Wyciek danych obejmujący informacje dotyczące nawet 19 mln osób wywołał falę pytań o bezpieczeństwo finansowe Polaków. Sam numer PESEL wraz z imieniem i nazwiskiem zwykle nie wystarcza dziś do skutecznego zaciągnięcia kredytu, jednak eksperci ostrzegają, że zdobyte dane mogą zostać wykorzystane w bardziej złożonych próbach oszustwa.
Najpoważniejszym problemem po ujawnieniu danych milionów osób nie musi być próba natychmiastowego zaciągnięcia kredytu na cudze nazwisko. Marcin Jaworski z Biura Rzecznika Finansowego wskazuje w rozmowie z money.pl, że sam numer PESEL, nawet połączony z imieniem i nazwiskiem, w obecnych warunkach najczęściej nie daje przestępcy wystarczających możliwości do skutecznego zawarcia umowy kredytowej lub pożyczkowej. Instytucje finansowe stosują dodatkowe mechanizmy weryfikacji, zarówno w placówkach, jak i podczas zawierania umów przez internet.
Nie oznacza to jednak, że ujawnione informacje można uznać za niegroźne. Przestępcy mogą wykorzystać prawdziwe dane do przygotowania fałszywych dokumentów, a przede wszystkim do prowadzenia bardziej wiarygodnych ataków socjotechnicznych. Osoba dzwoniąca do ofiary i znająca jej numer PESEL, imię, nazwisko lub inne szczegóły może znacznie łatwiej podszyć się pod pracownika banku, urzędu albo funkcjonariusza. Na podobne zagrożenia wskazuje również UODO, który po incydencie dotyczącym MyDr zaleca szczególną ostrożność wobec wiadomości SMS, e-maili i rozmów telefonicznych zmierzających do wyłudzenia kolejnych informacji.
Wyciek danych 19 mln osób i system MyDr
Sprawa nabrała szczególnego znaczenia po ujawnieniu informacji o cyberataku dotyczącym systemów firmy MyDr, dostawcy rozwiązania wykorzystywanego do obsługi elektronicznej dokumentacji medycznej. Według informacji podawanych w związku z incydentem baza mogła obejmować dane blisko 19 mln osób, a z platformy korzystało około 12 tys. podmiotów medycznych. Wśród informacji narażonych na ujawnienie znajdowały się nie tylko podstawowe dane identyfikacyjne, lecz również dane związane ze zdrowiem, w tym informacje dotyczące leków i recept.
Skala naruszenia nie została jednak ostatecznie przesądzona. 13 sierpnia Prezes Urzędu Ochrony Danych Osobowych poinformował o rozpoczęciu kontroli w spółce MyDr. Kontrolerzy mają sprawdzić zastosowane przez firmę zabezpieczenia techniczne i organizacyjne, sposób prowadzenia analizy ryzyka oraz to, czy środki bezpieczeństwa były regularnie testowane w związku ze zmieniającymi się zagrożeniami. UODO zaznacza, że placówki medyczne korzystające z rozwiązań MyDr zgłaszają naruszenia, natomiast dokładna skala zdarzenia nadal jest ustalana.
Zastrzeżenie numeru PESEL blokuje ważną drogę oszustom
Ministerstwo Cyfryzacji oraz przedstawiciele sektora bankowego zachęcają do zastrzegania numeru PESEL. Można to zrobić między innymi za pośrednictwem aplikacji mObywatel lub w urzędzie gminy. Mechanizm ma szczególne znaczenie przy zawieraniu umów finansowych, ponieważ banki, instytucje pożyczkowe i inne podmioty objęte przepisami muszą sprawdzać status PESEL przed wykonaniem określonych czynności.
Zastrzeżenie numeru ma bardzo konkretny skutek. Jeżeli instytucja finansowa udzieliłaby kredytu lub pożyczki mimo aktywnego zastrzeżenia, osoba, której dane zostały wykorzystane, co do zasady nie powinna ponosić odpowiedzialności za spłatę takiego zobowiązania. Związek Banków Polskich przypominał po cyberataku na MyDr, że sprawdzanie rejestru zastrzeżeń jest jednym z podstawowych mechanizmów mających ograniczyć skutki kradzieży tożsamości.
