Samo zastrzeżenie PESEL jest jednym z najważniejszych działań po podejrzeniu kradzieży danych, ale nie rozwiązuje całego problemu. Z badania zleconego przez ChronPESEL.pl i KRD wynika, że 69 proc. Polaków po przejęciu numeru PESEL zdecydowałoby się na jego zastrzeżenie w aplikacji mObywatel lub urzędzie. Jedynie 33 proc. deklaruje jednak późniejsze monitorowanie numeru i historii kredytowej, Santeos.pl podaje, powołując się nа money.pl.
Ta różnica ma znaczenie, ponieważ przestępca posiadający imię, nazwisko, PESEL, numer telefonu, adres e-mail oraz inne prawdziwe informacje o konkretnej osobie może wykorzystać je na wiele sposobów. Zastrzeżenie numeru ogranicza możliwość zaciągnięcia określonych zobowiązań finansowych i wykonania niektórych czynności, ale nie powoduje automatycznego usunięcia danych z baz znajdujących się w rękach cyberprzestępców. Oficjalna usługa mObywatel wskazuje zastrzeżenie jako zabezpieczenie przede wszystkim przed skutkami kradzieży tożsamości związanymi m.in. z kredytami i pożyczkami.
Zastrzeżenie numeru to początek ochrony, a nie jej ostatni etap. Po dużym wycieku zagrożenie może utrzymywać się przez miesiące. Oszuści potrafią wracać do przejętych baz długo po samym incydencie.
Zastrzeżony PESEL nie staje się bezużyteczny dla przestępcy
Mechanizm zastrzegania PESEL został zaprojektowany tak, aby utrudnić wykorzystanie cudzej tożsamości przy określonych czynnościach. Od czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzania rejestru przed zawarciem m.in. umowy kredytu lub pożyczki. Zastrzeżony numer jest również istotny przy wydawaniu duplikatu karty SIM oraz przy wybranych czynnościach notarialnych dotyczących nieruchomości.
Problem polega na tym, że lista możliwych oszustw jest szersza. Ekspert ChronPESEL.pl Bartłomiej Drozd zwraca uwagę, że numer znajdujący się w skradzionej bazie nadal może być łączony z innymi danymi i wykorzystywany do prób podszywania się pod właściciela.
Przestępcy mogą próbować używać przejętej tożsamości między innymi przy:
- wynajmowaniu mieszkania,
- wypożyczaniu samochodu lub kosztownego sprzętu,
- zakupach z odroczonym terminem płatności,
- zakładaniu działalności na cudze dane,
- próbach wyłudzenia finansowania dla przedsiębiorstwa,
- tworzeniu fałszywych kont i profili,
- prowadzeniu dalszych ataków phishingowych.
Nie każda z takich sytuacji wymaga procedury, w której druga strona automatycznie sprawdzi rejestr zastrzeżeń. To właśnie dlatego eksperci wskazują na potrzebę dalszej kontroli po kradzieży tożsamości.
Bartłomiej Drozd zwraca uwagę, że zastrzeżony numer PESEL nadal pozostaje wartościową informacją dla oszustów, zwłaszcza gdy został przejęty razem z innymi danymi osobowymi.
Cyberatak na MyDr zwiększył obawy o dane Polaków
Temat ochrony PESEL ponownie znalazł się w centrum uwagi po informacjach o poważnym incydencie dotyczącym firmy MyDr, dostarczającej rozwiązania informatyczne dla placówek ochrony zdrowia. Według informacji przekazanych przez ministra cyfryzacji Krzysztofa Gawkowskiego przejęta baza może obejmować blisko 19 mln rekordów i ponad 2 TB danych. Doniesienia z 12 i 13 sierpnia wskazują, że zakres informacji dotyczących poszczególnych osób może być różny.
W takim przypadku problemem nie jest wyłącznie PESEL. Wyciek danych osobowych może obejmować zestawy informacji, które po połączeniu pozwalają przestępcy stworzyć bardzo przekonującą wiadomość lub rozmowę telefoniczną. Szczególnie wrażliwa jest sytuacja, gdy dane dotyczą ochrony zdrowia.
Oszuści mogą znać prawdziwe imię i nazwisko, numer telefonu, adres poczty elektronicznej, nazwę placówki medycznej, informacje związane z receptą albo innymi elementami kontaktu z ochroną zdrowia. Sama znajomość takich szczegółów przez rozmówcę nie potwierdza, że rzeczywiście reprezentuje on przychodnię, bank, NFZ czy inną instytucję.
