Wyciek z FELG Dent: co zrobić w gabinecie i czy zgłaszać do UODO

Zanotuj datę i źródło pierwszej informacji o wycieku z FELG Dent, uprzedź pacjentów przed fałszywymi SMS-ami z prośbą o płatność w imieniu gabinetu i poczekaj na indywidualne potwierdzenie od producenta, czy incydent dotyczy Twojego gabinetu. Według wytycznych EROD termin 72 godzin na zgłoszenie do UODO liczy się co do zasady od takiej informacji od dostawcy.

Wykradzione dane to lista pacjentów przypisanych do konkretnych gabinetów, czyli gotowy materiał do oszustw “w imieniu gabinetu”. Poniżej znajdziesz to, co wiadomo na pewno, sposób liczenia terminu zgłoszenia, gotowe wzory komunikatów dla pacjentów i recepcji oraz pięć kroków na ten tydzień. Wpis aktualizujemy, gdy pojawiają się nowe informacje.

Co wiadomo o wycieku z FELG Dent (stan na 2 października 2026)

	Co wiadomo	Kto to podaje
Potwierdzone	Atak na chmurowy system FELG Dent i nieuprawniony dostęp do danych pacjentów. Incydent mógł objąć około 2 mln rekordów. Potencjalny zakres: imię, nazwisko, PESEL, adres, dane medyczne, informacje związane z e-receptami, e-ZLA i weryfikacją w eWUŚ.	FELG Software
Twierdzenia sprawcy	Dane 2,4 mln pacjentów i 1,2 mln recept, w tym telefony, historia leczenia i dane gabinetów z numerami NIP. Okup 100 tys. zł.	sprawca, media
Nieznane	Których gabinetów dotyczy naruszenie, które kategorie danych faktycznie wyciekły i czy baza trafi do sprzedaży.	-

FELG Software poinformował klientów o incydencie 1 października 2026 roku, złożył zawiadomienie do prokuratury, jest w kontakcie z UODO i zapowiedział, że po analizie poinformuje konkretne gabinety, czy naruszenie ich dotyczy. Z systemu korzystają tysiące placówek - branżowy portal infodent24 podaje ponad 4 tys. gabinetów i ponad 16 tys. lekarzy dentystów i higienistek. Producent zastrzega, że skala i zakres naruszenia nie są jeszcze potwierdzone, a liczba rekordów nie musi odpowiadać liczbie osób.

Sprawca występuje jako “Horus” i wcześniej podszywał się pod grupę Fingerprint, która odcięła się od ataku. Twierdzi, że zaczął pobierać dane 6 września. FELG dowiedział się o incydencie 28 września. Według relacji sprawcy, którą opisali Sekurak i Zaufana Trzecia Strona, dostęp był możliwy przez konto demonstracyjne, które widziało dane produkcyjne, oraz błąd uprawnień w interfejsie API. Sprawca mówił też o 712 tys. rekordów personelu medycznego, a po zdementowaniu przez FELG skorygował tę liczbę do 28 tys. Twierdzeń sprawcy nie traktuj jako pewnika, dopóki nie potwierdzi ich producent albo śledztwo.

Czy muszę zgłosić wyciek z FELG Dent do UODO w 72 godziny?

Obowiązek zgłoszenia spoczywa na gabinecie. Gabinet jest administratorem danych swoich pacjentów, a FELG podmiotem przetwarzającym, któremu je powierzono. Administrator zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego “stwierdzenia” (art. 33 RODO). Gdy naruszenie może powodować wysokie ryzyko dla pacjentów, zawiadamia też ich samych (art. 34 RODO).

Kluczowe pytanie brzmi więc: od kiedy liczyć 72 godziny. Europejska Rada Ochrony Danych odpowiada na nie w wytycznych 9/2022. Gdy naruszenie nastąpiło u podmiotu przetwarzającego, administrator co do zasady “stwierdza” je w momencie, w którym przetwarzający poinformował go o jego wystąpieniu (pkt 44). Informacja z mediów nie uruchamia terminu od razu: administrator może przeprowadzić krótkie ustalenia, ale powinien je zacząć możliwie najszybciej (pkt 34).