Sam PESEL nie powinien być przy tym traktowany jako jedyne zabezpieczenie. Z danych przytaczanych przez money.pl wynika, że 69 proc. Polaków deklaruje zastrzeżenie numeru po jego kradzieży, ale już tylko 33 proc. kontrolowałoby następnie swoją historię kredytową. Eksperci podkreślają, że skradzione dane mogą być wykorzystywane również w innych typach oszustw i nawet po zastrzeżeniu numeru warto obserwować nietypowe wiadomości, próby kontaktu oraz informacje dotyczące zobowiązań finansowych.
Pożyczka na skradzione dane. Co zrobić, gdy pojawia się żądanie spłaty
Zastrzeżenie PESEL znacząco ogranicza ryzyko, jednak ekspert Rzecznika Finansowego nie wyklucza sytuacji, w której oszust zdoła ominąć stosowane procedury. Jeżeli dojdzie do zawarcia umowy na cudze dane, a bank lub firma pożyczkowa zacznie domagać się spłaty, poszkodowany powinien złożyć reklamację bezpośrednio do podmiotu, który udzielił finansowania. Należy jednoznacznie wskazać, że umowa nie została zawarta przez osobę, której dane wykorzystano, oraz zażądać wstrzymania działań windykacyjnych na czas wyjaśniania sprawy.
Jeżeli reklamacja zostanie odrzucona, możliwe jest zwrócenie się do Rzecznika Finansowego o podjęcie interwencji lub przeprowadzenie postępowania polubownego. Istotne jest również to, że nawet przy niezastrzeżonym PESEL wierzyciel musi wykazać, iż to właśnie osoba wskazana w umowie rzeczywiście złożyła oświadczenie woli prowadzące do powstania zobowiązania. Brak wcześniejszego zastrzeżenia numeru może więc utrudnić sytuację poszkodowanego, ale sam w sobie nie oznacza automatycznej odpowiedzialności za zobowiązanie zaciągnięte przez przestępcę.
Zastrzeżony PESEL a wypłata ponad 14 tys. zł w banku
Zastrzeżenie numeru PESEL wpływa również na niektóre operacje wykonywane przez właściciela danych. Przy wypłacie w placówce bankowej gotówki przekraczającej trzykrotność minimalnego wynagrodzenia obowiązuje dodatkowy mechanizm bezpieczeństwa. Minimalna pensja wynosi w 2026 r. 4806 zł brutto, dlatego trzykrotność tej kwoty to 14 418 zł.
Jeżeli klient zechce wypłacić w kasie banku więcej niż wskazany próg, a jego PESEL pozostaje zastrzeżony, bank nie powinien zrealizować operacji natychmiast. Obowiązuje 12-godzinny okres oczekiwania. Mechanizm ma dać potencjalnej ofierze oszustwa dodatkowy czas na zorientowanie się, że może działać pod wpływem manipulacji. Ograniczenie nie obejmuje zwykłych wypłat z bankomatu.
Cofnięcie zastrzeżenia PESEL przed kredytem lub otwarciem konta
Aktywne zastrzeżenie nie oznacza, że numeru nie można czasowo odblokować. Jest to konieczne między innymi wtedy, gdy właściciel PESEL sam chce zaciągnąć kredyt lub pożyczkę, otworzyć rachunek bankowy albo skorzystać z niektórych form odroczonej płatności. Po wykonaniu planowanej czynności można ponownie uruchomić ochronę. Trzeba jednak pamiętać, że od cofnięcia zastrzeżenia do możliwości ponownego zastrzeżenia numeru musi minąć co najmniej 30 minut.
Eksperci przestrzegają również przed przekonaniem, że zagrożenie mija kilka dni po cyberataku. Raz pozyskane dane mogą pozostać w obiegu przez bardzo długi czas. Nie muszą zostać wykorzystane natychmiast – mogą posłużyć do próby oszustwa po wielu miesiącach albo nawet po kilku latach. Dlatego zabezpieczenie PESEL i ostrożność wobec prób wyłudzania kolejnych danych powinny mieć charakter trwały.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.
Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu