Jeśli Twój gabinet pracuje na IQ Dental, sprawdź, czy producent poinformował Cię, że jesteś wśród 36 placówek objętych incydentem, i jeszcze dziś włącz weryfikację dwuetapową dla wszystkich użytkowników systemu. Do incydentu doszło przez przejęte konto administracyjne. Producent nie podał, czyje to było konto, ale ten sam mechanizm grozi każdemu gabinetowi, w którym do systemu z dokumentacją loguje się samym hasłem.
To kolejny w ostatnich tygodniach incydent u dostawcy oprogramowania dla stomatologów, ale inny niż wyciek z FELG Dent. Skala jest dużo mniejsza, producent sam wykrył ślady włamania i od razu wskazał placówki, których sprawa dotyczy. Poniżej znajdziesz, co wiadomo, jak liczyć termin zgłoszenia do UODO i pięć rzeczy do zrobienia w gabinecie.
Co wiadomo o incydencie w IQ Dental (stan na 9 października 2026)
IQ Dental to chmurowy system do prowadzenia dokumentacji i pracy gabinetu stomatologicznego. Według producenta korzysta z niego około 6,5 tys. dentystów.
| Co wiadomo | Kto to podaje | |
|---|---|---|
| Potwierdzone | Nieuprawniony dostęp 1 października 2026 roku, mniej więcej od 4:00 do 12:00. Sprawca zalogował się na konto administracyjne i utworzył dostęp przez API, który pozwalał pobierać dane wybranych placówek. Ślady wykryto 5 października około południa. Incydent dotyczy 36 placówek, nie wszystkich klientów. | IQ Dental (komunikat do klientów, przedstawiciel zarządu dla Niebezpiecznika) |
| Potencjalny zakres danych | Imię, nazwisko, PESEL, adres i informacje o wizytach, w tym notatki w polach tekstowych. Producent nie wyklucza, że w notatkach były informacje o leczeniu lub stanie zdrowia. Według wstępnej analizy nie było dostępu do danych o receptach i lekach. | IQ Dental |
| Nieznane | Ilu pacjentów dotyczy incydent, czy dane zostały faktycznie skopiowane i w jaki sposób przejęto konto administracyjne. Sprawca nie jest znany i nie żądał okupu. | - |
Sam dostęp do danych nie oznacza jeszcze, że zostały one pobrane. Producent tego nie przesądza, dlatego w komunikatach do pacjentów nie pisz ani “dane wyciekły”, ani “danym nic się nie stało”, dopóki analiza się nie zakończy.
Czym ten incydent różni się od wycieku z FELG Dent
W FELG Dent, według relacji sprawcy opisanej przez Sekuraka i Zaufaną Trzecią Stronę, problemem był błąd w aplikacji: konto demonstracyjne widziało dane produkcyjne. Jeśli tak było, takiego błędu gabinet nie mógł zauważyć ani mu zapobiec.
W IQ Dental drogą wejścia było konto administracyjne. Producent nie podał, czyje to było konto i jak zostało przejęte. Niebezpiecznik zwraca uwagę, że IQ Dental nie wymuszał weryfikacji dwuetapowej i że sam producent zaleca teraz klientom jej włączenie. To ważna lekcja dla każdego gabinetu, niezależnie od systemu: hasło do systemu z dokumentacją pacjentów to dziś za mało. Hasła wyciekają z innych serwisów, są zgadywane albo wyłudzane fałszywymi mailami, a bez drugiego składnika logowania nic nie zatrzymuje kogoś, kto je zdobył.
Czy muszę zgłosić incydent w IQ Dental do UODO?
Obowiązek zgłoszenia spoczywa na gabinecie. Gabinet jest administratorem danych swoich pacjentów, a IQ Dental podmiotem przetwarzającym. Administrator zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Według wytycznych Europejskiej Rady Ochrony Danych 9/2022, gdy naruszenie nastąpiło u podmiotu przetwarzającego, administrator co do zasady stwierdza je w momencie, w którym ten go o nim poinformował.
W praktyce wygląda to tak:
- Dostałeś od IQ Dental informację, że incydent dotyczy Twojej placówki. Termin 72 godzin liczy się co do zasady od tej informacji. IQ Dental sam zaleca klientom zgłoszenie do UODO. Gdy nie masz jeszcze wszystkich danych, możesz zgłosić naruszenie od razu i uzupełniać zgłoszenie później (art. 33 ust. 4 RODO).