FELG poinformował klientów o incydencie 1 października, ale zastrzegł, że nie oznacza to potwierdzenia naruszenia w każdym gabinecie. Poprosił też o wstrzymanie zgłoszeń do UODO do czasu indywidualnego potwierdzenia. Gabinety objęte incydentem mają dostać od producenta materiały do zgłoszenia i narzędzie do powiadomienia pacjentów.

Masz więc dwie drogi. Pierwsza: poczekać na potwierdzenie od FELG i od tego momentu liczyć 72 godziny. Druga, ostrożniejsza: zgłosić naruszenie już teraz z informacjami, które masz, i uzupełniać je sukcesywnie, na co pozwala art. 33 ust. 4 RODO. Wybór skonsultuj z Inspektorem Ochrony Danych albo radcą prawnym. Niezależnie od drogi udokumentuj sprawę: datę i źródło informacji, korespondencję z FELG i podjęte decyzje. Art. 33 ust. 5 RODO wymaga dokumentowania wszystkich naruszeń, także tych niezgłoszonych, a UODO może o tę dokumentację zapytać.

Co przestępca może zrobić z danymi z wycieku

Sam wyciek już się wydarzył i nie masz na niego wpływu. Masz wpływ na to, co dzieje się dalej. Baza, w której przy nazwisku pacjenta jest jego telefon i nazwa gabinetu, w którym się leczy, to idealny materiał na wiadomość “z Twojego gabinetu”: dopłata do zabiegu, zaległa faktura, zmiana terminu z linkiem do potwierdzenia. Pacjent nie ma powodu, żeby nie uwierzyć - wszystko się zgadza.

To samo dotyczy zespołu, a być może także Ciebie osobiście. Jeśli w bazie są dane personelu, jak twierdzi sprawca, mogą tam być dane identyfikacyjne lekarzy i higienistek. Zastrzeż swój numer PESEL w aplikacji mObywatel i spodziewaj się maili, które wyglądają jak wiadomości od FELG albo od innego dostawcy, z prośbą o “ponowne zalogowanie” lub “aktualizację danych”.

Pięć rzeczy do zrobienia w gabinecie w tym tygodniu

1. Uprzedź pacjentów. Jedno zdanie na stronie, w rejestracji i w najbliższym SMS-ie przypominającym o wizycie wystarczy. Gotowe wzory są niżej.
2. Udokumentuj sprawę i pilnuj oficjalnych kanałów FELG. Zapisz datę i źródło informacji o incydencie i zachowuj korespondencję z producentem. FELG zapowiedział indywidualne powiadomienia, więc sprawdzaj skrzynkę, na którą masz zarejestrowane konto, i nie odpowiadaj na wiadomości o incydencie, które przychodzą z innych adresów niż zwykle.
3. Sprawdź, czy da się podszyć pod domenę pocztową gabinetu. Jeśli domena gabinetu nie ma poprawnie ustawionych rekordów SPF, DKIM i DMARC, każdy może wysłać maila, który w skrzynce pacjenta wygląda, jakby przyszedł z gabinetu. W skanach małych firm, które prowadzimy, ponad 80% nie miało włączonej ochrony DMARC albo miało ją ustawioną tylko na obserwację. Z tym możemy Ci pomóc: bezpłatny PreScan sprawdzi ustawienia poczty gabinetu w 24 godziny.
4. Uprzedź zespół i zabezpiecz skrzynki. Recepcja i lekarze są teraz celem fałszywych wiadomości “od FELG”. Ustal prostą zasadę: żadnego logowania z linku w mailu o incydencie, tylko przez adres wpisany ręcznie. To dobry moment, żeby włączyć weryfikację dwuetapową na skrzynkach pocztowych gabinetu.
5. Zadaj dostawcy trzy pytania. Kiedy aplikację i jej API ostatnio testował ktoś z zewnątrz? Czy środowisko demonstracyjne jest oddzielone od danych prawdziwych pacjentów? W jakim czasie dostawca wykrywa incydent i powiadamia Cię o nim? Ostatnie pytanie ma znaczenie: jeśli twierdzenia sprawcy się potwierdzą, między początkiem pobierania danych a wykryciem minęły ponad trzy tygodnie. Certyfikat ISO 27001, na który powołuje się wielu dostawców, dotyczy systemu zarządzania bezpieczeństwem i nie potwierdza, że w aplikacji nie ma błędów. Dobry dostawca odpowie konkretnie. O ewentualnej zmianie systemu decyduj na podstawie odpowiedzi, a nie w pierwszym tygodniu po incydencie.

