SPZOZ Warszawa-Ursynów poinformował o cyberataku, w wyniku którego złośliwe oprogramowanie ransomware zaszyfrowało korespondencję znajdującą się na serwerze pocztowym placówki. Incydent został wykryty 28 sierpnia 2026 r. Administrator nie może obecnie wykluczyć, że część informacji została również skopiowana i trafiła do osób nieuprawnionych. Zagrożone mogą być m.in. numery PESEL, wyniki badań i inne dane medyczne pacjentów, a także dane pracowników placówki.
Z tego artykułu dowiesz się…
- Jak doszło do cyberataku na serwer pocztowy SPZOZ Warszawa-Ursynów i co wiadomo o jego przebiegu.
- Jakie dane pacjentów, m.in. numery PESEL, wyniki badań i dokumentacja medyczna, mogły zostać objęte incydentem.
- Jakie informacje dotyczące personelu medycznego i administracyjnego mogły znajdować się w zaatakowanej korespondencji.
- Jakie działania podjął SPZOZ i jakie środki ostrożności zaleca osobom, których dane mogły zostać zagrożone.
Zaatakowano serwer pocztowy SPZOZ Warszawa-Ursynów
Samodzielny Publiczny Zakład Opieki Zdrowotnej Warszawa-Ursynów opublikował 2 września zawiadomienie o naruszeniu ochrony danych osobowych. Informację przekazał Paweł Kurek, pełniący obowiązki dyrektora placówki.
Z komunikatu wynika, że infrastruktura informatyczna SPZOZ padła ofiarą ataku hakerskiego. Przestępcy przełamali zabezpieczenia serwera pocztowego i wdrożyli ransomware, które zaszyfrowało przechowywaną korespondencję e-mail.
Trwają analizy mające ustalić dokładny przebieg zdarzenia. Na obecnym etapie SPZOZ nie jest w stanie jednoznacznie wykluczyć naruszenia poufności informacji. Oznacza to, że dane znajdujące się w wiadomościach lub ich załącznikach mogły zostać skopiowane i ujawnione osobom nieuprawnionym.
Administrator zaznacza jednocześnie, że dotychczas nie otrzymał sygnałów świadczących o dalszym udostępnieniu lub bezprawnym wykorzystaniu danych.
PESEL, wyniki badań i skierowania mogły znajdować się w korespondencji
Zakres potencjalnie zagrożonych informacji jest szeroki. W przypadku pacjentów w korespondencji mogły znajdować się podstawowe dane identyfikacyjne i kontaktowe – m.in. imię i nazwisko, PESEL, data urodzenia, adres zamieszkania lub pobytu, numer telefonu oraz prywatny adres e-mail.
Incydent mógł objąć również szczególne kategorie danych dotyczących zdrowia. SPZOZ wskazuje m.in. skany skierowań zawierających kody ICD-10 i opisy dolegliwości, wyniki badań laboratoryjnych i obrazowych, dokumentację dotyczącą skarg pacjentów, zaświadczenia i orzeczenia lekarskie oraz wnioski o wydanie dokumentacji medycznej.
Wśród potencjalnie zagrożonych materiałów znalazły się ponadto faktury imienne za świadczenia komercyjne oraz zestawienia i raporty dla Narodowego Funduszu Zdrowia. Ich załączniki mogły zawierać listy pacjentów wraz z numerami PESEL i przypisanymi procedurami medycznymi.
Cyberatak mógł objąć także dane pracowników
Naruszenie nie ogranicza się do informacji o pacjentach. Na serwerze pocztowym mogły znajdować się dane personelu medycznego i administracyjnego oraz osób ubiegających się o zatrudnienie.
Placówka wymienia CV kandydatów, informacje o wykształceniu i historii zatrudnienia, zdjęcia, umowy o pracę, kontrakty cywilnoprawne i B2B oraz harmonogramy dyżurów. Potencjalnie zagrożone są również informacje finansowe pracowników, takie jak numery rachunków bankowych, paski płac i dane o premiach.
Zakres może obejmować również zaświadczenia o niezdolności do pracy, informacje o urlopach macierzyńskich, dane członków rodzin zgłaszanych do ubezpieczenia zdrowotnego w ZUS, a także dokumentację dotyczącą spraw pracowniczych.
