Wyciek danych: co zrobić od razu i jak ograniczyć ryzyko oszustwa

Prawdopodobnie Twoje dane już gdzieś wyciekły. Nie dlatego, że zrobiłeś coś źle. Po prostu zostawiamy je w dziesiątkach miejsc: w sklepach internetowych, w przychodni czy choćby zamawiając jedzenie. Na to, jak są przechowywane, zabezpieczone i kto ma do nich dostęp, nie mamy wpływu. Podobnie jak na to, kto takie dane może chcieć wykraść i wykorzystać. To zła wiadomość. Sam wyciek danych nie jest jeszcze bezpośrednim niebezpieczeństwem. Zagrożeniem dla nas jest to, co dzieje się potem. Ktoś może użyć naszych danych i wykorzystać je do zaciągnięcia chwilówek albo przeprowadzenia bardzo wiarygodnych scenariuszy phishingu (powołując się na prawdziwe informacje). Największe niebezpieczeństwa czyhają nie w dniu wycieku, tylko długo po nim. Na to akurat masz wpływ. Ten tekst nie wyjaśnia, jak nie dopuścić do wycieku. Pokazuje co zrobić, gdy już do niego dojdzie, aby rozpoznać i zminimalizować zagrożenia.

Jeśli właśnie dowiedziałeś się o wycieku, np. zostałeś powiadomiony mailowo lub przeczytałeś o tym w mediach i masz pięć minut, przeczytaj punkt 1 i wróć tu później. Jeśli czytasz na spokojnie, zapoznaj się z całością.

Co zrobić w pierwszej kolejności?

1. Zastrzeż numer PESEL. W aplikacji mObywatel: usługa „Zastrzeż PESEL”. Bez aplikacji: strona gov.pl albo dowolny urząd gminy. Jest to bezpłatne i odwracalne. To pojedyncze działanie, które najmocniej ogranicza najgorszy scenariusz — kredyt wzięty na Twoje dane.

2. Zmień hasło do skrzynki e-mail. Nie do sklepu, nie do portalu społecznościowego. Poczta jest kluczem do wszystkich pozostałych kont, bo przez nią odzyskuje się dostęp do reszty serwisów. To samo zrób z serwisami, do których masz to samo hasło.

3. Włącz drugi składnik logowania (2FA) na poczcie i social mediach. Aplikacja uwierzytelniająca jest zwykle bezpieczniejsza niż SMS, lecz nie każdy serwis ją oferuje.

4. Zadzwoń do banku, jeśli podejrzewasz, że wyciekły dane finansowe. Numer weź z oficjalnej strony – nigdy z SMS-a czy maila.

5. Przez najbliższe tygodnie traktuj każdy telefon, SMS i mail powołujący się na wyciek jako próbę oszustwa, dopóki sam nie potwierdzisz nadawcy niezależnym kanałem.

Jak sprawdzić, czy moje dane wyciekły?

W internecie możesz znaleźć serwisy, które gromadzą dane z wyciekami. Takim przykładem może być Have I Been Pwned. Działa jak wyszukiwarka, gdzie po wprowadzeniu adresu e-mail pokaże nam listę serwisów z odnotowanymi wyciekami.

Ten i podobne serwisy gromadzą one olbrzymie, światowe bazy danych, ale mają jedną zasadniczą wadę – często zupełnie pomijają mniejsze, lokalne incydenty, które uderzają bezpośrednio w polskich użytkowników.

Właśnie dlatego stworzyliśmy dedykowaną, usługę Hasło Alert. To narzędzie stworzone z myślą o monitorowaniu internetu pod kątem stron i serwisów, z których najchętniej korzystają Polacy. Jest dostępna również w aplikacji Mój Orange. Znajdziesz ją w zakładce „Centrum Bezpieczeństwa”.

Dołącz do bezpłatnej usługi Hasło Alert

Co wycieka i dlaczego jest to groźne?

Skala ryzyka zależy od tego, jakie dane wyciekły. Pamiętaj, że każda sytuacja jest inna.

1 .Gdy wyciekł adres e-mail lub numer telefonu:

Co może zrobić oszust: wyśle Ci wiadomość, która wygląda bardzo wiarygodnie. Może wiedzieć również, z jakiego sklepu, przychodni albo usługi pochodzi zbiór danych.
Dostajesz e-mail „w sprawie zamówienia z [nazwa sklepu, w którym faktycznie kupowałeś]”, a kolejnym krokiem może być np. prośba o dopłatę do przesyłki i próba wyłudzenia pieniędzy.

