O Fundo Nacional de Saúde (Narodowy Fundusz Zdrowotny, NFZ) da Polônia confirmou em 6 de outubro de 2026 que dados pessoais de mais de 13 milhões de pessoas foram extraídos ilicitamente de seu sistema de verificação de seguros eWUŚ, um dia após a Promotoria Regional em Poznań anunciar uma ação contra cinco homens, de acordo com tvn24.pl e tvp.info.
Como os dados foram obtidos
De acordo com a promotoria de Poznań, conforme reportado por rynekzdrowia.pl e portalsamorzadowy.pl, os suspeitos não invadiram a própria infraestrutura do NFZ. Em vez disso, obtiveram acesso não autorizado a contas de funcionários ou prestadores de serviços em dois provedores de saúde que usam a plataforma de prontuários médicos MyDr. Por meio dessas contas, teriam plantado um script que disparava automaticamente mais de 18 milhões de consultas ao eWUŚ — o sistema eletrônico que médicos e clínicas usam para verificar se um paciente tem direito ao atendimento financiado publicamente.
O NFZ afirmou em seu comunicado, citado por rynekzdrowia.pl, que os provedores de saúde são controladores de dados independentes responsáveis por suas próprias medidas de segurança, e que os sistemas da própria agência não foram violados diretamente.
Cronologia: da violação ao processo
Datas-chave no caso de violação de dados do NFZ/eWUŚ| Data | Evento |
|---|
| 18–21 & 26–27 de março de 2024 | Consultas automatizadas extraem dados de aproximadamente 11,1 milhões de pessoas através do eWUŚ, de acordo com tvn24.pl |
|---|
| Agosto de 2026 | Uma violação relacionada da própria plataforma MyDr é revelada publicamente, afetando supostamente dados vinculados a aproximadamente 19 milhões de pessoas, de acordo com rynekzdrowia.pl |
|---|
| 5 de outubro de 2026 | A Promotoria Regional de Poznań anuncia uma ação contra cinco homens, citando mais de 13 milhões de vítimas e mais de 18 milhões de consultas, de acordo com rynekzdrowia.pl e portalsamorzadowy.pl |
|---|
| 6–7 de outubro de 2026 | O NFZ emite comunicado público sobre a violação, de acordo com tvn24.pl, tvp.info e rynekzdrowia.pl |
|---|
Quem está sendo acusado
A ação nomeia cinco homens, identificados na reportagem polonesa apenas pelo primeiro nome e última inicial. A promotora Anna Marszałek, citada por portalsamorzadowy.pl, disse que todos os cinco acusados confessaram e deram explicações detalhadas aos investigadores.
- Tomasz B. — acusado de violar os sistemas de segurança e fazer consultas não autorizadas ao eWUŚ.
- Jakub K. — acusado de escrever os scripts usados para contornar a segurança e distribui-los aos demais.
- Wojciech G., Patryk K. e Marcin W. — acusados de acesso não autorizado ao sistema.
Os promotores informaram a rynekzdrowia.pl e portalsamorzadowy.pl que, dependendo das acusações específicas que cada acusado enfrenta, podem ser condenados de 8 a 12 anos de prisão. As autoridades também afirmaram que o banco de dados roubado foi totalmente recuperado através de cooperação entre a promotoria de Poznań e a Unidade Central de Crimes Cibernéticos da Polônia.
Quais dados foram expostos
Os registros comprometidos incluíram nomes completos, números PESEL — o número de identificação nacional de 11 dígitos da Polônia — e a situação de cada pessoa no sistema de seguros públicos, de acordo com tvn24.pl, tvp.info e rynekzdrowia.pl. Os números PESEL são amplamente utilizados na Polônia para verificar identidade em serviços bancários, telecomunicações e serviços governamentais, razão pela qual tvn24.pl reportou preocupações sobre riscos como roubo de identidade, pedidos de empréstimos fraudulentos ou registros não autorizados de linhas telefônicas.
O que ainda permanece incerto
Reportagens de diferentes etapas do caso citam contagens diferentes de vítimas: tvn24.pl inicialmente se referiu a aproximadamente 11,1 milhões de pessoas vinculadas às consultas do eWUŚ de março de 2024, enquanto a ação de outubro de 2026 coberta por rynekzdrowia.pl e portalsamorzadowy.pl cita mais de 13 milhões de vítimas e mais de 18 milhões de consultas. Um comprometimento separado e relacionado da própria plataforma MyDr, revelado em agosto de 2026, foi reportado por rynekzdrowia.pl com um número mais próximo a 19 milhões de registros afetados. Nenhuma das fontes analisadas para este artigo reconciliou completamente por que esses totais diferem, e não foi estabelecido no material analisado quanto tempo o Ministério de Assuntos Digitais ou a autoridade de proteção de dados da Polônia (UODO) soube sobre o caso antes de se tornar público.
Perguntas
- Quantas pessoas foram afetadas pela violação de dados do NFZ?
- A ação de outubro de 2026 da promotoria de Poznań cita mais de 13 milhões de vítimas, com base em mais de 18 milhões de consultas automatizadas ao sistema eWUŚ. Reportagens anteriores sobre o incidente de março de 2024 haviam citado uma cifra de cerca de 11,1 milhões de pessoas.
- Quais dados pessoais foram expostos?
- De acordo com o NFZ e promotores, os dados expostos incluíram nomes completos das pessoas, seus números de identificação nacional PESEL e sua situação no sistema de seguros de saúde pública da Polônia.
- O próprio sistema informatizado do NFZ foi invadido?
- O NFZ diz que não — a agência afirma que os atacantes comprometeram contas de funcionários ou prestadores de serviços em dois provedores de saúde que usam a plataforma MyDr, e usaram essas contas para enviar consultas automatizadas em massa ao sistema de verificação eWUŚ.
- Quem foi acusado e que penalidades enfrenta?
- Cinco homens — identificados como Tomasz B., Jakub K., Wojciech G., Patryk K. e Marcin W. — foram processados pela Promotoria Regional de Poznań. Os promotores disseram que podem enfrentar de 8 a 12 anos de prisão dependendo das acusações específicas, e que todos os cinco confessaram.
- Quando ocorreu a violação e quando foi divulgada?
- As consultas subjacentes foram realizadas em março de 2024. O caso se tornou público apenas em 2026: uma violação relacionada da plataforma MyDr foi revelada em agosto de 2026, a ação foi anunciada em 5 de outubro de 2026, e o NFZ emitiu seu próprio comunicado público em 6–7 de outubro de 2026.
Este texto foi preparado com inteligência artificial e passou por uma verificação automática de fontes antes da publicação. Se vir um erro, peça uma correção. Pedir correção ou direito de resposta · Como fazemos
