We wtorek, 17 marca 2026, Bonifraterskie Centrum Medyczne poinformowało o cyberataku na infrastrukturę teleinformatyczną typu ransomware, który spowodował naruszenie ochrony danych osobowych. Wcześniej, 8 marca podobny atak miał miejsce na Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie.
Zdjęcie: Bonifraterskie Centrum Medyczne
Do ataku miało dojść 13 marca. Spółka dysponuje szpitalami w Katowicach, Krakowie i Łodzi oraz Szpitalem rehabilitacyjnym w Piaskach, Domem Seniora w Warszawie oraz Poradniami w Warszawie.
Podobnie jak w SPWSZ, atak polegał na zastosowaniu złośliwego oprogramowania szyfrującego, które doprowadziło do zaszyfrowania części zasobów informatycznych spółki, co wiąże się z wysokim ryzykiem nieuprawnionego dostępu i potencjalnej kradzieży.
W wyniku tego zdarzenia doszło do utraty dostępności danych osobowych, a także, z dużym prawdopodobieństwem, naruszenia ich poufności. Dotyczy to m.in. informacji dotyczących pacjentów, pracowników, kontrahentów oraz innych osób, których dane były przetwarzane przez Bonifraterskie Centrum Medyczne.
Dodano, że obecnie trwają działania wyjaśniające, mające na celu ustalenie zakresu incydentu. Podjęto także działania zmierzające do likwidacji skutków ataku oraz ustalenia zakresu szkód. Jednocześnie Bonifraterskie Centrum Medyczne dokonało zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych oraz poinformował uprawnione instytucje, a także złożył zawiadomienie o podejrzeniu popełnienia przestępstwa.
Na czym polegał cyberatak?
Naruszenie ochrony danych osobowych miało charakter incydentu cybernetycznego polegającego na ataku z wykorzystaniem oprogramowania ransomware. Atak ten doprowadził do zaszyfrowania plików przechowywanych na wybranej infrastrukturze serwerowej, skutkując utratą dostępności do danych oraz potencjalnym naruszeniem ich poufności.
Ze względu na specyfikę działania ransomware istnieje wysokie prawdopodobieństwo, że dane osobowe zostały przejęte w sposób nieuprawniony przez cyberprzestępców przed ich zaszyfrowaniem. Może to oznaczać możliwość ich dalszego wykorzystania w sposób nieautoryzowany, np. poprzez sprzedaż, nielegalne rozpowszechnianie lub wykorzystanie do oszustw i kradzieży tożsamości.
Atak dotknął szeroki zakres danych osobowych, obejmujących m.in. informacje o pacjentach, pracownikach, kontrahentach oraz innych osobach, których dane były przetwarzane w systemach Bonifraterskiego Centrum Medycznego. W wyniku incydentu naruszona została dostępność danych, a także z dużym prawdopodobieństwem ich poufność.
Naruszenie to może prowadzić do negatywnych konsekwencji dla osób, których dane zostały objęte incydentem, w tym ryzyka nieuprawnionego wykorzystania danych pokrzywdzonych w celach oszustw, nadużyć finansowych, czy naruszenia prywatności.
Rodzaje danych objętych atakiem:
- dane identyfikacyjne (m.in. imię, nazwisko, PESEL, nr dokumentu stwierdzającego tożsamość, organ wydający oraz data ważności, data urodzenia, obywatelstwo),
- dane adresowe (adres zamieszkania, zameldowania, korespondencyjny),
- dane kontaktowe (nr telefonu, adres e-mail),
- dane szczególnej kategorii o stanie zdrowia (dokumentacja medyczna),
- w minimalnym zakresie dane dotyczące faktu aresztowania lub zatrzymania przez organy ścigania w zakresie w jakim osobom tym były udzielane świadczenia zdrowotne,
- dane finansowe (nr rachunków bankowych, informacja o wysokości wynagrodzenia pracowników i wysokości wynagrodzenia wynikających z umów kontraktowych),
- dane kadrowe (historia zatrudnienia, informacje potwierdzające kwalifikacje, dane dzieci i współmałżonków pracowników).
Kategorie osób objętych atakiem:
- pacjenci, przedstawiciele ustawowi pacjentów i osoby upoważnione przez pacjentów,
- pracownicy,
- kontrahenci/podwykonawcy.
Jak dodano, obecnie nie można jednoznacznie potwierdzić, czy dane pokrzywdzonych zostały skradzione, jednak istnieje wysokie prawdopodobieństwo.
