Wyciek danych w Polsce. Dane blisko 19 mln osób zagrożone. Gdzie sprawdzić, czy moje dane wyciekły i co zrobić?

Polska mierzy się z jednym z najpoważniejszych incydentów związanych z bezpieczeństwem danych osobowych. Cyberatak na firmę MyDr doprowadził do kradzieży ogromnej bazy danych. Według informacji przekazanych przez Ministerstwo Cyfryzacji incydent może dotyczyć blisko 19 mln osób. W bazie miały znajdować się między innymi numery PESEL oraz informacje związane z leczeniem, wizytami lekarskimi i receptami. To oznacza, że skala sprawy jest wyjątkowa. Nie chodzi bowiem wyłącznie o adres e-mail czy numer telefonu. W przypadku danych medycznych mamy do czynienia z informacjami szczególnie wrażliwymi. Wiele osób szuka teraz odpowiedzi na dwa podstawowe pytania: „gdzie sprawdzić, czy moje dane wyciekły?” oraz „co zrobić, jeśli moje dane rzeczywiście znalazły się w skradzionej bazie?”. Poniżej wyjaśniamy, co wiadomo o sprawie, jak sprawdzić swoje dane, czego nie robić i jak zabezpieczyć się przed konsekwencjami wycieku.

Co się stało? Wyciek danych może dotyczyć 19 mln Polaków

Źródłem problemu jest firma MyDr, dostawca systemów informatycznych wykorzystywanych przez placówki ochrony zdrowia. Firma obsługuje systemy związane między innymi z elektroniczną dokumentacją medyczną. Z usług tego typu systemów korzystają tysiące placówek medycznych.

 

Pierwsze informacje o ataku pojawiły się 10 sierpnia 2026 roku. Osoby podające się za sprawców twierdziły, że uzyskały dostęp do ogromnej bazy danych. Według przedstawionych przez nich informacji chodziło o ponad 18,8 mln unikalnych numerów PESEL.

 

Sprawcy przekazali również próbkę danych. Znalazły się w niej między innymi imię i nazwisko, data urodzenia, numer PESEL, numery telefonów oraz informacje dotyczące recept. Część informacji można było zweryfikować na podstawie innych źródeł.

 

Początkowo nie było jednak jasne, czy deklarowana przez cyberprzestępców skala jest prawdziwa. Minister cyfryzacji Krzysztof Gawkowski informował, że na tym etapie nie można jeszcze ostatecznie potwierdzić wszystkich szczegółów.

 

12 sierpnia sytuacja stała się znacznie poważniejsza. Minister potwierdził, że doszło do wycieku danych sięgającego blisko 19 mln obywateli. Według przekazanych informacji skradziona baza ma ponad 2 TB danych. To właśnie dlatego obecny wyciek danych w Polsce jest określany jako jeden z największych tego typu incydentów w historii kraju.

Jakie dane mogły wyciec?

Nie należy zakładać, że każda osoba znajdująca się w bazie ma dokładnie ten sam zestaw informacji. Zakres danych jest obecnie ustalany. Wśród informacji, które według dotychczasowych ustaleń mogły znaleźć się w skradzionych zbiorach, są między innymi:

• imię i nazwisko,

• numer PESEL,

• data urodzenia,

• numery telefonów,

• informacje o wizytach lekarskich,

• informacje o receptach,

• informacje o lekach,

• dane związane z dokumentacją medyczną.

Minister cyfryzacji wskazywał na informacje dotyczące recept, umawianych wizyt, zapisywanych leków oraz dokumentów przedstawianych lekarzowi. Trzeba podkreślić jedną rzecz: wyciek danych medycznych jest szczególnie poważny. Informacja o numerze telefonu może być wykorzystana do phishingu. Numer PESEL może być wykorzystany przy próbie kradzieży tożsamości. Informacje medyczne mogą natomiast posłużyć do stworzenia bardzo wiarygodnego oszustwa. Przestępca, który wie, z jakim problemem zdrowotnym zmaga się dana osoba, jakie leki przyjmuje albo w jakiej placówce się leczy, może przygotować wiadomość znacznie bardziej przekonującą niż zwykły spam.

Gdzie sprawdzić, czy moje dane wyciekły?

To obecnie jedno z najważniejszych pytań. Odpowiedź jest jednak nieco bardziej skomplikowana, niż mogłoby się wydawać.

Rządowy serwis Bezpieczne Dane został uruchomiony właśnie po to, aby można było sprawdzać, czy określone dane znalazły się w znanych bazach wycieków. Można tam sprawdzać między innymi numer telefonu, adres e-mail, login oraz PESEL.

 

Problem polega na tym, że w chwili publikacji tego materiału baza dotycząca najnowszego ataku na MyDr nie została jeszcze udostępniona w serwisie. Na stronie Bezpiecznych Danych znajduje się obecnie komunikat, że dane z wycieku MyDr nie trafiły jeszcze do bazy. Mają zostać udostępnione po przekazaniu ich przez podmioty dotknięte cyberatakiem.

 

Dlatego odpowiedź na pytanie „gdzie sprawdzić, czy moje dane wyciekły?” brzmi obecnie: przede wszystkim należy monitorować oficjalny serwis Bezpieczne Dane i nie korzystać z przypadkowych stron oferujących sprawdzenie skradzionej bazy.