Prawdziwe dane podane podczas rozmowy nie są dowodem tożsamości osoby dzwoniącej. Wyciek informacji pozwala przestępcy wykorzystać fakty właśnie po to, by wzbudzić zaufanie.
Jak mogą wyglądać oszustwa po wycieku danych?
Największe niebezpieczeństwo może pojawić się dopiero po pewnym czasie. Baza danych nie musi zostać wykorzystana natychmiast. Informacje mogą być przetwarzane, dzielone na mniejsze zestawy albo służyć do przygotowywania ataków skierowanych do konkretnych grup osób.
Przykładowa wiadomość może dotyczyć rzekomej dopłaty za badanie, błędu w recepcie, potwierdzenia wizyty, zwrotu pieniędzy albo konieczności ponownego zalogowania się do serwisu pacjenta. W treści pojawia się link prowadzący do fałszywej strony. Jeżeli odbiorca poda tam hasło, dane karty lub kod jednorazowy, samo zastrzeżenie PESEL nie zatrzyma utraty pieniędzy.
Podobny schemat może zostać zastosowany przez telefon. Oszust zna nazwisko, telefon, a czasem dodatkowe informacje, więc rozmowa brzmi wiarygodniej niż przypadkowy telefon od osoby, która nic nie wie o swojej ofierze.
| Rodzaj zagrożenia | Czy zastrzeżenie PESEL pomaga? | Co dodatkowo kontrolować |
|---|---|---|
| Próba kredytu konsumenckiego | Tak, zapewnia istotną ochronę | Historia i zapytania kredytowe |
| Próba pożyczki | Tak | Powiadomienia z instytucji finansowych |
| Duplikat karty SIM | Tak, numer podlega weryfikacji | Działanie telefonu i karty SIM |
| Phishing SMS lub e-mail | Nie blokuje wiadomości | Linki, nadawcę, treść komunikatu |
| Próba przejęcia poczty | Nie | Logowania i resetowanie hasła |
| Podszywanie się przez telefon | Nie | Tożsamość rozmówcy |
| Wykorzystanie danych w innych umowach | Zależy od procedury | Dokumenty, monity i nieznane zobowiązania |
Znajomość danych medycznych może uwiarygodnić oszusta
Dane dotyczące zdrowia mają szczególną wartość dla przestępcy nie dlatego, że pozwalają bezpośrednio wypłacić pieniądze. Mogą posłużyć jako narzędzie do stworzenia bardzo wiarygodnej historii.
Wiadomość o rzekomym wyniku badania może skłonić odbiorcę do szybkiego kliknięcia odnośnika. SMS o niedopłaconej recepcie może zawierać żądanie niewielkiej płatności, której prawdziwym celem będzie przejęcie danych karty. Telefon od osoby podającej się za pracownika przychodni może prowadzić do próby wyłudzenia kodu lub hasła.
Emocje sprzyjają takim scenariuszom. Informacje o stanie zdrowia, receptach lub wizytach mogą sprawić, że ofiara reaguje szybciej i z mniejszą ostrożnością niż przy typowej wiadomości o paczce czy nieopłaconym rachunku.
Najbezpieczniejsza reakcja na podejrzany kontakt jest prosta. Rozmowę należy zakończyć, a wiadomości nie używać jako punktu wejścia do serwisu. Kontakt z instytucją trzeba rozpocząć ponownie niezależnym, znanym kanałem.
Co zrobić oprócz zastrzeżenia PESEL?
Po podejrzeniu ujawnienia danych warto podejść do ochrony warstwowo. Bezpieczeństwo danych nie sprowadza się do jednego przełącznika w aplikacji, nawet jeśli jest on bardzo skuteczny w konkretnym obszarze.
Pierwszym krokiem pozostaje zastrzeżenie PESEL. Można wykonać je elektronicznie w mObywatelu, a zastrzeżenie zaczyna obowiązywać w rejestrze. System pozwala również później cofnąć blokadę, także czasowo, gdy jest to potrzebne do wykonania określonej czynności.
Poza tym należy:
- zmienić hasła używane równocześnie w kilku serwisach,
- włączyć uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne,
- skontrolować aktywne sesje na poczcie i ważnych kontach,
- sprawdzać historię operacji bankowych,
- obserwować powiadomienia o nieznanych próbach logowania,
- reagować na komunikaty o resetowaniu hasła, którego samemu się nie zlecało,
- regularnie kontrolować historię kredytową i zapytania dotyczące danych.