Możliwe konsekwencje naruszenia
- naruszenie prawa do prywatności, w związku z incydentem polegającym na ujawnieniu osobie nieupoważnionej danych osobowych zwykłych (tj. imię, nazwisko, adres zamieszkania i nr PESEL);
- naruszenie dóbr osobistych wynikające z możliwości ujawnienia imienia i nazwiska, oraz nr PESEL wraz z pozostałymi danymi;
- dyskryminacja wynikająca w szczególności z ujawnienia osobom nieupoważnionym wysokości wynagrodzenia pokrzywdzonych wraz z pozostałymi danymi;
- ograniczenie możliwości korzystania z praw obywatelskich i usług kierowanych do ogółu obywateli, w związku z ujawnieniem imienia, nazwiska i nr PESEL (np. głosowania w ramach budżetu obywatelskiego, internetowej rejestracji wizyt w urzędach itp.);
- uzyskanie przez osoby trzecie pożyczek w instytucjach pozabankowych z użyciem imienia, nazwiska i nr PESEL osoby dotkniętej naruszeniem (np. przez Internet, bez konieczności okazywania dokumentu tożsamości);
- uzyskanie przez osoby trzecie dostępu do systemów obsługujących udzielanie świadczeń medycznych osoby dotkniętej naruszeniem (czasami w takich systemach tożsamość potwierdza się za pomocą numeru PESEL);
- próby zawarcia umów cywilnoprawnych na szkodę osoby, której dane ujawniono, w związku z ujawnieniem imienia, nazwiska i nr PESEL, np. umów z operatorami telekomunikacyjnymi czy dostawcami sygnału RTV;
- uzyskanie przez osoby trzecie możliwości podjęcia próby założenia firmy z wykorzystaniem danych osobowych pokrzywdzonych, która następnie może posłużyć do wyłudzeń podatkowych, narażając pokrzywdzonych na nieprzyjemności i konieczność wykazania przez nich braku związku ze sprawą;
- uzyskanie przez osoby trzecie możliwości złożenia fałszywej deklaracji podatkowej w imieniu pokrzywdzonych, powodując tym działaniem wszczęcie postępowania wyjaśniającego w Urzędzie Skarbowym;
- ryzyko otrzymania wezwania do zwrotu środków, których faktycznie pokrzywdzeni nie otrzymali;
- ryzyko podjęcia próby zamiany adresu korespondencyjnego pokrzywdzonych, numeru telefonu lub adresu e-mail powiązanego z kontem bankowym oraz z innymi kontami (np. kontem kredytowym, leasingowym, kontami rozliczeniowymi za dostarczone media (gaz, prąd, wodę etc.), czy wszelkiego rodzaju abonamenty i subskrypcje), co może utrudnić pokrzywdzonym dostęp do tych internetowych kont a także ryzyko przejęcia istotnych dokumentów w korespondencji z powiązanymi podmiotami;
- ryzyko uzyskania dostępu do świadczeń pokrzywdzonych w ZUS lub NFZ;
- ryzyko otrzymania wezwania do złożenia wyjaśnień w sprawie, z którą nie mają pokrzywdzeni nic wspólnego;
- ryzyko wystąpienia ukierunkowanych ataków socjotechnicznych, oszustw metodą “na wnuczka” czy “na policjanta”;
- wzrost zagrożenia fizycznego (np. włamania, stalking, niechciane wizyty);
- możliwość fałszowania historii zawodowej i wykorzystania danych do nielegalnych celów;
- ryzyko oszustw rekrutacyjnych, w tym podszywania się pod pracowników.
Bonifraterskie Centrum Medycznego informuje, że obecnie istnieją wysokie ryzyka związane z ewentualnym wykorzystaniem danych osobowych pokrzywdzonych w sposób nieuprawniony, narażające ich na ewentualne naruszenia praw i wolności.
Proponowane środki zaradcze
- zastrzeżenie numeru PESEL. Od 1 czerwca 2024 r. instytucje finansowe (np. banki) mają obowiązek weryfikować, czy numer PESEL jest zastrzeżony przy zawieraniu np. umowy kredytu lub pożyczki.
- wykupienie rocznego abonamentu tzw. Alertów w BIK (Biurze Informacji Kredytowej).
- przejrzenie dostępnych informacji w Internecie na swój temat i usunięcie tych, które mogą wykorzystać przestępcy do nielegalnej działalności, w szczególności numery telefonów komórkowych, adresy e-mail, wizerunek, adresy zamieszkania, ale także zbędne informacje o miejscach pobytu czy zainteresowaniach i wszelkie inne szczegóły, które mogą zostać wykorzystane przez przestępców do podszywania się pod pokrzywdzonych.
- możliwość skorzystania ze środków ochrony dóbr osobistych wskazanych w kodeksie cywilnym i kodeksie postępowania cywilnego.
- zachowanie szczególnej rozwagi podczas umieszczania jakichkolwiek prywatnych danych na swój temat w Internecie.
- weryfikację swoich haseł wykorzystywanych w różnych portalach, sklepach internetowych, kontach pocztowych i ich zmianę w taki sposób by były w każdym takim miejscu niepowtarzalne.
- weryfikację oraz odnowienie certyfikatów wykorzystywanych do komunikacji z systemami zewnętrznymi, w tym certyfikatów używanych przez lekarzy.
- weryfikację występowania danych pokrzywdzonych w bazie znanych wycieków danych, za pośrednictwem rządowego portalu https://bezpiecznedane.gov.pl.