Wyciek danych osobowych - co zrobić, gdy Twój PESEL i e-mail wyciekły

„Informujemy, że doszło do incydentu bezpieczeństwa, w wyniku którego osoby nieuprawnione mogły uzyskać dostęp do Pana/Pani danych…“. Takie maile dostają co roku setki tysięcy Polaków: po wyciekach z laboratoriów, sklepów internetowych, operatorów czy instytucji finansowych. Pierwsza reakcja to zwykle mieszanka złości i bezradności. Niesłusznie, bo lista skutecznych działań jest konkretna i krótka. Oto ona, w kolejności wykonywania.

Krok 0: ustal, co dokładnie wyciekło

Administrator, który dopuścił do wycieku, ma obowiązek zawiadomić Cię o nim, jeśli incydent stwarza wysokie ryzyko dla Twoich praw, i wskazać kategorie danych. Przeczytaj to zawiadomienie uważnie, bo od niego zależy, które kroki są dla Ciebie krytyczne:

• PESEL + imię, nazwisko, adres - najpoważniejszy wariant: ryzyko wyłudzenia kredytu i podszywania się,
• dane logowania (e-mail + hasło) - ryzyko przejęcia kont, zwłaszcza jeśli używasz tego samego hasła w kilku miejscach,
• dane karty płatniczej - ryzyko transakcji oszukańczych,
• dane medyczne, korespondencja - ryzyko szantażu i precyzyjnego phishingu.

Swój e-mail możesz dodatkowo sprawdzić w serwisie haveibeenpwned.com, który agreguje znane wycieki, także historyczne.

Krok 1: zastrzeż numer PESEL

Jeśli wyciekł PESEL, to jest ruch numer jeden. Rejestr zastrzeżeń numerów PESEL działa od 2024 r., a instytucje finansowe mają ustawowy obowiązek weryfikować go przed zawarciem umowy kredytu czy pożyczki; zobowiązania zaciągnięte mimo zastrzeżenia nie podlegają skutecznemu dochodzeniu.

Zastrzeżesz w kilka minut: w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Zastrzeżenie można chwilowo cofać (np. na podpisanie umowy w banku) i włączać ponownie. Po wycieku PESEL sensownie jest mieć je włączone na stałe; pełną procedurę opisaliśmy przy okazji utraty dowodu osobistego.

Krok 2: włącz monitoring swojej historii kredytowej

Zastrzeżenie PESEL chroni przed nowymi zobowiązaniami w instytucjach objętych obowiązkiem weryfikacji. Warto też na bieżąco śledzić, co dzieje się z Twoimi danymi:

• Alerty BIK - płatna usługa wysyłająca SMS przy każdym zapytaniu kredytowym na Twoje dane; to najszybszy sygnał, że ktoś próbuje wziąć kredyt,
• okresowe pobieranie raportu BIK i przegląd zapytań,
• uważność na korespondencję: wezwania do zapłaty czy umowy, których nie zawierałeś, to czerwona lampa wymagająca natychmiastowej reakcji (reklamacja u wierzyciela + zgłoszenie na policję).

Krok 3: zabezpiecz konta, jeśli wyciekły dane logowania

Jeżeli wyciek obejmował hasła (nawet „zaszyfrowane“):

1. zmień hasło w serwisie, z którego nastąpił wyciek,
2. zmień je wszędzie tam, gdzie używałeś tego samego lub podobnego hasła, zaczynając od skrzynki e-mail (to klucz do resetów wszystkich pozostałych kont),
3. włącz weryfikację dwuetapową (2FA) wszędzie, gdzie się da, najlepiej przez aplikację, nie SMS,
4. przejdź na unikalne hasła generowane przez menedżera haseł; ręczne wymyślanie kilkudziesięciu mocnych haseł nie działa.

Krok 4: spodziewaj się phishingu skrojonego na miarę

Po każdym głośnym wycieku przestępcy uruchamiają kampanie podszywające się pod poszkodowaną firmę: „kliknij, aby zabezpieczyć konto“, „zweryfikuj dane po incydencie“, „należy Ci się odszkodowanie“. Mając Twoje prawdziwe dane (imię, numer umowy, historię zakupów), potrafią brzmieć bardzo wiarygodnie.

Zasada żelazna: po wycieku nie klikasz w linki z maili i SMS-ów dotyczących tego wycieku; na stronę firmy i do banku wchodzisz, wpisując adres ręcznie. Jak rozpoznawać groźne wiadomości, opisujemy szczegółowo w artykule czy samo kliknięcie w podejrzany link jest niebezpieczne.

Krok 5: wykorzystaj swoje prawa

Masz wobec administratora, który dopuścił do wycieku, konkretne uprawnienia:

• prawo do pełnej informacji o zakresie incydentu,
• prawo wniesienia skargi do Prezesa UODO,
• prawo żądania odszkodowania lub zadośćuczynienia na drodze cywilnej, jeśli poniosłeś szkodę,
• przy wykorzystaniu danych przez przestępców: zgłoszenie na policję (to także dokument przydatny w sporach z wierzycielami „wyłudzonych“ zobowiązań).

Profilaktyka: ogranicz skutki następnego wycieku

Wycieki będą się zdarzać; możesz jednak sprawić, że kolejny będzie dla Ciebie niegroźny:

• minimalizuj dane, które zostawiasz: sklep internetowy nie potrzebuje Twojego PESEL-u, a formularz konkursowy adresu zamieszkania,
• unikalne hasła + 2FA wszędzie,
• nie przechowuj skanów dokumentów w otwartych miejscach: skrzynce mailowej, niezaszyfrowanej chmurze czy na pulpicie; wyciek z dowolnego z tych miejsc oznacza komplet danych do kradzieży tożsamości. O różnicy między zwykłą chmurą a szyfrowanym sejfem piszemy w tym porównaniu,
• trzymaj dokumenty i wrażliwe notatki w sejfie z szyfrowaniem zero-knowledge, gdzie nawet wyciek z serwerów dostawcy nie ujawnia treści, bo klucz masz wyłącznie Ty.

Podsumowanie

Wyciek danych to nie wyrok, tylko sygnał do wykonania konkretnej sekwencji: zastrzeżenie PESEL, monitoring BIK, nowe hasła z 2FA, podwyższona czujność na phishing i znajomość swoich praw. A na przyszłość: im mniej Twoich danych leży w słabo chronionych miejscach, tym mniej znaczy każdy kolejny incydent. Skany dokumentów i wrażliwe informacje trzymaj tam, gdzie wyciek ich nie dosięgnie: w zaszyfrowanym Sejfie Życia, do którego klucz masz tylko Ty.