Po ujawnieniu jednego z największych incydentów dotyczących danych osobowych w Polsce rośnie liczba osób, które zabezpieczają swój numer PESEL. W urzędach pojawiają się kolejki, a mieszkańcy obawiają się przede wszystkim wyłudzeń kredytów i pożyczek. Sprawa dotyczy danych blisko 19 mln osób.
Informacje o skali incydentu związanego z firmą MyDr wywołały natychmiastową reakcję części Polaków. Osoby korzystające z aplikacji mObywatel lub usług internetowych mogą zastrzec PESEL zdalnie, jednak wiele osób, szczególnie tych, które nie korzystają z takich narzędzi, zdecydowało się na osobistą wizytę w urzędzie gminy.
Przykładem jest Bydgoszcz. 13 sierpnia przed Urzędem Miasta pojawili się mieszkańcy chcący zastrzec PESEL, a dzień później długa kolejka ustawiła się przed Wydziałem Spraw Obywatelskich. Tego dnia urząd pracował w skróconych godzinach – od 8:00 do 14:00. Jak informowały „Gazeta Pomorska” i Radio PiK, część osób przyznawała wprost, że do działania skłoniły je doniesienia o wycieku danych.
Jedna z mieszkanek Borówna pod Bydgoszczą pojechała 13 sierpnia do Urzędu Gminy w Dobrczu. Nie korzysta z aplikacji mObywatel, dlatego wybrała tradycyjną formę załatwienia sprawy. W urzędzie zastała kolejkę, ale zastrzeżenie PESEL udało jej się przeprowadzić tego samego dnia.
Podobne obawy wyrażali mieszkańcy Bydgoszczy. Jedna z osób rozmawiających z Radiem PiK tłumaczyła swoją decyzję obawą przed koniecznością spłacania zobowiązania zaciągniętego przez przestępców wykorzystujących skradzione dane. Inna wskazywała, że przebywa w Bydgoszczy na wakacjach i nie ma możliwości załatwienia sprawy przy komputerze.
MyDr i dane blisko 19 mln osób
Skala zdarzenia jest wyjątkowa. 12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o incydencie dotyczącym systemów firmy MyDr, dostarczającej oprogramowanie wykorzystywane przez lekarzy, gabinety oraz placówki medyczne. Według informacji przekazanych przez resort cyfryzacji dane mogą dotyczyć blisko 19 mln osób, a przejęta baza ma rozmiar przekraczający 2 TB. Z oprogramowania firmy korzystało około 12 tys. podmiotów medycznych.
Sprawa jest szczególnie poważna ze względu na rodzaj informacji znajdujących się w systemach medycznych. Według dotychczasowych ustaleń w bazach znajdowały się m.in. numery PESEL, dane kontaktowe oraz informacje dotyczące recept, stosowanych leków i wizyt medycznych. Tak szczegółowy zestaw informacji może być wykorzystywany nie tylko do klasycznych prób wyłudzenia pieniędzy, ale również do bardzo wiarygodnych ataków phishingowych lub oszustw, w których przestępca podszywa się pod przychodnię albo inną instytucję znaną ofierze.
Firma MyDr poinformowała natomiast, że dane objęte incydentem najprawdopodobniej mają charakter historyczny i pochodzą z 2024 r. oraz lat wcześniejszych. Nie zmienia to jednak faktu, że informacje takie jak PESEL, imię i nazwisko czy data urodzenia pozostają przydatne dla przestępców przez wiele lat.
Zastrzeżenie PESEL bez wychodzenia z domu
Numer PESEL można zastrzec bezpłatnie na trzy sposoby: w aplikacji mObywatel, przez usługę internetową administracji publicznej oraz osobiście w urzędzie gminy. W przypadku wizyty w urzędzie potrzebny jest dokument potwierdzający tożsamość – dowód osobisty albo paszport.
Bydgoski magistrat zachęca osoby posiadające możliwość skorzystania z usług elektronicznych, aby nie przychodziły do urzędu wyłącznie w celu zastrzeżenia numeru. Urzędnicy podkreślają jednak, że osoby, które nie korzystają z rozwiązań cyfrowych albo potrzebują pomocy, mogą nadal przeprowadzić procedurę stacjonarnie.
Zastrzeżenie PESEL nie powoduje jednocześnie utraty możliwości normalnego korzystania z usług publicznych. Nadal można m.in. zarejestrować się do lekarza, zrealizować receptę, wypłacić pieniądze z bankomatu, wykonać przelew, podróżować czy załatwiać większość spraw urzędowych.
Zastrzeżony PESEL blokadą dla kredytów i pożyczek
Najważniejszym zadaniem systemu jest ograniczenie finansowych skutków kradzieży tożsamości. Od 1 czerwca 2024 r. instytucje finansowe mają obowiązek sprawdzania statusu numeru PESEL m.in. przed zawarciem umowy kredytu lub pożyczki.
Jeżeli PESEL jest zastrzeżony, jego właściciel nie będzie mógł w tym czasie m.in. otworzyć nowego rachunku bankowego, zaciągnąć kredytu lub pożyczki, dokonać określonych zakupów na raty, podpisać niektórych aktów notarialnych dotyczących nieruchomości ani uzyskać duplikatu karty SIM. Ochrona działa więc nie tylko w bankach, ale obejmuje również inne czynności, które mogą zostać wykorzystane przez przestępców do przejęcia tożsamości.