To bardzo ważne, ponieważ...

Nie szukaj skradzionej bazy w internecie

W internecie mogą pojawiać się informacje o rzekomych bazach zawierających dane 19 mln Polaków. Mogą to być fora, komunikatory, serwisy z plikami czy strony prowadzone przez osoby podające się za hakerów.

 

Nie należy pobierać takich plików ani wpisywać na takich stronach swojego numeru PESEL, telefonu czy adresu e-mail. Powód jest prosty. Osoba szukająca informacji o wycieku może sama stać się celem oszustwa. Cyberprzestępcy mogą stworzyć stronę wyglądającą jak serwis rządowy i zaoferować „sprawdzenie, czy jesteś na liście”. W rzeczywistości formularz może służyć do zebrania kolejnych danych.

 

Dlatego pytanie „gdzie sprawdzić, czy moje dane wyciekły?” warto ograniczyć do zaufanych źródeł. Najważniejszym miejscem dla tego konkretnego incydentu jest rządowy serwis Bezpieczne Dane.

 

Przeczytaj również: Nowa fala oszustw podatkowych. Cyberprzestępcy podszywają się pod urząd skarbowy

A co z Have I Been Pwned?

Warto sprawdzić również swój adres e-mail w serwisie "Have I Been Pwned".

 

Jest to popularna baza znanych wycieków. Pozwala sprawdzić, czy konkretny adres e-mail pojawił się w jednym ze znanych incydentów.

 

Trzeba jednak uważać na jedną rzecz.

 

Brak wyniku w Have I Been Pwned nie oznacza, że dane nie wyciekły w sprawie MyDr. Serwis ten służy przede wszystkim do sprawdzania adresów e-mail w znanych bazach. Nie jest narzędziem do potwierdzenia, czy numer PESEL znalazł się w aktualnie omawianym wycieku MyDr.

 

Dlatego osoba, która zastanawia się, gdzie sprawdzić, czy moje dane wyciekły, powinna wykorzystać kilka źródeł, ale przede wszystkim korzystać z narzędzi przeznaczonych do konkretnego incydentu.

Co zrobić teraz? Najważniejszy jest PESEL

Jeżeli istnieje ryzyko, że nasze dane znalazły się w wycieku, jednym z najważniejszych działań jest zastrzeżenie numeru PESEL. Można to zrobić bezpłatnie w aplikacji mObywatel, przez serwis internetowy mObywatel albo w urzędzie gminy.

 

Zastrzeżenie działa w czasie rzeczywistym. Można je również później cofnąć, jeśli potrzebujemy wykonać czynność wymagającą aktywnego numeru PESEL.

 

Nie trzeba czekać na potwierdzenie, że nasze dane rzeczywiście znalazły się w bazie. Jeżeli ktoś ma uzasadnione obawy związane z wyciekiem, zastrzeżenie PESEL jest rozsądnym działaniem prewencyjnym.

Czy zastrzeżony PESEL przeszkadza w normalnym życiu?

Nie.

 

Zastrzeżony PESEL nadal można normalnie wykorzystywać w wielu codziennych sytuacjach. Nie blokuje on między innymi wizyty u lekarza, wykupienia recepty, spraw urzędowych, podróży czy korzystania z profilu zaufanego.

 

Zastrzeżenie może natomiast wymagać cofnięcia przed niektórymi czynnościami finansowymi. Dotyczy to między innymi zaciągnięcia kredytu lub pożyczki, zakupu na raty, niektórych czynności notarialnych czy uzyskania duplikatu karty SIM.

 

W praktyce oznacza to, że można pozostawić PESEL zastrzeżony na co dzień, a przed konkretną czynnością czasowo cofnąć zastrzeżenie.

Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzania rejestru zastrzeżeń numerów PESEL. Jeżeli mimo aktywnego zastrzeżenia dojdzie do udzielenia określonego zobowiązania, przepisy chronią osobę, której tożsamość została wykorzystana.

Czy trzeba wymieniać dowód osobisty?

Nie należy automatycznie wymieniać dowodu tylko dlatego, że doszło do wycieku danych. Sama znajomość numeru PESEL, imienia, nazwiska czy daty urodzenia nie oznacza automatycznie konieczności wymiany dokumentu.

 

Inaczej wygląda sytuacja, gdy doszło do utraty lub kradzieży fizycznego dowodu albo istnieją informacje, że dane dokumentu zostały wykorzystane w sposób stwarzający konkretne zagrożenie. Wtedy trzeba reagować zgodnie z procedurami dotyczącymi utraty dokumentu.

 

Od 2026 roku w mObywatelu można również korzystać z funkcji zastrzegania dokumentów, co daje dodatkową możliwość ochrony w przypadku utraty dokumentu.

Co z bankiem?

Samo pojawienie się numeru PESEL w wycieku nie oznacza, że trzeba natychmiast zamykać konto bankowe. Znacznie ważniejsze jest zabezpieczenie dostępu do bankowości elektronicznej.

 

Warto sprawdzić:

• czy hasło do banku jest unikalne,
• czy działa uwierzytelnianie wieloskładnikowe,
• czy dane kontaktowe w banku są prawidłowe,
• czy nie pojawiły się podejrzane operacje,
• czy nie ma nieznanych odbiorców lub zmian ustawień bezpieczeństwa.