- Nie dostałeś takiej informacji. Producent podaje, że incydent dotyczy 36 wskazanych placówek. Zapisz, kiedy i skąd dowiedziałeś się o incydencie, zapytaj dostawcę na piśmie, czy dotyczy on Twojej placówki, i zachowaj odpowiedź.
Czy zawiadamiać też pacjentów (art. 34 RODO), zależy od oceny ryzyka, a w tej sprawie ważne są notatki z wizyt, które mogą zawierać informacje o zdrowiu. Tę decyzję podejmij z Inspektorem Ochrony Danych lub radcą prawnym.
Pięć rzeczy do zrobienia w gabinecie w tym tygodniu
- Sprawdź oficjalny kanał od IQ Dental. Producent informuje placówki objęte incydentem bezpośrednio. Szukaj tej wiadomości w skrzynce, na którą masz zarejestrowane konto, i nie odpowiadaj na maile o incydencie, które przychodzą z nietypowych adresów albo proszą o zalogowanie się przez link.
- Włącz weryfikację dwuetapową dla wszystkich użytkowników. Nie tylko dla siebie: także dla recepcji, asystentek, lekarzy na umowach i osób z dostępem administracyjnym. To samo zrób na skrzynkach pocztowych gabinetu, bo przez pocztę resetuje się hasła do większości systemów.
- Przejrzyj konta w systemie. Kto ma uprawnienia administratora i czy naprawdę ich potrzebuje? Czy są konta byłych pracowników, wspólne loginy “recepcja” albo konto, którego hasło zna kilka osób? Każde takie konto to drzwi, których nikt nie pilnuje. Zostaw uprawnienia administratora jednej, najwyżej dwóm osobom.
- Uprzedź pacjentów przed fałszywymi wiadomościami. Po każdym incydencie w branży pojawiają się SMS-y i maile podszywające się pod gabinety. Krótki komunikat znajdziesz niżej.
- Sprawdź, czy hasła zespołu nie krążą w wyciekach. Przejęte konto administracyjne to najczęściej skutek hasła, które wyciekło gdzie indziej albo zostało wyłudzone. Adresy firmowe pracowników warto sprawdzić w bazach znanych wycieków. Robi to między innymi bezpłatny PreScan, który przy okazji pokazuje, czy ktoś może wysyłać maile w imieniu gabinetu.
Weryfikacja dwuetapowa i porządek w kontach to pierwsze kroki szerszego planu, który opisujemy w przewodniku po cyberbezpieczeństwie gabinetu stomatologicznego.
Komunikat dla pacjentów (do skopiowania)
Na stronę, do social mediów i do poczekalni:
W związku z doniesieniami o incydentach w systemach medycznych przypominamy: nasz gabinet nigdy nie prosi o płatność przez link w SMS-ie ani w wiadomości e-mail i nigdy nie prosi o podanie hasła, kodu BLIK czy danych karty przez telefon. Jeśli otrzymają Państwo taką wiadomość podpisaną naszą nazwą, prosimy nie klikać w link i zadzwonić do rejestracji pod numer podany na naszej stronie. Podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080.
Jeśli gabinet sam wysyła pacjentom linki do płatności, na przykład do zadatku, zamień pierwsze zdanie na: “Jeśli otrzymają Państwo prośbę o płatność, której się Państwo nie spodziewają, prosimy nie klikać w link, tylko zadzwonić do rejestracji.” Więcej wzorów, w tym SMS i odpowiedzi dla recepcji, znajdziesz w przewodniku po wyciekach u dostawców oprogramowania.
Twój znajomy ma gabinet?
Wyślij mu link do tego wpisu i zadbaj o bezpieczeństwo większego grona pacjentów.
Piąty incydent w dwa miesiące
MyDr w sierpniu, Medyc we wrześniu, Fakturownia pod koniec września, FELG Dent i IQ Dental na początku października. Za każdym razem incydent wydarzył się u dostawcy, a skutki spadały na jego klientów. Warto zauważyć jedno: IQ Dental wykrył ślady włamania, bo po serii ataków na branżę postanowił dodatkowo sprawdzić własne systemy. Bez tej decyzji incydent mógł pozostać niezauważony dużo dłużej.
