Wyciekły dane? Samo zastrzeżenie PESEL nie zamyka sprawy

Po informacji o wycieku ustal, czy ujawniono PESEL, dane dokumentu, karty, hasło lub numer telefonu. Od tego zależy kolejność działań: zastrzeż PESEL, jeśli dotyczy go incydent, zablokuj ujawnioną kartę i zmień przejęte hasło wszędzie, gdzie było używane. Poradnik CERT Polska o wyciekach rozdziela te ścieżki według rodzaju danych.

Zastrzeżenie PESEL utrudnia określone próby wykorzystania tożsamości, ale nie blokuje płatności kartą ani dostępu do konta przez ujawnione hasło. Jeśli komunikat nie podaje zakresu wycieku, sprawdź go na oficjalnej stronie organizacji lub przez znany wcześniej kanał kontaktu. Nie loguj się przez odnośnik z wiadomości, która informuje Cię o incydencie.

Pierwsze 15 minut: wybierz właściwą ścieżkę

To kolejność priorytetów, a nie termin, po którym działania tracą sens. Ustal, kto powiadomił Cię o wycieku, kiedy według komunikatu doszło do incydentu i jakie dokładnie dane obejmuje. Jeśli ujawniono kilka ich rodzajów, wykonaj wszystkie pasujące działania; nie czekaj na pełne wyjaśnienie sprawy, gdy możesz już zablokować kartę lub zmienić hasło.

1. Ujawniono dane karty albo widzisz obcą transakcję? Skorzystaj z aplikacji banku lub jego oficjalnej infolinii, aby zablokować kartę. Podejrzaną operację zgłoś bankowi od razu.
2. Ujawniono PESEL lub dane dokumentu tożsamości? Zastrzeż PESEL w mObywatelu, serwisie internetowym albo urzędzie gminy. Jeśli wyciekło również hasło, zabezpiecz konto, którego dotyczy incydent.
3. Ujawniono numer telefonu? Zachowaj ostrożność wobec nowych połączeń i SMS-ów, zwłaszcza gdy nadawca powołuje się na Twoje prawdziwe dane.

Zachowaj powiadomienie o wycieku i potwierdzenia pierwszych zgłoszeń. Po zalogowaniu do Bezpiecznych Danych możesz sprawdzić adres e-mail, numer telefonu, login i PESEL w znanych bazach wycieków. Brak wyniku oznacza jedynie, że sprawdzanych danych nie ma w bazie w chwili wyszukiwania; nie podważa powiadomienia od organizacji.

PESEL i skan dowodu: zabezpiecz tożsamość

Jeśli ujawniono PESEL albo dane dokumentu tożsamości, zastrzeż numer jak najszybciej. Instrukcja Ministerstwa Cyfryzacji wskazuje bezpłatną usługę w aplikacji mObywatel, na portalu Gov.pl i w urzędzie gminy. W aplikacji po zalogowaniu otwórz „Usługi”, wybierz „Zastrzeż PESEL” i potwierdź zmianę.

W tej usłudze sprawdzisz też historię zmian statusu numeru oraz to, które firmy i instytucje weryfikowały zastrzeżenie. Taka weryfikacja jest sygnałem do wyjaśnienia sprawy z daną instytucją, lecz sama nie dowodzi zawarcia umowy. Jeśli potrzebujesz kredytu lub innej czynności wymagającej sprawdzenia rejestru, możesz cofnąć zastrzeżenie, także czasowo; po załatwieniu sprawy sprawdź ponownie jego status.

Skan lub zdjęcie dowodu wymaga osobnej oceny. Gdy masz uzasadnione podejrzenie nieuprawnionego wykorzystania danych dokumentu, możesz zgłosić je przez mObywatela, Gov.pl lub w urzędzie gminy. Zgłoszenie prowadzi do unieważnienia dowodu: tej czynności nie cofniesz i potrzebny będzie nowy dokument. Samo zastrzeżenie PESEL nie unieważnia dowodu.