Warto także zwrócić uwagę na wiadomości SMS i e-maile.

 

Przestępcy mogą próbować wykorzystać wyciek do stworzenia wiadomości, która będzie wyglądała jak komunikat banku, przychodni, NFZ, firmy ubezpieczeniowej albo Ministerstwa Cyfryzacji.

Największym zagrożeniem może być phishing

Wyciek danych nie musi oznaczać, że ktoś od razu spróbuje wziąć kredyt. W wielu przypadkach znacznie bardziej prawdopodobny jest phishing.

 

Przykład może wyglądać tak:

 

„W związku z incydentem bezpieczeństwa Twoje dane medyczne wymagają potwierdzenia. Kliknij tutaj”.

 

Albo:

 

„Twoja recepta została zablokowana. Zaloguj się, aby ją odblokować”.

 

Albo:

 

„Wykryto próbę wykorzystania Twojego numeru PESEL. Potwierdź tożsamość”.

 

Tego typu wiadomość może być szczególnie skuteczna, jeżeli przestępca rzeczywiście posiada informacje dotyczące leczenia konkretnej osoby.

 

Dlatego po takim wycieku trzeba zachować szczególną ostrożność wobec SMS-ów, e-maili i telefonów. Nie należy klikać w linki z wiadomości tylko dlatego, że nadawca zna nasze imię, nazwisko albo informacje dotyczące wizyty u lekarza.

Czy zmienić hasła?

Tak, ale trzeba zrobić to rozsądnie.

 

Jeżeli hasło wykorzystywane w jakimś serwisie zostało ujawnione, należy je zmienić. Jeżeli tego samego hasła używaliśmy również w innych miejscach, należy zmienić je wszędzie. To jedna z najważniejszych zasad bezpieczeństwa. Nie powinno się używać tego samego hasła do poczty, banku, Facebooka, Allegro, sklepu internetowego i innych usług.

 

Najlepiej korzystać z menedżera haseł i stosować unikalne, długie hasła dla każdego ważnego konta. W przypadku poczty elektronicznej warto również włączyć uwierzytelnianie dwuskładnikowe. Konto e-mail jest szczególnie ważne, ponieważ przejęcie skrzynki może pozwolić przestępcy na resetowanie haseł do innych usług.

 

Zobacz też: Cyberprzestępca okradający graczy wpadł przez zamówienia jedzenia

Co może zrobić osoba, której dane znalazły się w wycieku?

Pierwszym krokiem powinno być zastrzeżenie PESEL.

 

Drugim jest sprawdzenie informacji w oficjalnych źródłach.

 

Trzecim jest zwiększenie czujności wobec wiadomości i telefonów.

 

Jeżeli używane były powtarzające się hasła, należy je zmienić.

 

Jeżeli pojawią się podejrzane operacje finansowe, wiadomości o nieznanych kredytach lub inne sygnały kradzieży tożsamości, trzeba działać natychmiast i kontaktować się z odpowiednią instytucją.

 

Nie należy czekać, aż sytuacja sama się wyjaśni.

 

Kto odpowiada za wyciek danych?

To pytanie będzie jednym z najważniejszych w całej sprawie.

 

Na tym etapie nie można uczciwie powiedzieć, że odpowiedzialność ponosi konkretna osoba albo konkretny podmiot. Sam fakt, że doszło do cyberataku, nie oznacza automatycznie, że firma jest winna przestępstwa.

 

Trzeba rozdzielić dwie kwestie.

 

Pierwszą jest odpowiedzialność sprawców cyberataku. Jeżeli doszło do włamania i kradzieży danych, za przestępstwo odpowiadają osoby, które przeprowadziły atak.

 

Drugą jest odpowiedzialność administratorów danych i podmiotów przetwarzających dane. Tutaj trzeba ustalić, jakie zabezpieczenia stosowano, kto miał dostęp do danych, czy procedury bezpieczeństwa były odpowiednie i czy wszystkie obowiązki wynikające z RODO zostały wykonane.

 

W sprawie MyDr ważną rolę będzie miał Urząd Ochrony Danych Osobowych. UODO przypomniał, że administratorzy korzystający z usług MyDr powinni analizować, czy doszło do naruszenia danych ich pacjentów. To właśnie administrator danych ma obowiązek odpowiednio reagować na naruszenie i jeżeli wystąpi wysokie ryzyko dla osób poinformować osoby, których dane dotyczą. Ostateczna odpowiedzialność może więc zależeć od wyników postępowania i ustaleń dotyczących bezpieczeństwa systemów.

Czy firma musi poinformować osoby, których dane wyciekły?

Jeżeli konkretny administrator stwierdzi naruszenie, które może powodować wysokie ryzyko dla praw i wolności osób, przepisy RODO przewidują obowiązek poinformowania osób, których dane dotyczą. W przypadku systemów medycznych sprawa jest szczególnie istotna, ponieważ dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych.

 

UODO już teraz zwraca uwagę na obowiązki administratorów korzystających z systemów MyDr. Dlatego osoby korzystające z usług placówek medycznych powinny zwracać uwagę na oficjalne komunikaty swojej przychodni, szpitala lub innego podmiotu medycznego.