Pozostałe zabezpieczenia gabinetu, od kopii zapasowych dokumentacji po oddzielenie RTG od sieci rejestracji, opisujemy w przewodniku po cyberbezpieczeństwie gabinetu stomatologicznego.

Wzory komunikatów dla pacjentów i recepcji (do skopiowania)

Zanim skopiujesz, sprawdź jedno: czy gabinet sam wysyła pacjentom linki do płatności, na przykład do zadatku przy rezerwacji online. Jeśli tak, zdanie “nigdy nie prosimy o płatność przez link” byłoby nieprawdą. Zastąp je wtedy takim: “Jeśli otrzymają Państwo prośbę o płatność, której się Państwo nie spodziewają, prosimy nie klikać w link, tylko zadzwonić do rejestracji.” Formę “Państwo” dopasuj do tego, jak gabinet zwraca się do pacjentów.

Na stronę, do social mediów i do poczekalni

W związku z doniesieniami o wyciekach danych z systemów medycznych przypominamy: nasz gabinet nigdy nie prosi o płatność przez link w SMS-ie ani w wiadomości e-mail i nigdy nie prosi o podanie hasła, kodu BLIK czy danych karty przez telefon. Jeśli otrzymają Państwo taką wiadomość podpisaną naszą nazwą, prosimy nie klikać w link i zadzwonić do rejestracji pod numer podany na naszej stronie. Podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080.

SMS do pacjentów

Wzór jest celowo bez polskich znaków. Z nimi SMS mieści 70 znaków zamiast 160 i bramka policzy go jako kilka wiadomości. Wysłany osobno zmieści się w jednym SMS-ie, jeśli nazwa gabinetu ma do 25 znaków.

[Gabinet]: Nie prosimy o platnosc linkiem w SMS ani o kod BLIK. Taki SMS w naszym imieniu to oszustwo, prosimy nie klikac. Tel. [numer]

Co odpowiedzieć pacjentowi, który pyta, czy jego dane wyciekły

Recepcja odbierze takie telefony jako pierwsza. Wystarczy spokojna, prawdziwa odpowiedź. Jeśli gabinet pracuje na FELG Dent:

Dziękujemy za pytanie. Producent systemu, z którego korzystamy, poinformował o incydencie i sprawdza, których gabinetów dotyczy. Gdy dostaniemy od niego potwierdzenie, poinformujemy pacjentów, których to dotyczy. Już teraz warto zastrzec numer PESEL w aplikacji mObywatel. I proszę pamiętać: nigdy nie prosimy o płatność przez link w SMS-ie ani o dane karty przez telefon.

Pacjenci zadzwonią też do gabinetów, które nie mają nic wspólnego z FELG Dent, bo rzadko wiedzą, z jakiego systemu korzysta ich dentysta. Jeśli gabinet nie korzysta z FELG Dent i nie korzystał z niego wcześniej:

Dziękujemy za pytanie. Nasz gabinet nie korzysta z systemu FELG Dent, którego dotyczy ten incydent, więc nie objął on dokumentacji prowadzonej u nas. Jeśli leczy się Pani/Pan także w innych gabinetach, warto zapytać tam. Niezależnie od tego warto zastrzec numer PESEL w aplikacji mObywatel.

Nie mów “na pewno nie wyciekły” ani “tak, wyciekły”. Dopóki FELG nie potwierdzi zakresu, żadna z tych odpowiedzi nie jest prawdziwa.

