Cyberprzestępcy ponownie wykorzystują zaufanie pacjentów do placówek medycznych i instytucji ochrony zdrowia. Rozsyłają wiadomości e-mail informujące o rzekomo przyznanej refundacji lub zwrocie kosztów leczenia. Odbiorca ma kliknąć w przesłany link, a następnie podać dane osobowe i informacje znajdujące się na karcie płatniczej. Zamiast wypłaty pieniędzy może jednak stracić dostęp do środków na swoim rachunku.
CERT Polska ostrzegł pod koniec lipca 2026 roku przed kampanią, w której przestępcy podszywali się pod prywatnego dostawcę usług medycznych. Wiadomości informowały o rzekomym zwrocie refundacji, a zamieszczony w nich odnośnik prowadził do strony udającej witrynę placówki medycznej. Pod pretekstem przekazania należnych środków użytkownik był proszony o wpisanie danych osobowych oraz danych karty płatniczej.
Nie jest to pierwszy atak wykorzystujący temat leczenia i refundacji. W maju 2026 roku CERT Polska informował o oszustach podszywających się pod Narodowy Fundusz Zdrowia, a w lipcu o kolejnej kampanii wykorzystującej wizerunek NFZ i wiadomość o rzekomo pozytywnie rozpatrzonym wniosku. W obu przypadkach celem było skierowanie odbiorcy na fałszywą stronę i pozyskanie jego danych.
Wiadomość o zwrocie pieniędzy ma wzbudzić zaufanie
Wiadomości od oszustów mogą na pierwszy rzut oka wyglądać wiarygodnie. Przestępcy wykorzystują nazwy rozpoznawalnych placówek, ich logotypy, kolory, układ graficzny oraz język przypominający oficjalną korespondencję. Odbiorca może odnieść wrażenie, że kontaktuje się z podmiotem, w którym wcześniej korzystał z konsultacji, badań lub pakietu medycznego. Treść e-maila ma skłonić pacjenta do szybkiego działania. Oszuści informują, że przyznano mu zwrot pieniędzy, refundację lub rekompensatę wynoszącą niekiedy nawet kilka tysięcy złotych. Aby otrzymać środki, należy rzekomo potwierdzić dane albo wskazać kartę, na którą ma zostać dokonany zwrot. W rzeczywistości wiadomość jest elementem phishingu, czyli oszustwa polegającego na podszywaniu się pod zaufaną osobę, firmę lub instytucję. Przestępcy liczą na to, że obietnica otrzymania pieniędzy, znajoma nazwa placówki i presja czasu osłabią ostrożność odbiorcy. Po kliknięciu linku pacjent nie trafia na prawdziwą stronę świadczeniodawcy, lecz na witrynę kontrolowaną przez przestępców. Może ona bardzo dokładnie naśladować oryginalny serwis. Różnica bywa widoczna przede wszystkim w adresie strony internetowej, w którym pojawiają się dodatkowe znaki, błędy, nietypowe rozszerzenie domeny lub nazwa tylko częściowo przypominająca oficjalną.
Jak przebiega atak na pacjenta? Pierwszym etapem jest wiadomość e-mail o rzekomym zwrocie kosztów leczenia, nadpłacie albo refundacji. Może ona zawierać nazwę placówki, numer sprawy, logo i przycisk sugerujący możliwość odebrania pieniędzy. Po kliknięciu użytkownik zostaje przekierowany na podrobioną stronę. Formularz może żądać podania imienia i nazwiska, adresu, numeru telefonu, numeru PESEL lub innych informacji umożliwiających identyfikację. W kolejnym kroku pojawia się prośba o wpisanie numeru karty płatniczej, daty jej ważności oraz kodu zabezpieczającego. Takie dane nie są potrzebne do dokonania zwykłego przelewu na rachunek bankowy. Ich podanie może natomiast umożliwić przestępcom wykonanie płatności kartą, wykorzystanie informacji w kolejnych próbach oszustwa albo powiązanie danych osobowych z informacjami finansowymi.
Fałszywa strona może również próbować przechwycić dane logowania do bankowości elektronicznej albo nakłonić użytkownika do zatwierdzenia operacji w aplikacji bankowej. Komunikat widoczny w telefonie może w rzeczywistości dotyczyć płatności, dodania karty do cyfrowego portfela, zmiany limitów lub innej operacji, a nie otrzymania refundacji.