Kluczowe znaczenie ma zasada dotycząca odpowiedzialności instytucji finansowych. Jeżeli pożyczka zostanie udzielona pomimo zastrzeżenia numeru PESEL, instytucja nie może następnie przerzucić finansowych konsekwencji takiej decyzji na osobę, której dane wykorzystano.
Wypłata ponad 14 418 zł i 12-godzinne zabezpieczenie
Zastrzeżenie PESEL wpływa również na wypłatę dużych kwot gotówki bezpośrednio w placówce bankowej. W 2026 r. próg odpowiadający trzykrotności minimalnego wynagrodzenia wynosi 14 418 zł.
Jeżeli klient ze zastrzeżonym PESEL-em zleci w placówce wypłatę przekraczającą ten limit, bank wstrzyma wypłatę na 12 godzin. Co istotne, cofnięcie zastrzeżenia już po złożeniu takiej dyspozycji nie powoduje natychmiastowego usunięcia blokady. Chcąc uniknąć 12-godzinnego oczekiwania, trzeba cofnąć zastrzeżenie przed wydaniem dyspozycji wypłaty.
Mechanizm został zaprojektowany także z myślą o osobach padających ofiarą manipulacji metodą „na wnuczka”, „na policjanta” lub podobnych oszustw. Kilkunastogodzinne opóźnienie przy bardzo dużej wypłacie może dać ofierze lub jej bliskim czas na zweryfikowanie sytuacji.
Kontrola UODO po wycieku danych z MyDr
Incydent będzie miał również konsekwencje dla samej firmy i placówek korzystających z jej systemu. Prezes Urzędu Ochrony Danych Osobowych zdecydował o przeprowadzeniu kontroli w MyDr. Kontrolerzy mają sprawdzić zastosowane zabezpieczenia techniczne i organizacyjne, sposób przeprowadzania analizy ryzyka oraz to, czy środki bezpieczeństwa były regularnie testowane i dostosowywane do zmieniających się zagrożeń.
Jednocześnie UODO zwrócił uwagę na obowiązki placówek medycznych, które powierzały MyDr przetwarzanie danych swoich pacjentów. Każdy administrator musi przeanalizować, czy naruszenie dotyczyło jego pacjentów i czy powoduje ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli takie ryzyko występuje, naruszenie należy zgłosić Prezesowi UODO, zasadniczo nie później niż w ciągu 72 godzin od jego stwierdzenia. Przy wysokim ryzyku konieczne może być także poinformowanie samych pacjentów.
Sam zastrzeżony PESEL nie zatrzyma wszystkich oszustów
Zastrzeżenie PESEL ogranicza ryzyko zaciągnięcia części zobowiązań finansowych na cudze dane, ale nie rozwiązuje wszystkich problemów wynikających z wycieku informacji. Szczególne zagrożenie stanowią próby phishingu wykorzystujące prawdziwe dane medyczne.
Przestępca posiadający imię, nazwisko, numer telefonu oraz informacje dotyczące leczenia może przygotować wiadomość wyglądającą znacznie bardziej wiarygodnie niż typowy masowy SMS. Może podszywać się pod przychodnię, lekarza, laboratorium, NFZ albo podmiot obsługujący płatności i nakłaniać do kliknięcia w fałszywy link, zalogowania się na podrobionej stronie lub podania kolejnych informacji.
Po potencjalnym wycieku warto więc zmienić powtarzające się hasła, szczególnie jeżeli ten sam ciąg znaków jest używany w kilku usługach, włączyć uwierzytelnianie dwuskładnikowe oraz uważniej analizować SMS-y, e-maile i telefony dotyczące zdrowia, bankowości i płatności. Szczególną ostrożność należy zachować wobec wiadomości zachęcających do kliknięcia w link, otwarcia załącznika albo przekazania dodatkowych danych.
Źródła:
- „Gazeta Pomorska” – informacje o kolejkach w urzędach woj. kujawsko-pomorskiego oraz relacje mieszkańców.
- Radio PiK – relacje z kolejek w Bydgoszczy i wypowiedzi osób zastrzegających PESEL.
- Ministerstwo Cyfryzacji – informacje dotyczące skali incydentu i danych objętych wyciekiem.
- mObywatel i gov.pl – zasady zastrzegania numeru PESEL oraz konsekwencje zastrzeżenia.
- Urząd Ochrony Danych Osobowych – informacje dotyczące kontroli MyDr oraz obowiązków administratorów danych.
- MyDr – stanowisko spółki dotyczące incydentu i charakteru ujawnionych danych.
- PAP – informacje dotyczące wycieku danych i wypowiedzi przedstawicieli administracji.
- RMF24 – informacje dotyczące skali incydentu.
- Forsal – informacje dotyczące rodzaju danych znajdujących się w bazach.
- Bankier.pl – informacje dotyczące ryzyka phishingu i wykorzystania skradzionych danych.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.
Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu