Polska
Marek Sobczak
Dziennikarz polityczny w redakcji Veritop. Śledzi krajobraz polityczny, pracę Sejmu i sprawy samorządowe. Po pracy biega, a w domu czeka na niego jamnik o imieniu Stefek.
Centralne Biuro Zwalczania Cyberprzestępczości prowadzi działania związane z incydentem cyberbezpieczeństwa dotyczącym między innymi oprogramowania firmy Qbusoft - poinformował w czwartek wieczorem minister cyfryzacji Krzysztof Gawkowski. Jak napisał w serwisie X, sprawa jest elementem szerszego śledztwa. „CBZC, w ramach szerszego śledztwa, prowadzi działania związane z incydentem cyberbezpieczeństwa dotyczącym między innymi oprogramowania firmy Qbusoft Sp. z o.o. tworzącej oprogramowanie Medyc” - przekazał minister. Tworzone przez olsztyńską spółkę oprogramowanie Medyc służy między innymi do zarządzania dokumentacją medyczną.
O cyberataku poinformował w czwartek Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu. Placówka napisała na swojej stronie, że system jej podmiotu przetwarzającego, czyli spółki Qbusoft z siedzibą w Olsztynie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności danych osobowych pacjentów. W komunikacie znalazło się bezpośrednie zwrócenie się do osób, których dane dotyczą. „Z przykrością informujemy, że system naszego podmiotu przetwarzającego (…) padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych” - czytamy.
Naruszenie poufności mogło objąć między innymi dane kontaktowe, numery PESEL oraz informacje o stanie zdrowia pacjentów. Jak podała placówka, przeprowadzone analizy śledcze potwierdziły, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.
Gawkowski zaznaczył, że Qbusoft - według dotychczasowych informacji - nie zgłosił incydentu ani do CERT Polska, ani do CSIRT CeZ, czyli zespołu reagowania na incydenty bezpieczeństwa działającego przy Centrum e-Zdrowia. Minister zapowiedział konsekwencje, jeśli firma naruszyła obowiązujące procedury bezpieczeństwa. „W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje” - oświadczył.
CSIRT CeZ i Ministerstwo Zdrowia opracowały zalecenia bezpieczeństwa dla dostawców oprogramowania wykorzystywanego w ochronie zdrowia. W związku z zagrożeniami w cyberprzestrzeni oraz atakami na placówki medyczne i producentów systemów dokumenty zostały przekazane firmom 16 września 2026 roku do wdrożenia.
Sprawę prowadzi policyjne biuro zajmujące się zwalczaniem przestępczości w sieci. Doniesienia o incydencie pojawiły się po wcześniejszym wycieku danych z platformy MyDr, o którym placówki medyczne informowały w sierpniu.
Przygotowane zalecenia mają trafić do wszystkich dostawców systemów używanych w ochronie zdrowia, ponieważ w ostatnim czasie celem ataków padają zarówno szpitale i przychodnie, jak i producenci ich oprogramowania.
To nie pierwszy taki incydent w ostatnich tygodniach. W sierpniu Ministerstwo Cyfryzacji informowało o cyberataku na firmę MyDr. Według resortu wyciekły wówczas dane 19 milionów Polaków, w tym informacje dotyczące leków i recept. Dane miały pochodzić z 12 tysięcy podmiotów medycznych korzystających z platformy MyDr.