Co zrobić, jeśli dostanę wiadomość od przychodni?

Nie należy automatycznie zakładać, że każda wiadomość jest fałszywa. Jednocześnie nie można również zakładać, że wiadomość jest prawdziwa tylko dlatego, że zawiera prawidłowe dane osobowe.

 

Najbezpieczniej samodzielnie skontaktować się z placówką. Numer telefonu należy znaleźć na jej oficjalnej stronie internetowej, a nie korzystać z numeru podanego w podejrzanej wiadomości. Tak samo należy postępować z bankiem, firmą ubezpieczeniową czy inną instytucją. Jeżeli SMS zawiera link, lepiej nie otwierać go bezpośrednio. Oficjalną stronę instytucji można otworzyć samodzielnie w przeglądarce.

Czy można sprawdzić PESEL w internecie?

Tak, ale należy korzystać wyłącznie z oficjalnych usług.

 

Do sprawdzenia, czy nasz PESEL jest zastrzeżony, służy między innymi usługa mObywatel. Można tam również sprawdzić historię zastrzeżeń i informacje dotyczące weryfikacji statusu numeru. Nie należy natomiast wpisywać numeru PESEL do przypadkowych formularzy reklamujących się jako „sprawdzanie wycieku 19 mln Polaków”. W przypadku tak dużego incydentu zainteresowanie oszustów może być bardzo duże.

Dlaczego nie należy panikować?

Skala wycieku jest ogromna, ale nie oznacza to, że każdy z 19 mln potencjalnie poszkodowanych osób natychmiast padnie ofiarą oszustwa.

 

Samo posiadanie danych przez przestępcę nie oznacza jeszcze ich wykorzystania. Ryzyko jest jednak realne i dlatego trzeba ograniczyć możliwe skutki. Najważniejsze zabezpieczenie to zastrzeżenie PESEL. Kolejne to dobre zabezpieczenie kont, unikalne hasła, uwierzytelnianie wieloskładnikowe i ostrożność wobec wiadomości. Warto również pamiętać, że skutki wycieku mogą pojawić się nie po kilku godzinach, lecz po wielu tygodniach lub miesiącach.

Jak działać w przyszłości?

Wyciek danych z MyDr jest kolejnym przypomnieniem, że danych osobowych nie da się traktować jak zwykłego loginu. Numer PESEL nie jest hasłem. Nie można go po prostu zmienić po wycieku.

 

Dlatego najważniejsza jest prewencja.

 

Dobrym rozwiązaniem jest pozostawienie numeru PESEL w stanie zastrzeżonym, jeżeli nie ma potrzeby wykonywania czynności wymagającej jego czasowego odblokowania. Usługa jest bezpłatna i dostępna w mObywatelu. Warto też regularnie kontrolować swoje konta finansowe. Dobrze jest korzystać z powiadomień o transakcjach.

 

Hasła powinny być różne dla różnych serwisów. Najważniejsze konta powinny być chronione dodatkowym uwierzytelnieniem. Nie należy również podawać danych osobowych przez telefon tylko dlatego, że rozmówca zna część informacji na nasz temat.

 

Właśnie tutaj wyciek danych może dać oszustom przewagę. Znając imię, nazwisko, PESEL, numer telefonu i informacje medyczne, mogą oni próbować stworzyć bardzo wiarygodną historię.

Gdzie sprawdzić, czy moje dane wyciekły? Najkrótsza odpowiedź

Jeżeli ktoś trafił na ten artykuł właśnie z takim pytaniem, najważniejsze informacje są następujące.

 

Po pierwsze, należy sprawdzać oficjalny serwis Bezpieczne Dane. To właśnie tam ma zostać udostępniona możliwość sprawdzenia danych związanych z incydentem MyDr. W momencie publikacji dane z tego konkretnego wycieku nie były jeszcze dostępne w bazie.

 

Po drugie, można sprawdzić swój adres e-mail w Have I Been Pwned. Trzeba jednak pamiętać, że wynik tego sprawdzenia nie potwierdza ani nie wyklucza obecności numeru PESEL w bazie MyDr.

 

Po trzecie, warto od razu zastrzec PESEL w mObywatelu. Nie trzeba czekać na potwierdzenie, że dane konkretnej osoby znalazły się w skradzionej bazie.

 

Po czwarte, trzeba zachować szczególną ostrożność wobec SMS-ów, e-maili i telefonów dotyczących zdrowia, recept, banków, PESEL-u i rzekomego potwierdzania tożsamości.

 

Wyciek danych w Polsce. To nie jest problem tylko jednego dnia

Największym błędem byłoby potraktowanie całej sprawy jako wydarzenia, które zakończy się wraz z publikacją listy osób poszkodowanych.

 

Wyciek danych może mieć długofalowe konsekwencje.

 

Skradzione informacje mogą zostać wykorzystane do oszustw, phishingu, kradzieży tożsamości albo tworzenia kolejnych baz danych. Szczególnie niebezpieczne jest połączenie danych identyfikacyjnych z informacjami dotyczącymi zdrowia.

 

Dlatego pytanie „gdzie sprawdzić, czy moje dane wyciekły?” jest ważne, ale nie powinno być jedynym pytaniem.

 

Równie ważne jest pytanie: „co zrobię, jeśli moje dane rzeczywiście wyciekły?”.