Wszystkie incydenty, ich zakres i to, co gabinet może zrobić niezależnie od dostawcy, zebraliśmy w jednym miejscu: wycieki danych z systemów dla gabinetów. Aktualizujemy tę listę przy każdym nowym incydencie.
Co możemy sprawdzić w Twoim gabinecie
Systemu dostawcy nie przetestujesz sam, ale możesz zamknąć drzwi po swojej stronie: skrzynki pocztowe bez ochrony przed podszywaniem, hasła zespołu znane z innych wycieków, panele logowania widoczne z internetu. CyberAudyt prowadzą pentesterzy, którzy pracują z gabinetami na co dzień: sprawdzają stronę, pocztę, usługi wystawione do internetu i wycieki danych, a wynik dostajesz jako raport po polsku z planem napraw i jego omówieniem. Ceny są stałe i jawne, znajdziesz je w cenniku.
Zacznij od bezpłatnego PreScanu: w 24 godziny sprawdzimy, czy ktoś może wysłać maila w imieniu Twojego gabinetu i czy adresy zespołu krążą w znanych wyciekach. Bez logowania i bez zobowiązań.
FAQ: incydent w IQ Dental
Czy incydent w IQ Dental dotyczy mojego gabinetu?
Producent podaje, że incydent dotyczy 36 placówek, nie wszystkich klientów, i informuje te placówki bezpośrednio. Jeśli korzystasz z IQ Dental i nie dostałeś takiej informacji, zapytaj dostawcę na piśmie, czy incydent dotyczy Twojej placówki, i zachowaj odpowiedź.
Jakie dane mogły wyciec z IQ Dental?
Według producenta: imię, nazwisko, PESEL, adres i informacje o wizytach, w tym notatki w polach tekstowych, które mogą zawierać informacje o leczeniu. Wstępna analiza nie wykazała dostępu do danych o receptach i lekach. Producent nie przesądził, czy dane zostały faktycznie skopiowane.
Jak doszło do incydentu w IQ Dental?
Według producenta osoba nieuprawniona zalogowała się na konto administracyjne i utworzyła dostęp przez API, który pozwalał pobierać dane wybranych placówek. Nie podano, jak przejęto konto. Producent zaleca teraz klientom włączenie weryfikacji dwuetapowej.
Czy incydent w IQ Dental trzeba zgłosić do UODO?
Obowiązek ma gabinet jako administrator danych, a IQ Dental sam zaleca zgłoszenie placówkom objętym incydentem. Według wytycznych EROD 9/2022 termin 72 godzin liczy się co do zasady od chwili, gdy dostawca poinformuje gabinet o naruszeniu jego danych. Decyzję, w tym o zawiadomieniu pacjentów, podejmij z Inspektorem Ochrony Danych lub radcą prawnym.
Czy incydent w IQ Dental ma związek z wyciekiem z FELG Dent?
Na dziś nic na to nie wskazuje. Sprawca incydentu w IQ Dental nie jest znany, nie żądał okupu, a mechanizm był inny: przejęte konto administracyjne, a nie błąd w aplikacji, o którym w przypadku FELG Dent mówi sprawca. Grupa Fingerprint, wiązana z wcześniejszymi wyciekami, zaprzeczyła udziałowi.
Historia aktualizacji
9 października 2026. Pierwsza wersja wpisu. Zaktualizujemy go, gdy IQ Dental poda liczbę pacjentów objętych incydentem albo wyniki analizy.
Źródła
- Niebezpiecznik: incydent w IQ Dental
- Dentonet: cyberatak na IQ Dental, dane pacjentów 36 placówek
- Spider’s Web: nowy wyciek danych medycznych - IQ Dental
- Alert Medyczny: cyberatak na IQ Dental
- Europejska Rada Ochrony Danych: wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych (PDF)
- gov.pl: zgłaszanie podejrzanych SMS-ów do CERT Polska na numer 8080
Materiał informacyjny, nie jest to porada prawna. Stan faktyczny na 9 października 2026 roku według informacji producenta i mediów; analiza incydentu trwa. W kwestiach obowiązków administratora danych skonsultuj się z Inspektorem Ochrony Danych lub radcą prawnym.