Ważna informacja dotycząca bezpieczeństwa danych osobowych – system IQ Dental

Informacja dla pacjentów placówki Agia Dent należącej do Agiam Group Sp. z o.o. 

Informujemy o incydencie bezpieczeństwa dotyczącym systemu informatycznego IQ Dental, wykorzystywanego przez naszą placówkę stomatologiczną do obsługi pacjentów i wizyt.

Niniejszy komunikat kierowany jest w szczególności do pacjentów, którzy otrzymali od Agia Dent wiadomość SMS dotyczącą tego zdarzenia.

Jeżeli otrzymali Państwo takie zawiadomienie, oznacza to, że zgodnie z informacjami przekazanymi nam przez dostawcę systemu Państwa dane znajdowały się w zakresie technicznie możliwego nieuprawnionego dostępu.

Co się wydarzyło?

Z informacji przekazanych przez IQ Dental wynika, że w dniu 1 października 2026 r. osoba nieuprawniona uzyskała dostęp do konta administracyjnego systemu IQ Dental, a następnie wygenerowany został dostęp API umożliwiający wykonywanie zapytań dotyczących danych przetwarzanych w systemie.

Analiza przeprowadzona przez IQ Dental potwierdziła wykonywanie nieuprawnionych zapytań API dotyczących danych pacjentów oraz wizyt.

Według przekazanych nam informacji okres potencjalnego nieuprawnionego dostępu trwał w dniu 1 października 2026 r. od około godz. 4:00 do około godz. 12:00.

IQ Dental poinformował nas, że zidentyfikowany mechanizm nieuprawnionego dostępu został zablokowany.

Jakich danych mógł dotyczyć incydent?

W przypadku pacjentów objętych zdarzeniem w zakresie technicznie możliwego dostępu mogły znajdować się:

• imię i nazwisko,

• numer PESEL,

• data urodzenia,

• płeć,

• pełny adres,

• adres e-mail,

• numer telefonu oraz dodatkowy numer telefonu,

• informacje dotyczące odbytych lub zaplanowanych wizyt,

• rodzaj wizyty,

• data oraz godzina wizyty,

• status i potwierdzenie wizyty,

• opis i inne informacje dotyczące wizyty,

• informacja, czy pacjent był pacjentem pierwszorazowym,

• informacje dotyczące płatności za wizytę, w tym status przedpłaty, kwota należna i kwota zapłacona.

Ze względu na charakter informacji wpisywanych w opisie wizyty nie można wykluczyć, że w przypadku części pacjentów zakres ten obejmował również informacje dotyczące leczenia lub stanu zdrowia.

Czy oznacza to, że wszystkie te dane zostały pobrane?

Nie możemy tego obecnie potwierdzić.

Należy rozróżnić możliwość technicznego dostępu do danych od ich faktycznego zapisania, skopiowania lub późniejszego wykorzystania przez osobę nieuprawnioną.

Według IQ Dental dostępne logi nie pozwalają we wszystkich przypadkach jednoznacznie ustalić, jakie dokładnie dane zostały ostatecznie zachowane przez osobę nieuprawnioną.

Z tego względu, działając ostrożnościowo i mając na uwadze bezpieczeństwo naszych pacjentów, zdecydowaliśmy o ich poinformowaniu.

Jakie mogą być konsekwencje zdarzenia?

Ze względu na zakres danych nie można wykluczyć prób ich wykorzystania w szczególności do:

• podszywania się pod pacjenta,

• podszywania się pod placówkę medyczną, bank lub inną instytucję,

• kierowania spersonalizowanych wiadomości SMS, e-mail lub wykonywania telefonów mających na celu wyłudzenie dalszych informacji,

• prób uzyskania danych logowania, kodów autoryzacyjnych lub danych bankowych,

• prób bezprawnego wykorzystania tożsamości,

• prób zaciągnięcia zobowiązań z wykorzystaniem danych innej osoby,

• naruszenia prywatności,

• nieuprawnionego wykorzystania informacji o korzystaniu ze świadczeń zdrowotnych,

• nieuprawnionego wykorzystania informacji dotyczących leczenia lub stanu zdrowia.

