MyDr: quase metade da Polônia exposta em dados médicos
O Ministro da Digitalização da Polônia confirmou em 12 de agosto de 2026, após reunião de emergência do Centro Conjunto de Operações de Cibersegurança, que dados históricos de quase 19 milhões de cidadãos poloneses foram comprometidos nos sistemas da MyDr, maior fornecedor de prontuário eletrônico do país. O incidente, cujo vetor de ataque e identidade dos atores ainda não foram divulgados publicamente, é considerado um dos maiores da história da Polônia — mas o número exato de registros e o volume total exfiltrado seguem sendo alegação dos atacantes, não fato auditado de forma independente.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real: MyDr confirmou acesso não autorizado, o ministro Gawkowski confirmou publicamente a escala após reunião interministerial de emergência, e amostras de dados foram parcialmente verificadas de forma independente pelo portal Zaufana Trzecia Strona — incluindo dados pessoais e de prescrição de um político de alto perfil que corresponderam a fontes externas.
Os números precisos alegados pelos atacantes — 18.814.422 PESELs únicos e 2,5 TB de arquivos — não foram confirmados por nenhuma fonte oficial independente; o governo referiu-se a 'perto de 19 milhões' e '>2 TB', corroborando a ordem de grandeza mas não o valor exato. Tratar os números dos atacantes como fato auditado é erro metodológico.
Os dados comprometidos cobrem apenas o período histórico até abril de 2024, segundo declaração da própria MyDr referenciada pelo Ministério da Digitalização. Isso limita a janela temporal do vazamento, mas não reduz o risco para titulares, cujos dados de saúde têm vida útil indefinida para fins de fraude, extorsão e engenharia social.
O ministro Gawkowski indicou publicamente que nada aponta para ataque de Estado — o perfil seria de cibercriminosos motivados financeiramente. Essa avaliação, porém, foi feita muito cedo no ciclo investigativo e sem divulgação de evidência técnica de apoio; deve ser tratada como hipótese de trabalho, não conclusão.
A MyDr opera como processador de dados (processador GDPR/RODO), enquanto os controladores legais são as mais de 12 mil clínicas e consultórios que usam o sistema. Isso cria um labirinto de responsabilidade: cada clínica precisa notificar individualmente o UODO dentro de 72 horas, e o processo de informar os titulares via bezpiecznedane.gov.pl pode levar dias — durante os quais o portal já apresentou instabilidade imediata.
A alegação circulante em redes sociais de que a MyDr utilizava um modelo de IA de origem chinesa para sumarizar consultas, potencialmente ampliando a superfície de exposição dos dados, não encontra confirmação em fontes oficiais ou jornalísticas rastreáveis neste momento.
Análise
A MyDr é um dos maiores fornecedores de sistemas de Prontuário Eletrônico do Paciente (PEP/EDM) da Polônia, servindo a milhares de unidades de saúde. Pertence ao grupo ZnanyLekarz, que por sua vez integra o DocPlanner — plataforma de agendamento médico presente em 13 países. Importante: MyDr e ZnanyLekarz mantêm sistemas separados e não compartilham dados entre si, segundo o próprio grupo; não há base para afirmar que o incidente contaminou o ZnanyLekarz.
O ciclo de descoberta seguiu um padrão relativamente raro: os atacantes procuraram ativamente a mídia especializada (Zaufana Trzecia Strona) antes de qualquer comunicado oficial, entregando amostras para validação — tática que maximiza pressão mediática e possivelmente serve a fins de extorsão ainda não explicitados publicamente. A redação verificou parcialmente as amostras: dados identificadores de um político de alto escalão (PESEL, nome, dois telefones, região NFZ) corresponderam a fontes independentes; 3 de 5 PESELs de voluntários da área de segurança foram encontrados na base. A própria redação foi transparente sobre os limites: receitas médicas associadas não foram verificáveis, e a amostra de 5 registros é estatisticamente insignificante para validar a escala total alegada.
