Największe wycieki danych w 2026 roku: Polska i świat
W 2026 roku wycieki danych przypominają serię, a nie pojedyncze zdarzenia. Porządkujemy największe incydenty w Polsce i na świecie: kto, kiedy, jak duży wyciek i co wyciekło.
Jak czytać liczby
Liczba poszkodowanych zależy od tego, kto ją podaje. Firma, regulator, prokuratura i sprawcy często wskazują różne wartości. NFZ podał około 11,1 mln osób, a prokuratura ponad 13 mln. W przypadku platformy Canvas liczba 275 mln pochodziła od atakujących i nie została niezależnie zweryfikowana.
Dodatkowo rekordy to nie zawsze osoby: jedna osoba może występować w wielu zbiorach. W tekście zaznaczamy, które liczby pochodzą z komunikatów, a które od sprawców lub z doniesień mediów.
Polska
MyDr (sierpień): około 19 mln osób
Wicepremier Krzysztof Gawkowski potwierdził 12 sierpnia wyciek obejmujący blisko 19 mln osób. Według informacji przekazanych mediom baza miała ponad 2 TB, a sprawcy twierdzili, że mają 18 814 422 unikalnych numerów PESEL. Spółka dostarcza system dokumentacji medycznej, a według prokuratury napastnik mógł sięgnąć po numery PESEL, telefony i dane o wizytach. Prezes UODO wszczął 13 sierpnia kontrolę w spółce, a postępowanie prowadzi CBZC pod nadzorem Prokuratury Okręgowej w Warszawie. Do 17 września UODO odnotował ponad 50 skarg i sygnałów oraz ponad 2 tys. zawiadomień od administratorów danych.
eWUŚ i NFZ (ujawniony 6 października): 11,1 mln, według prokuratury ponad 13 mln
To incydent z marca 2024 r., o którym NFZ poinformował szeroko dopiero po ponad dwóch latach. Dane obejmowały imię i nazwisko, PESEL oraz informację o prawie do świadczeń. NFZ podkreśla, że nie przełamano zabezpieczeń jego systemów, a dostęp uzyskano przez konta pracowników dwóch świadczeniodawców, i że po wykryciu anomalii zawiadomił prokuraturę oraz Prezesa UODO. Według prokuratury sprawcy skierowali do eWUŚ ponad 18 mln zapytań, a akt oskarżenia objął pięć osób.
Medyc (wrzesień): do 5 mln osób według sprawców
Serwisy branżowe opisywały deklarację grupy, że wykradziono dane ponad 5 mln pacjentów. Prezes UODO zapowiedział kontrolę w firmie Qbusoft, a wicepremier wskazał, że spółka nie zgłosiła incydentu do CERT Polska ani CSIRT CeZ.
Pozostałe incydenty medyczne
Na przełomie września i października pojawiły się kolejne: atak na dostawcę oprogramowania dla gabinetów stomatologicznych, który według szacunków mógł dotyczyć około 2,5 mln pacjentów, oraz cyberatak na Centrum Medyczne Enel-Med z dostępem do danych części pacjentów. Szczegółami wycieków medycznych zajmiemy się w osobnym artykule.
Fakturownia (27-28 września): dane przedsiębiorców
Według komunikatu firmy incydent dotyczy każdego konta, a z około 2250 kont pobrano wszystkie dane dostępne w systemie z lat 2022-2026. Spółka zawiadomiła UODO, CERT Polska i Policję.
Wakacje.pl (29 września): dane paszportowe
Z systemu obsługi klientów mogły wyciec adresy e-mail, imiona i nazwiska, numery telefonów, adresy, daty urodzenia i dane paszportowe. Firma zgłosiła sprawę do UODO i CSIRT NASK, a liczba poszkodowanych nie została podana.
Pseudonim „Fingerprint” był w mediach wiązany z atakami na MyDr, Enel-Med i Fakturownię, ale w przypadku Wakacje.pl miał zaprzeczyć udziałowi. To są doniesienia i deklaracje, nie ustalenia sądu.