Dlaczego cyberprzestępcy podszywają się pod placówki medyczne? Pacjenci coraz częściej korzystają z elektronicznej rejestracji, Internetowego Konta Pacjenta, aplikacji mobilnych, teleporad i portali prywatnych sieci medycznych. Wiadomość e-mail albo SMS dotyczący wizyty, wyniku badania, płatności czy rejestracji nie jest więc niczym nietypowym. Ta codzienna praktyka ułatwia przestępcom tworzenie wiarygodnych scenariuszy. Pacjent może rzeczywiście oczekiwać na informację z placówki, zwrot opłaty za odwołaną konsultację, rozliczenie pakietu albo wiadomość dotyczącą recepty. Oszust nie musi znać historii leczenia konkretnej osoby. Wysyła wiele podobnych wiadomości i liczy na to, że część z nich trafi do odbiorców, dla których przedstawiona historia będzie wydawała się prawdopodobna.
Temat zdrowia dodatkowo wywołuje silne emocje. Wiadomość może wzbudzić nadzieję na odzyskanie pieniędzy, ale również niepokój związany z dokumentacją, płatnością lub dostępem do leczenia. W obu przypadkach odbiorca może zareagować szybciej niż przy zwykłej korespondencji handlowej.
Po czym rozpoznać fałszywy e-mail o refundacji? Pierwszym sygnałem ostrzegawczym jest informacja o zwrocie pieniędzy, którego pacjent się nie spodziewał. Przed kliknięciem warto zastanowić się, czy rzeczywiście składał wniosek, opłacał usługę podlegającą zwrotowi albo otrzymał wcześniej informację o prowadzeniu takiego rozliczenia. Podejrzana jest również presja czasu. Oszuści często sugerują, że refundację trzeba odebrać w ciągu kilku godzin, oferta wkrótce wygaśnie albo brak natychmiastowego potwierdzenia spowoduje utratę środków. Taki komunikat ma ograniczyć czas potrzebny na zastanowienie się i sprawdzenie informacji.
Kolejnym sygnałem jest prośba o podanie danych karty płatniczej. Aby ktoś mógł przekazać pieniądze zwykłym przelewem, nie potrzebuje numeru karty, daty jej ważności ani kodu zabezpieczającego znajdującego się na odwrocie. Żądanie takich informacji powinno wzbudzić szczególną ostrożność. Należy również dokładnie sprawdzić adres nadawcy i adres strony, do której prowadzi link. Sama nazwa wyświetlana przy wiadomości nie potwierdza jej autentyczności. Oszust może wpisać w tym miejscu nazwę placówki, choć rzeczywisty adres e-mail pochodzi z przypadkowej lub podobnie brzmiącej domeny.
CERT Polska zaleca, aby wątpliwe informacje o zwrocie kosztów weryfikować bezpośrednio u usługodawcy. Najbezpieczniej samodzielnie wyszukać numer infolinii albo adres oficjalnej strony, zamiast korzystać z danych kontaktowych i linków zamieszczonych w podejrzanej wiadomości.
Nie klikaj linku. Wejdź na stronę samodzielnie
Otrzymanie wiadomości o refundacji nie oznacza jeszcze, że doszło do kradzieży danych. Najważniejsze jest, aby nie klikać odruchowo w przesłany link, nie pobierać załączników i nie odpowiadać nadawcy. Informację można zweryfikować, logując się do oficjalnej aplikacji placówki albo wpisując jej adres samodzielnie w przeglądarce. Można również zadzwonić na numer podany na oficjalnej stronie świadczeniodawcy, umowie lub karcie pacjenta. Nie należy korzystać z numeru telefonu umieszczonego w podejrzanym e-mailu. Może on prowadzić do osoby współpracującej z oszustami albo do fałszywego centrum obsługi. Podobnie kod QR znajdujący się w wiadomości powinien być traktowany tak samo jak link — może kierować do podrobionej strony. Jeżeli wiadomość rzeczywiście pochodzi od placówki, jej pracownik powinien móc potwierdzić, czego dotyczy korespondencja. Brak takiego potwierdzenia oznacza, że nie należy podawać żadnych danych ani podejmować płatności.
Co zrobić po kliknięciu fałszywego linku? Samo otwarcie strony nie zawsze oznacza utratę pieniędzy. Jeżeli użytkownik nie podał żadnych danych, nie pobrał pliku i nie zatwierdził operacji, powinien zamknąć stronę i zgłosić ją do CERT Polska. Warto następnie sprawdzić urządzenie i upewnić się, że nie pobrano żadnego programu ani aplikacji. Jeżeli strona nakłaniała do instalacji oprogramowania, profilu konfiguracyjnego lub narzędzia do zdalnej obsługi telefonu albo komputera, nie należy go uruchamiać. Jeśli plik został pobrany lub zainstalowany, urządzenie powinno zostać odłączone od internetu do czasu sprawdzenia. Hasła lepiej zmieniać z innego, zaufanego urządzenia. Szczególnej uwagi wymagają konta pocztowe, bankowość elektroniczna, profile społecznościowe i usługi, w których używano tego samego hasła. Nie należy używać jednego hasła w wielu miejscach. Przejęcie danych do skrzynki e-mail może pozwolić przestępcom resetować hasła do innych kont, odczytywać informacje o leczeniu i płatnościach oraz przygotowywać bardziej przekonujące wiadomości skierowane do pacjenta lub jego bliskich.
