Interpelacja nr 19354

W nocy z 7 na 8 marca 2026 r. doszło do poważnego cyberataku na infrastrukturę teleinformatyczną Samodzielnego Publicznego Wojewódzkiego Szpitala Zespolonego w Szczecinie. W wyniku ataku typu ransomware część danych została zaszyfrowana, a szpital utracił dostęp do istotnej części infrastruktury informatycznej.

11 marca 2026 r. Prokuratura Okręgowa w Szczecinie poinformowała o wszczęciu śledztwa. Według oficjalnego komunikatu sprawcy zażądali od szpitala korzyści majątkowej w wysokości kilku milionów dolarów w zamian za przywrócenie dostępu do danych. Postępowanie prowadzone jest również w związku ze sprowadzeniem niebezpieczeństwa dla życia lub zdrowia wielu osób korzystających ze świadczeń medycznych SPWSZ.

Z informacji publikowanych po ataku wynikało jednocześnie, że sprawcy mogli należeć do profesjonalnej, międzynarodowej grupy cyberprzestępczej. Jeszcze na początku kwietnia przedstawiciel Centralnego Biura Zwalczania Cyberprzestępczości wskazywał, że przypisanie ataku konkretnej grupie lub państwu było trudne, a tego rodzaju postępowania mogą wymagać wieloletniej współpracy międzynarodowej.

Od zdarzenia minęło już kilka miesięcy. Ze względu na skalę ataku, możliwość naruszenia szczególnie wrażliwych danych medycznych oraz fakt zaatakowania jednej z najważniejszych placówek medycznych na Pomorzu Zachodnim zasadne jest przedstawienie aktualnego stanu śledztwa oraz informacji o działaniach organów ścigania.

W związku z powyższym zwracam się do Pana Ministra z następującymi pytaniami:

Na jakim etapie znajduje się obecnie śledztwo dotyczące cyberataku na SPWSZ w Szczecinie? Proszę wskazać, jakie najważniejsze czynności procesowe i operacyjne zostały przeprowadzone od 8 marca 2026 r., czy postępowanie nadal prowadzone jest przez Prokuraturę Okręgową w Szczecinie oraz czy pozostaje objęte nadzorem jednostek wyższego szczebla prokuratury.

Czy do chwili obecnej ustalono lub zawężono krąg osób albo grup odpowiedzialnych za cyberatak? Czy ustalono nazwę grupy ransomware, jej strukturę, kraj lub kraje działania, osoby odpowiedzialne za przeprowadzenie ataku albo podmioty zapewniające sprawcom infrastrukturę techniczną?

Czy ustalono dokładny sposób przeprowadzenia ataku i uzyskania pierwszego dostępu do systemów SPWSZ? Bez ujawniania informacji mogących narazić bezpieczeństwo infrastruktury proszę wskazać, czy wykorzystano podatność techniczną, przejęte dane uwierzytelniające, phishing, niewłaściwą konfigurację, błąd pracownika, dostęp podmiotu zewnętrznego lub inną metodę oraz czy ustalono, jak długo sprawcy posiadali dostęp do infrastruktury przed jej zaszyfrowaniem.

Czy śledztwo potwierdziło, że przed zaszyfrowaniem systemów doszło do skopiowania lub wyprowadzenia danych pacjentów, pracowników albo kontrahentów poza infrastrukturę szpitala? Jeżeli tak, proszę wskazać – w zakresie możliwym do ujawnienia – skalę wyprowadzenia danych, ich kategorie oraz czy ustalono miejsce, serwery lub infrastrukturę, na którą dane zostały przekazane.

Jaka była dokładna wysokość żądanego przez sprawców okupu, w jakiej formie miał on zostać przekazany oraz czy organy ścigania ustaliły wykorzystywane przez sprawców portfele kryptowalutowe lub inne instrumenty finansowe? Czy doszło do jakiegokolwiek kontaktu lub negocjacji ze sprawcami i czy szpital, jego organ prowadzący albo jakikolwiek inny podmiot publiczny przekazał sprawcom pieniądze lub inne świadczenie?

Czy w ramach śledztwa skierowano wnioski o międzynarodową pomoc prawną lub podjęto współpracę z organami ścigania innych państw albo organizacjami międzynarodowymi? Jeżeli tak, proszę wskazać, z iloma państwami podjęto współpracę oraz czy w sprawę zaangażowano m.in. Europol, Eurojust, Interpol lub właściwe służby państw, na terytorium których znajdowała się infrastruktura wykorzystywana przez sprawców.

Czy w związku z cyberatakiem komukolwiek przedstawiono zarzuty, wydano postanowienia o przedstawieniu zarzutów, wystąpiono o zatrzymanie, zastosowanie środka zapobiegawczego, Europejskiego Nakazu Aresztowania lub międzynarodowego poszukiwania? Jeżeli nie, proszę wskazać, czy organy ścigania posiadają obecnie materiał pozwalający na identyfikację konkretnych podejrzanych.

Czy śledczy ustalili, czy do skutecznego przeprowadzenia ataku przyczyniły się zaniedbania po stronie osób odpowiedzialnych za bezpieczeństwo informatyczne SPWSZ, podmiotów zewnętrznych świadczących usługi informatyczne lub innych osób? Czy w toku postępowania badana jest odpowiedzialność za ewentualne nieprawidłowe zabezpieczenie infrastruktury, niedopełnienie obowiązków lub zaniechanie wcześniejszego usunięcia znanych podatności i czy wyodrębniono w tym zakresie odrębny wątek postępowania?

Ze względu na skalę zdarzenia, charakter zaatakowanej infrastruktury oraz szczególnie wrażliwy charakter danych przetwarzanych przez szpital proszę o udzielenie szczegółowej odpowiedzi na każde z przedstawionych pytań, w zakresie, w jakim jej udzielenie nie narusza dobra prowadzonego postępowania przygotowawczego.

Dariusz Matecki
Poseł na Sejm RP