 

W przypadku obecnego incydentu odpowiedź jest jasna: zastrzec PESEL, zabezpieczyć konta, uważać na phishing i korzystać wyłącznie z oficjalnych źródeł informacji.

 

Na ostateczną ocenę odpowiedzialności za wyciek trzeba natomiast poczekać do zakończenia postępowań i ustalenia, w jaki sposób doszło do naruszenia bezpieczeństwa, kto miał dostęp do danych oraz czy wszystkie wymagane zabezpieczenia i procedury były stosowane prawidłowo.

 

Na dziś jedno jest pewne: wyciek danych w Polsce dotyczący nawet 19 mln osób jest wydarzeniem, którego skutki mogą być odczuwalne długo po samym cyberataku. Dlatego każdy, kto może być potencjalnie zagrożony, powinien już teraz zadbać o podstawowe zabezpieczenia, zamiast czekać na pierwszą próbę wykorzystania jego danych.

 

Przeczytaj także: Gdy technologia zawiodła. Tak 100 szpitali poradziło sobie z cyberatakiem

 

FAQ. Wyciek danych w Polsce – najczęściej zadawane pytania

Czy doszło do wycieku danych 19 mln Polaków?

Tak. Minister cyfryzacji Krzysztof Gawkowski potwierdził, że doszło do wycieku danych sięgającego blisko 19 mln osób. Według informacji przekazanych przez Ministerstwo Cyfryzacji skradziona baza ma ponad 2 TB danych. Jednocześnie nie oznacza to, że w przypadku każdej osoby wyciekł dokładnie taki sam zestaw informacji.

Czego dotyczy wyciek danych w Polsce?

Chodzi o dane przechowywane w systemach firmy MyDr, która dostarcza oprogramowanie wykorzystywane przez placówki medyczne.

Wśród informacji, które mogły zostać przejęte, znajdują się między innymi dane identyfikacyjne, numery PESEL oraz informacje dotyczące wizyt, recept i leków. Dokładny zakres danych może być różny dla poszczególnych osób.

Czy wyciekły moje dane medyczne?

Nie można obecnie automatycznie założyć, że każdej osobie wyciekła pełna dokumentacja medyczna. Skala incydentu jest bardzo duża, ale zakres informacji przypisanych do poszczególnych osób może być różny.

 

Według najnowszych informacji przejęte dane mogą obejmować informacje dotyczące leków, recept i wizyt. Nadal trwa ustalanie pełnego zakresu danych, które zostały skopiowane.

Gdzie sprawdzić, czy moje dane wyciekły?

Do sprawdzania danych służy rządowy serwis Bezpieczne Dane. Można tam zweryfikować między innymi numer PESEL, numer telefonu, adres e-mail oraz login.

 

W przypadku obecnego wycieku trzeba jednak zwrócić uwagę na ważne zastrzeżenie. Na dzień 13 sierpnia 2026 roku serwis informuje, że dane z wycieku MyDr nie zostały jeszcze dodane do bazy. Mają zostać udostępnione po ich przekazaniu przez podmioty dotknięte cyberatakiem.

 

Dlatego jeżeli ktoś dzisiaj szuka odpowiedzi na pytanie „gdzie sprawdzić, czy moje dane wyciekły?”, powinien korzystać właśnie z oficjalnego serwisu i sprawdzać pojawiające się tam komunikaty.

Czy mogę już sprawdzić swój PESEL w związku z wyciekiem MyDr?

Można sprawdzić PESEL w serwisie Bezpieczne Dane, ale baza dotycząca obecnego incydentu MyDr nie została jeszcze zasilona. Oznacza to, że brak informacji o wycieku nie może być obecnie traktowany jako potwierdzenie, że dana osoba nie znalazła się w skradzionej bazie.

 

To bardzo ważne, ponieważ część osób może zobaczyć komunikat o braku danych i uznać, że problem ich nie dotyczy. W przypadku MyDr takie założenie byłoby przedwczesne.

Czy sprawdzenie danych w Have I Been Pwned wystarczy?

Nie. Have I Been Pwned może być przydatnym dodatkowym narzędziem do sprawdzania adresu e-mail w znanych bazach wycieków, ale nie jest narzędziem przeznaczonym do potwierdzenia, czy PESEL znalazł się w bazie skradzionej z MyDr.

 

Dlatego brak wyniku w tym serwisie nie oznacza, że dana osoba nie została objęta obecnym wyciekiem danych w Polsce.

Czy powinienem zastrzec PESEL, jeśli nie wiem, czy moje dane wyciekły?

Tak. To jedno z najważniejszych działań, które można podjąć już teraz.

 

Zastrzeżenie numeru PESEL jest bezpłatne. Można zrobić to w aplikacji mObywatel lub za pośrednictwem odpowiednich usług państwowych. Minister cyfryzacji zaleca zastrzeżenie PESEL w związku z obecnym incydentem.

 

Nie trzeba czekać na potwierdzenie, że konkretny PESEL znalazł się w bazie.

Czy zastrzeżenie PESEL naprawdę chroni przed kredytem na moje dane?

Zastrzeżenie PESEL jest jednym z najważniejszych zabezpieczeń przed wykorzystaniem numeru PESEL do określonych czynności finansowych.

