.

Aktualny status sprawdzaj, wpisując samodzielnie adres oficjalnego serwisu lub korzystając z komunikatów Ministerstwa Cyfryzacji, CBZC, UODO, Centrum e-Zdrowia i swojej placówki.

3. Zmień powielane hasła i włącz MFA

Nie ma podstaw, aby twierdzić, że w incydencie MyDr na pewno przejęto hasło do każdego konta pacjenta. CBZC zaleca jednak sprawdzenie danych uwierzytelniających do portali pacjenta i kont medycznych. Jeśli to samo hasło działa także w poczcie, banku, sklepie lub innym serwisie, trzeba je zmienić wszędzie tam, gdzie było powtórzone.

Nowe hasła powinny być unikalne, a tam, gdzie jest to możliwe, należy włączyć uwierzytelnianie wieloskładnikowe. To ogranicza skutki prób logowania danymi zdobytymi w dowolnym wcześniejszym incydencie.

4. Weryfikuj kontakt drugim kanałem

Placówka może legalnie kontaktować się z pacjentem w sprawie naruszenia. Prawdziwy komunikat powinien jasno wskazywać, kto jest administratorem, co się wydarzyło, jakie mogą być skutki i co można zrobić. Sam fakt, że wiadomość wymienia MyDr albo zna nazwę lekarza, nie jest jednak dowodem autentyczności.

Nie podawaj kodu SMS, hasła, danych karty ani pełnych danych dokumentu osobie, która zadzwoniła niespodziewanie. Jeśli kontakt budzi wątpliwości, zakończ rozmowę i zadzwoń do placówki na numer pozyskany niezależnie.

5. Zgłaszaj próby oszustwa i zachowuj dowody

Podejrzany SMS można przekazać do CERT Polska na bezpłatny numer 8080. E-mail, stronę, załącznik lub inny incydent można zgłosić przez incydent.cert.pl. Jeśli doszło do przestępstwa lub straty finansowej, sprawę trzeba zgłosić Policji, a w przypadku operacji bankowej również niezwłocznie bankowi.

Nie kasuj od razu całej korespondencji. Zapisz numer nadawcy, adres strony, godzinę kontaktu, treść wiadomości i zrzuty ekranu. Te informacje mogą pomóc w blokowaniu kolejnych prób.

Co powinna zrobić placówka medyczna

Placówka korzystająca z MyDr nie powinna ograniczyć się do przekazania komunikatu dostawcy. Jako administrator danych musi przełożyć informacje od podmiotu przetwarzającego na własny zakres pacjentów, własną ocenę ryzyka i własne obowiązki.

1. Ustal, czy incydent obejmuje dane placówki

Trzeba uzyskać od MyDr możliwie precyzyjne informacje: okres, zakres rekordów, kategorie danych, liczbę osób, znane okoliczności dostępu, zastosowane środki ograniczające skutki oraz stan dalszej analizy. Jeśli część informacji nie jest jeszcze dostępna, należy udokumentować pytania, odpowiedzi i terminy kolejnych aktualizacji.

2. Najpierw zabezpiecz materiał dowodowy

Przed porządkowaniem systemów i usuwaniem wiadomości trzeba zabezpieczyć komunikację z dostawcą, logi, kopie konfiguracji, listy kont, historię zmian, alerty i wewnętrzną oś czasu. Działania naprawcze są konieczne, ale nie powinny niszczyć informacji potrzebnych do określenia zakresu incydentu i wykazania podjętych kroków.

Warto utrzymać jeden rejestr decyzji: kto i kiedy otrzymał informację, kiedy placówka uznała, że stwierdziła naruszenie, jakie ryzyko zidentyfikowano oraz na jakiej podstawie wykonano lub odstąpiono od zgłoszenia i zawiadomienia pacjentów.

3. Oceń ryzyko i pilnuj terminu 72 godzin

Zgodnie z wyjaśnieniem UODO administrator zgłasza naruszenie Prezesowi UODO, gdy może ono powodować ryzyko naruszenia praw lub wolności osób. Zgłoszenie powinno nastąpić bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia przez administratora.

Nie należy utożsamiać początku tego terminu automatycznie z pierwszym artykułem prasowym. Placówka musi jednak potrafić wykazać, kiedy otrzymała wiarygodne informacje, jakie działania podjęła i dlaczego w określonym momencie uznała, że doszło do naruszenia jej danych.

Jeżeli nie wszystkie informacje są dostępne, RODO dopuszcza przekazywanie ich sukcesywnie. Brak pełnego raportu technicznego nie powinien być pretekstem do całkowitego braku działania.

4. Przy wysokim ryzyku zawiadom pacjentów

Jeśli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób, administrator zawiadamia je bez zbędnej zwłoki. Komunikat powinien być napisany prostym językiem i opisywać charakter naruszenia, możliwe konsekwencje, dane kontaktowe oraz kroki ograniczające ryzyko.

Wiadomość nie powinna prowadzić pacjenta przez skrócony link do formularza wymagającego dodatkowych danych. W okresie zwiększonego phishingu taki projekt sam przypomina atak. Lepszy komunikat podaje oficjalną domenę, numer telefonu znany ze strony placówki i informację, czego personel nigdy nie będzie żądał.