A confirmação governamental de 12 de agosto é a fonte de maior peso até agora (Admiralty A-2): o ministro Gawkowski, após reunião interministerial com acesso a informação técnica de MyDr e das agências de segurança, confirmou escala de 'quase 19 milhões' e volume superior a 2 TB. A MyDr confirmou por sua vez que o acesso não autorizado abrange dados históricos até abril de
2024. Há convergência entre o que a empresa admitiu, o que o regulador publicou e o que o governo declarou — base suficiente para verdict 'real' e confidence 'confirmed'. Contudo, o número exato (18.814.422) e o volume (2,5 TB) ainda vêm exclusivamente dos atacantes; o governo usou 'quase 19 milhões' e '>2 TB' sem precisão auditada.
Um detalhe estrutural amplifica o impacto legal: a MyDr atua como processador (não controlador) dos dados. Os controladores legais são as mais de 12 mil clínicas e consultórios que usam o sistema. Cada uma delas tem obrigação individual de notificar o UODO em até 72 horas após tomar ciência da violação — o que significa potencialmente 12 mil notificações paralelas a serem processadas pela autoridade, num prazo apertado. O UODO já alertou sobre isso publicamente. A promessa governamental de centralizar a verificação no portal bezpiecznedane.gov.pl encontrou imediatamente o próprio portal fora do ar — revelando que a infraestrutura de resposta a crises não estava dimensionada para a demanda.
O vetor técnico do ataque permanece desconhecido publicamente. A MyDr declarou estar investigando 'o caráter e método exato do potencial acesso não autorizado, sua cronologia e se alertas do sistema foram disparados'. A investigação é conduzida pelo CBZC (Escritório Central de Combate ao Cibercrime) em articulação com o Ministério Público. Gawkowski descartou publicamente ataque de Estado, apontando para motivação financeira — avaliação prematura dada a ausência de evidência técnica pública. A ausência de reivindicação de ransomware ou de exigência de resgate divulgada publicamente mantém o perfil do ator em aberto.
Cronologia
- 08 ago 2026Atores não identificados contatam a redação do Zaufana Trzecia Strona (portal polonês especializado em segurança) alegando possuir dados de mais de 18 milhões de poloneses extraídos de sistemas médicos. Enviam amostras parcialmente verificáveis, incluindo dados de um político de alto escalão.
- 10 ago 2026MyDr publica comunicado oficial confirmando 'incidente de segurança envolvendo dados e parte de seus sistemas', ativa times internos de segurança/engenharia/infraestrutura e contrata especialistas externos. A empresa notifica autoridades policiais mas não divulga escala ou tipo de dados afetados. O ministro Gawkowski anuncia o incidente no X, afirmando que o vazamento ainda não pode ser definitivamente confirmado.
- 10 ago 2026Zaufana Trzecia Strona publica reportagem detalhada com os resultados de verificação parcial das amostras: PESEL, nome, telefone e região NFZ de um político confirmados; dados do próprio jornalista confirmados; em teste com 5 PESELs de profissionais de segurança, 3 encontraram correspondência na base.
- 12 ago 2026Ministro Gawkowski convoca reunião de emergência do Centro Conjunto de Operações de Cibersegurança (PCOC) ao meio-dia. À tarde, confirma em coletiva que o incidente afetou 'quase 19 milhões de cidadãos' e que a base tem mais de 2 TB. MyDr confirma que o acesso não autorizado afeta dados históricos coletados até abril de 2024. CBZC assume a coordenação operacional da investigação. Portal bezpiecznedane.gov.pl apresenta instabilidade logo após o anúncio. Ministério da Digitalização inicia processo de notificação das aproximadamente 12 mil clínicas afetadas. UODO (autoridade de proteção de dados) publica alerta lembrando controladores de dados da obrigação RODO de notificação em 72 horas.
