- Wyciek danych z MyDr dotknął 19 mln Polaków, ujawniając PESEL i dane medyczne, co budzi ogromne obawy o finanse.
- Przestępcy wykorzystają te dane do zaawansowanych oszustw, podszywając się pod zaufane instytucje.
- Ostrzegamy: ataki mogą nastąpić nawet po miesiącach, gdy czujność ofiar osłabnie.
- Zabezpiecz się! Zastrzeż PESEL i poznaj kluczowe kroki, by chronić swoje pieniądze przed cyberzagrożeniami.
Wyciek danych osobowych przestał być dla Polaków abstrakcyjnym zagrożeniem. Jak wynika z badania „Cyberbezpieczeństwo Polaków 2026”, przeprowadzonego przez Quality Watch na zlecenie Biura Informacji Kredytowej, blisko 80 proc. badanych obawia się, że utrata danych może zagrozić ich finansom, a 37 proc. deklaruje zdecydowane obawy. Co trzeci ankietowany zetknął się już z wyciekiem osobiście lub w swoim otoczeniu.
Skala problemu rośnie. W 2022 roku kontakt z wyciekiem danych deklarowało 24 proc. badanych, a w 2026 roku już 33 proc. Co więcej, 15 proc. respondentów przyznało, że w tym roku problem dotknął bezpośrednio ich samych.
Gigantyczny wyciek z MyDr. Dane blisko 19 mln osób
Szczególny niepokój wywołuje niedawny atak na MyDr, który może dotyczyć danych blisko 19 mln osób. O skali jednego z najpoważniejszych ostatnich incydentów poinformował 12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski. Wykradziona baza związana z systemem MyDr ma ponad 2 TB danych. Wśród nich znalazły się numery PESEL oraz informacje medyczne.
To szczególnie niebezpieczne połączenie. Przestępca, który dysponuje jednocześnie danymi identyfikacyjnymi, kontaktowymi i informacjami związanymi ze zdrowiem, może wiedzieć o swojej potencjalnej ofierze znacznie więcej niż tylko to, jak się nazywa.
BIK podkreśla przy tym, że sam wyciek nie oznacza jeszcze, że dojdzie do oszustwa lub utraty pieniędzy. Problemem jest niepewność. Nie wiadomo, kiedy dane zostaną wykorzystane, do kogo trafią ani z jakimi informacjami z innych wycieków zostaną połączone.
Jak wyjaśnia „Pulsowi Biznesu” Beniamin Szczepankiewicz, analityk cyberzagrożeń w ESET, dane przejęte podczas jednego incydentu nie muszą funkcjonować jako osobna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, dzięki czemu przestępcy są w stanie znacznie dokładniej poznać potencjalną ofiarę.
Jak oszuści mogą dobrać się do pieniędzy?
Prawdziwe informacje o ofierze mogą stać się jednym z najgroźniejszych narzędzi w rękach cyberprzestępców. Im więcej wiedzą, tym łatwiej przygotować telefon, SMS czy e-mail, który nie wzbudzi podejrzeń.
Zamiast typowej wiadomości o dopłacie do paczki oszust może nawiązać do rzeczywistych wydarzeń z życia danej osoby. Znając nazwisko, numer PESEL, nazwę placówki czy informacje związane z leczeniem, może próbować podszyć się np. pod przychodnię, bank lub NFZ. Wiadomość może dotyczyć wizyty, wyników badań, recepty albo rzekomej zaległej płatności.
Paweł Pudo z DAGMA Bezpieczeństwo IT w rozmowie z „Pulsem Biznesu” zwraca uwagę, że im więcej prawdziwych informacji posiada oszust, tym łatwiej może uwiarygodnić próbę phishingu. Dopiero po zdobyciu zaufania ofiary może pojawić się żądanie kolejnych danych, kodu, instalacji aplikacji, potwierdzenia operacji albo wykonania płatności.
To sprawia, że niebezpieczeństwo nie musi pojawić się bezpośrednio po wycieku. Przestępcy mogą sięgnąć po skradzione informacje po wielu tygodniach lub miesiącach, gdy osoba, której dane wyciekły, przestanie już łączyć podejrzany telefon czy wiadomość z wcześniejszym cyberatakiem.
Zastrzeż PESEL. To może zatrzymać próbę wyłudzenia kredytu
Jednym z najważniejszych zabezpieczeń po wycieku numeru PESEL jest jego zastrzeżenie. Można zrobić to bezpłatnie m.in. w aplikacji mObywatel, przez serwis gov.pl albo w urzędzie gminy. Zastrzeżenie zaczyna działać od razu.
Banki i firmy pożyczkowe mają obowiązek sprawdzać status PESEL przy określonych czynnościach. Dotyczy to również m.in. operatorów telekomunikacyjnych przy wydawaniu duplikatu karty SIM oraz notariuszy podczas niektórych czynności związanych z nieruchomościami.
Jeśli ktokolwiek chciałby wziąć kredyt lub pożyczkę na nasze dane, przy zastrzeżonym numerze PESEL nie będzie mógł tego zrobić. Co ważne, jeśli mimo zastrzeżenia podmiot udzieliłby takiego zobowiązania, nie będziemy zobowiązani do jego spłaty – wyjaśnia cytowana przez „Puls Biznesu” Agnieszka Wachnicka, wiceprezes Związku Banków Polskich.