Co zrobić po podaniu danych osobowych? Jeżeli pacjent wpisał na fałszywej stronie swoje imię, nazwisko, adres, numer telefonu, numer PESEL lub inne dane, powinien zachować szczególną ostrożność wobec kolejnych kontaktów. Przestępcy mogą wykorzystać pozyskane informacje do dalszych prób wyłudzenia. Kolejna osoba może zadzwonić, podając się za pracownika banku, placówki medycznej, policjanta albo konsultanta odpowiedzialnego za bezpieczeństwo. Może znać część danych ofiary, co ma zwiększyć wiarygodność rozmowy. Podczas takiego kontaktu nie należy podawać kodów SMS, kodów BLIK, haseł ani danych logowania. Pracownik banku nie powinien prosić o zainstalowanie aplikacji do zdalnego sterowania urządzeniem ani o przelanie środków na rzekomo bezpieczny rachunek.
Jeżeli ujawniono numer PESEL i istnieje ryzyko wykorzystania go do zaciągnięcia zobowiązania, należy rozważyć jego zastrzeżenie w dostępnych kanałach administracji publicznej. Trzeba również obserwować korespondencję i reagować na informacje o umowach, wnioskach lub usługach, których pacjent nie zamawiał.
Co zrobić po podaniu danych karty? Po wpisaniu numeru karty, terminu ważności i kodu zabezpieczającego należy niezwłocznie skontaktować się z bankiem. Najbezpieczniej samodzielnie zadzwonić na numer podany na oficjalnej stronie banku, w aplikacji lub na odwrocie karty. Kartę można również czasowo zablokować lub zastrzec w aplikacji bankowej. Sama zmiana limitów może nie wystarczyć, jeżeli jej pełne dane zostały przejęte. Bank powinien poinformować klienta, czy konieczne jest wydanie nowej karty i jakie dalsze kroki należy podjąć. Trzeba sprawdzić historię operacji oraz płatności oczekujące. Każdą nierozpoznaną transakcję należy jak najszybciej zgłosić bankowi. Nie warto czekać, aż pieniądze rzeczywiście znikną z rachunku, ponieważ dane mogą zostać wykorzystane z opóźnieniem.
Jeśli użytkownik zatwierdził operację w aplikacji bankowej albo podał kod SMS, powinien dokładnie przekazać bankowi, co wyświetlało się na ekranie i jakie czynności wykonał. Informacje te mogą mieć znaczenie przy zabezpieczaniu rachunku i analizie transakcji.
Gdzie zgłosić podejrzaną wiadomość? Podejrzane e-maile i strony internetowe można zgłaszać CERT Polska za pośrednictwem formularza dostępnego w serwisie incydent.cert.pl. Zgłoszenie można również przekazać w aplikacji mObywatel, korzystając z usługi „Bezpiecznie w sieci”. Podejrzane wiadomości SMS można przesłać na bezpłatny numer 8080. W przypadku e-maila warto zachować jego pełną treść, adres nadawcy i link, do którego kierowała wiadomość. Nie trzeba ponownie otwierać strony, aby zebrać te informacje. Samo zgłoszenie pomaga specjalistom rozpoznawać trwające kampanie i podejmować działania zmierzające do blokowania niebezpiecznych domen.
Jeżeli doszło do utraty pieniędzy, prób wykorzystania danych albo przejęcia konta, sprawę należy zgłosić także bankowi oraz policji. Warto zabezpieczyć zrzuty ekranu, wiadomości, potwierdzenia transakcji, numery telefonów i inne materiały dokumentujące przebieg zdarzenia.
Osoba w trakcie diagnostyki lub leczenia onkologicznego może otrzymywać wiele wiadomości związanych z terminami konsultacji, wynikami badań, płatnościami, refundacją leków, rehabilitacją czy opieką prywatną. W natłoku korespondencji trudniej wychwycić pojedynczą wiadomość, która jedynie udaje kontakt z placówką. Leczenie może również wiązać się z wysokimi kosztami ponoszonymi przez pacjenta i jego rodzinę. Informacja o zwrocie kilku tysięcy złotych może więc wyglądać prawdopodobnie i budzić nadzieję na odzyskanie części wydatków. Cyberprzestępcy nie muszą jednak wiedzieć, że konkretna osoba choruje. Fałszywe wiadomości są zazwyczaj rozsyłane masowo. Dlatego samo otrzymanie takiego e-maila nie oznacza, że placówka medyczna ujawniła dane albo że przestępcy mają dostęp do dokumentacji pacjenta.