Szczególne znaczenie ma poczta elektroniczna. Przejęcie skrzynki może otworzyć drogę do resetowania haseł w wielu innych usługach. Z tego powodu unikalne hasło do poczty i dodatkowy składnik logowania są ważniejsze niż częsta kosmetyczna zmiana jednego prostego hasła.
Tylko co trzeci badany deklaruje późniejszą kontrolę historii kredytowej
Badanie zlecone przez ChronPESEL.pl i KRD pokazuje wyraźną różnicę pomiędzy pierwszą reakcją a dalszą obserwacją. 69 proc. respondentów deklaruje, że po kradzieży numeru zastrzegłoby PESEL, natomiast zaledwie 33 proc. później monitorowałoby numer i historię kredytową.
To właśnie monitorowanie historii kredytowej może pomóc zauważyć nietypowe zdarzenia, których nie widać na zwykłym rachunku bankowym. Osoba poszkodowana po wycieku powinna być wyczulona również na korespondencję dotyczącą nieznanych zobowiązań czy zapytania, których sama nie inicjowała.
Zastrzeżenie PESEL zdecydowanie zmniejsza ryzyko najważniejszych wyłudzeń finansowych objętych obowiązkiem weryfikacji. Nie oznacza jednak, że można po jego aktywowaniu ignorować wszystkie kolejne sygnały.
Cyberincydentów w ochronie zdrowia przybywa
Problem nie ogranicza się do jednego dużego ataku. Dane CSIRT Centrum e-Zdrowia pokazują, że w 2025 roku zarejestrowano 1441 incydentów bezpieczeństwa. W 2026 roku licznik wskazuje już 729 zarejestrowanych incydentów.
Rosnąca liczba zgłoszeń pokazuje, dlaczego dane medyczne trzeba traktować jako element szerszego ekosystemu bezpieczeństwa cyfrowego. Placówki przechowują nie tylko nazwiska czy numery PESEL, ale również informacje pozwalające stworzyć szczegółowy profil pacjenta.
Nie każdy incydent oznacza masowy wyciek, tak samo jak nie każde ujawnienie informacji zakończy się próbą oszustwa. Z perspektywy osoby, której dane znalazły się poza kontrolowanym systemem, rozsądne jest jednak przyjęcie, że mogą zostać wykorzystane także znacznie później.
mObywatel i zastrzeżenie PESEL to pierwszy krok
Usługa mObywatel zastrzeż PESEL pozwala szybko zmienić status numeru bez wizyty w urzędzie. Z punktu widzenia ochrony przed wyłudzeniem kredytu czy pożyczki jest to rozwiązanie o dużym znaczeniu, ponieważ instytucje objęte obowiązkiem weryfikacji muszą uwzględnić status znajdujący się w rejestrze.
Nie należy jednak mylić zastrzeżenia z anulowaniem numeru. PESEL pozostaje tym samym identyfikatorem i nadal służy do zwykłych spraw urzędowych czy kontaktu z ochroną zdrowia. Zmienia się natomiast możliwość wykorzystania go przy czynnościach objętych przepisami o rejestrze zastrzeżeń.
Dlatego po dużym wycieku najlepszą strategią nie jest wybór między zastrzeżeniem PESEL a monitorowaniem danych. Oba działania pełnią inną funkcję.
Co trzeba zapamiętać po wycieku danych
Zastrzeżenie numeru PESEL powinno być jednym z pierwszych działań po informacji o możliwości przejęcia danych osobowych. Chroni przed istotną częścią wyłudzeń, ale nie blokuje phishingu, prób przejęcia poczty, fałszywych telefonów ani każdego sposobu wykorzystania cudzej tożsamości.
Dlatego po aktywowaniu blokady potrzebna jest dalsza czujność: kontrola rachunków i historii kredytowej, zmiana powtarzających się haseł, uwierzytelnianie dwuskładnikowe oraz ostrożność wobec wiadomości wykorzystujących prawdziwe dane osobowe. Im więcej informacji dostało się w niepowołane ręce, tym łatwiej przygotować oszustwo, które na pierwszy rzut oka wygląda jak autentyczny kontakt z bankiem, przychodnią lub inną instytucją.
