Cyberatak na firmę Qbusoft zagraża danym pacjentów

Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) prowadzi działania związane z incydentem cyberbezpieczeństwa dotyczącym firmy Qbusoft Sp. z o.o., która tworzy oprogramowanie Medyc służące do zarządzania dokumentacją medyczną.

Cyberatak na system Qbusoft spowodował naruszenie poufności danych osobowych pacjentów, w tym danych kontaktowych oraz numerów PESEL.

Minister cyfryzacji Krzysztof Gawkowski poinformował o działaniach służb oraz o zaleceniach bezpieczeństwa przekazanych dostawcom oprogramowania medycznego.

Działania służb i reakcja na incydent

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi śledztwo w sprawie incydentu cyberbezpieczeństwa, który dotyczy między innymi oprogramowania firmy Qbusoft Sp. z o.o. Producent ten jest odpowiedzialny za system Medyc, wykorzystywany do zarządzania medyczną dokumentacją.

Minister cyfryzacji Krzysztof Gawkowski przekazał, że CSiRT CeZ (Cyber Security Incident Response Team Centrum e-Zdrowia) oraz Ministerstwo Zdrowia opracowały zalecenia bezpieczeństwa dla dostawców oprogramowania w ochronie zdrowia. Zalecenia te zostały przekazane do dostawców 16 września 2026 roku w związku z zagrożeniami cyberprzestrzeni i atakami na podmioty medyczne oraz dostawców oprogramowania medycznego.

Minister Gawkowski zaznaczył, że firma Qbusoft nie zgłosiła dotąd incydentu cyberbezpieczeństwa do CERT Polska ani do CSiRT CeZ. W przypadku naruszenia procedur bezpieczeństwa przez prywatną firmę minister zapowiedział wyciągnięcie bezwzględnych konsekwencji.

Skutki cyberataku dla danych pacjentów

Informację o cyberataku na system firmy Qbusoft podał Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu. W komunikacie zamieszczonym na stronie placówki poinformowano, że system podmiotu przetwarzającego dane, czyli Qbusoft Sp. z o.o. z siedzibą w Olsztynie, padł ofiarą cyberataku.

W wyniku ataku doszło do naruszenia poufności danych osobowych pacjentów. Wśród danych objętych incydentem mogły znaleźć się między innymi dane kontaktowe oraz numery PESEL.

Wcześniej, w sierpniu 2026 roku, Ministerstwo Cyfryzacji informowało o cyberataku na firmę MyDr, dostawcę systemu do prowadzenia elektronicznej dokumentacji medycznej. W wyniku tego ataku wyciekły dane 19 milionów Polaków, dotyczące między innymi leków i recept. Dane te obejmowały informacje z 12 tysięcy podmiotów medycznych korzystających z platformy MyDr.

Opisane zdarzenia dotyczą działań służb i instytucji związanych z ochroną danych medycznych oraz zagrożeń dotyczących dostawców oprogramowania medycznego i podmiotów leczniczych.

W artykule przedstawiono informacje dotyczące cyberataku na firmę Qbusoft oraz działania podejmowane przez Centralne Biuro Zwalczania Cyberprzestępczości i inne instytucje państwowe w związku z tym incydentem. Uwzględniono również dane o wcześniejszym ataku na firmę MyDr, który dotknął dużą liczbę pacjentów i podmiotów medycznych.