Dados envolvidos
Impacto
Dados de saúde de aproximadamente metade da população polonesa — incluindo PESELs (equivalente ao CPF brasileiro, também utilizado para acesso a serviços financeiros), nomes, telefones, datas de nascimento, histórico de consultas, prescrições médicas e condições de saúde — foram comprometidos. Os dados abrangem pacientes de mais de 12 mil clínicas e consultórios. O ministro Gawkowski alertou explicitamente para riscos de chantagem com base em informações médicas sensíveis, além de uso dos dados por terceiros para análise, fraude e engenharia social. O PESEL é particularmente crítico: sua exposição combinada com histórico de saúde abre vetores para fraude de identidade, abertura de crédito fraudulento e extorsão personalizada. Operações médicas correntes não foram afetadas — o incidente não derrubou o sistema, e prescrições e consultas seguem funcionando normalmente. O processo de notificação das 12 mil clínicas afetadas foi iniciado, mas a possibilidade de os titulares verificarem sua exposição no bezpiechnedane.gov.pl estava indisponível no momento da confirmação pública, criando janela de desinformação.
Elos técnicos
Recomendações
- Titulares de dados poloneses devem considerar imediatamente a restrição do PESEL via aplicativo mObywatel ou agências bancárias, bloqueando usos fraudulentos em crédito, SIM swap e cartório — ação que o próprio governo recomendou e que pode ser revertida quando necessário.
- As aproximadamente 12 mil clínicas e consultórios que usam MyDr devem documentar o momento exato em que tomaram ciência formal do incidente e iniciar a notificação ao UODO dentro do prazo de 72 horas previsto no art. 33 do RODO, mesmo que a investigação ainda esteja em curso — a notificação parcial dentro do prazo é preferível à notificação completa fora dele.
- Outros fornecedores de sistemas de prontuário eletrônico em operação na Polônia (e em mercados similares) devem auditar imediatamente controles de acesso a bases de dados históricas e verificar se dados fora do ciclo operacional ativo estão segmentados e com acesso restrito — o fato de os dados comprometidos serem históricos (até abril 2024) sugere que bases legadas podem ter recebido atenção de segurança inferior.
- Equipes de inteligência de ameaças devem monitorar fóruns fechados e mercados de dados em busca de amostras da base MyDr, o que permitiria confirmar independentemente a escala do vazamento e antecipar o uso dos dados em campanhas de phishing temático (fingindo ser clínicas, NFZ ou o próprio governo polonês).
- A combinação PESEL + condição médica + prescrições cria perfis de alto valor para extorsão personalizada e para fraudes em seguros de saúde; times de segurança de operadoras de seguro e bancos poloneses devem elevar o nível de alerta para transações de alto valor iniciadas por clientes que coincidam com os dados possivelmente comprometidos.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Vetor de ataque técnico: como os atacantes obtiveram acesso inicial e exfiltraram os dados — essencial para contenção e para avaliar se a vulnerabilidade foi de fato corrigida (como Gawkowski afirmou brevemente).
Identidade e atribuição dos atores: nenhum grupo reivindicou publicamente; investigação do CBZC ainda em curso — atribuição confirmada resolveria a questão de motivação financeira vs. espionagem.
Volume e escopo exato dos dados: o número de 18.814.422 PESELs e 2,5 TB vêm exclusivamente dos atacantes; auditoria forense independente pela MyDr ou pelo CBZC poderia confirmar ou contestar.
Se os dados já foram vendidos ou publicados: nenhuma informação disponível sobre o status atual dos dados — se ainda estão sob controle exclusivo dos atacantes ou já circulam em mercados fechados.
Cronologia exata da intrusão: ainda não está claro quando o acesso não autorizado começou; os dados vão até abril de 2024, mas isso não significa que a intrusão ocorreu nessa data.
Statusda notificação individual dos titulares: não há informação sobre quando e como as 19 milhões de pessoas afetadas serão notificadas individualmente, conforme exige o RODO.
Alegação sobre uso de modelo de IA chinês pela MyDr: a alegação circulou em redes sociais mas não tem confirmação oficial — se verdadeira, poderia representar vetor adicional de exposição.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.