Czy moje dane wyciekły? Jak to sprawdzić i co zrobić później?
Sprawdź wyciek danych w rządowym serwisie bezpiecznedane.gov.pl i w Have I Been Pwned. Zobacz, kiedy zmienić hasła, zastrzec PESEL i zadzwonić do banku.
To, czy Twoje dane wyciekły, sprawdzisz w rządowym serwisie bezpiecznedane.gov.pl oraz w międzynarodowej wyszukiwarce Have I Been Pwned. Jeśli Twój adres e-mail pojawi się w wycieku, zmień hasło do tego konta i do każdego serwisu z tym samym hasłem, a potem włącz uwierzytelnianie wieloskładnikowe. Gdy wyciekł PESEL lub skan dowodu, zastrzeż numer PESEL w aplikacji mObywatel.
Czym jest wyciek danych?
Wyciek danych to sytuacja, w której dane osobowe trafiają do osób nieuprawnionych, na przykład po włamaniu do sklepu internetowego lub błędzie w konfiguracji serwera. W prawie nazywa się to naruszeniem ochrony danych osobowych. Wykradzione bazy często krążą potem po forach przestępców i są wykorzystywane do oszustw.
Firma, która dopuściła do naruszenia, ma obowiązki wynikające z RODO. Zgodnie z art. 33 zgłasza je do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin, a zgodnie z art. 34 zawiadamia osoby, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko. Nie każdy wyciek wychodzi jednak na jaw od razu, dlatego warto sprawdzić swoje dane samodzielnie.
Jak sprawdzić, czy moje dane wyciekły?
Swoje dane sprawdzisz w dwóch wyszukiwarkach wycieków: polskiej i międzynarodowej. Obie są bezpłatne.
Jak skorzystać z serwisu bezpiecznedane.gov.pl?
Serwis bezpiecznedane.gov.pl to rządowa wyszukiwarka wycieków, której bazę aktualizuje CERT Polska. Według opisu w serwisie gov.pl korzysta się z niej w kilku krokach:
- Wejdź na stronę bezpiecznedane.gov.pl i wybierz logowanie.
- Potwierdź tożsamość przez Profil Zaufany, e-dowód lub bankowość elektroniczną.
- Wpisz adres e-mail, który chcesz sprawdzić, i potwierdź go.
- Odczytaj wynik: serwis poinformuje, czy dane związane z adresem znalazły się w znanych wyciekach.
Jak sprawdzić adres e-mail w Have I Been Pwned?
Have I Been Pwned to międzynarodowa wyszukiwarka wycieków. Po wpisaniu adresu e-mail na stronie haveibeenpwned.com zobaczysz listę znanych wycieków, w których pojawił się ten adres, oraz rodzaje danych, które w nich ujawniono. Serwis pozwala też zapisać się na powiadomienia o nowych wyciekach.
Czy wynik „nie znaleziono” oznacza, że dane są bezpieczne?
Wynik „nie znaleziono” oznacza tylko, że adresu nie ma w bazach znanych danej wyszukiwarce. Świeży wyciek może jeszcze nie być w nich widoczny, a część baz nigdy nie trafia do publicznych źródeł. Dlatego unikalne hasła i uwierzytelnianie wieloskładnikowe warto mieć niezależnie od wyniku.
Co zrobić, gdy Twoje dane wyciekły?
To, co zrobić po wycieku, zależy od tego, jakie dane ujawniono:
| Rodzaj danych | Co zrobić |
|---|---|
| Hasło lub login | Zmień hasło w tym serwisie i wszędzie, gdzie go używasz. Włącz uwierzytelnianie wieloskładnikowe. |
| Adres e-mail lub numer telefonu | Spodziewaj się dopasowanych wiadomości phishingowych i fałszywych telefonów. |
| PESEL lub skan dowodu | Zastrzeż numer PESEL. Zastrzeż lub unieważnij dokument, jeśli wyciekło jego zdjęcie. |
| Dane karty lub konta bankowego | Zadzwoń do banku, zastrzeż kartę i obserwuj historię transakcji. |
| Adres, data urodzenia | Uważaj na telefony i wiadomości, w których oszust uwiarygadnia się Twoimi danymi. |
Najwięcej szkód może wyrządzić wyciek PESEL-u i hasła, dlatego od nich warto zacząć.
