Spis treści

Sprawdź, czy Twoje dane wyciekły

“Wdrożono procedurę zabezpieczającą, aby dane, które wyciekły, zostały przeniesione do bazy Bezpieczne Dane” – to fragment komunikatu Ministerstwa Cyfryzacji po jednym z dużych incydentów bezpieczeństwa. Oznacza to, że państwo stworzyło centralne narzędzie, które pozwala samodzielnie zweryfikować, czy padliśmy ofiarą wycieku.

Głównym narzędziem jest rządowy portal bezpiecznedane.gov.pl. Pozwala on bezpłatnie i bez logowania sprawdzić, czy konkretne dane znalazły się w ujawnionych bazach. Wystarczy wejść na stronę, wpisać w formularzu informację do weryfikacji i kliknąć „Sprawdź”.

Typ danych do sprawdzeniaGdzie zweryfikować
Adres e-mailbezpiecznedane.gov.pl
Numer telefonubezpiecznedane.gov.pl
Login do serwisubezpiecznedane.gov.pl
Numer PESELbezpiecznedane.gov.pl

Jeśli system znajdzie Twoje dane, jest to sygnał, że trafiły one w niepowołane ręce i mogą zostać użyte do oszustwa. Brak wyniku nie daje jednak stuprocentowej pewności – proces przekazywania informacji o wycieku do rządowej bazy może zająć kilka dni. Dzieje się tak, ponieważ administratorami danych są często pojedyncze firmy lub placówki medyczne, które muszą najpierw same przetworzyć incydent.

Niezależnie od samodzielnej weryfikacji, obowiązek poinformowania Cię o wycieku spoczywa na administratorze Twoich danych, na przykład sklepie internetowym, przychodni czy pracodawcy. Taka informacja musi trafić do Ciebie bezpośrednio, najczęściej mailowo lub listownie. Powinna zawierać szczegóły dotyczące zakresu naruszenia oraz zalecane kroki do podjęcia.

Zabezpiecz swoje konta i hasła

Pierwszym krokiem po potwierdzeniu wycieku jest odcięcie cyberprzestępcom dostępu do Twoich kont. Zacznij od skrzynki e-mail, ponieważ to ona często służy do resetowania haseł w dziesiątkach innych serwisów. Jeśli atakujący przejmą Twoją pocztę, mogą zyskać kontrolę nad powiązanymi z nią profilami w mediach społecznościowych, sklepach internetowych czy systemach bankowości elektronicznej.

Zmień hasła we wszystkich serwisach, których mogło dotyczyć naruszenie, a także w tych, gdzie używałeś tego samego lub podobnego hasła. Każde konto powinno mieć unikalne, trudne do odgadnięcia hasło. Ręczne zarządzanie dziesiątkami haseł jest niewykonalne, dlatego zalecamy użycie menedżera haseł (np. Bitwarden, 1Password), który generuje i bezpiecznie przechowuje skomplikowane hasła za Ciebie.

Kolejnym krokiem jest włączenie uwierzytelniania dwuskładnikowego (2FA) wszędzie, gdzie to możliwe. To dodatkowa warstwa zabezpieczeń, która wymaga podania drugiego elementu logowania oprócz hasła – na przykład jednorazowego kodu z aplikacji na telefonie (np. Google Authenticator) lub potwierdzenia na fizycznym kluczu U2F. Nawet jeśli przestępca zdobędzie Twoje hasło, bez dostępu do Twojego telefonu nie zaloguje się na konto.

Poniższa tabela pokazuje, czym różni się słabe hasło od tego, które realnie chroni Twoje konto.

