Fake po gigantycznym wycieku danych. Nie wypełniaj takiego wniosku o zmianę PESEL

Sprawa nabrała szczególnego znaczenia po ujawnieniu incydentu dotyczącego systemów firmy MyDr. Prezes Urzędu Ochrony Danych Osobowych informował o możliwym wycieku danych niemal 19 mln osób, a 13 sierpnia zdecydował o przeprowadzeniu kontroli w spółce. Według UODO skala naruszenia nie została jeszcze ostatecznie ustalona, a systemy MyDr wykorzystywało około 12 tys. podmiotów leczniczych. Kontrola ma objąć m.in. zastosowane zabezpieczenia techniczne i organizacyjne oraz sposób prowadzenia analizy ryzyka.

Fake o zmianie numeru PESEL po wycieku danych

Na fali zainteresowania incydentem w mediach społecznościowych pojawił się wpis sugerujący, że na stronach administracji państwowej opublikowano formularz pozwalający osobom zagrożonym skutkami wycieku wystąpić o zmianę PESEL-u. Autor twierdził, że rozwiązanie miałoby dotyczyć 19 mln Polaków i pozwalać nawet na zmianę pierwszych sześciu cyfr numeru. Sugerował również, że w ten sposób dane znajdujące się w rękach przestępców przestałyby być użyteczne.

Informacja została przedstawiona w sposób mogący sprawiać wrażenie komunikatu związanego z Ministerstwem Cyfryzacji. Wpis zawierał nawet sugestię, że jest materiałem sponsorowanym przez profil resortu. W rzeczywistości państwo nie uruchomiło żadnego powszechnego programu wymiany numerów PESEL dla osób, których informacje mogły znaleźć się w wykradzionej bazie.

Na wpis zareagowało Ministerstwo Cyfryzacji na portalu X. Odpowiedź była wyjątkowo bezpośrednia i ironiczna. Resort zasugerował autorowi, że specjalnie dla niego przygotowywany jest również formularz pozwalający na „zwiększenie IQ”, po czym zaznaczył, że problem jest poważniejszy, niż mogłoby się wydawać: część odbiorców może potraktować podobne żarty jako prawdziwą instrukcję postępowania.

To ważne zwłaszcza po dużych wyciekach. Przestępcy mogą wykorzystywać niepokój użytkowników, podszywać się pod instytucje publiczne i proponować rzekome formularze zabezpieczające dane. Ich wypełnienie może prowadzić dokładnie do odwrotnego skutku – przekazania oszustowi kolejnych informacji potrzebnych do kradzieży tożsamości.

„Rzeczpospolita” opisała również pojawiający się w sieci fałszywy formularz, którego adresatem miał być Główny Urząd Statystyczny. Rzecznik prezesa GUS Krzysztof Jedlak potwierdził, że urząd nie przyjmuje wniosków o zmianę numeru PESEL i ostrzegł przed wypełnianiem dokumentów, które sugerują coś przeciwnego.

Zmiana numeru PESEL tylko w wyjątkowych przypadkach

Numer PESEL można w Polsce zmienić, ale przepisy przewidują taką możliwość w bardzo konkretnych sytuacjach. Nie jest to mechanizm służący do reagowania na wycieki danych, włamania do baz internetowych czy ryzyko kradzieży tożsamości.

Zgodnie z informacjami administracji publicznej numer PESEL może zostać zmieniony między innymi wtedy, gdy sprostowana zostaje data urodzenia danej osoby. Zmiana może nastąpić również wtedy, gdy przy pierwotnym nadawaniu numeru podano nieprawidłowe informacje, organ został wprowadzony w błąd co do tożsamości osoby albo urzędnik popełnił błąd mający wpływ na konstrukcję numeru. Kolejną przewidzianą prawem przesłanką jest zmiana płci.

To oznacza, że nie można wystąpić o nowy PESEL wyłącznie dlatego, że dotychczasowy numer znalazł się w wykradzionej bazie danych. Nie istnieje też procedura pozwalająca każdemu poszkodowanemu samodzielnie wybrać nowe cyfry PESEL-u.

Pierwsze sześć cyfr nie jest przypadkowym elementem numeru, który można dowolnie wymienić. Są one związane z datą urodzenia. Konstrukcja całego numeru obejmuje także informacje wykorzystywane do oznaczenia płci oraz cyfrę kontrolną. Zmiana PESEL-u jest zatem zmianą oficjalnego identyfikatora osoby w państwowym rejestrze, a nie odpowiednikiem zmiany hasła do poczty elektronicznej.

Zastrzeżenie PESEL po wycieku danych

W przypadku zagrożenia wykorzystaniem danych podstawowym mechanizmem ochrony jest zastrzeżenie numeru PESEL. Usługa jest bezpłatna i można z niej skorzystać m.in. za pośrednictwem aplikacji mObywatel, serwisu mObywatel oraz osobiście w urzędzie gminy. Zastrzeżenie następuje natychmiast.

Od 1 czerwca 2024 r. określone instytucje mają obowiązek sprawdzania Rejestru Zastrzeżeń Numerów PESEL przed dokonaniem czynności, w których istnieje szczególnie wysokie ryzyko wykorzystania cudzej tożsamości. Mechanizm ma przeciwdziałać m.in. zaciąganiu zobowiązań finansowych przy użyciu wykradzionych danych.