MyDr, Medyc, Fakturownia, FELG Dent: dlaczego to nie ostatni wyciek

W sierpniu wyciekły dane z MyDr, we wrześniu ujawniono wyciek z systemu Medyc, 29 września Fakturownia poinformowała o incydencie, który mógł objąć dane kont użytkowników i ich kontrahentów oraz starsze faktury, a teraz przyszła kolej na FELG Dent. Niecałe dwa miesiące, czterech dostawców oprogramowania, z którego korzystają placówki medyczne i małe firmy. Za każdym razem incydent wydarzył się u dostawcy, a skutki spadały na jego klientów: pytania pacjentów, obowiązki wobec UODO, fałszywe SMS-y i maile w ich imieniu.

7 października ujawniono kolejny incydent, tym razem w IQ Dental. Wszystkie incydenty i procedurę dla gabinetu zebraliśmy na stronie wycieki danych z systemów dla gabinetów.

Wycieku u dostawcy nie naprawisz. Możesz za to zamknąć drzwi, którymi oszust wejdzie po wycieku: pocztę bez ochrony przed podszywaniem, wystawione do internetu panele logowania, hasła zespołu, które już krążą w innych wyciekach. To widać z zewnątrz, ale z wnętrza gabinetu trudno to ocenić, bo nie wiadomo, czego szukać.

Dlaczego warto zlecić CyberAudyt po wycieku z FELG Dent

Pierwszy powód to pacjenci. Jeśli FELG potwierdzi, że naruszenie dotyczy Twojego gabinetu, zawiadomienie pacjentów musi opisywać środki, które gabinet zastosował, żeby zaradzić naruszeniu i ograniczyć jego skutki (art. 34 ust. 2 w związku z art. 33 ust. 3 lit. d RODO). Samo “przepraszamy” niewiele mówi pacjentowi. Zewnętrzny audyt bezpieczeństwa to konkretny środek, który pokazuje, że gabinet działa. Do zawiadomienia możesz wtedy dopisać takie zdanie (tylko jeśli audyt jest faktycznie zlecony):

W ramach działań ograniczających skutki incydentu zleciliśmy niezależnemu zespołowi specjalistów zewnętrzny audyt bezpieczeństwa poczty i systemów naszego gabinetu widocznych z internetu.

Drugi powód to UODO. Art. 32 ust. 1 lit. d RODO wymaga regularnego testowania i oceniania skuteczności zabezpieczeń. Raport z audytu to dokument, który pokażesz, jeśli urząd zapyta, co gabinet zrobił po incydencie.

Trzeci powód jest najprostszy: realna ochrona. Wycieku nie cofniesz, ale możesz utrudnić oszustwa w imieniu gabinetu. CyberAudyt prowadzą pentesterzy, którzy na co dzień pracują z gabinetami i klinikami i znają systemy, z których korzystasz. Sprawdzają stronę, pocztę, usługi wystawione do internetu i wycieki danych, a każde ustalenie weryfikują ręcznie. Dostajesz raport po polsku z listą priorytetów i planem napraw, a jego omówienie jest w cenie.

PreScan, CyberAudyt czy Pentest: od czego zacząć

Mamy trzy poziomy sprawdzenia. PreScan to bezpłatny test, który pokazuje, czy gabinet potrzebuje pełnego przeglądu. CyberAudyt to ten przegląd i usługa, którą polecamy gabinetom jako docelową. Pentest jest dla placówek, które chcą najgłębszej analizy.

W najbliższych tygodniach zgłoszenia od gabinetów stomatologicznych realizujemy w pierwszej kolejności - dotyczy to PreScanu, CyberAudytu i Pentestu. Ceny wszystkich trzech usług są stałe i jawne, znajdziesz je w cenniku.

---

Zamów bezpłatny PreScan: w 24 godziny sprawdzimy, czy ktoś może dziś wysłać maila w imieniu Twojego gabinetu i czy adresy zespołu krążą w znanych wyciekach. Bez logowania i bez zobowiązań.

FAQ: wyciek z FELG Dent

Czy wyciek z FELG Dent dotyczy mojego gabinetu?

Może dotyczyć, jeśli prowadzisz dokumentację pacjentów w FELG Dent. Producent szacuje, że incydent objął około 2 mln rekordów, i zapowiedział, że po analizie poinformuje indywidualnie każdy gabinet, którego dotyczy. Do tego czasu nie zakładaj ani że dotyczy, ani że nie dotyczy: zanotuj datę i źródło pierwszej informacji i śledź oficjalne komunikaty producenta.