CechaSłabe hasłoMocne hasło
Długość8 znaków, np. kasiuniaMinimum 14 znaków, np. Trudne#Haslo123!
ZłożonośćTylko małe litery, słowo słownikoweWielkie i małe litery, cyfry, znaki specjalne
LogikaData urodzenia, imię, prosta sekwencjaLosowy ciąg lub fraza z kilku słów, np. Zielone-krowy-lataja-po-niebie7!
UnikalnośćTo samo hasło w 5 różnych serwisachUnikalne dla każdej pojedynczej usługi

Zastrzeż swój PESEL przez mObywatel

Usługa Zastrzeż PESEL blokuje możliwość zaciągnięcia kredytu, pożyczki czy zakupu na raty na Twoje dane. Gdy Twoje dane osobowe trafią w niepowołane ręce, oszuści mogą spróbować wykorzystać je do wyłudzeń finansowych. Dlatego po potwierdzeniu wycieku jednym z zalecanych działań jest natychmiastowe zastrzeżenie numeru PESEL. Całą operację przeprowadzisz samodzielnie w aplikacji mObywatel 2.0, postępując według poniższych kroków.

  1. Pobierz i zainstaluj aplikację mObywatel 2.0 ze sklepu Google Play lub App Store.
  2. Zaloguj się, używając Profilu Zaufanego, e-dowodu lub bankowości elektronicznej.
  3. Wejdź w sekcję „Usługi” na dolnym pasku nawigacyjnym aplikacji.
  4. Wybierz z listy opcję „Zastrzeż PESEL”.
  5. Kliknij duży przycisk „Zastrzeż PESEL” i potwierdź swoją decyzję.
  6. Sprawdź, czy status Twojego numeru PESEL zmienił się na „Zastrzeżony”.

Od momentu zastrzeżenia każda instytucja finansowa, notariusz czy operator telekomunikacyjny ma prawny obowiązek zweryfikować status Twojego numeru w Rejestrze Zastrzeżeń Numerów PESEL przed zawarciem umowy. Jeśli numer jest zastrzeżony, instytucja musi odmówić wykonania operacji, takiej jak udzielenie kredytu czy wydanie duplikatu karty SIM. To realna bariera dla przestępców próbujących posłużyć się Twoją tożsamością.

Zastrzeżenie jest odwracalne. Jeśli planujesz wziąć kredyt lub podpisać akt notarialny, możesz w każdej chwili cofnąć zastrzeżenie w tej samej aplikacji. Usługa pozwala na bezterminowe lub czasowe odblokowanie numeru, co daje pełną kontrolę nad jego statusem.

Dlaczego warto zgłosić atak do CERT Polska?

Jeśli po wycieku danych otrzymujesz podejrzane SMS-y lub e-maile, zgłoś je do CERT Polska. To zespół reagowania na incydenty bezpieczeństwa komputerowego, który działa w ramach państwowego instytutu badawczego NASK. Każde zgłoszenie pomaga analitykom w identyfikacji nowych kampanii phishingowych i blokowaniu złośliwych stron, chroniąc w ten sposób innych użytkowników.

Do CERT Polska należy zgłaszać wszelkie próby oszustwa, które wykorzystują komunikację elektroniczną. Przykłady to fałszywe SMS-y o niedopłacie za prąd, e-maile podszywające się pod bank z prośbą o weryfikację danych czy linki do rzekomych promocji w sklepach internetowych. Zgłaszaj również podejrzane strony internetowe, które wyłudzają dane logowania lub informacje o kartach płatniczych.

Proces zgłaszania jest prosty i zajmuje chwilę. W zależności od rodzaju zagrożenia, możesz skorzystać z jednej z poniższych metod:

  • Podejrzany SMS: Prześlij go bez żadnych zmian na numer 8080. Usługa jest bezpłatna u wszystkich polskich operatorów.
  • Podejrzany e-mail lub strona WWW: Wypełnij formularz na stronie incydent.cert.pl.
  • Złośliwe oprogramowanie: Próbkę wirusa lub link do niego również możesz przesłać przez formularz na incydent.cert.pl.

CERT Polska nie prowadzi indywidualnych spraw, jak policja, ale działa na skalę całego kraju. Po analizie Twojego zgłoszenia specjaliści mogą umieścić złośliwą stronę na liście ostrzeżeń, która jest wykorzystywana przez przeglądarki internetowe i programy antywirusowe. Dzięki temu inni użytkownicy, którzy spróbują wejść na taką stronę, zobaczą komunikat o zagrożeniu.