 

Instytucje objęte obowiązkiem weryfikacji powinny sprawdzać status numeru PESEL przed wykonaniem określonych czynności. Dzięki temu zastrzeżenie znacząco ogranicza ryzyko wykorzystania danych do zaciągnięcia zobowiązania na cudzą osobę.

 

Nie oznacza to jednak, że zastrzeżenie PESEL chroni przed każdym rodzajem oszustwa. Nadal trzeba uważać na phishing, próby przejęcia kont, wyłudzanie danych czy oszustwa telefoniczne.

Czy po zastrzeżeniu PESEL mogę normalnie korzystać z konta bankowego?

Tak. Samo zastrzeżenie PESEL nie oznacza blokady konta bankowego ani ograniczenia codziennego korzystania z pieniędzy.

 

Warto jednak sprawdzić historię rachunku i włączyć powiadomienia o operacjach, jeżeli bank oferuje taką funkcję.

Czy muszę wymienić dowód osobisty po wycieku PESEL?

Nie. Sam wyciek numeru PESEL nie oznacza automatycznie konieczności wymiany dowodu osobistego.

 

Zastrzeżenie PESEL jest podstawowym działaniem ochronnym. Wymiana dokumentu może być potrzebna w innych sytuacjach, na przykład gdy dokument został skradziony albo utracony.

Czy wyciek danych MyDr oznacza, że ktoś może wejść na moje konto bankowe?

Nie. Sam wyciek danych medycznych i numeru PESEL nie daje automatycznie dostępu do bankowości elektronicznej.

 

Nie należy jednak bagatelizować zagrożenia. Przestępcy mogą wykorzystać prawdziwe dane osobowe do przygotowania wiarygodnego phishingu. Mogą próbować nakłonić ofiarę do podania hasła, kodu SMS, danych karty albo zatwierdzenia operacji w aplikacji bankowej.

Czy hakerzy mogą zadzwonić do mnie i znać moje dane medyczne?

Takiego scenariusza nie można wykluczyć. Jeżeli dane medyczne lub informacje o wizytach i receptach znalazły się w rękach przestępców, mogą one zostać wykorzystane do uwiarygodnienia oszustwa.

 

Przykładowo oszust może podać nazwę placówki, powiedzieć o konkretnej recepcie albo nawiązać do wizyty lekarskiej. Sama znajomość takich informacji nie oznacza jednak, że rozmówca jest pracownikiem przychodni.

 

Jeżeli ktoś dzwoni i prosi o podanie kodu SMS, hasła, danych karty lub wykonanie przelewu, należy przerwać rozmowę i samodzielnie skontaktować się z daną instytucją.

Czy powinienem uważać na SMS-y po wycieku danych?

Tak. To jedno z najbardziej realnych zagrożeń.

 

W najbliższym czasie mogą pojawić się wiadomości podszywające się pod bank, przychodnię, NFZ, Ministerstwo Cyfryzacji, operatora telefonu albo inne instytucje.

 

Szczególnie podejrzane powinny być wiadomości dotyczące rzekomego potwierdzenia tożsamości, zastrzeżenia PESEL, recepty, wizyty lekarskiej, zwrotu pieniędzy lub konieczności dopłaty.

Czy mogę kliknąć w link przesłany przez przychodnię?

Najbezpieczniej nie klikać bezpośrednio w link, jeżeli nie masz pewności, kto jest jego nadawcą.

 

Jeżeli wiadomość dotyczy wizyty lub recepty, można samodzielnie wejść na oficjalną stronę placówki albo zadzwonić do niej pod numer znaleziony na oficjalnej stronie.

 

To ważne szczególnie teraz, ponieważ prawdziwe dane pacjentów mogą ułatwić przestępcom przygotowanie bardzo przekonujących wiadomości.

Czy wyciek danych dotyczy tylko prywatnych przychodni?

Nie. Z informacji dotyczących incydentu wynika, że z oprogramowania MyDr korzystało około 12 tys. podmiotów. Dlatego problem nie ogranicza się wyłącznie do jednej grupy prywatnych placówek medycznych.

Czy wyciek danych dotyczy tylko osób, które obecnie korzystają z MyDr?

Nie można tego tak określić. Według najnowszych informacji chodzi o historyczne dane przechowywane w systemach MyDr, a zakres incydentu obejmuje dane sięgające do kwietnia 2024 roku.

 

Dlatego fakt, że ktoś od dawna nie korzysta z określonej przychodni, nie musi oznaczać, że nie znajduje się wśród potencjalnie poszkodowanych.

Czy wyciek danych obejmuje wszystkie osoby w Polsce?

Nie. Mowa o potencjalnie blisko 19 mln osób. Nie oznacza to, że dane każdego mieszkańca Polski zostały skradzione.

 

Trzeba też pamiętać, że liczba 18,8–19 mln odnosi się do skali zbioru lub liczby osób, których dane mogą być objęte incydentem. Nie oznacza to, że dla każdej z tych osób przejęto identyczny komplet informacji.

Czy wiadomo, kto włamał się do systemu MyDr?

Nie ma obecnie podstaw, aby wskazać konkretnych sprawców jako prawomocnie ustalonych.

