何が起きたか
この事故で流出した、または流出したおそれがある情報は、氏名、国民識別番号（PESEL）、連絡先、診断、医師の記録、処方など。約1900万人分（政府の発表）。会社は対象の情報と人数を確定していないです。その後の対応と影響は、政府は確認用サイト（bezpiecznedane.gov.pl）を用意し、PESELの利用停止の登録を呼びかけた。個人情報保護局（UODO）は会社への検査を決め、利用する医療機関から約1000件の漏えい報告を受けた。サイバー犯罪対策局（CBZC）が捜査しているです。
原因になったのは「電子カルテのクラウドサービスへの攻撃（侵入経路は公表されていない）」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
外部の者が電子カルテサービスのデータに不正にアクセスし、持ち出した。侵入の方法は公表されていない。
- 1つ外側 流出した情報報道
氏名、国民識別番号（PESEL）、連絡先、診断、医師の記録、処方など。約1900万人分（政府の発表）。会社は対象の情報と人数を確定していない。
- いちばん外側 その後の対応と影響報道
政府は確認用サイト（bezpiecznedane.gov.pl）を用意し、PESELの利用停止の登録を呼びかけた。個人情報保護局（UODO）は会社への検査を決め、利用する医療機関から約1000件の漏えい報告を受けた。サイバー犯罪対策局（CBZC）が捜査している。
なぜ起きたか
詳しい経緯は公表されていない。デジタル担当大臣は、ソフトウェアのどこに誤りがあったかは把握しており、穴は塞いだと述べたが、内容は明らかにしていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年8月10日ごろ攻撃者がセキュリティ専門メディアに見本データを送り、報道される
- 2026年8月12日デジタル担当大臣が約1900万人分の流出を発表する
- 2026年8月13日保健省が中央の電子医療システムに被害は無いと発表し、UODOが検査を決める
- 2026年8月下旬会社の代表が謝罪し、外部の専門家と範囲の分析を進めていると説明する
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）利用者が多いクラウド型のサービスでは、古いデータを保管し続けない期限を決め、大量のデータの取り出しを検知して止める仕組みがあれば、被害の範囲を小さくできた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 自社が使う電子カルテや顧客管理のクラウドサービスで、何年分のデータが保管されているかを確認する
- 委託先に、大量のデータの取り出しを検知する仕組みと、侵入時の報告期限を問い合わせる
- 保管期限を過ぎたデータの削除を委託先と取り決める
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- Poland hit by theft of 19 million patients' data from medical platform（Notes from Poland）2026.08.13
- Poland confirms huge personal data breach（Polskie Radio）2026.08.12
- Wyciek danych Polaków z MyDr. Wiemy, gdzie był błąd（RMF24）2026.08.13
- Podsumowanie miesięcy lipiec–sierpień 2026 r.（UODO Nowy Biuletyn）2026.09
