Wyciek danych osobowych nie jest wyrokiem, ale wymaga szybkiej i uporządkowanej reakcji. Najpierw zabezpiecz tożsamość, czyli zastrzeż numer PESEL, oraz finanse. Następnie zmień hasła, włącz uwierzytelnianie dwuskładnikowe i przygotuj się na celowany phishing.
Ustal, co dokładnie wyciekło
Przeczytaj komunikat organizacji, której dotyczy incydent. Sprawdź, czy ujawniono numer PESEL, dane dokumentu, informacje karty płatniczej, hasło, adres e-mail, numer telefonu, adres zamieszkania lub dane medyczne. Zakres wycieku decyduje o kolejności działań.
Możesz sprawdzić swoje dane w bezpłatnym serwisie bezpiecznedane.gov.pl. Po zalogowaniu sprawdzisz między innymi PESEL, adres e-mail, login i numer telefonu. Adres e-mail można dodatkowo zweryfikować w Have I Been Pwned.
Wynik „nie znaleziono” nie daje pełnej gwarancji bezpieczeństwa. Oba serwisy pokazują tylko te incydenty, których dane zostały do nich przekazane. Publicznie potwierdzony wyciek może przez pewien czas nie być widoczny w bazie. Sprawdź także wszystkie stare adresy e-mail i loginy, które nadal mogą być powiązane z aktywnymi kontami.
| Rodzaj danych | Poziom zagrożenia | Priorytet działania |
|---|---|---|
| Numer PESEL | Wysoki | Zastrzeż PESEL |
| Dane karty płatniczej | Wysoki | Zablokuj kartę i zamów nową |
| Hasło lub dane logowania | Średni lub wysoki | Zmień hasło także w innych serwisach |
| E-mail, telefon, adres | Zależny od zakresu | Wzmocnij ochronę kont i zwiększ czujność |
Co zrobić po wycieku danych krok po kroku?
Kolejność ma znaczenie. Najpierw wykonaj czynności, które ograniczają ryzyko kradzieży tożsamości i strat finansowych.
- Zastrzeż numer PESEL. Zrobisz to w aplikacji mObywatel, przez serwis gov.pl albo w urzędzie gminy. Zastrzeżenie utrudnia wykorzystanie numeru przy zawieraniu niektórych umów, w tym kredytowych, pożyczkowych, bankowych i telekomunikacyjnych. Możesz je czasowo cofnąć, gdy sam chcesz załatwić sprawę wymagającą weryfikacji PESEL.
- Zablokuj kartę płatniczą. Skorzystaj z aplikacji banku lub oficjalnej infolinii. Przejrzyj historię transakcji i zgłoś każdą operację, której nie rozpoznajesz. Jeśli wyciekł numer karty wraz z datą ważności lub kodem CVV, zamów nową kartę.
- Zmień hasła. Zacznij od skrzynki e-mail, ponieważ służy do odzyskiwania dostępu do innych kont. Zmień hasło w serwisie objętym wyciekiem oraz wszędzie tam, gdzie używałeś tego samego albo podobnego hasła. Najbezpieczniej ustawić osobne, losowe hasło dla każdej usługi.
- Włącz 2FA. Uwierzytelnianie dwuskładnikowe ogranicza skutki kradzieży hasła. Jeśli usługa na to pozwala, wybierz aplikację uwierzytelniającą, klucz sprzętowy lub passkey zamiast kodów SMS. Zapisz kody zapasowe w bezpiecznym miejscu.
- Uruchom monitoring BIK. Raport BIK pomaga sprawdzić kredyty i zapytania kredytowe powiązane z Twoimi danymi. Regularnie kontroluj też historię rachunku, karty oraz logowania do poczty i innych ważnych kont.
Nie musisz automatycznie unieważniać dowodu osobistego tylko dlatego, że wyciekł numer PESEL. Zastrzeżenie PESEL i unieważnienie dokumentu to dwie różne czynności. Jeśli wyciekł skan lub zdjęcie dowodu, ktoś uzyskał dostęp do szerszego zestawu danych albo doszło już do próby wykorzystania dokumentu, rozważ jego unieważnienie. Tej decyzji nie można cofnąć, a dokument trzeba później wymienić.
Uważaj na phishing „pod wyciek”
Po głośnym incydencie oszuści mogą wysyłać wiadomości podszywające się pod bank, sklep, przychodnię lub firmę, która poinformowała o wycieku. Znajomość Twojego imienia, adresu, numeru klienta czy nazwy placówki nie potwierdza tożsamości rozmówcy.
Za sygnały ostrzegawcze uznaj przede wszystkim:
- wiadomość z prośbą o kliknięcie linku i „zabezpieczenie konta”,
- żądanie podania hasła, kodu SMS, kodu BLIK lub danych karty,
- presję czasu i groźbę blokady konta,
- telefon od osoby, która zna prawdziwe informacje, ale chce potwierdzenia kolejnych danych.
Rozłącz się i samodzielnie wybierz oficjalny numer banku lub usługodawcy. Nie korzystaj z linku otrzymanego w wiadomości. Jeśli podejrzewasz oszustwo, zachowaj korespondencję i zgłoś ją do CERT Polska. W przypadku wykorzystania danych złóż zawiadomienie na policji i poinformuj bank.
Dlaczego brak wyniku w wyszukiwarce nie wystarcza?
Serwis bezpiecznedane.gov.pl oraz Have I Been Pwned nie mają dostępu do wszystkich istniejących wycieków. Ich wyniki zależą od tego, jakie zbiory zostały przeanalizowane i przekazane do bazy. Brak trafienia oznacza tylko, że danych nie znaleziono w sprawdzonym zbiorze w chwili wyszukiwania.
Dane z wycieku mogą zostać wykorzystane dopiero po pewnym czasie. Przestępcy odsprzedają bazy, łączą informacje z różnych źródeł i przygotowują oszustwa dopasowane do konkretnej osoby. Dlatego jednorazowe sprawdzenie nie zastępuje monitorowania.
Jeśli wyciek obejmował telefon i używasz SMS-ów jako drugiego składnika logowania, zwróć uwagę na ryzyko SIM-swap. Przełącz najważniejsze konta na aplikację uwierzytelniającą lub klucz sprzętowy. Zastrzeżony PESEL utrudnia także uzyskanie duplikatu karty SIM na Twoje dane.
Co robić w kolejnych dniach?
Przez kilka tygodni kontroluj pocztę, bankowość, historię kart i aktywność kont. Nie ignoruj nawet niewielkich nieautoryzowanych transakcji ani powiadomień o logowaniu z nieznanego urządzenia.
Przygotuj też prostą listę kontrolną na przyszłość:
- używaj menedżera haseł i osobnych haseł dla każdej usługi,
- włącz 2FA, preferując aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS,
- podawaj PESEL, telefon i adres tylko wtedy, gdy są rzeczywiście potrzebne,
- usuwaj nieużywane konta i ograniczaj liczbę przechowywanych skanów dokumentów.
Jeżeli jesteś administratorem systemu lub domeny, informacje o monitorowaniu infrastruktury i upublicznionych wyciekach znajdziesz w usłudze moje.cert.pl. W przypadku poważnego naruszenia skonsultuj obowiązki wynikające z RODO i procedurę zgłoszenia do Prezesa UODO.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej ani finansowej.