Zastrzeżenie nie oznacza przy tym zablokowania obywatelowi normalnego funkcjonowania. Nadal można korzystać z recept, rejestrować się do lekarza, załatwiać sprawy urzędowe, wykonywać przelewy czy korzystać ze swojego rachunku. Jeśli konieczne jest wykonanie czynności wymagającej czasowego cofnięcia zastrzeżenia, użytkownik może zrobić to samodzielnie. System pozwala również określić moment, w którym numer zostanie ponownie automatycznie zastrzeżony.

Co zrobić po wykradzeniu PESEL-u i innych danych

Samo zastrzeżenie numeru PESEL jest bardzo ważne, ale przy dużym wycieku nie powinno być jedyną reakcją. Znaczenie ma przede wszystkim zakres informacji, które trafiły do osób nieuprawnionych.

Jeżeli wraz z danymi osobowymi wyciekły login i hasło, hasło należy natychmiast zmienić. Jeśli identyczne lub podobne hasło było wykorzystywane również w innych serwisach, trzeba zmienić je także tam. CERT i policja od lat zalecają stosowanie różnych haseł dla różnych usług oraz włączanie uwierzytelniania dwuskładnikowego wszędzie tam, gdzie jest ono dostępne.

Szczególną ostrożność należy zachować wobec wiadomości SMS, e-maili i telefonów, które pojawią się po wycieku. Przestępca dysponujący imieniem, nazwiskiem, numerem PESEL, numerem telefonu lub innymi informacjami może przygotować znacznie bardziej wiarygodną próbę oszustwa. Wiadomość może zawierać prawdziwe dane odbiorcy, ale prowadzić do fałszywej strony banku, urzędu, operatora albo placówki medycznej.

Nie należy podawać dodatkowych informacji osobie, która dzwoni i przedstawia się jako pracownik banku, urzędu czy policji. Szczególnie niebezpieczne są prośby o podanie kodów autoryzacyjnych, danych logowania, numeru karty czy instalowanie aplikacji do zdalnego dostępu.

Jeżeli wyciekły dane karty płatniczej, należy skontaktować się z bankiem i w zależności od zakresu ujawnionych danych zastrzec kartę. Warto również regularnie kontrolować rachunki bankowe pod kątem operacji, których właściciel konta nie wykonywał.

Kradzież tożsamości i unieważnienie dowodu osobistego

Inaczej wygląda sytuacja, gdy istnieje już podejrzenie, że ktoś faktycznie wykorzystał dane konkretnej osoby. Państwowa usługa pozwala zgłosić nieuprawnione wykorzystanie danych osobowych, czyli kradzież tożsamości. Takie zgłoszenie można złożyć przez internet lub osobiście.

Jeżeli sprawa dotyczy danych znajdujących się w dowodzie osobistym i występują podstawy do uznania, że zostały wykorzystane bez zgody właściciela, dokument może zostać unieważniony. W przypadku osoby pełnoletniej zgłoszenie podejrzenia nieuprawnionego wykorzystania danych prowadzi również do zastrzeżenia numeru PESEL z urzędu.

Nie oznacza to jednak, że każdy wyciek bazy zawierającej numer PESEL automatycznie wymaga unieważnienia dowodu osobistego. Reakcja powinna zależeć od tego, jakie dane zostały ujawnione i czy istnieją przesłanki wskazujące na ich faktyczne wykorzystanie.

UODO ostrzega przed kolejnymi próbami wykorzystania wycieku danych

Urząd Ochrony Danych Osobowych zwraca uwagę, że po naruszeniu szczególnie istotna jest ostrożność wobec kolejnych komunikatów. Osoby dysponujące częściowym zestawem informacji mogą próbować zdobyć brakujące dane poprzez phishing, fałszywe rozmowy telefoniczne lub formularze.

W przypadku incydentu MyDr UODO przypomniał również o obowiązkach administratorów danych. Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator powinien bez zbędnej zwłoki zawiadomić zainteresowane osoby, opisać charakter naruszenia, możliwe konsekwencje oraz działania pozwalające ograniczyć zagrożenie.

Właśnie dlatego wiadomość przesłana bezpośrednio przez administratora danych może zawierać zalecenia dotyczące zabezpieczenia PESEL-u lub innych informacji. Nie oznacza to jednak, że należy ufać każdemu SMS-owi czy formularzowi podpisanemu nazwą znanej firmy albo urzędu. Wiarygodność komunikatu trzeba zweryfikować niezależnie, najlepiej przez oficjalny serwis danej instytucji.

Źródła:

• Portal X – wpis internauty dotyczący rzekomego wniosku o zmianę numeru PESEL oraz odpowiedź oficjalnego profilu Ministerstwa Cyfryzacji.
• Gov.pl – oficjalna usługa dotycząca zmiany numeru PESEL i przesłanek przewidzianych prawem.
• Ministerstwo Cyfryzacji – informacje dotyczące Rejestru PESEL.
• Gov.pl – oficjalna usługa zastrzegania i cofania zastrzeżenia numeru PESEL.
• Ministerstwo Cyfryzacji – zalecenia dotyczące działania po wycieku danych i korzystania z usługi Zastrzeż PESEL.
• Urząd Ochrony Danych Osobowych – komunikaty dotyczące incydentu MyDr i obowiązków administratorów danych.
• Urząd Ochrony Danych Osobowych – informacje o kontroli w spółce MyDr.
• Gov.pl – procedura zgłoszenia nieuprawnionego wykorzystania danych osobowych i kradzieży tożsamości.
• Centralne Biuro Zwalczania Cyberprzestępczości – zalecenia dotyczące działań po wycieku danych.
• „Rzeczpospolita” – materiał dotyczący fałszywych formularzy zmiany PESEL i stanowiska Głównego Urzędu Statystycznego.