 

Sprawą zajmują się służby. Ministerstwo Cyfryzacji poinformowało o działaniach prowadzonych między innymi z udziałem Prokuratury Krajowej i Centralnego Biura Zwalczania Cyberprzestępczości.

 

Nie należy więc utożsamiać informacji publikowanych przez osoby podające się za hakerów z ostatecznym ustaleniem sprawców.

Kto odpowiada za wyciek danych?

To będzie przedmiotem dalszych ustaleń.

 

Za sam cyberatak odpowiadają sprawcy włamania. Osobną kwestią jest odpowiedzialność administratorów danych oraz podmiotów przetwarzających dane.

 

UODO wskazuje, że administratorzy, którzy korzystali z usług MyDr, powinni ocenić naruszenie i wypełnić obowiązki wynikające z RODO.

 

Jeżeli zachodzi wysokie ryzyko dla osób, administrator powinien również odpowiednio poinformować osoby, których dane dotyczą.

 

Dopiero wyniki postępowań pozwolą odpowiedzieć, czy doszło również do zaniedbań po stronie podmiotów odpowiedzialnych za ochronę danych.

Czy przychodnia powinna poinformować mnie o wycieku?

Jeżeli dana placówka jest administratorem danych i incydent stwarza wymagane przez RODO ryzyko dla praw i wolności osoby, przepisy przewidują obowiązek poinformowania jej o naruszeniu.

 

UODO przypomina również o obowiązku zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

 

Dlatego warto obserwować komunikaty swojej przychodni lub innej placówki medycznej.

Czy mogę dostać odszkodowanie za wyciek danych?

Samo wystąpienie wycieku nie oznacza automatycznie, że każdej osobie przysługuje określona kwota odszkodowania.

 

Ewentualne roszczenia zależą między innymi od okoliczności konkretnego przypadku, charakteru naruszenia i poniesionej szkody lub innych przesłanek wynikających z przepisów o ochronie danych.

 

W przypadku tak dużego incydentu mogą pojawić się dalsze informacje dotyczące odpowiedzialności poszczególnych administratorów. Na tym etapie nie należy jednak obiecywać każdej osobie automatycznego odszkodowania.

Czy powinienem zgłosić wyciek na policję?

Nie ma potrzeby składania zawiadomienia wyłącznie dlatego, że pojawiła się informacja o potencjalnym wycieku.

 

Jeżeli jednak ktoś zauważy, że jego dane zostały wykorzystane do oszustwa, zaciągnięcia zobowiązania, założenia konta lub innego przestępstwa, powinien niezwłocznie zgłosić sprawę odpowiednim organom.

 

Warto zachować wtedy wszystkie dowody: SMS-y, e-maile, numery telefonów, potwierdzenia transakcji i informacje z banku.

Co zrobić, jeśli ktoś wykorzystał mój PESEL?

Przede wszystkim należy zastrzec PESEL, jeżeli nie jest już zastrzeżony.

 

Następnie trzeba ustalić, do czego dane zostały wykorzystane. W przypadku podejrzenia oszustwa finansowego należy skontaktować się z bankiem lub instytucją, której dotyczy sprawa, a następnie zgłosić przestępstwo.

 

Nie należy usuwać wiadomości ani innych dowodów.

Czy po wycieku powinienem zmienić numer telefonu?

Nie ma takiej potrzeby tylko dlatego, że numer telefonu mógł znaleźć się w bazie.

 

Zmiana numeru jest kosztowna i może być kłopotliwa. Zwykle lepszym rozwiązaniem jest zwiększenie ostrożności i zabezpieczenie kont.

 

Szczególną uwagę należy zwrócić na próby przejęcia numeru telefonu oraz wiadomości zawierające linki i prośby o podanie danych.

Czy po wycieku trzeba zmienić adres e-mail?

Nie. Sam wyciek adresu e-mail nie oznacza konieczności zakładania nowej skrzynki.

 

Ważniejsze jest stosowanie unikalnego hasła oraz dodatkowego uwierzytelniania. Jeżeli hasło do skrzynki było wykorzystywane także w innych serwisach, należy je zmienić również tam.

Czy warto sprawdzić swój e-mail w bazach wycieków?

Tak. Jest to dobre działanie dodatkowe.

 

Można sprawdzić adres e-mail w serwisie Have I Been Pwned oraz w rządowym serwisie Bezpieczne Dane. Trzeba jednak pamiętać, że różne bazy zawierają informacje o różnych incydentach.

 

Brak wyniku w jednej bazie nie oznacza, że dane nigdy nie wyciekły.

Czy dzieci również mogą być zagrożone?

Tak, jeżeli ich dane znajdowały się w systemach objętych incydentem.

 

W przypadku dzieci szczególnie ważne jest zabezpieczenie numeru PESEL i zachowanie dokumentacji dotyczącej ewentualnych naruszeń. Rodzic lub opiekun powinien również zwracać uwagę na nietypową korespondencję dotyczącą dziecka.

Czy wyciek danych medycznych jest szczególnie poważny?

Tak. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych i są objęte szczególną ochroną.

 

Ich ujawnienie może mieć inne konsekwencje niż wyciek zwykłego adresu e-mail. Informacje o chorobach, lekach czy wizytach mogą zostać wykorzystane nie tylko do oszustw finansowych, ale również do manipulacji i szantażu.