Co zrobić: nie klikaj w linki z wiadomości, tylko wejdź na stronę, wpisując adres w przeglądarce, albo zadzwoń na infolinię, aby wyjaśnić sprawę.

2. Gdy wyciekły login i hasło:

Co może zrobić oszust: spróbuje tego samego zestawu w innych serwisach. Takie działanie nazywane jest credential stuffing. Jest skuteczne dlatego, że większość ludzi używa jednego hasła w wielu miejscach. Jeśli hasło pasuje do Twojej poczty, przestępca może przejąć dostęp do innych kont resetując w nich hasła.

Co zrobić: zmień to hasło wszędzie tam, gdzie go używałeś. Skorzystaj z darmowego generatora Orange Bezpieczne Hasła.

3. Gdy wyciekły PESEL, imię, nazwisko, dane z dowodu:

Co może zrobić oszust: tutaj zagrożenie jest już poważne i w grę wchodzi kradzież tożsamości. Oszust podszyje się pod Ciebie, aby wziąć pożyczkę, podpisać umowę, czy nawet założyć konto w banku. O tym możesz się niestety dowiedzieć z wezwania do zaległej zapłaty.

Co zrobić: zastrzeż PESEL. Od 1 czerwca 2024 r. banki, instytucje kredytowe, notariusze i operatorzy telekomunikacyjni mają obowiązek sprawdzić rejestr zastrzeżeń, zanim zawrą jakąkolwiek umowę. Jeśli mimo zastrzeżenia ktoś udzieli pożyczki na Twoje dane, instytucja nie może dochodzić od Ciebie spłaty. Dotyczy to przypadków objętych ustawą.

4. Gdy wyciekły dane wrażliwe – zdrowotne i finansowe:

To najtrudniejsza kategoria, bo takich danych nie da się „zmienić jak hasła”. Informacji o Twoich chorobach, lekach czy wizytach nie „zresetujesz”.

Na wstępie: ryzyko szantażu jest relatywnie niskie. Oszuści wolą utarte ścieżki i powtarzalne schematy. Przykładowe scenariusze to wiadomość o dopłacie do recepty, prośba o wystawienie opinii lub konieczność aktualizacji danych.

Co zrobić: Historię swoich recept i wizyt sprawdzisz sam, logując się na pacjent.gov.pl (Internetowe Konto Pacjenta) — tam też możesz sprawdzić historię dostępu do dokumentacji. Przy wiadomościach o jakichkolwiek dopłatach lub prośbach o podanie danych, zastosuj ostrożność i uważnie zweryfikuj nadawcę i adres strony. Pełny poradnik o oszustwach za pośrednictwem SMS znajdziesz tutaj.

Jak mogę się przygotować na wyciek danych?

Krok 1: Twoja poczta i usługi.

W każdym serwisie, z którego korzystasz używaj silnego hasła oraz, co najważniejsze włącz dwuetapowe uwierzytelnienie. Oferuje je już naprawdę bardzo dużo serwisów i usług. Przestępca nawet mając Twoje hasło, nadal nie będzie mógł się zalogować na Twoje konto, ani zresetować hasła.

Sprawdź reguły przekierowania oraz pomocnicze adresy e-mail do odzyskiwania konta. Warto je znać, gdy przyjdzie potrzeba, aby z nich skorzystać.

Krok 2: Zastrzeż PESEL na stałe. Koniec.

Krok 3: Rozważ osobny adres e-mail do spraw finansowych i urzędowych, a osobny do sklepów, newsletterów i innych usług.

Krok 4: W formularzach czy ankietach podawaj wyłącznie niezbędne dane.

Czego tak naprawdę się spodziewać

Telefonów „z banku”, gdy fałszywy konsultant zna twoje imię, nazwisko, adres e-mail, numer PESEL i nakłoni Cię do przelania pieniędzy, podania kolejnych danych albo instalacji aplikacji na smartfonie.
Telefonów z „urzędu” – ze scenariuszem jak powyżej. Instytucje państwowe nie weryfikują Twoich danych przez telefon.
Wiadomości e-mail lub SMS z prośbą o dopłatę lub uregulowanie zaległej opłaty.
To oznacza, że nie trzeba panikować, ale też nie należy ignorować informacji o wycieku danych. Dodatkowo zabezpiecz swoją pocztę i inne usługi zgodnie z poradami i niestety… czekaj na telefon „z banku”.

Zgłoś podejrzaną wiadomość! SMS możesz przekierować na numer 508700900 lub skorzystać z formularza na naszej stronie. W ten sposób chronisz nie tylko siebie, ale również innych użytkowników internetu.