Czy wyciek z FELG Dent trzeba zgłosić do UODO w 72 godziny?

Obowiązek zgłoszenia ma gabinet jako administrator danych. Według wytycznych EROD 9/2022 termin 72 godzin liczy się co do zasady od chwili, gdy dostawca poinformuje gabinet o naruszeniu jego danych. FELG poprosił o wstrzymanie zgłoszeń do czasu indywidualnego potwierdzenia. Ostrożniejszą drogą jest zgłoszenie od razu i uzupełnianie go sukcesywnie (art. 33 ust. 4 RODO). Decyzję podejmij z Inspektorem Ochrony Danych lub radcą prawnym.

Jakie dane wyciekły z FELG Dent?

FELG wskazał potencjalny zakres: imię, nazwisko, PESEL, adres, dane medyczne oraz informacje związane z e-receptami, e-ZLA i weryfikacją w eWUŚ. Nie potwierdził jeszcze, które z tych danych faktycznie wyciekły ani których gabinetów to dotyczy. Sprawca twierdzi, że ma dane 2,4 mln pacjentów i 1,2 mln recept, w tym telefony i dane gabinetów z numerami NIP.

Czy gabinet dostanie karę za wyciek z FELG Dent?

Za zabezpieczenie aplikacji odpowiada jej producent. UODO może jednak sprawdzić, czy gabinet wywiązał się z własnych obowiązków: czy ma z dostawcą umowę powierzenia przetwarzania danych (art. 28 RODO), czy właściwie zareagował na naruszenie i czy je udokumentował. Dlatego zapisuj każdy krok i każdą decyzję, a ocenę swojej sytuacji skonsultuj z Inspektorem Ochrony Danych lub radcą prawnym.

Co powiedzieć pacjentowi, który pyta, czy jego dane wyciekły z FELG Dent?

Że producent systemu poinformował o incydencie i sprawdza, których gabinetów dotyczy, a gabinet poinformuje pacjentów, gdy dostanie potwierdzenie. Nie mów “na pewno nie wyciekły” ani “tak, wyciekły”, bo przed potwierdzeniem zakresu żadna z tych odpowiedzi nie jest prawdziwa. Poradź zastrzeżenie numeru PESEL w mObywatelu i przypomnij, żeby nie klikać w linki do płatności, których pacjent się nie spodziewa.

Historia aktualizacji

9 października 2026. Dodaliśmy odnośniki do wpisu o incydencie w IQ Dental i do zbiorczej listy wycieków u dostawców oprogramowania. Doprecyzowaliśmy, że opis mechanizmu ataku (konto demonstracyjne i błąd uprawnień w API) pochodzi z relacji sprawcy, którą opisali Sekurak i Zaufana Trzecia Strona.

2 października 2026. Pierwsza wersja wpisu. Zaktualizujemy go, gdy FELG Software poda wyniki analizy i poinformuje gabinety objęte incydentem albo gdy pojawi się stanowisko UODO.

Źródła

• Sekurak: incydent bezpieczeństwa w FELG Software
• Zaufana Trzecia Strona: ktoś twierdzi, że ukradł dane 2 milionów pacjentów gabinetów stomatologicznych
• infodent24: cyberatak na FELG Dent
• INNPoland: żądanie okupu od FELG
• Europejska Rada Ochrony Danych: wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych (PDF)
• UODO: zapowiedź kontroli po wycieku z systemu Medyc
• Bankier: cyberatak na systemy Fakturowni
• gov.pl: zgłaszanie podejrzanych SMS-ów do CERT Polska na numer 8080

Materiał informacyjny, nie jest to porada prawna. Stan faktyczny na 2 października 2026 roku; fakty potwierdzone przez producenta oddzielamy od twierdzeń sprawcy, a sprawa jest przedmiotem postępowania. W kwestiach obowiązków administratora danych skonsultuj się z Inspektorem Ochrony Danych lub radcą prawnym.