5. Skoordynuj IOD, IT, rejestrację i komunikację

Incydent nie jest wyłącznie zadaniem informatyka lub inspektora ochrony danych. Rejestracja i call center muszą wiedzieć, jak potwierdzać autentyczność komunikatów i jak przyjmować zgłoszenia pacjentów. IT powinno zachować logi i przeprowadzić zalecone działania techniczne. IOD prowadzi ocenę obowiązków dotyczących danych osobowych. Osoba odpowiedzialna za komunikację pilnuje, aby pacjent nie dostał sprzecznych instrukcji.

Placówka powinna też przygotować personel na kampanie podszywające się pod MyDr, CeZ, UODO albo kierownictwo organizacji. Pracownik może otrzymać fałszywą prośbę o „pilną weryfikację konta”, zmianę certyfikatu, pobranie narzędzia albo przesłanie listy pacjentów. Żadnego z tych działań nie należy wykonywać na podstawie samej wiadomości.

Wspólny moment krytyczny w każdym scenariuszu

Kanał i pretekst mogą się zmieniać, ale granica ryzyka jest podobna. Kontakt przestaje być zwykłą informacją, gdy zaczyna żądać dostępu, danych albo działania, którego pacjent lub pracownik nie rozpoczął samodzielnie.

Sygnałem ostrzegawczym jest komunikat, który:

• obiecuje natychmiast sprawdzić, czy Twój PESEL znajduje się w wycieku;
• wymaga logowania do IKP, banku lub poczty z linku w wiadomości;
• prosi o kod SMS, BLIK, dane karty albo opłatę za „ochronę danych”;
• namawia do instalacji aplikacji zabezpieczającej lub narzędzia zdalnej pomocy;
• grozi utratą recept, wizyty albo dostępu do świadczeń, jeśli nie zareagujesz natychmiast;
• używa prawdziwego szczegółu medycznego jako argumentu, że rozmówca jest wiarygodny;
• prowadzi do domeny podobnej do nazwy placówki, MyDr, GOV.pl albo mObywatela, ale niebędącej oficjalnym adresem.

Mechanizm jest odmianą phishingu: atakujący buduje wiarygodny kontekst, prowadzi odbiorcę do decyzji i dopiero wtedy żąda dostępu lub danych. W przypadku wiadomości SMS mówimy o smishingu, a przy połączeniu telefonicznym o vishingu. Kanał jest drugorzędny — celem pozostaje nakłonienie człowieka do wykonania działania, którego sam fakt wycieku nie wymaga.

Jak przygotować organizację na kolejne tygodnie

Pierwsze dni po ujawnieniu incydentu to dopiero początek. Dane tożsamości i informacje zdrowotne nie tracą wartości po zablokowaniu jednej domeny phishingowej. Mogą być wykorzystywane później, zestawiane z informacjami z innych wycieków i używane w kampaniach skierowanych do konkretnych osób lub ról.

Firmy i placówki powinny wykorzystać ten moment do krótkiego, konkretnego komunikatu awareness. Nie wystarczy ostrzeżenie „uważaj na podejrzane wiadomości”. Pracownik powinien wiedzieć:

• jakie oficjalne kanały będą używane w sprawie MyDr;
• kto w organizacji może zlecić zmianę konfiguracji lub certyfikatu;
• gdzie przekazać podejrzaną wiadomość bez odpowiadania nadawcy;
• że prawdziwy szczegół medyczny lub organizacyjny nie potwierdza tożsamości rozmówcy;
• jakie działania wykona IT po kliknięciu, podaniu danych albo uruchomieniu pliku.

Dobrze zaprojektowany program security awareness powinien ćwiczyć właśnie takie sytuacje: aktualne, osadzone w prawdziwym procesie i różne dla pacjenta, rejestracji, lekarza, IOD oraz administratora IT. Test phishingowy ma sens wtedy, gdy mierzy nie tylko kliknięcie, ale również szybkość zgłoszenia i poprawność reakcji po kontakcie.

Wnioski

Incydent MyDr jest poważny ze względu na możliwą skalę, charakter danych i liczbę placówek, które muszą ocenić swój zakres odpowiedzialności. Równie ważna jest jednak precyzja: 18,8 mln to na dziś możliwa skala, nie gotowa lista poszkodowanych; incydent MyDr nie oznacza naruszenia centralnych usług e-zdrowia; prewencyjna wymiana certyfikatów P1 nie jest dowodem ich wykorzystania przez napastników.

Pacjent może od razu ograniczyć ryzyko: zastrzec PESEL, kontrolować jego użycie, uporządkować hasła i weryfikować każdy kontakt innym kanałem. Placówka powinna najpierw zabezpieczyć dowody, następnie ustalić zakres, ocenić ryzyko i wykonać obowiązki administratora danych. Obie strony muszą przygotować się na phishing, który będzie wiarygodniejszy niż zwykła masowa wiadomość, bo może wykorzystywać prawdziwy kontekst medyczny.

Najważniejsza zasada na kolejne dni jest prosta: nie sprawdzaj wycieku przez link otrzymany w wiadomości. Korzystaj z oficjalnych adresów wpisanych samodzielnie i nie traktuj znajomości Twoich danych jako dowodu, że rozmówca naprawdę reprezentuje placówkę, urząd lub bank.