W korespondencji mogły znajdować się również dane przedstawicieli handlowych, serwisantów sprzętu medycznego, dostawców leków oraz pracowników innych podmiotów leczniczych współpracujących z SPZOZ.
SPZOZ ocenia ryzyko naruszenia praw i wolności jako wysokie
Ze względu na możliwy zakres informacji, zwłaszcza numery PESEL i dokumentację medyczną, administrator ocenił ryzyko naruszenia praw i wolności osób, których dane dotyczą, jako wysokie.
Placówka wskazuje m.in. na możliwość wykorzystania danych do prób zaciągania pożyczek, zawierania umów z operatorami telekomunikacyjnymi lub innymi usługodawcami, przejmowania dostępu do kont i zmiany przypisanych do nich danych kontaktowych.
Wśród potencjalnych konsekwencji wymieniono również próby założenia działalności gospodarczej na cudze dane, złożenia fałszywej deklaracji podatkowej czy uzyskania nieuprawnionego dostępu do świadczeń ZUS lub NFZ i systemów wykorzystywanych przy udzielaniu świadczeń zdrowotnych.
Ujawnienie informacji o stanie zdrowia, zarobkach czy zatrudnieniu może dodatkowo prowadzić do naruszenia prywatności, dyskryminacji lub wykorzystania tych danych do bardziej wiarygodnych prób oszustwa i podszywania się pod inne osoby.
Serwer został odizolowany, a sprawa trafiła do UODO
Po wykryciu incydentu zaatakowany serwer został zabezpieczony i odizolowany od pozostałej części sieci. SPZOZ rozpoczął również szczegółową analizę, która ma ustalić, czy doszło do wycieku danych z infrastruktury.
O zdarzeniu został formalnie powiadomiony Prezes Urzędu Ochrony Danych Osobowych oraz inne uprawnione organy państwowe.
Placówka zaleca osobom, których dane mogły zostać objęte naruszeniem, przede wszystkim zastrzeżenie numeru PESEL. Przypomina, że zastrzeżony PESEL nie uniemożliwia rejestracji do lekarza, realizacji recepty ani załatwiania spraw urzędowych.
SPZOZ Warszawa-Ursynów zapowiedział także możliwość wykupienia na swój koszt rocznego abonamentu Alertów BIK. Usługa ma informować m.in. o próbach złożenia wniosku o kredyt lub pożyczkę przy wykorzystaniu danych osoby objętej ochroną.
Administrator rekomenduje ponadto zmianę haseł do kont internetowych, stosowanie unikalnych haseł w poszczególnych usługach oraz uwierzytelniania dwuskładnikowego (2FA). Osoby, które stwierdzą wykorzystanie lub dalsze ujawnienie swoich danych, powinny przekazać taką informację Inspektorowi Ochrony Danych SPZOZ, a w przypadku podejrzenia przestępstwa mogą zawiadomić policję lub prokuraturę.
Incydent dotyczy SPZOZ Warszawa-Ursynów
SPZOZ Warszawa-Ursynów prowadzi przychodnie przy ul. Na Uboczu 5, ul. Romera 4, ul. Kajakowej 12, ul. Kłobuckiej 14 i ul. Samsonowskiej 1, a także UCZ przy ul. Kajakowej 12.
Na razie nie ma potwierdzenia, że dane znajdujące się na zaatakowanym serwerze zostały faktycznie skopiowane lub wykorzystane przez osoby trzecie. Trwające analizy mają ustalić pełny zakres i skutki cyberataku.
Główne wnioski
- Incydent cybernetyczny wykryto 28 sierpnia 2026 r., a w wyniku ataku z użyciem ransomware zaszyfrowana została korespondencja na serwerze pocztowym SPZOZ Warszawa-Ursynów.
- Placówka nie może wykluczyć naruszenia poufności informacji, obejmujących m.in. numery PESEL, wyniki badań, skierowania i dokumentację medyczną pacjentów.
- Incydent mógł objąć również dane personelu, takie jak umowy, harmonogramy dyżurów, numery rachunków bankowych i informacje o wynagrodzeniach.
- SPZOZ ocenił ryzyko naruszenia praw i wolności jako wysokie, odizolował zaatakowany serwer oraz zawiadomił Prezesa UODO i inne uprawnione organy.
Źródło:
- https://zozursynow.pl/zawiadomienie/