Czy dane z wycieku mogą pojawić się w internecie?

Jest to możliwe. Informacje skradzione podczas cyberataków mogą być później publikowane, sprzedawane lub wykorzystywane przez inne grupy przestępcze.

 

Nie oznacza to jednak, że należy samodzielnie szukać skradzionej bazy.

 

Pobieranie nieznanych plików i odwiedzanie podejrzanych stron może stworzyć dodatkowe zagrożenie.

Czy powinienem szukać swojego PESEL-u w Google?

Nie jest to wiarygodna metoda sprawdzania wycieku.

 

Brak wyniku w Google nie oznacza, że dane nie znalazły się w skradzionej bazie. Z kolei strony reklamujące „wyszukiwarkę 19 mln Polaków” mogą być próbą kolejnego wyłudzenia danych.

 

Do sprawdzania informacji o obecnym incydencie należy korzystać z oficjalnego serwisu Bezpieczne Dane.

Czy wyciek danych może mieć konsekwencje za kilka miesięcy?

Tak. To jeden z powodów, dla których nie należy traktować sprawy jako jednodniowej afery.

 

Dane osobowe nie tracą wartości po kilku dniach. Skradzione informacje mogą być przechowywane, łączone z innymi bazami i wykorzystywane później.

 

Dlatego po wycieku warto przez dłuższy czas zwracać uwagę na nieznane telefony, wiadomości, próby logowania, korespondencję finansową i informacje o zobowiązaniach, których sami nie zaciągaliśmy.

Co zrobić dzisiaj, jeśli boję się, że moje dane wyciekły?

Najważniejsze działania są proste.

 

Zastrzeż PESEL.

 

Sprawdzaj informacje w rządowym serwisie Bezpieczne Dane.

 

Nie pobieraj rzekomych baz danych z internetu.

 

Nie wpisuj PESEL-u ani innych danych na przypadkowych stronach oferujących sprawdzenie wycieku.

 

Zachowaj ostrożność wobec telefonów, SMS-ów i e-maili.

 

Sprawdź zabezpieczenia najważniejszych kont.

 

Jeżeli używasz tych samych haseł w wielu miejscach, zmień je na unikalne.

 

Włącz uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.

 

Jeżeli pojawi się informacja o nieznanym kredycie, koncie lub transakcji, reaguj od razu.

Czy można całkowicie zabezpieczyć się przed skutkami wycieku?

Nie. Jeżeli dane zostały już skopiowane przez przestępców, nie można ich „cofnąć”.

 

Można jednak znacząco ograniczyć ryzyko ich wykorzystania.

 

Najważniejsze jest zastrzeżenie PESEL, dobre zabezpieczenie kont i ostrożność wobec prób kontaktu. W przypadku danych medycznych szczególnie ważne jest również to, aby nie ufać automatycznie rozmówcy tylko dlatego, że zna informacje dotyczące naszego zdrowia.

Gdzie będę mógł sprawdzić, czy moje dane znalazły się w wycieku MyDr?

Rząd zapowiedział wykorzystanie serwisu Bezpieczne Dane. Dane mają być przekazywane do systemu sukcesywnie, po ich identyfikacji przez podmioty dotknięte cyberatakiem. Proces może potrwać kilka dni.

 

Na stronie znajduje się obecnie informacja, że dane z wycieku MyDr nie zostały jeszcze wprowadzone do bazy.

 

Dlatego warto regularnie sprawdzać oficjalne komunikaty i nie korzystać z nieoficjalnych „wyszukiwarek wycieku”.

Czy brak informacji o moich danych oznacza, że jestem bezpieczny?

Nie zawsze.

 

W przypadku obecnego wycieku trzeba odróżnić brak informacji od potwierdzenia, że dane nie zostały przejęte.

 

Dopóki baza MyDr nie zostanie prawidłowo zidentyfikowana i udostępniona do sprawdzania, nie można na podstawie samego braku wyniku wyciągać ostatecznego wniosku.

 

Dlatego nawet osoby, które nie znalazły jeszcze swoich danych, powinny stosować podstawowe środki ostrożności.

Jaka jest najważniejsza rada po wycieku danych w Polsce?

Nie panikować, ale działać.

 

Najważniejsze jest zastrzeżenie PESEL i korzystanie z oficjalnych źródeł informacji. Nie należy samodzielnie szukać skradzionych baz ani wpisywać swoich danych na przypadkowych stronach.

 

Trzeba również pamiętać, że największym zagrożeniem może być nie sam fakt posiadania numeru PESEL przez przestępców, ale wykorzystanie połączonych danych do przygotowania wiarygodnego oszustwa.

 

W przypadku obecnego wycieku szczególne znaczenie ma właśnie ten element. Przestępca może posiadać nie tylko imię, nazwisko czy numer PESEL, ale także informacje związane z wizytami, receptami lub lekami. Dlatego każdą nietypową wiadomość dotyczącą zdrowia, banku lub tożsamości należy dokładnie zweryfikować.

 

Najważniejsze informacje dotyczące tego incydentu będą się jeszcze zmieniać. Zakres wycieku, lista podmiotów objętych incydentem oraz możliwość sprawdzania konkretnych danych mogą być aktualizowane wraz z postępem ustaleń służb i administratorów.