Jak zastrzec numer PESEL?
Numer PESEL zastrzeżesz w aplikacji mObywatel, w serwisie gov.pl po zalogowaniu Profilem Zaufanym, e-dowodem lub przez bank, albo w urzędzie gminy. Usługa jest bezpłatna i działa od razu. Zastrzeżenie możesz cofnąć w każdej chwili, także na określony czas, na przykład na dzień podpisania umowy kredytu.
Zastrzeżenie chroni przed kradzieżą tożsamości. Od 1 czerwca 2024 roku banki i instytucje finansowe muszą sprawdzać, czy numer PESEL jest zastrzeżony, zanim zawrą umowę kredytu, pożyczki czy rachunku, o czym informuje Ministerstwo Cyfryzacji. W aplikacji mObywatel zastrzeżesz też utracony dowód osobisty, co ministerstwo zaleca po wycieku danych.
Jak zabezpieczyć konto po wycieku hasła?
Po wycieku hasła zmień je od razu, bo przestępcy testują wykradzione pary login i hasło w wielu serwisach naraz. Taki atak nazywa się credential stuffing i działa tylko wtedy, gdy to samo hasło jest użyte w kilku miejscach. Zabezpiecz konto w tej kolejności:
- Zmień hasło na długie i unikalne, najlepiej wygenerowane w menedżerze haseł.
- Zmień hasło w każdym innym serwisie, w którym używałeś tego samego.
- Wyloguj wszystkie aktywne sesje w ustawieniach konta.
- Włącz uwierzytelnianie wieloskładnikowe.
- Sprawdź, czy ktoś nie zmienił adresu e-mail do odzyskiwania konta.
Jak ułożyć hasło, którego nie trzeba pamiętać, wyjaśnia poradnik jak stworzyć bezpieczne hasło. Wybór drugiego składnika logowania opisuje artykuł o różnicach między MFA i 2FA.
Jak ograniczyć skutki przyszłych wycieków?
Skutki przyszłych wycieków ograniczysz, zanim do nich dojdzie:
- Unikalne hasła: wyciek jednego serwisu nie otworzy wtedy dostępu do pozostałych.
- Uwierzytelnianie wieloskładnikowe: samo hasło nie wystarczy do zalogowania.
- Zastrzeżony PESEL: możesz go mieć zastrzeżony na stałe i odblokowywać tylko na czas umowy.
- Mniej danych w sieci: podawaj tylko informacje, których serwis naprawdę potrzebuje. Więcej w artykule jakie dane zbierają o nas strony i aplikacje.
- Czujność na phishing: wiadomości po wycieku bywają bardzo wiarygodne. Jak je rozpoznać, pokazuje przewodnik phishing: co to jest i jak go rozpoznać.
Najczęstsze pytania o wyciek danych
Czy firma musi poinformować mnie o wycieku moich danych?
Tak, jeśli naruszenie może powodować wysokie ryzyko dla Twoich praw. Zgodnie z art. 34 RODO administrator zawiadamia wtedy osoby, których dane dotyczą, bez zbędnej zwłoki.
Czy zastrzeżenie PESEL utrudnia wzięcie kredytu?
Nie na stałe. Zastrzeżenie cofniesz w aplikacji mObywatel w kilka chwil, również na wybrany czas, a potem ponownie zastrzeżesz numer.
Gdzie zgłosić kradzież tożsamości?
Kradzież tożsamości zgłoś na policję i w banku, w którym ktoś posłużył się Twoimi danymi. Oszustwo internetowe możesz zgłosić także do CERT Polska przez formularz incydent.cert.pl.
Czy mogę złożyć skargę na firmę, która nie ochroniła moich danych?
Tak. Jeśli uważasz, że firma naruszyła przepisy o ochronie danych, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.