Jeżeli jednak wiadomość zawiera szczegółowe, prawdziwe informacje o leczeniu, których nie publikowano ani nie przekazywano w zwykłej korespondencji, warto skontaktować się z placówką i wyjaśnić źródło danych. Podmioty lecznicze mają obowiązek stosować odpowiednie zabezpieczenia chroniące dane pacjentów. Rzecznik Praw Pacjenta wskazuje, że brak adekwatnych mechanizmów bezpieczeństwa i należytej staranności może prowadzić do naruszenia zbiorowych praw pacjentów.
Co to oznacza dla pacjenta?
Nieoczekiwana wiadomość o refundacji, nadpłacie lub zwrocie kosztów leczenia powinna zostać zweryfikowana przed kliknięciem linku. Pacjent nie powinien podawać danych karty płatniczej tylko po to, aby rzekomo otrzymać przelew. Najbezpieczniej skontaktować się z placówką za pośrednictwem oficjalnej strony, aplikacji lub znanego wcześniej numeru telefonu. Nie należy korzystać z linków i numerów zawartych w podejrzanej wiadomości. Jeżeli dane zostały już podane, liczy się szybka reakcja. W przypadku danych karty trzeba skontaktować się z bankiem, zablokować lub zastrzec kartę i sprawdzić rachunek. Podejrzaną wiadomość należy zgłosić CERT Polska, a kradzież pieniędzy lub wykorzystanie danych — również policji.
Cyfrowa ochrona zdrowia: od e-recepty do nowych narzędzi dla pacjentów
Jak chronić dane medyczne podczas korzystania z narzędzi AI?
Czy placówka medyczna może przysłać wiadomość o zwrocie pieniędzy?
Tak, placówka może kontaktować się z pacjentem w sprawach rozliczeń. Wiadomość należy jednak potwierdzić za pośrednictwem oficjalnego numeru telefonu, aplikacji lub strony internetowej, zwłaszcza gdy zawiera link i prośbę o dane finansowe.
Czy do otrzymania zwrotu potrzebny jest numer karty płatniczej?
Do zwykłego przelewu nie są potrzebne numer karty, data jej ważności ani kod zabezpieczający. Prośba o te dane pod pretekstem wypłaty refundacji jest poważnym sygnałem ostrzegawczym.
Czy samo kliknięcie fałszywego linku oznacza utratę pieniędzy?
Nie zawsze. Jeżeli użytkownik nie podał danych, niczego nie pobrał i nie zatwierdził operacji, powinien zamknąć stronę i zgłosić ją do CERT Polska. Trzeba jednak sprawdzić, czy urządzenie nie pobrało pliku lub aplikacji.
Co zrobić po podaniu danych karty na fałszywej stronie?
Należy natychmiast skontaktować się z bankiem, zablokować lub zastrzec kartę oraz sprawdzić historię rachunku. Każdą nierozpoznaną transakcję trzeba zgłosić bankowi.
Co zrobić, jeśli podałem numer PESEL?
Należy zachować ostrożność wobec kolejnych prób kontaktu i rozważyć zastrzeżenie numeru PESEL. Warto także obserwować informacje o umowach i zobowiązaniach, których się nie zaciągało.
Czy fałszywą wiadomość można przesłać do CERT Polska?
Tak. Podejrzane e-maile i strony można zgłaszać przez formularz incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Podejrzane SMS-y można przesłać na numer 8080.
Czy trzeba odpowiadać nadawcy podejrzanego e-maila?
Nie. Odpowiedź może potwierdzić oszustom, że adres jest aktywny. Informację należy zweryfikować bezpośrednio u placówki, korzystając z jej oficjalnych kanałów kontaktu.
Czy logo placówki potwierdza prawdziwość wiadomości?
Nie. Logo, kolory i wygląd strony można łatwo skopiować. Wiarygodność należy oceniać przede wszystkim na podstawie adresu nadawcy, domeny strony oraz potwierdzenia informacji w oficjalnym kanale.
Czy bank może zadzwonić po zgłoszeniu oszustwa?
Bank może kontaktować się z klientem, jednak podczas rozmowy nie należy podawać pełnych haseł, kodów SMS ani instalować aplikacji do zdalnej obsługi urządzenia. W razie wątpliwości najlepiej zakończyć rozmowę i samodzielnie zadzwonić na oficjalną infolinię.
Czy otrzymanie fałszywego e-maila oznacza wyciek danych z placówki?
Nie. Wiadomości phishingowe są często wysyłane masowo. Jeżeli jednak zawierają szczegółowe, prawdziwe informacje o leczeniu, warto zgłosić sprawę placówce i poprosić o wyjaśnienie.
Pacjent pod ochroną. Nowe przepisy przeciwko oszustwom medycznym
„Lex Szarlatan” uchwalony. Jak Rzecznik ma walczyć z pseudomedycyną?