Zastrzeżenie PESEL jest więc ważną barierą przed wykorzystaniem skradzionej tożsamości do zaciągnięcia kredytu lub pożyczki. Nie daje jednak ochrony przed każdym możliwym sposobem wykorzystania danych.
Zastrzeżenie PESEL nie wystarczy. Tu nadal trzeba uważać
„Puls Biznesu” zapytał także Bartłomieja Drozda z ChronPESEL.pl o skuteczność zastrzeżenia numeru PESEL. Ekspert zwraca uwagę, że nie wszystkie firmy mają obowiązek sprawdzania jego statusu. Skradzione dane mogą więc zostać wykorzystane także w innych sytuacjach.
Chodzi m.in. o wynajem mieszkania, wypożyczenie samochodu lub sprzętu, zakupy z odroczonym terminem płatności czy próby zawierania innych transakcji na cudze dane. Ryzyko może dotyczyć także prób założenia działalności gospodarczej i późniejszego ubiegania się o finansowanie.
Dlatego nawet po zastrzeżeniu PESEL nie należy ignorować podejrzanych wiadomości, telefonów czy korespondencji dotyczącej umów, których nie zawieraliśmy. Co szczególnie ważne, fakt, że rozmówca zna nasze nazwisko, PESEL, placówkę medyczną lub inne prawdziwe informacje, nie jest dowodem, że rzeczywiście reprezentuje bank, urząd czy przychodnię.
Eksperci radzą, co zrobić po wycieku danych
Jak wynika z zaleceń BIK oraz wypowiedzi ekspertów cytowanych przez „Puls Biznesu”, po wycieku nie wystarczy zmienić jednego hasła i zapomnieć o sprawie. Szczególną ostrożność należy zachować wobec niespodziewanych telefonów, SMS-ów i e-maili, zwłaszcza gdy nadawca próbuje wywołać presję czasu lub nakłonić odbiorcę do natychmiastowego działania.
Warto przede wszystkim zastrzec numer PESEL, włączyć uwierzytelnianie dwuskładnikowe (2FA), zmienić powtarzające się hasła oraz monitorować historię kredytową. Alerty BIK mogą dodatkowo informować o zapytaniach związanych z wnioskami kredytowymi.
Eksperci przestrzegają także przed klikaniem w linki przesłane w podejrzanych wiadomościach, podawaniem kodów jednorazowych, haseł czy danych karty płatniczej. Jeżeli ktoś kontaktuje się z nami jako przedstawiciel banku, przychodni czy innej instytucji, bezpieczniej przerwać rozmowę i samodzielnie skontaktować się z daną placówką, korzystając z jej oficjalnych danych kontaktowych.
PESEL to nie wszystko. Tych informacji nie da się zmienić
W przypadku wycieku z systemu medycznego pojawia się jeszcze jeden problem. Kartę płatniczą można zastrzec, hasło zmienić, a dostęp do przejętego konta zablokować. Danych dotyczących zdrowia nie można jednak po prostu unieważnić i zastąpić nowymi.
Jak zwraca uwagę na łamach „Pulsu Biznesu” Beniamin Szczepankiewicz z ESET, informacje medyczne mogą zachowywać wartość dla przestępców przez bardzo długi czas. Historia leczenia, choroby przewlekłe czy informacje o korzystaniu z określonych świadczeń pozostają przecież związane z konkretną osobą.
Wrażliwe informacje dotyczące np. leczenia psychiatrycznego, uzależnień czy poważnych chorób mogą w określonych przypadkach zostać wykorzystane nie tylko do uwiarygodnienia oszustwa, ale również do prób zastraszania czy szantażu. Szczególnie dotkliwe może to być w przypadku osób publicznych, menedżerów czy osób mających dostęp do poufnych informacji.
Cyberatak może wrócić po miesiącach. Liczba incydentów rośnie
Skala problemów z cyberbezpieczeństwem rośnie. Według danych Urzędu Ochrony Danych Osobowych, w 2025 roku administratorzy zgłosili ponad 22 tys. naruszeń ochrony danych osobowych, podczas gdy w dwóch wcześniejszych latach było ich około 15 tys. rocznie.
Niepokojąco wyglądają również statystyki dotyczące ochrony zdrowia. CSIRT Centrum e-Zdrowia obsłużył w 2025 roku 1441 incydentów w sektorze ochrony zdrowia, czyli o ponad 60 proc. więcej niż rok wcześniej. W 2026 roku odnotowano już kolejnych 729 incydentów.
Ministerstwo Cyfryzacji zapowiedziało, że informacje dotyczące skradzionych danych mają trafić do rządowego serwisu Bezpieczne Dane. Ma to pozwolić na sprawdzenie, czy dane konkretnej osoby znalazły się w bazie pochodzącej z ataku na MyDr.
W przypadku tak dużego wycieku czujność jest potrzebna nie tylko w pierwszych dniach po cyberataku. Skradzione informacje nie tracą automatycznie swojej wartości, a przestępcy mogą wykorzystać je dopiero po wielu miesiącach. Wtedy wiadomość zawierająca prawdziwe dane dotyczące odbiorcy może wyglądać na wyjątkowo wiarygodną – i właśnie to może być początkiem próby wyłudzenia pieniędzy.
Podcasty
Playlisty tematyczne
