波兰国家卫生基金(Narodowy Fundusz Zdrowotny, NFZ)于2026年10月6日确认,超过1300万人的个人数据被非法从其eWUŚ保险验证系统中提取。波兹南地区检察机关宣布对五人提起诉讼一天后,NFZ发表了声明,据tvn24.pl和tvp.info报道。
数据是如何被盗取的
据波兹南检察机关表示,正如rynekzdrowia.pl和portalsamorzadowy.pl所报道的,嫌疑人并未入侵NFZ自有的基础设施。相反,他们未经授权进入了使用MyDr医疗记录平台的两家医疗提供者的员工或承包商账户。通过这些账户,他们据称植入了一个脚本,该脚本自动向eWUŚ发送了超过1800万次查询——eWUŚ是医生和诊所用来检查患者是否有权获得公共资助医疗的电子系统。
NFZ在声明中表示(据rynekzdrowia.pl引述),医疗提供者是独立的数据控制者,对自身的安全措施负责,而该机构自身的系统并未被直接突破。
时间表:从数据泄露到起诉
NFZ/eWUŚ数据泄露案关键日期| 日期 | 事件 |
|---|
| 2024年3月18-21日和26-27日 | 自动查询通过eWUŚ提取了约1110万人的数据,据tvn24.pl报道 |
|---|
| 2026年8月 | MyDr平台本身发生的相关数据泄露被公开披露,据报道影响了约1900万人的相关数据,据rynekzdrowia.pl报道 |
|---|
| 2026年10月5日 | 波兹南地区检察机关宣布对五人提起诉讼,称有超过1300万受害者和超过1800万次查询,据rynekzdrowia.pl和portalsamorzadowy.pl报道 |
|---|
| 2026年10月6-7日 | NFZ发表关于数据泄露的公开声明,据tvn24.pl、tvp.info和rynekzdrowia.pl报道 |
|---|
谁被指控
起诉书列举了五名男子,在波兰报道中仅以名字和姓氏首字母来识别。据portalsamorzadowy.pl引述,检察官Anna Marszałek表示,五名被告都招供并向调查人员做出了详细说明。
- Tomasz B. ——被指控突破安全系统并提交了未授权的eWUŚ查询。
- Jakub K. ——被指控编写了用于绕过安全的脚本并将其分发给他人。
- Wojciech G.、Patryk K.和Marcin W. ——被指控未经授权访问该系统。
检察官告诉rynekzdrowia.pl和portalsamorzadowy.pl,根据每名被告所面临的具体指控,他们可能被判处8至12年监禁。当局还表示,失窃的数据库已通过波兹南检察机关和波兰中央网络犯罪局之间的合作完全恢复。
暴露了哪些数据
据tvn24.pl、tvp.info和rynekzdrowia.pl报道,被入侵的记录包括全名、PESEL号码(波兰的11位国家身份证号码)和每个人在公共保险系统中的状态。PESEL号码在波兰被广泛用于银行、电信和政府服务的身份验证,因此tvn24.pl报道了关于身份盗窃、欺诈贷款申请或未授权电话线注册等风险的担忧。
仍不清楚的是什么
案件不同阶段的报告引用了不同的受害者人数:tvn24.pl最初提到了与2024年3月eWUŚ查询相关的约1110万人,而rynekzdrowia.pl和portalsamorzadowy.pl报道的2026年10月起诉书引用了超过1300万受害者和超过1800万次查询。2026年8月披露的MyDr平台本身单独发生的相关数据泄露,据rynekzdrowia.pl报道,数字接近1900万条受影响的记录。本文所审查的来源都没有完全解释为什么这些数字不同,也没有在所审查的材料中确定数字事务部或波兰数据保护机构(UODO)在案件成为公众知晓前多久就了解到该案件。
常见问题
- 有多少人受到NFZ数据泄露的影响?
- 波兹南检察机关2026年10月的起诉书引用了超过1300万受害者,这是基于向eWUŚ系统发送的超过1800万次自动查询。较早关于2024年3月事件的报道引用了大约1110万人的数字。
- 暴露了哪些个人数据?
- 据NFZ和检察官表示,暴露的数据包括人们的全名、他们的PESEL国家身份证号码和他们在波兰公共卫生保险系统中的状态。
- NFZ自己的计算机系统被黑客入侵了吗?
- NFZ说没有——该机构表示攻击者反而入侵了使用MyDr平台的两家医疗提供者的员工或承包商账户,并使用这些账户向eWUŚ验证系统发送大规模自动查询。
- 谁被指控,他们面临什么处罚?
- 五名男子——分别为Tomasz B.、Jakub K.、Wojciech G.、Patryk K.和Marcin W.——被波兹南地区检察机关起诉。检察官表示,根据具体指控,他们可能面临8至12年的监禁,并且五人都招供了。
- 数据泄露发生在何时,何时被披露?
- 相关查询是在2024年3月进行的。该案件只在2026年才广为人知:相关MyDr平台数据泄露在2026年8月被披露,起诉书在2026年10月5日宣布,NFZ在2026年10月6-7日发表了自己的公开声明。