Świat
Instructure (Canvas), kwiecień-maj
Atakujący twierdzili, że mają dane 275 mln użytkowników, ale ta liczba nie została potwierdzona, a firma zapewniała, że nie ujawniono haseł, dat urodzenia, identyfikatorów rządowych ani danych finansowych.
Dania, rejestr CPR (wrzesień, ujawniony 5 października): 8,8 mln osób
Nieuprawnione osoby wykorzystały legalny dostęp prywatnej firmy do Centralnego Rejestru Osób i uzyskały imiona, adresy i numery identyfikacyjne. Rejestr zawiera około 11 mln rekordów, także osób zmarłych i mieszkających za granicą, a sprawę zgłoszono durńskiemu organowi ochrony danych. Osoba podająca się za sprawcę twierdziła, że weszła dzięki hasłu „123456”, ale to jej deklaracja.
Gyazo (wrzesień): ponad 23 mln kont
Firma potwierdziła około 23,62 mln rekordów użytkowników i około 490 mln rekordów metadanych obrazów.
DentaQuest (maj): 15 mln albo 27,4 mln
To dobry przykład rozbieżności: zgłoszenie do HHS podaje 15 mln osób, a zgłoszenie w Indianie 27,4 mln.
Aesto Health (atak w grudniu 2025, potwierdzony w 2026): 9,54 mln pacjentów
To dostawca usług migracji i archiwizacji danych medycznych, czyli kolejny przypadek wycieku przez pośrednika.
Carnival (kwiecień): około 6 mln osób
Atakujący oszukał pracownika metodą socjotechniczną, a skradzione dane obejmowały m.in. numery praw jazdy i paszportów.
Odido (Holandia, luty): około 6,5 mln klientów
Według doniesień włamano się do systemu obsługi klienta, a firma dowiedziała się o tym dopiero z publikacji hakerów.
Pentagon (wrzesień)
Incydent miał dotyczyć ponad 3 mln osób w Defense Manpower Data Center. Osobno zapowiedzi sprzedaży danych, np. 32,8 mln rekordów użytkowników Condé Nast oferowanych na forum, pozostają niepotwierdzone.
Skałę rynku pokazuje raport Privacy Rights Clearinghouse: w pierwszej połowie roku zarejestrowano 1969 incydentów, a po odjęciu niezweryfikowanej liczby dla Canvas było to około 68 mln zgłoszonych ujawnień danych.
Co łączy te wycieki
Dostawca zamiast celu
MyDr, Medyc, Aesto, Fakturownia: zamiast atakować tysiące placówek czy firm, atakujący wybierają jednego dostawcę, który je obsługuje.
Przejęte konta i socjotechnika
Tak było w eWUŚ, w Carnivalu i w Danii, gdzie wykorzystano uprawnienia zewnętrznej firmy.
Dane, których nie zmienia się jak haseł
PESEL, numer CPR, paszport: ujawnienie takich danych trwa dłużej niż sam incydent, bo nie da się ich zmienić tak jak hasło.
Reakcja organów
UODO zdecydował o szerszych kontrolach przetwarzania danych o zdrowiu do końca 2026 r., a rząd zapowiedział wskazywanie firm, które się nie zabezpieczyły.
W kolejnym artykule przechodzimy do wycieków medycznych: dlaczego rozsyłano SMS-y i e-maile z zaleceniem zastrzeżenia numeru PESEL i jakie mogą być skutki takich sytuacji.
Źródła
Komunikaty UODO (25 września 2026 r.), NFZ (6 października 2026 r.), Ministerstwa Cyfryzacji (12 sierpnia 2026 r.), Fakturowni i Wakacje.pl; komunikaty administratora duńskiego rejestru CPR; raport śródroczny Privacy Rights Clearinghouse (2026). Uzupełniająco doniesienia mediów branżowych: Niebezpiecznik, Zaufana Trzecia Strona, CyberDefence24, eSecurity Planet. Liczby pochodzące od sprawców oznaczono w tekście.
Co robić po wycieku danych
Sprawdź kroki dla osób, których dane wyciekły, oraz obowiązki administratora danych.
Serwis ma charakter informacyjny i nie jest poradą prawną. Stan prawny i faktyczny: 21 października 2026 r.