Jak śledzić swoje dane po wycieku?

Alerty BIK to płatna usługa Biura Informacji Kredytowej, która wysyła powiadomienie SMS lub e-mail za każdym razem, gdy ktoś złoży zapytanie o Twoją historię kredytową. Dzięki temu natychmiast dowiesz się o próbie zaciągnięcia pożyczki lub kredytu na Twoje dane i możesz szybko zareagować. Usługa ta działa niezależnie od zastrzeżenia numeru PESEL i stanowi dodatkową warstwę kontroli nad finansami.

Część pakietów BIK monitoruje również sieć Tor, potocznie zwaną darknetem, w poszukiwaniu Twoich danych osobowych, takich jak adres e-mail, numer telefonu czy PESEL. Jeśli Twoje dane pojawią się w nowo opublikowanym wycieku, otrzymasz powiadomienie. Pozwala to ocenić skalę zagrożenia i podjąć odpowiednie kroki, na przykład zmienić hasła na powiązanych z wyciekiem kontach.

Niezależnie od płatnych usług, regularnie przeglądaj historię operacji na swoich kontach bankowych i kartach kredytowych. Zwracaj szczególną uwagę na drobne, nietypowe transakcje, nawet na kwoty rzędu 1-2 zł. Przestępcy często wykonują takie testowe obciążenia, aby sprawdzić, czy skradzione dane karty są aktywne, zanim dokonają większych zakupów.

Raz na 6 miesięcy masz prawo do bezpłatnego pobrania raportu o sobie z Biura Informacji Kredytowej. Przeanalizuj go pod kątem zapytań kredytowych od instytucji, z którymi nie miałeś kontaktu, oraz zobowiązań, których nie zaciągałeś. Taka okresowa kontrola pozwala wykryć nieautoryzowaną aktywność, która mogła umknąć bieżącemu monitoringowi.

Metoda monitoringuKosztCzęstotliwośćCo sprawdza?
Alerty BIKPłatny abonamentCiągły (w czasie rzeczywistym)Zapytania kredytowe, pojawienie się danych w wyciekach
Analiza wyciągów bankowychBezpłatnaRekomendowana: co najmniej raz w tygodniuNieautoryzowane transakcje na kontach i kartach
Raport BIKBezpłatny (raz na 6 miesięcy)Okresowa (co pół roku)Pełna historia kredytowa, zapytania, istniejące zobowiązania

Kiedy i jak złożyć skargę do UODO

Gdy firma dopuści do wycieku Twoich danych, RODO daje Ci prawo do złożenia na nią skargi do organu nadzorczego. Skargę do Urzędu Ochrony Danych Osobowych (UODO) możesz złożyć, jeśli administrator danych – czyli firma lub instytucja – naruszył Twoje prawa. Dzieje się tak na przykład, gdy organizacja nie poinformowała Cię o wycieku, zataiła jego skalę lub nie wdrożyła odpowiednich środków technicznych i organizacyjnych, by chronić Twoje dane. Podstawą do skargi jest również brak odpowiedzi na Twoje żądania, na przykład prośbę o informację, jaki dokładnie zakres danych uległ naruszeniu.

Skargę możesz złożyć na kilka sposobów: elektronicznie przez platformę ePUAP, tradycyjną pocztą lub osobiście w siedzibie urzędu. Niezależnie od formy, pismo musi zawierać kilka obowiązkowych elementów, aby mogło zostać rozpatrzone. Dołącz do niego wszelkie dowody, takie jak korespondencja z firmą czy otrzymane od niej powiadomienie o wycieku.

Element skargiCo wpisać?
Dane skarżącegoTwoje imię, nazwisko i adres zamieszkania.
Dane administratoraPełna nazwa i adres firmy lub instytucji, na którą składasz skargę.
Opis naruszeniaDokładny opis sytuacji: co się stało, kiedy, jakie dane wyciekły i dlaczego uważasz, że administrator naruszył przepisy.
ŻądanieCzego oczekujesz od UODO, np. przeprowadzenia kontroli, nakazania administratorowi usunięcia naruszeń.
PodpisWłasnoręczny podpis (w przypadku pisma papierowego) lub podpis kwalifikowany/profil zaufany (elektronicznie).