Co rekomendujemy?

W celu ograniczenia potencjalnych negatywnych skutków zdarzenia rekomendujemy przede wszystkim:

1. Zastrzeżenie numeru PESEL.

Numer PESEL można zastrzec m.in. za pomocą aplikacji mObywatel, przez usługę internetową administracji publicznej albo w urzędzie gminy. Zastrzeżenie numeru PESEL nie uniemożliwia korzystania ze świadczeń zdrowotnych ani realizacji recept.

2. Zachowanie szczególnej ostrożności wobec telefonów, wiadomości SMS i e-mail.

Należy zwracać szczególną uwagę na wiadomości odnoszące się do wizyt, płatności, dokumentacji medycznej lub innych informacji, które mogą sprawiać wrażenie, że nadawca zna szczegóły dotyczące pacjenta.

3. Nieprzekazywanie kodów i danych uwierzytelniających.

Nie należy podawać telefonicznie, SMS-em ani w odpowiedzi na wiadomość e-mail:

• kodów BLIK,

• kodów SMS z banku,

• haseł,

• danych logowania,

• pełnych danych karty płatniczej.

4. Weryfikowanie nietypowych kontaktów z placówką.

Jeżeli otrzymają Państwo wiadomość lub telefon od osoby podającej się za pracownika Agia Dent i mają Państwo jakiekolwiek wątpliwości co do autentyczności kontaktu, prosimy nie odpowiadać na taką wiadomość i skontaktować się z placówką samodzielnie przy użyciu znanego numeru telefonu lub danych kontaktowych zamieszczonych na naszej oficjalnej stronie internetowej.

5. Zwracanie uwagi na próby wykorzystania Państwa danych.

W przypadku podejrzenia wykorzystania danych do oszustwa, zaciągnięcia zobowiązania lub innego bezprawnego działania należy niezwłocznie podjąć odpowiednie działania, w tym skontaktować się z właściwą instytucją oraz – w przypadku podejrzenia przestępstwa – z organami ścigania.

Jakie działania zostały podjęte?

Dostawca systemu IQ Dental poinformował nas o:

• zablokowaniu zidentyfikowanej ścieżki nieuprawnionego dostępu,

• unieważnieniu i wymianie kluczy oraz poświadczeń,

• wygenerowaniu nowych kluczy API,

• dodatkowym zabezpieczeniu paneli administracyjnych,

• wdrażaniu uwierzytelniania dwuskładnikowego,

• dodatkowych ograniczeniach dostępu do systemów i paneli,

• rozszerzeniu monitoringu oraz analizy logów.

Według aktualnych ustaleń nie stwierdzono przypadków modyfikacji, usunięcia, nadpisania ani innej ingerencji w dane pacjentów.

Agiam Group Sp. z o.o. podjęła również własne działania zabezpieczające, w tym zmianę haseł użytkowników systemu, wprowadzenie uwierzytelniania dwuskładnikowego, analizę ryzyka oraz działania związane z weryfikacją zakresu naruszenia.

Naruszenie zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych. Po otrzymaniu dodatkowych informacji od IQ Dental zgłoszenie zostało uzupełnione.

Analiza techniczna IQ Dental nadal trwa. Po otrzymaniu raportu końcowego ponownie przeanalizujemy zakres zdarzenia i – jeżeli będzie to konieczne – przekażemy osobom zainteresowanym dalsze informacje.

Kontakt w sprawie incydentu

W przypadku pytań dotyczących zdarzenia lub bezpieczeństwa Państwa danych prosimy o kontakt:

Agiam Group Sp. z o.o.
ul. Zielonogórska 30c
66-016 Czerwieńsk

E-mail: daneosobowe@agiadent.pl

Prosimy o zachowanie szczególnej ostrożności i stosowanie się do powyższych zaleceń.

Agia Dent | Agiam Group Sp. z o.o.