Dane karty: zgłoś je bankowi osobno

Po ujawnieniu danych karty, szczególnie numeru wraz z datą ważności i kodem CVV, zablokuj ją przez aplikację banku lub oficjalną infolinię. Zamów nową kartę z nowym numerem i przejrzyj historię płatności, również drobnych. Jeśli dostrzeżesz operację, której nie autoryzowałeś, zgłoś ją bankowi niezwłocznie i zachowaj potwierdzenie reklamacji.

Gdy ujawniono sam numer rachunku, zwróć uwagę na nieoczekiwane wpłaty i prośby o ich zwrot. Jeżeli ktoś nakłania Cię do przelania pieniędzy na inny rachunek lub przekazania kodu BLIK, nie wykonuj jego polecenia. Skontaktuj się z bankiem przez oficjalny kanał, aby wyjaśnić pochodzenie przelewu i sposób ewentualnego zwrotu.

Hasło i numer telefonu: chroń dostęp do kont

Ujawnione hasło zmień w serwisie objętym wyciekiem oraz wszędzie, gdzie używasz tego samego hasła lub jego podobnej wersji. Priorytetem jest poczta, jeśli powtórzone hasło chroni również skrzynkę: trafiają tam wiadomości służące do odzyskiwania dostępu do innych kont. Po zmianie hasła do poczty wyloguj aktywne sesje i przejrzyj historię logowań.

Włącz uwierzytelnianie dwuskładnikowe, jeśli serwis je udostępnia. Jeśli powiadomienie mówi jedynie o ujawnieniu adresu e-mail, sprawdź najpierw, które konto i hasło mogły być objęte wyciekiem; sam adres nie wskazuje hasła do skrzynki.

Po ujawnieniu numeru telefonu ostrożniej traktuj rozmówców i nadawców SMS-ów znających Twoje dane. Jeśli kody SMS służą Ci do logowania, rozważ w najważniejszych kontach aplikację uwierzytelniającą lub klucz sprzętowy. Nieoczekiwana utrata zasięgu albo wiadomość o wymianie karty SIM wymaga pilnego kontaktu z operatorem przez oficjalny kanał. Policja w zaleceniach po wycieku radzi też przekazywać podejrzane SMS-y na numer 8080.

Pierwsza doba i kolejny tydzień: sprawdź szkody i zachowaj dowody

W pierwszej dobie przejrzyj historię rachunków, kart i logowań oraz wiadomości z banku i ważnych serwisów. Po wycieku PESEL lub danych dokumentu sprawdź historię weryfikacji numeru w mObywatelu. Jeśli zauważysz obcą transakcję, nowe logowanie lub próbę zawarcia umowy, zgłoś konkretne zdarzenie instytucji, której ono dotyczy.

W kolejnych dniach kontroluj korespondencję o nowych umowach oraz informacje o zobowiązaniach w BIK i biurach informacji gospodarczej. Powtarzaj kontrolę rachunków także później: dane z wycieku mogą zostać wykorzystane po upływie pierwszego tygodnia. Jeżeli odkryjesz pożyczkę, której nie zaciągałeś, przejęte konto lub nieautoryzowany przelew, zgłoś sprawę odpowiedniej instytucji i złóż zawiadomienie na policji.

Do zgłoszenia przygotuj powiadomienie o wycieku, wiadomości związane z oszustwem, zrzuty ekranu, daty zdarzeń, historię operacji oraz potwierdzenia kontaktu z bankiem lub operatorem. Zachowaj treść, nadawcę i czas otrzymania wiadomości; nie usuwaj podejrzanej korespondencji po zabezpieczeniu konta. Te materiały pozwolą odróżnić samo ujawnienie danych od konkretnej próby nadużycia i wykazać, jaką szkodę zgłaszasz.

Przeczytaj także:

• E-mail jest w wycieku? Samo „pwned” nie mówi, które hasło zmienić
• Dane do ChatGPT trzeba najpierw odchudzić — samo usunięcie nazw nie wystarczy
• AI w pracy bez wycieku: anonimizacja nie wystarczy bez umowy z dostawcą