Po złożeniu skargi UODO rozpocznie postępowanie wyjaśniające, które może potrwać kilka miesięcy. Urząd może nałożyć na administratora karę finansową lub nakazać mu wdrożenie konkretnych zmian w systemach bezpieczeństwa. Postępowanie przed UODO nie służy do uzyskania odszkodowania finansowego dla Ciebie – w tym celu należy wytoczyć osobny pozew cywilny przeciwko firmie, która dopuściła do wycieku.

Pytania i odpowiedzi

Czy muszę zmieniać wszystkie hasła, jeśli wyciekł tylko mój e-mail?

Tak, zmiana haseł jest wysoce rekomendowana, zwłaszcza jeśli to samo hasło było używane w różnych serwisach. Priorytetem jest zmiana hasła do skrzynki e-mail, która wyciekła, ponieważ to ona często służy do resetowania haseł w innych usługach. Cyberprzestępcy używają zautomatyzowanych narzędzi do testowania skradzionych par login-hasło w setkach popularnych serwisów, co nazywamy atakiem credential stuffing. Jako dodatkowe zabezpieczenie włącz wszędzie uwierzytelnianie dwuskładnikowe (2FA).

Co zrobić, jeśli podejrzewam wyciek, ale moich danych nie ma na bezpiecznedane.gov.pl?

Brak danych w rządowej wyszukiwarce nie gwarantuje pełnego bezpieczeństwa, ponieważ nie wszystkie incydenty są tam odnotowywane. Obowiązek powiadomienia Cię o naruszeniu spoczywa na administratorze danych, czyli firmie lub instytucji, która je przetwarzała. Proces przekazania informacji o wycieku do serwisu bezpiecznedane.gov.pl może też zająć administratorowi kilka dni. Dlatego działaj prewencyjnie: zmień hasła do najważniejszych kont, monitoruj transakcje bankowe i rozważ włączenie płatnych usług, jak Alerty BIK.

Czy mogę dostać odszkodowanie za wyciek danych?

RODO daje Ci prawo do złożenia skargi na administratora danych, który dopuścił do wycieku. Skargę taką składa się do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Postępowanie przed UODO może zakończyć się nałożeniem wysokiej kary finansowej na firmę, ale nie przyznaje ono automatycznie odszkodowania poszkodowanym. O zadośćuczynienie za poniesione straty materialne lub krzywdę moralną można ubiegać się na drodze osobnego postępowania cywilnego przeciwko tej firmie.

Jak długo trwa zastrzeganie numeru PESEL?

Zastrzeżenie numeru PESEL w aplikacji mObywatel lub w urzędzie gminy jest natychmiastowe. Usługa staje się aktywna w momencie potwierdzenia operacji w systemie. Od 1 czerwca 2024 roku banki, instytucje pożyczkowe i notariusze mają prawny obowiązek sprawdzać Rejestr Zastrzeżeń PESEL przed zawarciem umowy kredytowej, umowy pożyczki czy sporządzeniem aktu notarialnego dotyczącego nieruchomości. Jeśli ktoś zaciągnie zobowiązanie na Twój zastrzeżony PESEL, instytucja finansowa nie będzie mogła dochodzić od Ciebie spłaty.

Czy Alerty BIK są płatne?

Tak, Alerty BIK to komercyjna usługa świadczona przez Biuro Informacji Kredytowej. Polega ona na wysyłaniu powiadomień SMS lub e-mail za każdym razem, gdy w bazie BIK pojawi się zapytanie o Twoją historię kredytową lub gdy ktoś będzie próbował zaciągnąć na Twoje dane zobowiązanie finansowe. Niektóre pakiety tej usługi oferują również monitoring Twoich danych w internecie i tzw. darknecie pod kątem ich pojawienia się w bazach pochodzącychh z wycieków.

Źródła

Zobacz też